Master seguridad de la información (tema 6)

El Esquema Nacional de Seguridad: Es de carácter voluntario para las administraciones públicas. Es de carácter voluntario en función del número de empleados de la administración en particular. Es de carácter obligatorio para las administraciones públicas.

El anexo I del Esquema Nacional de Seguridad: Establece un glosario de términos. Establece las medidas de seguridad a aplicar en los sistemas. Establece los fundamentos para categorizar un sistema.

El anexo II del Esquema Nacional de Seguridad: Establece los requisitos de una Declaración de Aplicabilidad. Contiene las medidas de seguridad para lograr el cumplimiento de los principios básicos y requisitos mínimos. Establece unas medidas de seguridad para categorizar los sistemas.

Las dimensiones de seguridad valoradas por el ENS son: Confidencialidad e Integridad. Confidencialidad, Integridad, Disponibilidad y Autenticidad. Confidencialidad, Integridad, Disponibilidad, Autenticidad y Trazabilidad.

La auditoría de la seguridad según el ENS: Aplica a sistemas de categoría media y alta. Aplica a sistemas de categoría alta. Aplica a los sistemas independientemente de su categoría.

Las PCI DSS: Aplican a todas las entidades sin excepción, incluyendo aquellas que participan en los procesos de las tarjetas de pago-respuesta. Proporcionan una referencia de requisitos técnicos y operativos desarrollados para proteger los datos de los titulares de tarjetas. Además, no aplican a todas las entidades que participan en los procesos de las tarjetas de pago-respuesta, ya que dependerá de cada entidad. Proporcionan una referencia de requisitos técnicos y operativos desarrollados para proteger los datos de los titulares de tarjetas. Además, se aplican a todas las entidades que participan en los procesos de las tarjetas de pago-respuesta.

Los datos de titulares de tarjetas incluyen: Número de cuenta (PAN) y nombre del titular de la tarjeta. Número de cuenta (PAN), nombre del titular de la tarjeta, fecha de vencimiento y código de servicio. Todos los datos de la banda magnética o datos equivalentes que están en un chip, CAV2/CVC2/CVV2/CID, PIN/bloqueos del PIN.

Los requisitos de las PCI DSS se aplican: Dependiendo de si se almacena, procesa o transmite el número de cuenta principal (PAN), únicamente. Dependiendo de si se almacena, procesa o transmite un número de cuenta principal (PAN), principalmente, aunque el nombre del titular de la tarjeta, el código de servicio y/o la fecha de vencimiento también influyen en la aplicabilidad. Dependiendo de si se almacena, procesa o transmite el nombre del titular de la tarjeta, el código de servicio y/o la fecha de vencimiento, principalmente, aunque el número de cuenta principal (PAN) también influye en la aplicabilidad.

Cuando se almacenan datos de tarjetas de crédito: El PAN deberá almacenarse de forma ilegible, teniendo en cuenta que los datos confidenciales de autenticación no podrán ser almacenados. Todos los datos del titular de la tarjeta y los datos confidenciales de autenticación que se guarden se podrán almacenar en claro, exceptuando el PAN, que deberá almacenarse de forma ilegible. Todos los datos del titular de la tarjeta y los datos confidenciales de autenticación que se guarden deberán ser ilegibles.

Señale la respuesta correcta: Las PA-DSS se aplican a las aplicaciones de pago que los proveedores de software, generalmente, venden e instalan "en forma estándar", sin demasiada personalización, y en las aplicaciones de pago desarrolladas por comerciantes y proveedores de servicios si sOlo se utilizan internamente (no se venden, no se distribuyen ni se otorgan bajo licencia a terceros). Las PA-DSS se aplican a las aplicaciones de pago que los proveedores de software, generalmente, venden e instalan "en forma estándar", sin demasiada personalización. Las PA-DSS se aplican a aplicaciones de pago desarrolladas por comerciantes y proveedores de servicios si solo se utilizan internamente (no se venden, no se distribuyen ni se otorgan bajo licencia a terceros).

ITIL e ISO 20000 tienen relación en cuanto que: ISO 20000 dio lugar a ITIL. ITIL es un proceso obligatorio de ISO 20000. ITIL es el fundamento de ISO 20000.

El estándar ISO 20000 consta de: Dos partes: ISO 20000-1 e ISO 20000-2. Tres partes: ISO 20000-1, ISO 20000-2 y BS 15000. Una parte para cada proceso de ITIL.

