TEMA IMPortancia de las aves

1. La seguridad de las TIC STIC se define principalmente como. orientada a proteger informacion y sistemas de la entidad. orientada a coordinar servicios logisticos y de apoyo interno. orientada a planificar adquisiciones y compras de material. orientada a controlar almacenes inventarios y suministros.

2. Que busca garantizar la seguridad de las TIC segun el documento. confidencialidad integridad y disponibilidad de la informacion. exclusivamente la confidencialidad de los datos almacenados. solamente la disponibilidad de los servicios informaticos. principalmente la integridad fisica de los equipos de trabajo.

3. Ademas de la informacion la seguridad de las TIC debe proteger. la integridad y disponibilidad de los propios sistemas TIC. el presupuesto anual asignado al area de informatica. los contratos firmados con empresas de mantenimiento. las licencias ofimaticas instaladas en los ordenadores.

4. Para lograr una proteccion adecuada la seguridad TIC debe. considerar medidas fisicas de personal y documentales. centrarse solo en software de seguridad actualizado. basarse en auditorias economicas y de presupuesto. apoyarse en planes de marketing institucional.

5. La politica STIC de una organizacion es. un documento formal con directivas normas y procedimientos. un inventario de hardware y perifericos de la organizacion. un registro de personal autorizado para usar los sistemas. un informe mensual de incidencias y caidas de servicio.

6. El objetivo principal de la politica STIC es. proteger los sistemas de informacion del organismo u entidad. reemplazar al reglamento laboral del personal de servicio. establecer los sueldos del personal tecnico y de soporte. fijar el calendario de vacaciones del area administrativa.

7. En seguridad un activo se entiende como. todo lo que la organizacion valora y necesita proteger. solo los servidores y equipos del centro de proceso de datos. unicamente las bases de datos de caracter confidencial. los contratos que la entidad mantiene con proveedores.

8. Que puede considerarse activo segun el tema. personas datos servicios infraestructuras y software. unicamente documentos impresos con informacion sensible. exclusivamente los routers de la red y los puntos de acceso. solo las aplicaciones de ofimatica instaladas en clientes.

9. La valoracion de los activos se realiza atendiendo a. integridad disponibilidad y confidencialidad del activo. coste economico amortizacion y depreciacion contable. nivel de usuario perfil profesional y categoria laboral. horario de uso turnos de trabajo y personal asignado.

10. El ciberespacio se describe como. espacio virtual mundial que interconecta sistemas y redes. red cerrada interna de uso exclusivo de la administracion. plataforma local para compartir ficheros entre oficinas. sistema hibrido de impresion y digitalizacion de datos.

11. Una caracteristica del ciberespacio actual es. la interconexion que permite acceso en linea a servicios. la obligacion de trabajar siempre sin conexion a internet. la prohibicion de integrar sistemas moviles en la red. la limitacion al uso de redes de telefonia analogicas.

12. El aumento de la dependencia del ciberespacio implica que. hay que conocer amenazas gestionar riesgos y dar respuesta. puede eliminarse la seguridad porque todo es automatizado. se reduce totalmente el impacto de ataques exteriores. solo hay que asegurar los sistemas cuando hay incidencias.

13. Una amenaza en seguridad TIC es. posibilidad de violacion de la seguridad que cause perjuicio. documento con los gastos previstos para el año siguiente. registro de las copias de seguridad ya realizadas. informe del numero de usuarios conectados al sistema.

14. Otra forma de definir amenaza es. posible causa de un incidente no deseado con daños. accion administrativa sobre la gestion del inventario. proceso de cifrado de todos los ficheros almacenados. procedimiento para depurar cuentas de usuario inactivas.

15. Una ciberamenaza se caracteriza por. ser una amenaza en el ciberespacio con alta rentabilidad. ser un evento fisico que solo afecta a edificios y locales. ser un documento tecnico sin efecto sobre los sistemas. ser una norma legal que regula licencias y contratos.

