RGS - 7,8,9,10

¿Cuál de las siguientes definiciones corresponde al concepto de Gobernanza?. Leyes nacionales e internacionales de obligado cumplimiento. Normas auto-impuestas para alinear estrategia y regulaciones. Toma de decisiones estratégicas, supervisión y responsabilidad. Marco de trabajo para organizar controles de seguridad.

¿Cuántos safeguards en total define el framework CIS Controls?. 18. 56. 153. 197.

El framework CSA CCM está diseñado específicamente para: Infraestructuras críticas nacionales. Organizaciones del sector financiero. Sistemas de gestión de calidad. Entornos cloud (IaaS, PaaS, SaaS).

¿Qué organismo desarrolló COBIT y en qué año?. NIST en 2014. ISO en 1987. ISACA en 1996. CIS en 2000.

En el NIST CSF, ¿cuántas funciones, categorías y subcategorías tiene el Framework Core?. 3 funciones, 18 categorías, 108 subcategorías. 5 funciones, 22 categorías, 108 subcategorías. 5 funciones, 14 categorías, 114 subcategorías. 4 funciones, 17 categorías, 197 subcategorías.

¿Qué establece la norma ISO 27001?. 114 controles técnicos de seguridad. Un framework exclusivo para entornos cloud. El Information Security Management System (ISMS). Los 18 controles de higiene básica de ciberseguridad.

Según las 10 etapas hacia la ciberseguridad, ¿qué debe hacerse con los dispositivos extraíbles antes de conectarlos a la red corporativa?. Registrarlos en el inventario de activos. Cifrarlos con algoritmo AES-256. Solicitar aprobación del responsable de seguridad. Analizarlos en busca de malware.

En el Ciclo de Deming, ¿en qué fase se identifican problemas o fallos en el proceso mediante parámetros objetivos y cuantitativos?. Plan. Do. Check. Act.

¿Cuál de las siguientes NO es una de las 8 áreas de prevención descritas en el tema?. Monitorización. Gestión de incidentes. Análisis forense. Configuraciones seguras.

En la fase Act del Ciclo de Deming, ¿qué ocurre si el resultado obtenido es el esperado?. Se reinicia el ciclo desde cero descartando los datos. Se documenta y se da por cerrado el proceso definitivamente. Se pasa directamente a la fase Check del siguiente ciclo. Puede servir de referencia para otros procesos o unidades de la organización.

¿Cuáles son las tres principales consecuencias que hacen de la ciberseguridad una preocupación crítica para cualquier organización?. Pérdida de datos, ataques DDoS y malware. Pérdidas financieras, daños a la reputación y riesgos legales. Errores humanos, fallos de hardware y vulnerabilidades de software. Robo de contraseñas, phishing y ransomware.

¿Por qué debe actualizarse periódicamente una estrategia de ciberseguridad?. Por exigencia de los auditores externos. Porque caduca legalmente cada año. Por el cambio del panorama de amenazas y los cambios organizacionales. Para cumplir con la normativa ISO 27001.

Dentro de las 4 disciplinas de la arquitectura de ciberseguridad, ¿cuál adopta una visión holística que va más allá de los parches de software e incluye el factor humano?. Gestión de identidad. Gobernanza. Gestión de amenazas. Gestión de vulnerabilidades.

Según el temario, ¿cuál es el "eslabón más débil" en la cadena de ciberseguridad?. Los sistemas legacy sin actualizar. Las conexiones de red no cifradas. El factor humano. Los proveedores externos.

La Estrategia Nacional de Ciberseguridad de España 2019 se rige por cuatro principios. ¿Cuál de las siguientes opciones los recoge correctamente?. Prevención, detección, respuesta y recuperación. Confidencialidad, integridad, disponibilidad y trazabilidad. Unidad de acción, anticipación, eficiencia y resiliencia. Planificación, ejecución, verificación y mejora.

¿Cuántos objetivos específicos y cuántas líneas de acción tiene la Estrategia Nacional de Ciberseguridad 2019?. 4 objetivos y 5 líneas de acción. 6 objetivos y 6 líneas de acción. 5 objetivos y 7 líneas de acción. 5 objetivos y 5 líneas de acción.

¿Cuántas fases tiene el Plan Director de Seguridad (PDS)?. 4. 5. 6. 8.

En el modelo de madurez del PDS, ¿cuál es la diferencia entre el nivel "Administrado" y el nivel "Optimizado"?. En Optimizado el procedimiento está aprobado por la dirección, en Administrado no. En Administrado existe el control, en Optimizado se documenta. No hay diferencia real, son equivalentes. En Optimizado se mide periódicamente la eficacia con indicadores; en Administrado el procedimiento está aprobado y formalizado pero sin medición.

Tras identificar los riesgos y fijar el nivel de riesgo aceptable, ¿cuál de las siguientes NO es una forma válida de tratarlos según el Plan Director?. Transferirlo a un tercero. Eliminarlo suprimiendo el proceso. Asumirlo de forma justificada. Ignorarlo hasta que se materialice.

¿Cuál es el objetivo principal de la fase "Conocer la estrategia corporativa" dentro del Plan Director de Seguridad?. Realizar el inventario de activos de la organización. Obtener la aprobación formal de la Dirección. Definir los proyectos técnicos prioritarios. Alinear la estrategia de seguridad con la estrategia general de negocio y TIC.

¿Cuál es la relación correcta entre "seguridad de la información" y "ciberseguridad"?. Son sinónimos exactos, significan lo mismo. La ciberseguridad es el concepto más amplio; la seguridad de la información es un subconjunto. La seguridad de la información es el concepto más amplio; la ciberseguridad es un subconjunto. No existe relación entre ambos conceptos.

