Respuesta a incidentes y organización

En un PC de trabajo, el software antivirus muestra una advertencia de que “ha detectado malware”, y además el comportamiento del PC se ha vuelto inestable. ¿Qué debe hacer primero el usuario?

1. Borrar todo el historial de detecciones y los registros de advertencias del software antivirus para que deje de aparecer la advertencia
2. Desconectar el PC de la red, por ejemplo desenchufando el cable LAN o apagando el wifi
3. Mantener pulsado el botón de encendido para apagar el PC de inmediato
4. Buscar por su cuenta en internet una herramienta de eliminación, descargarla, ejecutarla e intentar eliminar el malware por sí mismo

En un equipo sospechoso de estar infectado por malware, la regla es desconectarlo de la red sin apagarlo. ¿Cuál de las siguientes es la razón más adecuada para ello?

1. Para conservar la información volátil, como los datos en memoria y el estado de las conexiones de red, que se perdería al apagar el equipo, de modo que pueda usarse para investigar la causa
2. Porque apagar el equipo haría que se cifraran todos los archivos del disco duro
3. Porque apagar el equipo restablecería los archivos de definiciones del software antivirus
4. Porque apagar el equipo serviría de señal para que el malware se propagara automáticamente por la red interna

Según JIS Q 27000, ¿cuál de las siguientes describe de la forma más adecuada la relación entre un evento de seguridad de la información y un incidente de seguridad de la información?

1. Un incidente se refiere a un hecho menor y cotidiano, y solo el subconjunto con una pérdida lo bastante grande como para requerir un informe a la dirección se llama aparte evento.
2. Un evento se refiere solo a algo causado por un ataque desde fuera de la organización, y un incidente se refiere solo a algo causado por una persona interna que infringe una norma.
3. Evento e incidente son sinónimos, y solo difieren en qué término se usa al redactar un informe.
4. Un evento indica que se ha producido algo relacionado con la seguridad, y entre ellos, los que se juzga que tienen una alta probabilidad de comprometer las operaciones del negocio y amenazar la seguridad de la información son incidentes.

¿Cuál de las siguientes ordena correctamente las etapas de la respuesta a incidentes en su secuencia habitual?

1. Análisis e investigación → detección y recepción → reporte → respuesta inicial (triaje) → prevención de la recurrencia → contención y recuperación
2. Detección y recepción → análisis e investigación → prevención de la recurrencia → respuesta inicial (triaje) → contención y recuperación → reporte
3. Detección y recepción → respuesta inicial (triaje) → análisis e investigación → contención y recuperación → reporte → prevención de la recurrencia
4. Respuesta inicial (triaje) → detección y recepción → contención y recuperación → prevención de la recurrencia → análisis e investigación → reporte

Un empleado abrió un archivo adjunto de un correo electrónico que se hacía pasar por un socio comercial. Al abrirlo no pareció ocurrir nada, pero el empleado se quedó intranquilo. ¿Qué debe hacer primero este empleado?

1. Para averiguar si el correo era realmente sospechoso, enviar un correo de consulta a la dirección del remitente y esperar una respuesta
2. Por si acaso, volver a abrir el archivo adjunto y comprobar él mismo con todo detalle si hay algo inusual
3. Desconectar el equipo de la red e informar de inmediato a su superior y al equipo de seguridad de la información (CSIRT)
4. Como no pasó nada en particular después de abrir el archivo adjunto, esperar un tiempo a ver qué pasa, e informar al punto de contacto solo cuando aparezca algo anormal

¿Cuál de las siguientes describe de la forma más adecuada el triaje en la respuesta a incidentes?

1. Estimar rápidamente el alcance del impacto y la urgencia de un caso reportado, y decidir la prioridad y quién se encargará de él
2. Dedicar tiempo a identificar la causa raíz de un incidente, y decidir y aplicar una medida permanente para prevenir su recurrencia
3. Hacer que el encargado de cada departamento confirme, uno por uno, que las operaciones han vuelto a la normalidad tras la recuperación
4. Confirmar, usando valores hash, que las evidencias recopiladas no han sido alteradas en el camino, y registrar esa confirmación

Un empleado se da cuenta de que un correo electrónico con una lista de clientes adjunta se envió al destinatario equivocado, otra empresa externa. ¿Qué debe hacerse primero?

