En cuanto al momento y el contenido de la formación en seguridad de la información para los empleados nuevos, ¿cuál de las siguientes opciones es la más adecuada?
Antes de que empiecen a trabajar, explicarles la política de seguridad de la información de la empresa y los reglamentos que deben cumplir en su trabajo
Hacer que primero trabajen un año en el departamento asignado, y darles la formación solo cuando ellos mismos sientan que la necesitan
Dirigirla solo a quienes se asignan al departamento de sistemas de información, explicando en detalle los procedimientos de configuración de los equipos
Como existe aparte una formación anual para toda la empresa, omitir la formación específica para los empleados nuevos e incluirla en la formación anual
RespuestaA. Antes de que empiecen a trabajar, explicarles la política de seguridad de la información de la empresa y los reglamentos que deben cumplir en su trabajo
Si se empieza a trabajar sin conocer los reglamentos (規程), las infracciones son casi inevitables, por lo que el principio es comunicar la política (方針) y los reglamentos que deben cumplirse antes de comenzar el trabajo. Esperar un año o hasta la formación anual no es adecuado, porque en ese intervalo se crea un período sin cobertura. Explicar los procedimientos de configuración es una formación adicional para un puesto concreto y no sustituye la formación básica que necesitan todas las personas que manejan información.
Pregunta 2 | El objetivo del simulacro
¿Cuál de los siguientes es el objetivo más adecuado para realizar un simulacro de correos de ataque dirigido?
Verificar si las reglas de comunicación del cortafuegos están configuradas correctamente
Analizar las muestras de malware recogidas en el simulacro para crear nuevos archivos de patrones
Identificar y sancionar a los empleados que abrieron el correo del simulacro, para evitar que vuelva a ocurrir
Consolidar el hábito de no abrir un correo sospechoso y avisar de inmediato al punto de contacto
RespuestaD. Consolidar el hábito de no abrir un correo sospechoso y avisar de inmediato al punto de contacto
El objetivo del simulacro (訓練) es consolidar el hábito de no abrir un correo sospechoso y avisar enseguida, y confirmar que el punto de contacto (窓口) para los avisos funciona realmente. Usarlo para sancionar crea un ambiente en el que cuesta avisar y resulta contraproducente. El correo del simulacro es una simulación inofensiva, no un medio para recoger muestras de malware. Verificar las reglas del cortafuegos es una tarea de comprobación de la configuración y tiene un objetivo distinto al de un simulacro que mide el comportamiento de las personas.
Pregunta 3 | Acuerdos de confidencialidad (NDA)
En relación con el acuerdo de confidencialidad (NDA) que se firma con un empleado, ¿cuál de las siguientes afirmaciones es adecuada?
Una vez firmado el acuerdo, ya no es necesario comprobar cómo gestiona el contratista la información
Se firma solo con los empleados fijos; el personal cedido temporal y los trabajadores a tiempo parcial pueden quedar excluidos
Lo habitual es establecer que el deber de confidencialidad continúa durante un período determinado incluso después de dejar la empresa
Solo es válido mientras la persona trabaja en la empresa, y el deber de confidencialidad desaparece en el momento en que se va
RespuestaC. Lo habitual es establecer que el deber de confidencialidad continúa durante un período determinado incluso después de dejar la empresa
Como los secretos siguen teniendo valor aunque la persona se vaya, lo normal es establecer que la obligación continúa durante un período determinado tras la salida, y volver a confirmarlo en el momento de dejar la empresa. Hay que pedir un compromiso escrito (誓約) a toda persona que tenga acceso a la información, sea cual sea su tipo de contrato, por lo que excluir al personal cedido o a tiempo parcial no es adecuado. Un contrato es solo una promesa y no justifica dejar de comprobar cómo se cumple en la práctica.
Pregunta 4 | Cuando un empleado deja la empresa
En cuanto a los procedimientos de seguridad de la información que acompañan la salida de un empleado, ¿cuál de las siguientes opciones es la más adecuada?
Desactivar la cuenta del sistema de trabajo a más tardar el último día de trabajo del empleado y recoger el equipo prestado
No recoger los objetos prestados, como la tarjeta de identificación o las llaves, hasta que la persona se ofrezca a devolverlos
Como el deber de confidencialidad desaparece con la salida, omitir la reconfirmación en el momento de irse
Dejar la cuenta utilizable después de la salida, para que todavía se puedan responder consultas de trabajo
RespuestaA. Desactivar la cuenta del sistema de trabajo a más tardar el último día de trabajo del empleado y recoger el equipo prestado
Si la cuenta de un empleado que se va queda utilizable, el uso indebido por parte de un tercero quedaría registrado como si fuera un uso legítimo y sería difícil de detectar, por lo que el principio es desactivarla (無効化) y recoger los objetos prestados (貸与品) a más tardar el último día de trabajo. Si se necesita a alguien que atienda las consultas posteriores, basta con designar a un sucesor para ello. Dejar la recogida en manos de la propia persona y negar que el deber de confidencialidad continúa tras la salida son ambos errores.