16. Las ciberamenazas se ven favorecidas por. bajo coste accesibilidad y escaso riesgo para el atacante. elevado precio de las herramientas y gran complejidad. controles estrictos que impiden actuar desde internet. ausencia de redes publicas y de tecnologias moviles.

17. Segun el reglamento UE 2019 881 una ciberamenaza es. situacion o accion que pueda dañar redes y sistemas. reglamento europeo sobre proteccion de datos medicos. mecanismo interno para archivar sanciones a empleados. norma contable para registrar equipos informaticos.

18. Segun la estrategia nacional de ciberseguridad 2019 ciberamenaza es. disrupcion o manipulacion maliciosa de elementos tecnologicos. documento anual de resumen de inversiones en seguridad. inventario de todas las licencias de software instaladas. plan de contingencia para desastres naturales repentinos.

19. Una vulnerabilidad es. debilidad de un activo o control explotable por una amenaza. manual de configuracion de routers y cortafuegos perimetrales. registro de accesos autorizados por parte del administrador. informe mensual sobre el rendimiento de los procesadores.

20. Otra forma de expresar vulnerabilidad es. posibilidad de que una amenaza se materialice sobre un activo. planificacion economica de las compras de equipamiento. distribucion de turnos del personal de administracion. politica de comunicacion con proveedores externos.

21. Las vulnerabilidades fisicas estan relacionadas con. lugar donde se almacena fisicamente la informacion. sistema de permisos de usuarios de la intranet. protocolos de correo y mensajeria instantanea. gestion del licenciamiento de software comercial.

22. Un ejemplo de vulnerabilidad fisica seria. robo de material o sabotaje electrico en el CPD. error tipografico en un documento escaneado. cambio de clave de un usuario de escritorio. copia adicional de un fichero de respaldo.

23. Las vulnerabilidades naturales se refieren a. riesgos por incendios inundaciones o terremotos. fallos de version en aplicaciones corporativas. errores de usuario al escribir una contrasena. incidencias leves de conexion a internet.

24. Para vulnerabilidades naturales se recomienda. copias de seguridad respaldo y redundancia electrica. sustituir a todo el personal por personal externo. desactivar el antivirus para acelerar el sistema. compartir las contrasenas en grupos de trabajo.

25. Las vulnerabilidades de hardware hacen referencia a. defectos de fabricacion instalacion o configuracion. errores de facturacion entre clientes y proveedores. incumplimientos legales de las normas laborales. problemas de idioma entre equipos multinacionales.

26. Para mitigar vulnerabilidades de hardware se puede. emplear equipamiento redundante como RAID y fuentes. reducir los salarios del personal de mantenimiento. quitar las etiquetas de inventario de los equipos. desactivar los protocolos de cifrado en routers.

27. Las vulnerabilidades de software se suelen deber a. errores de configuracion o instalacion de programas. cambios de turno en el personal administrativo. actualizacion de los contratos de suministros. despliegue de nuevos equipos de climatizacion.

28. Para reducir vulnerabilidades de software conviene. actualizar sistemas y usar plantillas de configuracion. desinstalar las copias de seguridad programadas. quitar las politicas de contrasenas complejas. evitar la formacion del personal tecnico.

29. Las vulnerabilidades de medios de almacenamiento afectan a. discos duros unidades opticas y soportes extraibles. formularios de recursos humanos y nominas. informes de vacaciones y turnos de trabajo. listados de asistencia a cursos internos.

30. Para vulnerabilidades de almacenamiento se recomienda. politicas de backup y catalogacion de unidades. eliminar los registros historicos del sistema. cerrar todas las cuentas de usuario inactivas. cambiar las IP de todos los equipos locales.

31. Las vulnerabilidades de comunicacion tratan sobre. incidentes en el trayecto origen destino de la informacion. proceso de seleccion del personal de la empresa. elaboracion de los presupuestos anuales internos. gestion de los vehiculos adscritos al organismo.

32. Para proteger las comunicaciones se aconseja. cifrar la informacion y usar protocolos seguros. enviar las contrasenas por correo sin cifrado. compartir claves de administrador por mensaje. hacer publicas las direcciones IP internas.