1. Llamar él mismo al destinatario para explicarle la situación y, si promete borrarlo, no informar del asunto internamente
2. Registrar los hechos (el destinatario, la hora de envío y el contenido del adjunto) e informar de inmediato a su superior y al responsable de seguridad de la información
3. Borrar el correo de su propia carpeta de Enviados para que no quede ningún registro de su envío en ningún lugar de la empresa
4. Para no causar molestias a los clientes, llamar a todos los clientes afectados para disculparse antes de decírselo a su superior

¿Cuál de las siguientes describe de la forma más adecuada la diferencia entre la gestión de incidentes y la gestión de problemas?

1. La gestión de incidentes busca identificar la causa raíz y prevenir la recurrencia, mientras que la gestión de problemas busca aplicar una solución alternativa temporal.
2. La gestión de incidentes busca restablecer el servicio lo antes posible, mientras que la gestión de problemas busca identificar la causa raíz y prevenir la recurrencia.
3. La gestión de incidentes la realiza la dirección y la gestión de problemas el departamento de primera línea: la diferencia es quién está a cargo.
4. La gestión de incidentes trata solo casos de seguridad de la información, y la gestión de problemas trata solo fallas de los sistemas.

Un empleado se da cuenta de que, estando fuera de la oficina, ha perdido una computadora portátil proporcionada por la empresa que contiene información de clientes. ¿Qué debe hacer primero este empleado?

1. Como existe la posibilidad de que aparezca, buscarla por su cuenta ese día e informar solo a la mañana siguiente si no la ha encontrado
2. Anotar la hora y las circunstancias en que notó la pérdida, y contactar de inmediato con su superior y con el equipo de seguridad de la información
3. Presentar primero una denuncia en la comisaría de policía más cercana, e informar internamente solo si nunca aparece
4. Contactar con el cliente por decisión propia e informarle primero de que existe la posibilidad de que su información se haya filtrado

Un empleado que revisaba los registros de un servidor encontró un registro que muestra repetidos intentos de inicio de sesión en una cuenta de administrador a altas horas de la noche, uno de ellos exitoso. ¿Qué debe hacerse primero?

1. Simplemente reinicializar el servidor por ahora, restaurarlo desde el respaldo y continuar el trabajo con normalidad
2. Preservar el registro correspondiente (guardarlo para que no pueda sobrescribirse) e informar al CSIRT y a su superior
3. Como las entradas del registro son confusas, borrar las líneas correspondientes para ordenarlo y hacerlo más fácil de leer
4. Conectarse por su cuenta a la dirección IP que parece ser el origen del ataque, investigar el sistema de esa parte y prepararse para contraatacar

¿Cuál de las siguientes es la forma más adecuada de llevar a cabo la preservación de evidencias en el análisis forense digital?

1. Borrar primero los archivos innecesarios que estorbarían el análisis, y acotar el objetivo antes de hacer una copia
2. Analizar directamente el disco original objeto de la investigación, y extraer y guardar solo los archivos necesarios
3. Como la investigación lleva tiempo, seguir trabajando con una rotación de empleados sin dejar ningún registro
4. Hacer una copia del disco objeto de la investigación, demostrar que es idéntica mediante un valor hash y luego analizar la copia

¿Cuál de los siguientes es el rol más adecuado para un CSIRT creado dentro de una empresa?

1. Recibir los reportes de incidentes a través de un único punto de contacto, decidir el triaje y la política de respuesta, y coordinar la comunicación tanto dentro como fuera de la empresa
2. Auditar los sistemas de información de la empresa y, desde una posición independiente, presentar a la dirección un informe de auditoría con recomendaciones de mejora
3. Encargarse del desarrollo de los sistemas de información y ocuparse de todo, desde el diseño y la implementación de las funciones de seguridad hasta el mantenimiento tras la implantación
4. Supervisar continuamente la asistencia laboral de los empleados y sancionar a quien infrinja el reglamento de trabajo

¿Cuál de las siguientes describe de la forma más adecuada la diferencia de roles entre un CSIRT y un SOC?

1. Un SOC se encarga solo del trabajo de recuperación después de que ocurre un incidente, y un CSIRT se encarga solo de la supervisión continua de registros y alertas en tiempos normales, quedando fuera de la coordinación de la respuesta.
2. Un SOC es responsable de informar a la dirección y de las relaciones públicas, y un CSIRT es responsable solo de cambiar la configuración de los equipos.
3. Un SOC detecta y analiza señales de ataque mediante la supervisión continua de registros y alertas, y un CSIRT decide la política de respuesta ante un caso detectado y la coordina dentro y fuera de la empresa.
4. Un SOC responde a las vulnerabilidades de los productos que ofrece la propia empresa, y un CSIRT se encarga solo de las consultas de fuera de la empresa.