Pregunta 5 | Categorías de medidas
Las medidas de seguridad de la información pueden organizarse en medidas humanas, técnicas y físicas. ¿Cuál de las siguientes es una medida humana?
Cifrar los archivos importantes antes de guardarlos
Controlar la entrada y salida de la sala de servidores con tarjetas IC
Usar un cortafuegos para bloquear la comunicación innecesaria procedente del exterior de la empresa
Realizar un simulacro de correos de ataque dirigido para todos los empleados
RespuestaD. Realizar un simulacro de correos de ataque dirigido para todos los empleados
Una medida humana (人的対策) actúa sobre el comportamiento de las personas mediante la educación, la formación, los reglamentos y los acuerdos, y realizar un simulacro entra en esta categoría. El control de entrada y salida con tarjetas IC es una medida física (物理的対策) que protege un lugar y sus instalaciones, y bloquear el tráfico con un cortafuegos o cifrar archivos son medidas técnicas (技術的対策) que se basan en las funciones de los equipos o del software.
Pregunta 6 | Un contratista externo
Cuando se subcontrata un trabajo a un tercero y el personal del contratista maneja datos personales de la empresa, ¿cuál de las siguientes formas de actuar es la más adecuada?
Establecer en el contrato las condiciones de confidencialidad y de subcontratación, exigir un nivel de gestión equivalente al de la propia empresa y comprobar cómo se aplica en la práctica
Como el personal del contratista no son empleados de la propia empresa, excluirlo de la formación en seguridad de la información y de los compromisos escritos
Priorizar la eficiencia en la subcontratación y permitirla solo con un acuerdo informal entre los responsables de primera línea
Como la gestión es responsabilidad del contratista, dejar de comprobarla desde la propia empresa una vez firmado el contrato
RespuestaA. Establecer en el contrato las condiciones de confidencialidad y de subcontratación, exigir un nivel de gestión equivalente al de la propia empresa y comprobar cómo se aplica en la práctica
La responsabilidad sobre los datos confiados a un contratista (委託先) sigue siendo de quien los entregó, por lo que el contrato debe definir la confidencialidad, si se permite la subcontratación (再委託) y en qué condiciones, el aviso en caso de incidente y la devolución o el borrado de los datos al terminar el encargo, y la aplicación debe comprobarse mediante informes o visitas. No comprobar nada tras firmar el contrato, permitir la subcontratación con un acuerdo verbal y excluir al personal del contratista de la formación son todas opciones inadecuadas, porque cada una deja la gestión fuera de alcance.
Pregunta 7 | Fraude interno
¿Cuál de las siguientes iniciativas puede esperarse que sea eficaz para disuadir el fraude interno?
Informar de antemano a los empleados de que se registran los accesos a los datos importantes
No aplicar ninguna restricción de privilegios a los directivos y permitirles ver libremente toda la información en cualquier momento
Ocultar a los empleados que se registran los accesos y descubrir y denunciar después a los infractores en bloque
No establecer ningún canal de consulta sobre irregularidades y limitarse a que quien las detecte advierta directamente a la persona
RespuestaA. Informar de antemano a los empleados de que se registran los accesos a los datos importantes
La disuasión (抑止) consiste en hacer desistir del impulso de cometer una irregularidad desde el principio, y comunicar de antemano que se registran los accesos, lo que genera la conciencia de estar siendo observado, es eficaz. Ocultar que se registran no tiene efecto disuasorio y además genera desconfianza cuando se descubre. Ampliar los privilegios de los directivos solo por su cargo va en contra del mínimo privilegio (最小権限) y aumenta el daño posible. Resolver las cosas directamente entre los implicados, sin un canal de consulta, impide tanto la detección temprana como el registro de lo ocurrido.
Pregunta 8 | Formación para directivos
¿Cuál de los siguientes es el contenido más adecuado para una formación en seguridad de la información dirigida a los directivos?
