Gestión de la seguridad de la información

¿Cuál de las siguientes describe de la forma más adecuada un activo de información en el contexto de la seguridad de la información?

1. Se refiere solo a los equipos informáticos, como servidores y PC, y a los datos electrónicos almacenados en ellos, y no incluye los documentos impresos guardados en papel.
2. Se refiere solo a los datos digitalizados, y excluye los documentos en papel y los procedimientos o conocimientos prácticos que solo conoce determinado personal.
3. Incluye en sentido amplio los datos, los documentos, los equipos y el software, así como lo que tiene valor para la organización, como los conocimientos de las personas y la reputación de la empresa.
4. Solo cuenta como activo de información aquello cuyo valor puede estimarse en dinero; lo que no puede convertirse en un valor monetario, como la confianza o la marca, queda fuera del alcance de la gestión.

¿Cuál de los siguientes no es un dato adecuado para registrar en un inventario de activos de información?

1. El nombre del activo y el nombre de la persona responsable de gestionarlo (su propietario)
2. La contraseña real del usuario que accede a ese activo
3. El lugar de almacenamiento y el tipo de soporte en el que está registrado
4. El nivel de confidencialidad de la información y su clasificación de importancia para el negocio

¿Cuál es el propósito principal de clasificar y etiquetar la información como confidencial, de uso interno, pública, etc.?

1. Para que quien maneje la información pueda juzgar cuánta protección necesita.
2. Para reducir la capacidad de disco necesaria para almacenar la información y recortar los costos de almacenamiento.
3. Para eliminar por completo la necesidad de clasificar y etiquetar, cifrando toda la información.
4. Para eliminar la necesidad de obtener y conservar los registros de acceso.

¿Cuál de los siguientes es el rol más adecuado del responsable de gestión de un activo de información (el propietario del activo)?

1. Auditar el ISMS de la organización desde una posición de tercero e informar un juicio sobre si debe otorgarse la certificación.
2. Operar el activo a diario, encargándose de tareas como introducir y actualizar datos como parte del trabajo cotidiano.
3. Decidir la clasificación del activo, aprobar a quién se concede qué nivel de acceso y revisarlo periódicamente.
4. Llevar a cabo en la práctica los cambios de configuración de los equipos de red o de los servidores.

Una empresa va a encargar a un proveedor externo la eliminación del disco duro interno de un PC que usaba internamente. Desde el punto de vista de la prevención de filtraciones de información, ¿qué respuesta es la más adecuada?

1. Mover los archivos en cuestión a la papelera de reciclaje, vaciarla, confirmar en pantalla que se han borrado y luego entregar el disco al proveedor.
2. Ejecutar un formateo rápido, confirmar en pantalla que los archivos han desaparecido y entregar el disco al proveedor tal cual.
3. Borrar solo los archivos importantes, dejar el resto como está y entregar el disco.
4. Realizar un borrado por sobrescritura con un software de borrado de datos o una destrucción física, y confirmarlo presenciando el trabajo o recibiendo un certificado de borrado.

¿Cuál de las siguientes es la forma más adecuada de eliminar un documento en papel clasificado como de uso interno?

1. Romperlo por la mitad y sacarlo junto con los residuos reciclables.
2. Sacarlo mezclado con la basura general para que sea más difícil que alguien de fuera lo note.
3. Tachar en negro solo el título y luego sacarlo tal cual.
4. Triturarlo, o encargar su destrucción por disolución (pulpeo).

¿Cuál de las siguientes es la razón más adecuada para hacer periódicamente el inventario de los activos de información?

1. Para negociar a la baja el precio de compra de los activos de información y contener el costo de adquirir o renovar equipos.
2. Para eliminar cualquier diferencia entre lo que registra el inventario y los activos que existen realmente, de modo que los controles se apliquen sin huecos.
3. Para asegurarse de que el número total de activos de información que posee la organización se reduzca sin falta cada año, aligerando la carga de gestión.
4. Para conocer la asistencia laboral de los empleados y revisar la asignación de personal.

Si se considera el ciclo de vida de la información como creación → uso → almacenamiento → transporte → eliminación, ¿cuál de los siguientes es el conjunto de controles más adecuado para cada etapa?