¿Cuál de las siguientes describe de la forma más adecuada un PSIRT?

1. Un equipo que supervisa continuamente, las 24 horas del día, la red interna y los servidores de la propia empresa, detectando en una fase temprana las anomalías de comunicación
2. Una organización en la que las empresas miembro de un sector reúnen información sobre amenazas, la analizan y comparten ampliamente los resultados entre las empresas miembro
3. Un equipo que recibe información sobre vulnerabilidades de los productos o servicios que ofrece la propia empresa, y se encarga de publicar las correcciones y de avisar a los clientes
4. Una organización que formula una estrategia de ciberseguridad para todo el gobierno y define y publica normas unificadas que cada ministerio debe seguir

¿Qué organización nacional recibe reportes de incidentes, coordina entre las partes implicadas, mantiene enlace con los CSIRT del extranjero y emite alertas?

1. ISMS-AC
2. NISC
3. la Comisión de Protección de la Información Personal
4. JPCERT/CC

¿Cuál de las siguientes describe de la forma más adecuada la actividad de J-CRAT?

1. Recopilar información sobre contramedidas frente a vulnerabilidades y publicarla para los usuarios en un sitio portal
2. Atender las consultas de organizaciones sospechosas de haber sufrido un ataque dirigido, y ayudarlas a impedir que el daño se extienda y a responder pronto
3. Acreditar a los organismos de certificación de los sistemas de gestión de la seguridad de la información
4. Anonimizar y compartir la información sobre ataques dirigidos que reúnen las organizaciones participantes, ayudando a otras organizaciones a advertir pronto las amenazas

Usted ha encontrado una vulnerabilidad no divulgada en un producto de software que usa su empresa. ¿Cuál de las siguientes es la forma más adecuada de manejarla según la Asociación de Alerta Temprana de Seguridad de la Información?

1. Para comprobar si realmente puede explotarse, probarla en el servidor de otra empresa que ejecuta el mismo producto disponible públicamente.
2. Reportar la información de la vulnerabilidad a la IPA y esperar a que JPCERT/CC coordine con el desarrollador y organice la divulgación.
3. Si no afecta a su propia empresa, mantenerla completamente dentro de la empresa, tomar contramedidas internamente y no decírselo a nadie.
4. Para advertir de inmediato del peligro a los usuarios, publicar enseguida en las redes sociales los detalles de la vulnerabilidad y cómo reproducirla.

¿Cuál de las siguientes describe de la forma más adecuada el SIEM?

1. Un mecanismo que agrega de forma centralizada los registros de diversos equipos y software y detecta, mediante análisis de correlación, señales de un ataque que no se notarían en ningún registro por sí solo
2. Un mecanismo que cifra el contenido de las comunicaciones para que, aunque se intercepten en el camino, no puedan leerse
3. Un mecanismo que replica los datos importantes en un sitio remoto para que las operaciones puedan reanudarse rápidamente y continuar incluso después de un desastre
4. Un mecanismo que obliga a los usuarios de los equipos a cambiar su contraseña periódicamente y prohíbe reutilizarla en otros servicios

¿Cuál de las siguientes describe de la forma más adecuada un ejercicio de mesa realizado para prepararse ante un incidente de seguridad de la información?

1. Un simulacro en el que se desconecta realmente el sistema, se realiza paso a paso el trabajo de recuperación en el entorno de producción, y se mide y registra el tiempo empleado
2. Un simulacro en el que se envían correos de entrenamiento a todos los usuarios a la vez, contabilizando cuántas personas los abrieron y cuántas los reportaron al punto de contacto
3. Un simulacro en el que se presenta en papel un escenario de daño supuesto y las personas implicadas se reúnen para recorrer el flujo de decisiones y comunicaciones, descubriendo los huecos del procedimiento
4. Una evaluación en la que expertos externos intentan realmente un ataque para comprobar si pueden entrar en el sistema, e informan de los resultados

Un empleado del departamento de ventas nota un caso en el que un archivo con datos personales de clientes puede haberse filtrado al exterior. ¿Qué debe hacer primero este empleado?