La responsabilidad que conlleva aprobar los derechos de acceso de un subordinado y el procedimiento de escalamiento cuando se recibe un aviso
El procedimiento para identificar y sancionar a un subordinado que abrió un archivo adjunto durante un simulacro de correos de ataque dirigido
Aprender los procedimientos concretos de configuración de servidores y equipos de red, para poder hacer cambios de configuración según su propio criterio
Tratar el mismo contenido que la formación para todos los empleados, sin nada específico para los directivos
RespuestaA. La responsabilidad que conlleva aprobar los derechos de acceso de un subordinado y el procedimiento de escalamiento cuando se recibe un aviso
Un directivo es quien aprueba los derechos de acceso de sus subordinados y quien recibe primero sus avisos, por lo que la formación debe tratar la responsabilidad de quien aprueba y el procedimiento de escalamiento (エスカレーション) para elevar un aviso a un superior o al CSIRT según criterios definidos. Los procedimientos de configuración son contenido para el personal del departamento de sistemas de información. Usar los resultados de un simulacro para sancionar desanima a avisar y, al contrario, retrasa el descubrimiento. Como cada puesto exige un criterio distinto, el mismo contenido que se da a todos los empleados no basta por sí solo.
Pregunta 9 | Combinación de clasificaciones
¿Cuál de las siguientes opciones clasifica correctamente las tres medidas siguientes como humana, técnica o física? (a) Firmar un acuerdo de confidencialidad con los empleados. (b) Sujetar una computadora portátil a un escritorio con un cable de seguridad. (c) Cifrar con TLS la comunicación con el servidor de archivos.
(a) Física, (b) Humana, (c) Técnica
(a) Humana, (b) Técnica, (c) Física
(a) Técnica, (b) Física, (c) Humana
(a) Humana, (b) Física, (c) Técnica
RespuestaD. (a) Humana, (b) Física, (c) Técnica
(a) es una medida humana (人的対策) que compromete el comportamiento de una persona mediante un contrato, (b) es una medida física (物理的対策) que sujeta el equipo frente a la amenaza física del robo, y (c) es una medida técnica (技術的対策) que se basa en la función del software o de los equipos para cifrar la comunicación. Las combinaciones que clasifican (b) como técnica, (c) como física o (a) como técnica o física no se corresponden con la naturaleza de cada medida.
Pregunta 10 | Paquetes
¿Cuál de las siguientes es la información que usa un cortafuegos de filtrado de paquetes para decidir si permite o rechaza una comunicación?
El contenido mismo de un valor introducido en un campo de entrada de una aplicación web
La relación padre-hijo entre los procesos ejecutados en un dispositivo y el momento en que se iniciaron
Las direcciones IP de origen y destino, los números de puerto y el protocolo
Las palabras o expresiones contenidas en el cuerpo de un correo electrónico
RespuestaC. Las direcciones IP de origen y destino, los números de puerto y el protocolo
El filtrado de paquetes (パケットフィルタリング) funciona examinando las direcciones IP, los números de puerto y el protocolo de la cabecera (ヘッダ) del paquete y comparándolos con un conjunto de reglas. Las palabras del cuerpo de un correo son el ámbito de un filtro de correo, los valores introducidos en una aplicación web son el ámbito de un WAF, y el comportamiento de los procesos de un dispositivo es el ámbito del EDR; ninguno de ellos es aquello en lo que un cortafuegos de filtrado de paquetes basa su decisión.
Pregunta 11 | Inspección con estado
¿Cuál de las siguientes describe correctamente la inspección con estado (stateful inspection) de un cortafuegos?
Recuerda el estado de una conexión y permite dinámicamente los paquetes de respuesta a la comunicación que se originó desde el interior
Se instala en cada dispositivo, vigila continuamente el comportamiento sospechoso de malware desconocido y aísla el dispositivo automáticamente
Inspecciona el contenido de las solicitudes a un servidor web, detectando y bloqueando ataques como la inyección SQL
Usa información del DNS en el lado receptor para verificar si el dominio remitente de un correo es auténtico
RespuestaA. Recuerda el estado de una conexión y permite dinámicamente los paquetes de respuesta a la comunicación que se originó desde el interior
La inspección con estado (ステートフルインスペクション) mantiene el estado de la conexión (コネクション) y permite dinámicamente el tráfico de retorno de una conexión originada desde el interior, lo que elimina la necesidad de dejar abierto de antemano un amplio rango de puertos solo para recibir ese tráfico de retorno. Verificar el dominio remitente es función de la autenticación del dominio del remitente (送信ドメイン認証), como SPF; vigilar el comportamiento de los dispositivos es función del EDR, e inspeccionar el contenido de las solicitudes es función de un WAF; ninguna de ellas es lo que hace el seguimiento de estado de un cortafuegos.
Pregunta 12 | La DMZ
¿Cuál de los siguientes es lo más adecuado para ubicar en una DMZ?