1. Si el transporte se hace con el correo interno de la empresa, puede omitirse el registro de entrega.
2. Como la información almacenada se guarda dentro de la empresa y está segura, no es especialmente necesario configurar los derechos de acceso.
3. No decidir la clasificación en la etapa de creación; decidir la clasificación y el manejo todo junto solo cuando llegue el momento de eliminar la información.
4. Guardar bajo llave o cifrar la información durante el almacenamiento; sellarla y llevar un registro de entrega durante el transporte; y borrarla o destruirla físicamente en la eliminación.

¿Cuál de las siguientes es la forma de pensar más adecuada al decidir el nivel de clasificación de una información?

1. Decidirlo únicamente por el soporte en el que está registrada; por ejemplo, tratar todo archivo electrónico como confidencial y todo documento en papel como de uso interno.
2. Cuantas más personas tenga el departamento que creó la información, más alta debe ser su clasificación.
3. Decidirlo teniendo en cuenta no solo el impacto de una filtración, sino también el impacto de una alteración o de que la información deje de estar disponible.
4. Una vez decidida la clasificación de una información, seguir usándola tal cual en adelante sin revisarla, aunque cambien su contenido o las circunstancias.

¿Cuál de las siguientes ordena correctamente las tres actividades que componen la apreciación del riesgo, en la secuencia en que se realizan?

1. Evaluación del riesgo → análisis del riesgo → identificación del riesgo
2. Identificación del riesgo → evaluación del riesgo → análisis del riesgo
3. Identificación del riesgo → análisis del riesgo → evaluación del riesgo
4. Análisis del riesgo → identificación del riesgo → evaluación del riesgo

El equipo identificó y anotó en una lista lo siguiente: “La sala de servidores está en la planta baja, y una lluvia torrencial podría inundarla y detener los servidores”. ¿A qué actividad de la apreciación del riesgo corresponde este trabajo?

1. Tratamiento del riesgo
2. Aceptación del riesgo
3. Identificación del riesgo
4. Evaluación del riesgo

¿Cuál de las siguientes describe de la forma más adecuada la evaluación del riesgo dentro de la apreciación del riesgo?

1. Comparar la magnitud del riesgo obtenida en el análisis con un criterio de riesgo para decidir si se necesita una respuesta y con qué orden de prioridad.
2. Encontrar y describir de forma exhaustiva los riesgos presentes en la organización a partir de las combinaciones de activos de información, amenazas y vulnerabilidades.
3. Introducir realmente los controles elegidos, ponerlos en funcionamiento y consolidarlos en la práctica.
4. Estimar por separado la probabilidad de ocurrencia y el grado de impacto, y calcular a partir de ellos la magnitud del riesgo.

Una organización contrató un ciberseguro para prepararse ante los costos de indemnización e investigación que surgirían de una filtración de información. ¿A qué categoría de tratamiento del riesgo corresponde esto?

1. Evitación del riesgo
2. Reducción del riesgo (mitigación)
3. Aceptación del riesgo (retención)
4. Transferencia del riesgo (compartición)

Cierto incidente causa una pérdida de 6 millones de yenes cada vez que ocurre, y se prevé que ocurra una vez cada dos años. ¿Cuál es la pérdida anual esperada (ALE) de este incidente?

1. 1,500,000 yenes
2. 3 millones de yenes
3. 6 millones de yenes
4. 12 millones de yenes

Un desastre causa una pérdida de 40 millones de yenes cada vez que ocurre, y su probabilidad anual se estima en un 5%. ¿Cuál es la pérdida anual esperada (ALE) de este desastre?

1. 8 millones de yenes
2. 2 millones de yenes
3. 40 millones de yenes
4. 4 millones de yenes

Cierto riesgo causa una pérdida de 10 millones de yenes cada vez que ocurre, y su tasa anual de ocurrencia se estima en 0.4. Introducir una contramedida que cuesta 2.2 millones de yenes al año reduciría la tasa anual de ocurrencia a 0.1. ¿Cuál de las siguientes es la evaluación económica más adecuada?

1. La contramedida reduce la pérdida anual esperada de 10 millones de yenes a 1 millón de yenes, una reducción de 9 millones de yenes que supera ampliamente el costo, así que vale la pena.
2. La contramedida reduce la pérdida anual esperada de 4 millones de yenes a 1 millón de yenes, una reducción de 2 millones de yenes que no alcanza el costo de 2,200,000 yenes, así que no vale la pena.
3. La contramedida reduce la pérdida anual esperada de 4 millones de yenes a 1 millón de yenes, una reducción de 3 millones de yenes que supera el costo de 2,200,000 yenes, así que vale la pena.
4. Como la tasa anual de ocurrencia no ha llegado a cero, el efecto de la contramedida no puede evaluarse en términos monetarios.