33. Las vulnerabilidades humanas son. las mas habituales porque dependen de las personas. las menos importantes al no afectar a los datos. las que solo se dan en redes privadas militares. las que solo aparecen en equipos sin disco duro.

34. Un origen intencionado de vulnerabilidad humana seria. vandalismo fraude robo o estafa realizados adrede. error de hardware por fuente de alimentacion. fallo de ventilacion en la sala de servidores. actualizacion automatica de un navegador.

35. Para reducir vulnerabilidades humanas se debe. formar y concienciar de manera continua al personal. quitar todos los controles de acceso a los sistemas. desplegar aplicaciones sin manual ni instrucciones. rotar contrasenas compartidas entre los usuarios.

36. CVE significa. common vulnerabilities and exposures, codigo unico. cybersecurity validation enterprise norma europea. complete virtual environment red corporativa. common visual encryption cifrado de imagenes.

37. CWE hace referencia a. categorias de tipos de ataque como SQLi o XSS. conjunto de leyes sobre tratamiento de datos. sistema de copias remotas entre dos sedes. proceso de alta de usuarios en un portal.

38. El vector de acceso indica. como se explota la vulnerabilidad red o acceso local. quien pagara la correccion de la vulnerabilidad. que departamento realizara las copias de seguridad. que horario laboral tienen los tecnicos asignados.

39. La complejidad de acceso puede ser. baja media alta o sin informacion suficiente. solo baja porque todo es automatizable. exclusivamente alta por diseno seguro. siempre media en redes militares internas.

40. La gravedad o severity se mide. con un rango base de 0 bajo a 10 alto. con colores verde azul y amarillo estandar. con el numero de usuarios conectados diario. con la edad del equipo y del sistema usado.

41. Una vulnerabilidad 0 day es. recien descubierta y aun sin parche disponible. vulnerabilidad historica ya corregida por defecto. error documental en un informe de auditoria. problema de impresion en un parte de servicio.

42. El mayor riesgo de un 0 day es. que los atacantes lo exploten antes del parche. que el hardware se quede sin repuestos fisicos. que el personal no conozca el organigrama. que el antivirus caduque antes de un año.

43. Secuencia tipica de un 0 day. se descubre no hay parche el atacante lo aprovecha. se instala se inutiliza el sistema se reinicia solo. se imprime se corrige se archiva en una carpeta. se compra se vende se registra en contabilidad.

44. Diferencia basica entre amenaza y vulnerabilidad. vulnerabilidad es debilidad, amenaza es accion que la aprovecha. vulnerabilidad es ataque, amenaza es el sistema objetivo. vulnerabilidad es defensa, amenaza es auditoria anual. vulnerabilidad es documento, amenaza es procedimiento.

45. En la practica si existe vulnerabilidad. siempre habra alguien que intente explotarla. no puede haber ningun riesgo asociado. se deben borrar todos los registros de red. se desactiva el cortafuegos por defecto.

46. Un ataque es. asalto deliberado que elude los servicios de seguridad. cambio rutinario de contrasenas de los usuarios. proceso de copia de seguridad automatica diaria. instalacion de un antivirus en todos los puestos.

47. La relacion vulnerabilidad amenaza ataque es. punto debil accion que lo explota y ejecucion exitosa. informe fichero adjunto y correo de notificacion. copia restauracion y borrado de documentos. usuario impresora y salida de la informacion.

48. OWASP es. organizacion de referencia sobre seguridad de aplicaciones web. comite europeo para licencias de software propietario. grupo militar de planificacion de operaciones conjuntas. manual nacional sobre archivo y custodia de documentos.

49. Un ciberataque se ve facilitado por. alta interconexion complejidad y muchos sistemas distintos. ausencia total de redes y comunicaciones digitales. prohibicion absoluta de usar correo electronico. desaparicion de los dispositivos moviles actuales.