El servidor web de la propia empresa, publicado en internet
El servidor de aplicaciones de un sistema contable de uso interno
Un servidor de base de datos interno que almacena información de recursos humanos
Un servidor de directorio que solo autentica a los usuarios internos
RespuestaA. El servidor web de la propia empresa, publicado en internet
Una DMZ (zona desmilitarizada, 非武装地帯) es una zona de amortiguación separada por un cortafuegos tanto de internet como de la LAN interna, y en ella se colocan servidores que necesitan exponerse al exterior, como un servidor web o un servidor de correo. Ubicarlos allí hace que, aunque un servidor público se vea comprometido, eso no conduzca directamente a la LAN interna. Una base de datos de recursos humanos, un servidor de autenticación y un sistema contable se usan solo desde dentro de la empresa, por lo que deben mantenerse en el lado interno, inalcanzables desde el exterior.
Pregunta 13 | Reglas del cortafuegos
La tabla siguiente muestra las reglas de permiso de comunicación de un cortafuegos. Las reglas se evalúan en orden empezando por el número más bajo, y se aplica la acción de la primera regla que coincida. Todo tráfico que no coincida con ninguna regla se rechaza al final (denegación implícita). Cuando una PC de la LAN interna se conecta a un sitio web de internet por TCP/443, ¿cuál es la combinación correcta del número de regla aplicado y el resultado?
El destino de la regla 1 es el servidor web de la DMZ, por lo que no coincide con este tráfico, cuyo destino es internet. La regla 2 coincide, ya que su origen es la LAN interna, su destino es internet y su servicio es TCP/80,443, así que el tráfico se permite aquí y la evaluación termina. La regla 3 no coincide porque su origen es internet, y la evaluación nunca llega a la regla 5, de modo que tampoco se rechaza.
Pregunta 14 | Denegación implícita
Un cortafuegos tiene las reglas que se muestran en la tabla. Las reglas se evalúan en orden desde arriba, y se aplica la acción de la primera regla que coincida. Todo tráfico que no coincida con ninguna regla se rechaza. Cuando un dispositivo de internet intenta conectarse al servidor de archivos de la LAN interna por TCP/445, ¿cómo se trata?
No coincide ninguna regla, por lo que se permite por defecto
RespuestaC. Coincide con la regla 4 y se rechaza
Las reglas 1 y 2 no coinciden porque su origen es la LAN interna. El destino de la regla 3 es el servidor web de la DMZ, por lo que no coincide con este tráfico, cuyo destino es la LAN interna. La regla 4 coincide a la vez en origen (internet), destino (LAN interna) y servicio, así que se rechaza. Aunque no existiera la regla 4, la denegación general de la regla 5 lo detendría, y el tráfico que no coincide con ninguna regla nunca se permite por defecto.
Pregunta 15 | Orden de las reglas
Para bloquear el tráfico desde la dirección IP 203.0.113.9, identificada como origen de un ataque, hacia el servidor web de la DMZ, se añadió la regla 3 de la tabla. Las reglas se evalúan en orden empezando por el número más bajo, y se aplica la acción de la primera regla que coincida. Sin embargo, las conexiones desde esa dirección continuaron incluso después de añadir la regla. ¿Cuál de las siguientes identifica correctamente la causa y la solución?
La regla 1 coincide primero y permite el tráfico, por lo que la regla 3 nunca se evalúa; hay que mover la regla 3 a una posición anterior a la regla 1
La regla 3 tiene la condición más específica y debería aplicarse con prioridad, así que la causa debe ser una avería del equipo
Al final quedará bloqueado por la denegación general de la regla 4, así que la configuración está bien tal como está
Las reglas 2 y 3 se contradicen, así que eliminar la regla 2 bloqueará el tráfico
RespuestaA. La regla 1 coincide primero y permite el tráfico, por lo que la regla 3 nunca se evalúa; hay que mover la regla 3 a una posición anterior a la regla 1
Como las reglas se evalúan desde arriba y el tratamiento se decide en la primera coincidencia, este tráfico coincide con la regla 1, un permiso general hacia la DMZ para cualquier origen, antes de llegar a la regla 3, por lo que la regla 3 nunca se evalúa. Por tanto, la regla de denegación debe colocarse antes de la regla 1. Las reglas no se priorizan según lo específica que sea su condición, y el tráfico ya permitido antes nunca se bloquea por una regla de denegación posterior. La regla 2 se refiere al tráfico desde la LAN interna hacia el exterior y no tiene relación con este caso.
Pregunta 16 | WAF
¿Contra qué protege principalmente un WAF (cortafuegos de aplicaciones web)?