¿Cuáles son los tres pilares de la seguridad de la información (tríada CIA)?. Control, Integridad y Autenticación. Confidencialidad, Disponibilidad e Integridad. Cifrado, Identificación y Auditoría. Confidencialidad, Identificación y Autenticación.

Según el temario, ¿qué tipo de ataque consiste en cifrar los datos de la víctima y pedir un rescate económico?. Malware de tipo troyano. Ataque de intermediario (MiTM). DDoS. Ransomware.

La definición de cultura de ciberseguridad de ENISA incluye varias dimensiones. ¿Cuál de las siguientes NO forma parte de dicha definición?. Hábitos y percepciones. Actitudes y valores. Presupuesto de seguridad. Conocimientos y normas.

En el nivel 2 de madurez cultural ("Cultura inicial"), ¿cuál es la característica principal del programa de formación?. Existe un plan estratégico con grupos y temáticas diferenciadas. Se mide el ROI del programa con métricas formales. Las acciones son aisladas y la capacitación se limita a base anual o ad hoc. La Alta Dirección participa activamente y lo revisa cada año.

¿En qué nivel de madurez de la cultura de ciberseguridad el programa empieza a cambiar creencias y actitudes, no solo comportamientos?. Nivel 3 - Cultura en desarrollo. Nivel 4 - Cultura avanzada. Nivel 5 - Forma de vida. Nivel 2 - Cultura inicial.

¿Cuál de los siguientes es el factor que el temario identifica como el principal origen de debilidades en un sistema de seguridad informática?. La falta de presupuesto tecnológico. El uso de software desactualizado. Las configuraciones por defecto de los sistemas. El factor humano.

La técnica de ingeniería social denominada "Baiting" consiste en: Escuchar conversaciones de forma secreta. Mirar la pantalla de otra persona para obtener información. Dejar dispositivos infectados para que alguien los conecte y así ejecutar un ataque. Seguir a un usuario autorizado para acceder a zonas restringidas.

Dentro del factor que afecta a la ciberseguridad "Comunicación", ¿cuáles son los dos riesgos principales mencionados en el temario?. Robo de dispositivos y pérdida de credenciales. Uso de software no autorizado y configuraciones incorrectas. Uso de redes inseguras o abiertas y no cifrar los datos en tránsito. Backups incompletos y acceso no autorizado a la nube.

¿Cuál de las siguientes medidas de prevención del factor humano NO está incluida en el temario?. Formación de seguridad continua. Controles de acceso estrictos. Planes de respuesta ante incidentes. Contratar únicamente personal con certificaciones de seguridad.

¿Cuál es la definición más completa de gestión de la ciberseguridad según el temario?. El conjunto de herramientas antivirus y firewalls que protegen la red corporativa. El proceso que forma a los empleados en buenas prácticas de seguridad. El proceso de máximo nivel que cataloga activos de TI y desarrolla políticas para protegerlos frente a amenazas internas, externas y cibernéticas. El plan de respuesta ante incidentes de seguridad informática.

¿Qué estándar internacional se menciona como referencia para desarrollar estrategias de seguridad de datos y TI?. NIST Cybersecurity Framework. PCI-DSS. GDPR. ISO/IEC 27001.

¿Quiénes publicaron conjuntamente el estándar ISO/IEC 27001?. La ONU y la Unión Europea. El NIST y la ISO. La Organización Internacional de Normalización (ISO) y la Comisión Electrotécnica Internacional. La ENISA y la ISO.

¿Cuántas fases generales tiene el proceso de gestión de la ciberseguridad según el temario?. Dos: Evaluación y Activación. Cuatro: Planificación, Evaluación, Formación e Implementación. Tres: Evaluación, Conciencia y Activación. Cinco: Identificación, Análisis, Evaluación, Tratamiento y Revisión.

Durante la fase "Evaluación" en la Gestión de la Ciberseguridad ¿cuál es el primer paso que deben realizar los directores de seguridad?. Elaborar la política de seguridad corporativa. Formar al equipo de TI en buenas prácticas. Aplicar los protocolos de cumplimiento normativo. Realizar una lista detallada de todos los activos de TI.

La fase de Conciencia en la gestión de la ciberseguridad incluye formación a: Solo el equipo de TI y los directivos. Solo el personal técnico con acceso a sistemas críticos. Todos los empleados de la organización, incluyendo roles con proveedores externos. Únicamente a los nuevos empleados durante la incorporación.

¿Cuál de las siguientes acciones corresponde a la fase de Activación en la gestión de la ciberseguridad?. Inventariar los activos de TI y detectar vulnerabilidades. Compartir los resultados del análisis con los empleados. Asignar protocolos de credenciales a los activos identificados. Supervisión y respuesta completas, mantenimiento rutinario y revisiones continuas.

¿Cuál es uno de los beneficios de una gestión de seguridad exhaustiva mencionado explícitamente en el temario?. Eliminar por completo la posibilidad de sufrir ciberataques. Reducir el coste de la infraestructura tecnológica. Estandarizar el proceso de añadir nuevos componentes e infraestructura. Sustituir la necesidad de contratar personal especializado en seguridad.

Según el temario, ¿qué consecuencia interna tiene la ausencia de gestión de la ciberseguridad?. Aumento del número de ataques externos. Incumplimiento automático del GDPR. Pérdida de la certificación ISO 27001. Gestión del entorno TI ineficaz, supervisión con errores y mayor tiempo de respuesta ante amenazas.