Se juzgó que un negocio de venta por correo que maneja un gran volumen de información personal, pero que no muestra perspectivas de rentabilidad, tendría un impacto demasiado grande si se produjera una filtración, y la empresa se retiró del propio negocio. ¿A qué categoría de tratamiento del riesgo corresponde esto?

1. Evitación del riesgo
2. Transferencia del riesgo (compartición)
3. Aceptación del riesgo (retención)
4. Reducción del riesgo (mitigación)

Para hacer frente al riesgo de infección por malware, una organización introdujo un software antivirus, aplicó a fondo las actualizaciones del sistema operativo y capacitó a sus empleados, reduciendo la probabilidad de infección. ¿A qué categoría de tratamiento del riesgo corresponde esto?

1. Aceptación del riesgo (retención)
2. Reducción del riesgo (mitigación)
3. Evitación del riesgo
4. Transferencia del riesgo (compartición)

Respecto a una interrupción temporal del tablón de anuncios interno, se confirmó que el impacto en las operaciones era pequeño y que la pérdida esperada estaba dentro de los criterios de aceptación del riesgo, por lo que, con la aprobación del responsable, se decidió no tomar ninguna contramedida adicional. ¿A qué categoría de tratamiento del riesgo corresponde esto?

1. Transferencia del riesgo (compartición)
2. Evitación del riesgo
3. Reducción del riesgo (mitigación)
4. Aceptación del riesgo (retención)

¿Qué combinación de una categoría de tratamiento del riesgo y un ejemplo concreto no es adecuada?

1. Aceptación del riesgo: se produciría una pérdida tan grave que amenazaría la continuidad del negocio, pero no se hace nada porque una contramedida resulta demasiado engorrosa.
2. Evitación del riesgo: suspender un servicio en línea que se juzgó demasiado peligroso y retirarse de ese negocio.
3. Transferencia del riesgo: contratar un seguro ante una posible filtración de información, de modo que la compañía de seguros asuma parte de la pérdida.
4. Reducción del riesgo: cifrar los datos importantes y hacer periódicamente respaldos guardados en otro lugar.

¿Cuál de las siguientes es la forma más adecuada de manejar el riesgo residual?

1. Mientras quede aunque sea un poco de riesgo residual, el tratamiento del riesgo cuenta como un fracaso, y debe repetirse hasta que no quede nada en absoluto.
2. El riesgo residual debe manejarse caso por caso, a criterio del empleado de primera línea implicado, sin dejar deliberadamente ningún registro del juicio.
3. Como aplicar el tratamiento del riesgo siempre deja el riesgo residual en cero, no hace falta volver a revisar y aprobar el contenido una vez terminado el tratamiento.
4. Es el riesgo que queda después de aplicar el tratamiento del riesgo, y alguien en un puesto de responsabilidad, como la dirección, juzga y aprueba si se acepta.

¿Cuál de las siguientes describe de la forma más adecuada la relación entre JIS Q 27001 y JIS Q 27002?

1. Ambas son normas que solo definen terminología, sin incluir requisitos en su alcance.
2. 27001 es un código de prácticas para implementar controles, y 27002 es la norma que define los requisitos de un ISMS.
3. Ambas son normas que definen los requisitos de un ISMS, y su contenido es idéntico.
4. 27001 es la norma de certificación que define los requisitos de un ISMS, y 27002 es un código de prácticas para implementar controles.

Una empresa anunció: “Hemos obtenido la certificación JIS Q 27002”. ¿Cuál de los siguientes es el problema más adecuado de esta afirmación?

1. 27002 es un código de prácticas para implementar controles, no una norma de certificación; la certificación del ISMS se otorga con respecto a JIS Q 27001.
2. 27002 es una norma que presenta la terminología y una visión general, y no abarca controles concretos.
3. 27002 es una norma que solo abarca la protección de la información personal, por lo que no puede usarse para certificar a una empresa común que se ocupa de la seguridad de la información en su conjunto.
4. 27002 es una norma certificable, pero solo pueden obtenerla los organismos gubernamentales y las agencias administrativas independientes; las empresas privadas quedan fuera de su alcance.

¿Cuál de los siguientes es el contenido más adecuado para registrar en una declaración de aplicabilidad del ISMS?