La infección de un dispositivo de trabajo por malware ejecutado desde un archivo adjunto de correo
Ataques como la inyección SQL que aprovechan una vulnerabilidad de una aplicación web
La entrada de una persona ajena en la sala de servidores y la sustracción de equipos
La interceptación del contenido de las comunicaciones captando la señal de radio de una red Wi-Fi sin cifrar
RespuestaB. Ataques como la inyección SQL que aprovechan una vulnerabilidad de una aplicación web
Un WAF se coloca delante de un servidor web e inspecciona el contenido del tráfico HTTP, bloqueando ataques como la inyección SQL (SQLインジェクション) o el cross-site scripting (クロスサイトスクリプティング) que apuntan a fallos en la forma en que está construida una aplicación. El malware de un adjunto lo tratan un filtro de correo o un software antivirus, la interceptación de la Wi-Fi la trata el cifrado como WPA2 o WPA3, y la intrusión de personas ajenas la trata la medida física del control de entrada y salida (入退室管理); ninguno de estos es el ámbito de un WAF.
Pregunta 17 | IDS frente a IPS
¿Cuál de las siguientes explica correctamente la diferencia entre un IDS y un IPS?
Un IDS está dedicado a las aplicaciones web, y un IPS está dedicado a proteger el correo electrónico
Un IDS solo puede instalarse en un dispositivo, mientras que un IPS solo puede colocarse en una red
Un IDS es un mecanismo para cifrar la comunicación, mientras que un IPS es un mecanismo para descifrar la comunicación cifrada
Un IDS solo detecta el tráfico no autorizado y lo notifica, mientras que un IPS bloquea el tráfico que detecta
RespuestaD. Un IDS solo detecta el tráfico no autorizado y lo notifica, mientras que un IPS bloquea el tráfico que detecta
La diferencia entre ambos está en si se quedan en la detección o llegan hasta el bloqueo. Un IDS detecta un indicio de ataque y avisa a un administrador, mientras que un IPS se sitúa en la ruta de comunicación y bloquea en el acto el tráfico que detecta. El lugar de instalación de cada uno depende del uso y no es una distinción entre solo dispositivo y solo red. Ninguno de los dos cifra ni descifra, y ninguno está limitado a un uso específico.
Pregunta 18 | EDR
¿Cuál de las siguientes describe correctamente el EDR?
Se coloca en el perímetro de la red y bloquea el tráfico innecesario
Se sitúa entre los usuarios y un servicio en la nube, haciendo visible su uso y controlándolo
Ejecuta un archivo desconocido en un entorno aislado del de producción para juzgar si es peligroso
Registra el comportamiento de los terminales, como PC y servidores, y detecta actividad sospechosa tras una intrusión para apoyar el aislamiento y la investigación
RespuestaD. Registra el comportamiento de los terminales, como PC y servidores, y detecta actividad sospechosa tras una intrusión para apoyar el aislamiento y la investigación
El EDR registra de forma continua el comportamiento de los terminales (エンドポイント), detecta la actividad sospechosa después de que se ha producido una intrusión y ayuda a aislar y a investigar la causa, por lo que es una medida interna (内部対策) representativa. Bloquear el tráfico en el perímetro es un cortafuegos, juzgar un archivo ejecutándolo en un entorno aislado es un sandbox (サンドボックス), y hacer visible y controlable el uso de la nube es un CASB; cada uno de ellos tiene un objeto y un propósito distintos del EDR.
Pregunta 19 | Medidas de entrada
En la defensa en profundidad, las medidas se consideran como medidas de entrada, medidas internas y medidas de salida. ¿Cuál de las siguientes es una medida de entrada?
Inspeccionar el cuerpo y los adjuntos del correo saliente en busca de información confidencial
Dividir la red interna por departamentos para que no se pueda llegar directamente al servidor de un departamento desde otro
Registrar los logs de operación de cada dispositivo y revisarlos periódicamente en busca de actividad sospechosa
Inspeccionar en un sandbox el adjunto de un correo entrante antes de entregarlo
RespuestaD. Inspeccionar en un sandbox el adjunto de un correo entrante antes de entregarlo
Las medidas de entrada (入口対策) impiden desde el principio que entren en la organización intrusiones desde el exterior o correos fraudulentos, e inspeccionar un adjunto entrante entra en esta categoría. Inspeccionar el contenido del correo saliente es una medida de salida (出口対策) que impide que la información salga, y dividir la red o registrar y revisar los logs de operación son medidas internas (内部対策) que parten de que ya se ha producido una intrusión y trabajan para limitar el daño.
Pregunta 20 | Medidas internas
Suponiendo que un ataque dirigido ya ha penetrado en la red interna, ¿cuál de las siguientes es la medida interna más adecuada?