La certificación en ISO 20000: Es una certificación destinada exclusivamente a personas. Es una certificación alternativa a la certificación en ITIL. Es la primera certificación que permite a una empresa acreditar que presta sus servicios de TI conforme a ITIL.

Los procesos de relaciones son: Gestión de la configuración y gestión de cambios. Gestión de clientes y gestión de suministradores. No son procesos incluidos en ISO 20000.

Un O.L.A. es: Un acuerdo de nivel de servicio interno. Lo mismo que un Underpinning Contract. Un acuerdo de nivel de servicio con el cliente.

De los siguientes estándares y guías, ¿cuáles ayudan a implantar el buen gobierno de las TIC?. ISO 27001 y COBIT. ISO 38500 e ISO 20000. ISO 38500 y COBIT.

¿Cuál de las siguientes no es un área clave del gobierno de IT?. Alineación estratégica. Auditoría y autoevaluación. Auditoría y evaluación.

¿Cuál de los siguientes no es un método empleado para la medición del desempeño de las IT?. BSC. KPI y KGI. Modelos de madurez.

¿En qué dominio de COBIT está definido el proceso definición de niveles de servicio?. Adquirir e Implementar. Planificar y Organizar. Entregar y dar Soporte.

¿En qué fase de la implantación del gobierno de las IT se encuentran los documentos AS-IS y TO-BE?. Prever la solución. Planificar la solución. Implementar la solución.

Las siglas con las que se conoce la integración de Cumplimiento, Riesgo y Gobierno son: GRC. CRG. COBIT.

¿Cuál de las siguientes palabras no define o tiene relación con GRC?. Proyecto. Evaluación de riesgo. Control interno.

¿Qué concepto está más íntimamente relacionada con el control interno?. COSO ERM. COSO I. ISO 31000.

¿Qué norma permite implantar y certificar la gestión de riesgos?. ISO 31000. ISO 27001. Ninguna de las anteriores.

¿Cuáles son los tipos de GRC más comunes?. Financiero, TI y calidad. TI, medio ambiente y financiero. TI, legal y financiero.

ITIL e ISO 2000. Provienen ambas de un estandar internacional. Provienen amdas de un estandar britanico. ISO 20000 proviene de un estandar britanico; pero ITIL fue desarrollado de forma simultánea.

ISO 20000 puede definir mejor: Un estandar para la calidad de los serivicios TI. Unas buenas prácticas. Una guía de certificación de sistemas de gestión de servicios TI.

De acuerdo con los niveles de madurez definidos para los procesos de COBIT, cuando una organización ha definido responsabilidades en materia de seguridad con algunas limitaciones respecto a la autoridad asignada a dicho responsable, el nivel correspondiente para dicho proceso (DSS) en: Inicial. Respetable. Definidido.

Una empresa debe cumplir entre sus requisitos la ley SOX, ¿Qué estandar o marco de control es el más adecuado?. ISO 20000. ISO 27001. COSO I.

Una empresa debe cumplir entre sus requisitos la ley SOX, ¿Qué estandar o marco de control para IT es el más adecuado?. ISO 27001. COSO II. COBIT.

¿Qué procesos de IT se pueden utilizar para cumplir con el objetivo de IT de asegurar que se cumple con la legislación, regulación y contratos?. ME2 monitorizar y evaluar el control interno y DS11 administración de datos. AI1 identificar soluciones automaticas y ME3 garantizar el cumplimiento regulatorio. A3 identificar soluciones automaticas y ME3 garantizar el cumplimiento regulatorio.

Con respecto a los denominados datos de la cuenta, se permiten almacenar: El PAN, el nombre del titular, el codigo del servicio y la fecha de vencimiento. Código de servicio, datos de la banda magnetica y el PIN/BLOQUEO del PIN. Todos los datos.

La segmentación de red se plantea como un método que. Mejora la seguridad del entorno que las tarjetas de crédito. Disminuye el alcance y el costo de la evaluación PCI-DSS. Es de obligada implantación, si se quiere cumplir con PCI-DSS.

El esquema nacional de seguridad (ENS): Da respuesta a una necesidad original de la ley 11/2007 de 22 junio. Da lugar a la aprobación de la ley 11/2007 de 22 junio. Es parte integrante de la ley 11/2007 de 22 junio.

La categorizaciónde los sistemas segun el ENS: Ha de basarse en una metodologia de análisis de riesgos internacionales reconocida. Se hace sobre la valoración de impacto de un incidente en las dimensiones de confidencialidad, integridad, disponibilidad, trazbilidad y autenticidad. Se lleva a cabo en función de las medidas de seguridad que se vayan a adoptar.