1. Los controles que se seleccionaron, las razones de su selección, su estado de implementación y las razones para excluir los controles no adoptados
2. Una lista de las fallas ocurridas durante el último año y un registro que resume el tiempo que tomó recuperarse de cada una
3. Borradores de cartas de disculpa para enviar a los clientes cuando ocurra un incidente, y una lista de los contactos a quienes deben enviarse
4. Los resultados de la evaluación de desempeño de cada empleado y una tabla con los objetivos de trabajo que se fijaron para el año siguiente

En el ciclo PDCA del ISMS, ¿en qué etapa se ubican la auditoría interna y la revisión por la dirección?

1. Do
2. Check
3. Plan
4. Act

¿Cuál de los siguientes es el punto más adecuado que debe tenerse en cuenta al realizar una auditoría interna del ISMS?

1. Tratar la auditoría interna como algo que solo realiza un organismo de certificación externo, y dar por hecho que la propia organización nunca la lleva a cabo.
2. Cuando se detecte una no conformidad durante una auditoría interna, limitarse a dar una advertencia verbal sin dejar ningún registro.
3. Elegir auditores que sean independientes del trabajo auditado, para que puedan mantenerse la objetividad y la imparcialidad.
4. Para que la auditoría sea objetiva, el auditor audita y evalúa el trabajo del que él mismo está a cargo.

Al otorgar la Marca de Privacidad, ¿con qué norma se examina la conformidad?

1. ISO/IEC 27017
2. JIS Q 27001
3. JIS Q 15001
4. JIS Q 27002

¿Qué combinación describe correctamente ISO/IEC 27017 e ISO/IEC 27701?

1. 27017 es un código de prácticas de controles de seguridad de la información para servicios en la nube, y 27701 es una norma para un sistema de gestión de la información de privacidad.
2. 27017 abarca la seguridad y salud en el trabajo, y 27701 abarca los requisitos de la gestión de la continuidad del negocio.
3. 27017 es una norma que abarca la seguridad de los sistemas de control usados en fábricas y entornos similares, y 27701 define los algoritmos criptográficos estándar y las longitudes de clave.
4. 27017 es una norma para un sistema de gestión de la calidad y 27701 es una norma para un sistema de gestión ambiental, y ninguna de las dos está relacionada con la seguridad de la información.

¿Cuál de las siguientes describe de la forma más adecuada el sistema de evaluación de la conformidad del ISMS?

1. Un sistema en el que una organización autoinspecciona su propio ISMS y se considera certificada con solo declarar por su cuenta que cumple los requisitos.
2. Un sistema en el que un organismo de certificación de tercera parte examina si el ISMS de una organización cumple los requisitos de JIS Q 27001 y otorga la certificación.
3. Un sistema en el que un organismo público inspecciona de forma conjunta las vulnerabilidades de los sistemas de información que usa una organización y, si no encuentra problemas, garantiza públicamente su seguridad.
4. Un sistema en el que, una vez obtenida la certificación, esta sigue siendo válida indefinidamente sin ningún examen posterior.

Cuando una política de seguridad de la información se organiza en tres niveles, ¿cuál de los siguientes los ordena correctamente de arriba abajo?

1. Normas de medidas → política básica → procedimientos de implementación
2. Procedimientos de implementación → normas de medidas → política básica
3. Política básica → procedimientos de implementación → normas de medidas
4. Política básica → normas de medidas → procedimientos de implementación

¿Cuál de los siguientes es el contenido más adecuado para la política básica de una política de seguridad de la información?

1. Los números de activo de los PC que usa cada departamento, junto con su ubicación y sus usuarios
2. El nombre del producto del software antivirus y los pasos concretos en pantalla para actualizar sus archivos de definiciones
3. Las reglas del cortafuegos configuradas en cada servidor y una lista de los números de puerto permitidos
4. El propósito de las iniciativas de seguridad de la información de la organización, su ámbito de aplicación y la responsabilidad de la dirección y la obligación de cumplimiento

¿Dónde se ubica, entre los tres niveles de una política de seguridad de la información, una regla como “La contraseña usada para el trabajo debe tener al menos 12 caracteres e incluir letras mayúsculas, letras minúsculas, números y símbolos”?

1. Procedimientos de implementación
2. Normas de medidas
3. Política básica
4. Declaración de aplicabilidad

¿Cuál de las siguientes es la característica más adecuada del nivel de los procedimientos de implementación de una política de seguridad de la información?