Limitar la comunicación saliente para que pase solo por un proxy y bloquear el tráfico hacia destinos sospechosos
Bloquear los correos sospechosos antes de que los reciban los usuarios, con un filtro de correo no deseado y la inspección de adjuntos
Usar un cortafuegos para bloquear el tráfico innecesario que entra en la empresa desde el exterior
Dividir la red interna, exigir autenticación multifactor para acceder a los servidores importantes y vigilar el comportamiento de los dispositivos
RespuestaD. Dividir la red interna, exigir autenticación multifactor para acceder a los servidores importantes y vigilar el comportamiento de los dispositivos
Las medidas internas (内部対策) sirven para frenar el movimiento lateral de un atacante tras una intrusión y para detectarlo pronto. Dividir la red, exigir autenticación multifactor (多要素認証) para los servidores importantes y vigilar el comportamiento de los dispositivos entran en esta categoría. Bloquear el correo no deseado y bloquear con un cortafuegos son medidas de entrada (入口対策), y limitar y bloquear el tráfico saliente es una medida de salida (出口対策) que impide que se saque la información.
Pregunta 21 | Medidas de salida
¿Cuál de las siguientes es la medida de salida más adecuada para prepararse ante un dispositivo infectado por malware que intenta enviar información interna al servidor de un atacante?
Revisar periódicamente los registros de entrada y salida de la sala de servidores en busca de actividad sospechosa
Aplicar los parches del sistema operativo y del software de trabajo en cuanto se publiquen
Limitar el tráfico saliente para que pase solo por un proxy, registrarlo y bloquear el tráfico hacia destinos sospechosos
Verificar el resultado de la autenticación del dominio del remitente (SPF) en el correo recibido para identificar falsificaciones
RespuestaC. Limitar el tráfico saliente para que pase solo por un proxy, registrarlo y bloquear el tráfico hacia destinos sospechosos
Las medidas de salida (出口対策) impiden que la información robada salga y que un dispositivo se comunique con un servidor de mando y control externo, y concentrar y registrar el tráfico saliente bloqueando los destinos sospechosos entra en esta categoría. Aplicar parches y verificar la autenticación del dominio del remitente (送信ドメイン認証) son medidas de entrada que impiden la intrusión, y revisar los registros de entrada y salida es una medida física; ninguna de ellas detiene directamente la salida de información.
Pregunta 22 | Wi-Fi
En cuanto a la seguridad de la Wi-Fi que se usa dentro de una empresa, ¿cuál de las siguientes afirmaciones es adecuada?
Configurar el filtrado de direcciones MAC permite evitar la interceptación del contenido de las comunicaciones
Aunque el cifrado esté desactivado, ocultar el SSID para que no se vea protege el contenido de la comunicación
WEP es muy compatible y seguro, por lo que sigue siendo ampliamente recomendado hoy en día
WPA3 se estandarizó después de WPA2 y tiene un cifrado y una autenticación más robustos
RespuestaD. WPA3 se estandarizó después de WPA2 y tiene un cifrado y una autenticación más robustos
WPA3 es más reciente que WPA2 y refuerza tanto el cifrado como la autenticación. La forma de descifrar WEP es ampliamente conocida, por lo que no debe usarse. Aunque se oculte el SSID, la señal de radio se sigue emitiendo, y su contenido puede leerse si no está cifrado. El filtrado de direcciones MAC (MACアドレスフィルタリング) solo limita qué dispositivos pueden conectarse y no tiene nada que ver con cifrar la comunicación.
Pregunta 23 | Entrada a remolque
¿Qué combinación describe correctamente la entrada a remolque (tailgating o piggybacking) en el control de entrada y salida, junto con su contramedida?
Que solo quede un registro de salida sin registro de entrada; se evita sincronizando la hora de los dispositivos de control de entrada y salida
Entrar falsificando una tarjeta de identificación o tomando prestada la de otra persona; se evita cifrando la información de la tarjeta para dificultar su copia y prohibiendo prestarla
Que varios usuarios inicien sesión en el mismo dispositivo al mismo tiempo; se evita introduciendo la autenticación multifactor
Que una persona no autenticada entre detrás de un usuario legítimo por la puerta que este abrió; se evita con antipassback, una puerta que deja pasar a una sola persona a la vez y la formación de los empleados
RespuestaD. Que una persona no autenticada entre detrás de un usuario legítimo por la puerta que este abrió; se evita con antipassback, una puerta que deja pasar a una sola persona a la vez y la formación de los empleados
La entrada a remolque (共連れ) se produce cuando una persona no autenticada se cuela justo detrás de alguien que sí se ha autenticado, y es peligrosa porque el registro muestra que solo entró una persona. La contramedida combina el antipassback (アンチパスバック), que impide salir a quien no tiene registro de entrada, una puerta que deja pasar a una sola persona a la vez, la vigilancia y la formación. Las demás opciones describen la falsificación de tarjetas, un registro faltante y el inicio de sesión simultáneo, y ninguna de ellas es entrada a remolque.