1. Seguir la vía de reporte definida en las normas internas e informar de inmediato al responsable de protección de la información personal o al responsable de seguridad de la información
2. Investigarlo solo dentro del departamento, e informar internamente solo cuando sea seguro que se produjo una filtración
3. Como aún no se ha confirmado si se produjo una filtración, contactar individualmente con los clientes que podrían estar afectados para comprobarlo
4. Llamar directamente a la Comisión de Protección de la Información Personal en su propio nombre para explicar la situación, e informar a su superior interno solo después de recibir las instrucciones de la Comisión

En cuanto al reporte de una filtración de datos personales a la Comisión de Protección de la Información Personal, ¿cuál de las siguientes es la más adecuada?

1. Presentar un informe preliminar con prontitud después de tener conocimiento de la situación, y presentar el informe definitivo, en principio, dentro de los 30 días (dentro de los 60 días en el caso de una situación que se sospeche que se llevó a cabo con fines ilícitos)
2. No hace falta presentar ni un informe preliminar ni uno definitivo hasta que termine la investigación y se confirmen la causa y el alcance; después puede presentarse un único informe combinado
3. Los informes solo se aceptan por escrito y deben presentarse a la Comisión de Protección de la Información Personal dentro de los tres meses siguientes a tener conocimiento de la situación
4. No hay distinción entre informe preliminar e informe definitivo; se presenta un único informe que lo abarca todo dentro del año siguiente a tener conocimiento de la situación

Entre los casos de filtración de datos personales, ¿cuál de las siguientes no es una situación en la que sea obligatorio reportar a la Comisión de Protección de la Información Personal?

1. Una situación en la que se filtraron datos personales que contienen números de tarjetas de crédito, creando un riesgo de daño patrimonial por uso fraudulento
2. Una situación en la que datos personales en poder de la organización pueden haber sido sacados al exterior debido a un acceso no autorizado desde fuera
3. Una situación en la que datos personales que contienen información personal que requiere especial consideración, como el historial médico de un empleado, se filtraron al exterior
4. Una situación en la que un documento de desarrollo de productos de uso exclusivamente interno se envió por error al exterior, pero no contenía datos personales

En cuanto a la notificación a las personas afectadas cuando se produce una filtración de datos personales, ¿cuál de las siguientes es la más adecuada?

1. Notificar a las personas es solo una meta que se procura cumplir (sin obligación), así que si se decide de antemano en las normas internas no notificarlas, no hay que hacer nada en absoluto, ni siquiera un anuncio público o una ventanilla de consultas
2. Notificarlas con prontitud según las circunstancias de la situación, pero cuando la notificación sea difícil, por ejemplo porque se desconoce la información de contacto, pueden tomarse en su lugar medidas alternativas como un anuncio público o la creación de una ventanilla de consultas
3. No puede notificarse a las personas hasta después de haber presentado el informe definitivo a la Comisión de Protección de la Información Personal y de que se haya confirmado su contenido
4. Siempre que el reporte a la Comisión de Protección de la Información Personal se presente dentro del plazo, la notificación a las personas deja de ser necesaria en todos los casos

En cuanto a la independencia de un auditor de sistemas, ¿cuál de las siguientes es la más adecuada?

1. El auditor debe realizar él mismo el trabajo de mejora de una observación que formuló, y confirmar él mismo el resultado
2. El auditor no debe auditar un sistema de información en cuyo diseño, desarrollo u operación haya participado él mismo
3. El auditor puede auditar un departamento auditado al mismo tiempo que se encarga de su trabajo diario como uno de sus miembros
4. El auditor debe ser independiente de la dirección y no debe presentar el informe de auditoría a la dirección

En cuanto a cómo debe desarrollarse una auditoría de sistemas, ¿cuál de las siguientes es la más adecuada?

1. Como lo que más importa es la impresión propia del auditor, omitir el trabajo de reunir evidencias objetivas, como una pista de auditoría
2. Realizar primero el estudio principal para reunir los hechos, y solo después elaborar el plan de auditoría y los procedimientos de auditoría en función de lo encontrado
3. La auditoría termina una vez que el informe de auditoría se presenta a la dirección, así que se omite el seguimiento que confirma más tarde si se mejoraron las observaciones formuladas
4. Elaborar un plan de auditoría, conocer la visión general mediante un estudio preliminar, realizar el estudio principal, pasar por la evaluación y las conclusiones, presentar un informe y luego confirmar el estado de las mejoras mediante un seguimiento