1. Como es un documento que expresa la postura de la organización, se redacta de forma concisa dando por hecho que se publicará externamente, y se omiten los valores de configuración concretos.
2. Una vez establecido, es un documento cuyo contenido nunca debe cambiarse, aunque se reemplace el sistema.
3. Es un documento que solo consulta la dirección, nunca se distribuye al personal de primera línea, y su contenido se mantiene en secreto incluso durante la operación.
4. Muestra los pasos de operación y los valores de configuración concretos, quién es responsable y cómo se conservan los registros, y se revisa con frecuencia a medida que cambian los sistemas.

¿Cuál de los siguientes es el rol más adecuado de un CISO?

1. Servir de punto de contacto para las consultas de los clientes, orientándolos sobre cómo usar o configurar los productos de la empresa.
2. Encargarse de tareas como instalar los PC de cada departamento o cablear la red.
3. Supervisar en conjunto la estrategia y las medidas de seguridad de la información de la organización, e informar a la dirección.
4. Examinar el ISMS de la organización desde una posición de tercero y decidir objetivamente si debe otorgarse la certificación.

Debido a un requisito de un socio comercial, se hizo necesario usar un servicio para compartir archivos cuyo uso prohíben las normas internas. ¿Qué respuesta es la más adecuada para el empleado encargado?

1. Solicitar una excepción indicando el motivo de uso, los datos implicados, el período y un control alternativo, y usar el servicio solo después de obtener la aprobación del responsable y de que quede registrada.
2. No decirle nada al socio comercial y acabar intercambiando los datos de trabajo a través de una cuenta personal en la nube que está fuera del control de la empresa
3. Interpretar que la situación no está contemplada en las normas internas y empezar a usar el servicio de inmediato por criterio personal, dando prioridad a sacar adelante el trabajo
4. Considerar que la instrucción del socio comercial prevalece sobre las normas internas, empezar a usarlo sin aprobación ni registro del responsable, y dar después solo un breve informe verbal

¿Cuál de las siguientes describe de la forma más adecuada las Directrices de Gestión de la Ciberseguridad?

1. Un documento técnico dirigido a los ingenieros de sistemas de información, que detalla los valores de configuración y los procedimientos de trabajo de los cortafuegos y los servidores.
2. Un conjunto de orientaciones para la dirección, que presenta tres principios que los altos directivos deben tener presentes y diez puntos importantes que los altos directivos deben ordenar llevar a cabo a su CISO y a otros.
3. Una ley que define las obligaciones que deben cumplir las empresas que manejan información personal y las sanciones legales por incumplirlas.
4. Una norma internacional que define los requisitos que debe satisfacer una organización que busca la certificación del ISMS, usada como criterio para el examen de tercera parte.

¿Cuál de las siguientes es la práctica más adecuada para dar a conocer y revisar las normas internas relacionadas con la seguridad de la información?

1. Darlas a conocer a las personas pertinentes mediante la formación de incorporación y sesiones periódicas adaptadas al público, y revisarlas cada vez que se modifica una ley, se introduce una nueva tecnología, cambia la organización, ocurre un incidente o una auditoría formula una observación.
2. Cuando se produce una infracción, tratarla de manera uniforme como responsabilidad personal del empleado aunque nunca se le haya dado a conocer la norma, y omitir la revisión de la norma.
3. Una vez establecidas las normas, mantenerlas sin cambios aunque se modifique una ley o cambie la organización.
4. Basta con colocar las normas en un servidor interno donde cualquiera pueda consultarlas; no hay especial necesidad de volver a darlas a conocer mediante la formación de incorporación o sesiones periódicas.

¿Cuál de las siguientes describe de la forma más adecuada la relación entre un BCP y la BCM?

1. Un BCP es un documento elaborado para que lo lea la dirección, y la BCM es un documento elaborado para que lo lea el personal de primera línea: una distinción basada únicamente en el lector previsto.
2. BCP y BCM significan lo mismo; los dos términos son sinónimos.
3. Un BCP es el propio plan, que establece cómo se continuarán y recuperarán las operaciones críticas, y la BCM es la actividad de gestión global de formular ese plan y seguir capacitando, haciendo simulacros, revisando y modificándolo.
4. BCP se refiere al conjunto completo de las operaciones diarias de seguridad de la información, y BCM se refiere solo a las medidas técnicas dentro de él, como la configuración y la supervisión de los equipos.

¿Qué combinación describe correctamente el RTO y el RPO?