Pregunta 24 | Medidas físicas
¿Cuál de las siguientes medidas es una medida física?
Mantener actualizado el archivo de patrones del software antivirus
Cerrar con llave la puerta de la sala de servidores y registrar quién entra y sale
Impartir formación en seguridad de la información a los empleados
Establecer una contraseña para un ID de usuario
RespuestaB. Cerrar con llave la puerta de la sala de servidores y registrar quién entra y sale
Una medida física (物理的対策) protege el lugar y las instalaciones donde se guarda un activo de información, y cerrar una puerta con llave y registrar la entrada y salida entran en esta categoría. Impartir formación es una medida humana (人的対策) que actúa sobre el comportamiento de las personas, y establecer una contraseña o actualizar un archivo de patrones son medidas técnicas (技術的対策) que se basan en la función de los equipos o del software.
Pregunta 25 | Resistencia a la manipulación
¿Cuál de las siguientes describe correctamente la resistencia a la manipulación que se exige a elementos como una tarjeta IC?
La propiedad de cambiar automáticamente a un sistema de respaldo cuando se produce una falla, continuando el procesamiento sin detenerse
La propiedad de cifrar el contenido de un intercambio para evitar la interceptación o la lectura del contenido mientras está en tránsito
La propiedad de dejar de funcionar, entre otras respuestas, si alguien intenta leer indebidamente la información interna, dificultando su análisis
La propiedad de proteger los equipos internos y mantener su funcionamiento incluso cuando se produce una anomalía eléctrica, como la caída de un rayo o un corte de energía
RespuestaC. La propiedad de dejar de funcionar, entre otras respuestas, si alguien intenta leer indebidamente la información interna, dificultando su análisis
La resistencia a la manipulación (耐タンパ性) es la propiedad de hacer ilegible la información interna cuando el dispositivo sufre un ataque físico, como el desmontaje o el análisis. Prepararse ante la caída de un rayo o un corte de energía es el ámbito de un UPS o de la protección contra sobretensiones, evitar la interceptación es el ámbito del cifrado de las comunicaciones, y cambiar a un sistema de respaldo es una propiedad relacionada con la tolerancia a fallos (フォールトトレランス); cada uno de ellos significa algo distinto de la resistencia a la manipulación.
Pregunta 26 | Medios portátiles
¿Cuál de las siguientes es la forma más adecuada de gestionar medios portátiles como las memorias USB?
Por si acaso, dejar en el medio los datos que se sacaron incluso después de devolverlo
Exigir una solicitud y una aprobación para sacarlo, anotarlo en un registro y cifrar los datos que se guardan en él
Mientras los datos estén cifrados, no hace falta ninguna solicitud ni registro para sacarlo
Priorizar la eficiencia y permitir que las memorias USB personales se usen libremente en las PC de trabajo sin ninguna solicitud
RespuestaB. Exigir una solicitud y una aprobación para sacarlo, anotarlo en un registro y cifrar los datos que se guardan en él
Los medios portátiles (可搬媒体) son una vía de fuga por pérdida o robo, por lo que su uso debe combinar la solicitud y la aprobación, la anotación en un registro (台帳), el cifrado y la reducción al mínimo de los datos, y su borrado seguro al devolverlos. El uso libre de medios personales favorece tanto la entrada de malware como la extracción no autorizada de datos. Dejar los datos en el medio después de devolverlo solo aumenta la posibilidad de una fuga, y el cifrado no es motivo para omitir la solicitud.
Pregunta 27 | Eliminación de documentos en papel
¿Cuál de las siguientes es la forma más adecuada de eliminar un documento en papel que contiene información personal?
Tirarlo tal cual junto con la basura general
Reutilizarlo dentro de la empresa como papel borrador, ya que el reverso está en blanco
Guardarlo durante mucho tiempo en una caja de recogida y sacarlo una vez al mes junto con la basura combustible
Triturarlo o eliminarlo de forma segura encargando su disolución en pasta de papel
RespuestaD. Triturarlo o eliminarlo de forma segura encargando su disolución en pasta de papel
Para evitar el scavenging (スキャベンジング), es decir, la obtención de información a partir de residuos desechados, el documento debe dejarse en un estado que no pueda reconstruirse antes de eliminarlo, por lo que lo adecuado es triturarlo o disolverlo. Reutilizarlo como papel borrador dentro de la empresa conlleva el riesgo de que se vea o se saque sin querer. Tirarlo tal cual, o acumularlo sin triturar antes de sacarlo, lo deja en un estado que un tercero podría leer.
Pregunta 28 | ¿Física o técnica?