50. La amenaza hibrida en ciberespacio busca. desestabilizar y polarizar la sociedad sin conflicto armado. organizar vacaciones y permisos del personal del centro. sustituir a los tecnicos de sistemas por personal civil. implantar nuevas impresoras en todas las oficinas.

51. Una APT amenaza persistente avanzada es. campaña de ataque con presencia ilicita a largo plazo. herramienta comercial para gestionar reservas web. protocolo inalambrico para redes de invitados. servicio de directorio para cuentas de usuario.

52. Las APT suelen dirigirse a. objetivos de alto valor como paises y grandes empresas. unicamente a oficinas pequeñas de ambito local. solo a usuarios domesticos sin formacion tecnica. exclusivamente a redes sociales de entretenimiento.

53. En la etapa 1 de una APT el atacante. obtiene acceso mediante red, archivo o correo. repara los fallos para ayudar al administrador. apaga los servidores para evitar el ataque. cifra el backup para asegurar la copia.

54. En la etapa 2 de una APT el atacante. se infiltra implantando malware y puertas traseras. elimina todos los registros para ayudar al sistema. libera licencias de software ya no utilizadas. reemplaza el hardware por uno mas reciente.

55. En la etapa 3 de una APT el objetivo es. intensificar el acceso y ganar privilegios de administrador. bloquear el correo corporativo por mantenimiento. desconectar la climatizacion del centro de datos. cambiar el logotipo de la intranet institucional.

56. En la etapa 4 de una APT el intruso. se desplaza lateralmente por otros servidores y redes. restablece contrasenas de todos los usuarios activos. elimina los parches publicados por el fabricante. actualiza las polizas de seguros del organismo.

57. En la etapa 5 de una APT el atacante. observa aprende el sistema y procura permanecer. desinstala el malware para no dejar ningun rastro. publica en la intranet todas las cuentas de usuario. entrega al administrador un informe de auditoria.

58. El gran peligro de una APT es. que aun descubierta pueda dejar puertas traseras activas. que deje de funcionar la impresora multifuncion central. que las copias de seguridad ocupen mas almacenamiento. que los usuarios deban cambiar el fondo de escritorio.

59. Un ciberespia suele tener como objetivo. exfiltrar informacion reservada o de alto valor estrategico. gestionar las altas de personal en la intranet corporativa. aumentar el numero de impresoras de la organizacion. simplificar los procesos de vacaciones de verano.

60. Un ciberdelincuente es. delincuente tradicional que usa el ciberespacio como medio. tecnico de sistemas que revisa los parches de seguridad. usuario corriente que accede a su correo corporativo. auditor externo que revisa los procesos de compras.

61. Un ciberterrorista suele. buscar informacion propaganda y financiacion en internet. redactar normas de uso responsable de los recursos. disenar formularios internos de recursos humanos. actualizar manualmente los antivirus caducados.

62. Un hacktivista se motiva por. ideologia y acciones para socavar la ciberseguridad. necesidad de mantener servidores de impresion. gestion de las copias de seguridad incrementales. elaboracion de informes economicos anuales.

63. Un ataque tipico de hacktivistas es. desfiguracion de webs o difusion de datos comprometidos. compra de licencias originales para toda la empresa. implantacion de un ERP de gestion de almacenes. instalacion de una nueva red electrica en el CPD.

64. Un script kiddie es. hacker poco cualificado que usa herramientas de terceros. usuario experto que disena hardware de comunicaciones. administrador con certificacion en sistemas criticos. consultor interno que audita procesos de negocio.

65. Entre los objetivos de ataque estan. estados empresas estrategicas y ciudadanos. solo usuarios domesticos sin proteccion previa. unicamente redes locales sin salida a internet. solamente sistemas SCADA de tipo industrial.

66. Tambien pueden ser objetivo. actores internos como empleados o contratados. unicamente proveedores externos de internet. solo personal militar desplegado en misiones. departamentos de limpieza y mantenimiento.

67. La disponibilidad significa. informacion accesible cuando la requieren procesos autorizados. datos cifrados para impedir el acceso del administrador. documentos impresos para cualquier visitante externo. servicios parados para evitar accesos no autorizados.