1. El RTO es el objetivo de hasta qué momento se restauran los datos, y el RPO es el objetivo de cuánto tiempo puede transcurrir desde la falla hasta la recuperación.
2. Tanto el RTO como el RPO representan el nivel objetivo al que deben restablecerse las operaciones tras la recuperación, y no hay diferencia entre ellos.
3. El RTO representa el número de generaciones de respaldo conservadas, y el RPO representa el tipo de soporte de almacenamiento usado para los respaldos.
4. El RTO es el objetivo de cuánto tiempo puede transcurrir desde la falla hasta la recuperación, y el RPO es el objetivo de hasta qué momento se restauran los datos.

Un sistema ha fijado su RPO en 4 horas. ¿Cuál de las siguientes prácticas operativas es la más adecuada para cumplir este objetivo?

1. Establecer un sistema y unos procedimientos capaces de restablecer el sistema dentro de las 4 horas siguientes a una falla, y realizar además simulacros periódicos de recuperación.
2. Hacer respaldos al menos cada 4 horas, de modo que en caso de falla no se pierdan más que los datos de las últimas 4 horas.
3. Fijar como objetivo restablecer la capacidad de procesamiento del sistema, una vez recuperado, a al menos una cuarta parte de su nivel normal, y organizar el sistema en torno a ello.
4. Preparar cuatro tipos distintos de soportes de respaldo y pasar a guardar cada uno de ellos en un lugar diferente.

Un plan de continuidad del negocio establece: “Tras producirse un desastre, reanudar primero solo las operaciones de recepción de pedidos, al 50% de la capacidad de procesamiento normal”. ¿Qué métrica representa este objetivo?

1. BIA (análisis de impacto en el negocio)
2. RPO (objetivo de punto de recuperación)
3. RLO (objetivo de nivel de recuperación)
4. RTO (objetivo de tiempo de recuperación)

¿Cuál de los siguientes es el propósito más adecuado de un análisis de impacto en el negocio (BIA)?

1. Medir la carga de trabajo y las horas de trabajo de cada empleado para optimizar la dotación de personal por departamento.
2. Inspeccionar de forma exhaustiva las vulnerabilidades presentes en un sistema de información para identificar qué debe corregirse y con qué prioridad, y elaborar de antemano un plan de corrección.
3. Analizar la magnitud del impacto y su extensión en el tiempo si las operaciones se detuvieran, para identificar qué operaciones críticas deben recuperarse primero y de qué recursos dependen.
4. Comparar los precios unitarios de los soportes de respaldo y elegir el más barato para recortar costos.

Se hace un respaldo completo el domingo y un respaldo incremental cada día de lunes a sábado. Si se produce una falla el jueves por la noche, ¿qué combinación de respaldos se necesita para restaurar el sistema?

1. Solo dos: el respaldo completo hecho el domingo y el respaldo incremental hecho el jueves
2. Todos los respaldos incrementales de lunes a jueves, excluyendo el respaldo completo del domingo
3. El respaldo completo del domingo y todos los respaldos incrementales del lunes, martes, miércoles y jueves
4. Solo el respaldo incremental hecho el jueves, el inmediatamente anterior a la falla, sin ninguno de los anteriores

Se hace un respaldo completo el domingo y un respaldo diferencial cada día de lunes a sábado. Si se produce una falla el jueves por la noche, ¿qué combinación de respaldos se necesita para restaurar el sistema?

1. Solo el respaldo diferencial del jueves
2. Todos los respaldos diferenciales de lunes a jueves
3. El respaldo completo del domingo y el respaldo diferencial del jueves
4. El respaldo completo del domingo y todos los respaldos diferenciales del lunes, martes, miércoles y jueves

¿Cuál de las siguientes describe de la forma más adecuada la regla de respaldo 3-2-1 y cómo debe aplicarse al almacenamiento como contramedida contra el ransomware?

1. Es una pauta para un procedimiento en el que tres empleados hacen una doble comprobación y un responsable lo aprueba antes de hacer un respaldo.
2. Es una pauta sobre la frecuencia con la que hacer respaldos y cuánto tiempo conservarlos: hacer respaldos tres veces al día, conservar dos semanas de datos y desechar todo lo que tenga más de un año.
3. Conservar tres copias de los datos, incluido el original, en dos tipos distintos de soporte, con una de ellas guardada en otro lugar; además, desconectar el respaldo de la red y guardarlo fuera de línea una vez hecho.
4. Es un esquema de almacenamiento que cifra doblemente los datos con tres algoritmos criptográficos distintos y gestiona las claves de forma centralizada en un solo lugar.