68. La integridad significa. informacion no modificada de forma no autorizada. informacion publicada en todas las redes sociales. informacion copiada sin ningun tipo de control. informacion cedida a terceros sin contrato previo.

69. La confidencialidad significa. informacion no revelada a personas no autorizadas. informacion visible para todo el personal civil. informacion enviada sin cifrado por internet. informacion impresa y colgada en el tablon.

70. La autenticidad garantiza. que la entidad es quien dice ser o la fuente es legitima. que el fichero ocupa menos espacio en el servidor. que el usuario tiene permisos de impresion en red. que el correo se envio en horario de oficina.

71. La trazabilidad permite. imputar las acciones a la entidad o proceso que las hizo. eliminar los registros de actividad para ganar espacio. ocultar las conexiones remotas de administradores. compartir usuarios entre varios grupos de trabajo.

72. El riesgo es. estimacion del grado de exposicion a una amenaza. manual fijo de funciones del personal de guardia. tabla de inventario de los equipos de oficina. contrato de mantenimiento de equipos moviles.

73. El analisis de riesgos es. proceso sistematico para estimar magnitud de los riesgos. plan de marketing para los servicios de la organizacion. informe mensual de horas extra del personal tecnico. documento de vacaciones del personal administrativo.

74. El tratamiento del riesgo es. proceso destinado a modificar o reducir el riesgo. proceso de compra de mobiliario de oficina. procedimiento de alta de nuevos empleados. gestion de los vehiculos del parque movil.

75. La gestion de riesgos comprende. actividades coordinadas para dirigir y controlar riesgos. normas para asignar sueldos al personal tecnico. protocolos de limpieza de instalaciones comunes. reglas para distribuir espacios de aparcamiento.

76. Un SGSI es. conjunto de politicas procedimientos recursos y actividades. sistema operativo para servidores de bases de datos. aplicacion movil de mensajeria interna del centro. plataforma web para reservas de salas comunes.

77. Segun ISO IEC 27001 un SGSI es un enfoque. sistematico para establecer operar y mejorar seguridad. economico para reducir costes de licencias de software. administrativo para registrar las faltas laborales. tecnico para instalar impresoras en red compartida.

78. Las medidas normativas incluyen. disposiciones legales como LOPD LSSI o estrategias. cambio frecuente de impresoras y consumibles. reduccion del personal en turnos de madrugada. aumento del ancho de banda de la conexion.

79. Las medidas organizativas son. controles administrativos como politicas y responsabilidades. ajustes electricos en el cuadro general del edificio. inventarios de mobiliario y equipos de oficina. manuales de usuario de las fotocopiadoras.

80. Las medidas tecnicas son. controles operativos para proteger info y sistemas. procedimientos de firma de nominas mensuales. protocolos de relacion con medios de comunicacion. reglas de uso del aparcamiento del personal.

81. Los controles de prevencion. aumentan la seguridad durante el funcionamiento normal. solo registran los fallos despues de que ocurren. se aplican cuando el incidente ya ha terminado. sirven para archivar documentos en expedientes.

82. Los controles de deteccion. sirven para detectar violaciones o intentos de violacion. sirven para pagar a proveedores de equipos de red. sirven para imprimir partes mensuales de trabajo. sirven para organizar reuniones con clientes.

83. Los controles de respuesta. se aplican cuando ya se ha detectado la violacion. se crean solo para registrar vacaciones del personal. se usan para aumentar el caudal de las impresoras. se emplean para cambiar la moqueta del edificio.

84. La formacion y concienciacion en seguridad busca. reducir el impacto de las vulnerabilidades humanas. crear nuevos departamentos sin justificar recursos. sustituir completamente las medidas tecnicas. eliminar la politica STIC en toda la organizacion.

85. Una razon clave para formar al personal es. que muchas amenazas se materializan por descuido. que los equipos no necesitan nunca mantenimiento. que las leyes eliminan todos los riesgos posibles. que la red siempre esta aislada de internet.