Una empresa aplica las medidas (a) a (d) siguientes. ¿Cuál de las siguientes opciones enumera exactamente las que son medidas físicas? (a) Instalar cámaras de vigilancia en la oficina. (b) Guardar los documentos importantes en un armario con cerradura. (c) Cifrar los datos de una memoria USB. (d) Conservar los registros de entrada y salida durante un período determinado.
(a), (c)
(a), (b), (c), (d)
(b), (c), (d)
(a), (b), (d)
RespuestaD. (a), (b), (d)
Instalar cámaras de vigilancia, guardar documentos en un armario con cerradura y conservar los registros de entrada y salida son todas medidas físicas (物理的対策) dirigidas a un lugar o una instalación. Cifrar los datos en (c) es una medida técnica (技術的対策) que protege el contenido mediante una función del software, y por sí misma no impide que el medio se saque, por lo que no se incluye entre las medidas físicas.
Pregunta 29 | Zonificación
¿Cuál de las siguientes es la forma más adecuada de entender la gestión de una oficina dividiéndola en zonas como la recepción, la oficina general y la sala de servidores?
Exigir una autenticación más estricta en las zonas que contienen activos de información más importantes, restringiendo quién puede entrar cuanto más se avanza hacia el interior
Dejar que visitantes y empleados se muevan por la misma ruta, para reducir el esfuerzo de guiarlos y acompañarlos
Colocar letreros en los pasillos del edificio para que los visitantes encuentren fácilmente la sala de servidores
Dejar la oficina general sin llave; basta con cerrar con llave solo la sala de servidores
RespuestaA. Exigir una autenticación más estricta en las zonas que contienen activos de información más importantes, restringiendo quién puede entrar cuanto más se avanza hacia el interior
La clave de la zonificación (区画分け) es crear capas según la importancia, endureciendo la autenticación y restringiendo quién puede entrar cuanto más al interior está una zona. Si no se separan las rutas de visitantes y empleados, las personas ajenas pueden acabar entrando en la oficina general. Dar a conocer ampliamente la ubicación de la sala de servidores facilita la intrusión. La oficina general también contiene activos de información, por lo que no es aceptable omitir el cierre con llave ni el control de entrada y salida en ella.
Pregunta 30 | Mínimo privilegio
La tabla muestra los derechos de acceso configurados en el sistema de trabajo de una empresa. El encargado de recursos humanos registra y actualiza la información de RR. HH.; el encargado de nóminas se ocupa del cálculo de las nóminas (para lo cual necesita consultar la información de RR. HH.); el encargado de ventas y el auxiliar administrativo de ventas (un trabajador cedido temporal) introducen pedidos; y el departamento de ventas no maneja ni información de RR. HH. ni de nóminas. ¿Cuál de las siguientes configuraciones debe revisarse a la luz del principio del mínimo privilegio?
Que el auxiliar administrativo de ventas (temporal) tenga acceso de consulta a la base de datos de RR. HH.
Que el encargado de ventas tenga acceso de actualización a la base de datos de pedidos
Que el encargado de RR. HH. tenga acceso de actualización a la base de datos de RR. HH.
Que el encargado de nóminas tenga acceso de consulta a la base de datos de RR. HH.
RespuestaA. Que el auxiliar administrativo de ventas (temporal) tenga acceso de consulta a la base de datos de RR. HH.
El trabajo del auxiliar administrativo de ventas es introducir pedidos y no necesita ver información de RR. HH., por lo que el acceso de consulta a la base de datos de RR. HH. es un privilegio innecesario para su trabajo y debe eliminarse. El acceso de actualización del encargado de RR. HH. a la base de datos de RR. HH., el acceso de consulta del encargado de nóminas a la base de datos de RR. HH. necesario para el cálculo de las nóminas y el acceso de actualización del encargado de ventas a la base de datos de pedidos son, cada uno, el privilegio mínimo (最小権限) necesario para desempeñar sus funciones asignadas.
Pregunta 31 | Derechos tras un traslado
La tabla muestra los derechos de acceso que tiene actualmente Tanaka en el departamento de recursos humanos. Tanaka se traslada este mes al departamento de ventas, donde su trabajo consistirá en introducir pedidos y preparar documentos compartidos dentro del departamento de ventas. ¿Cuál de las siguientes es la forma más adecuada de configurar los derechos de acceso tras el traslado?
Para el traspaso de funciones, mantener durante un año el acceso de consulta a la base de datos de RR. HH. y añadir el acceso de actualización a la base de datos de pedidos y a la carpeta compartida del departamento de ventas
Dejar la configuración actual sin cambios hasta que Tanaka presente una solicitud
Retirar el acceso a la base de datos de RR. HH., a la base de datos de nóminas y a la carpeta compartida del departamento de RR. HH., y conceder acceso de actualización a la base de datos de pedidos y a la carpeta compartida del departamento de ventas
Dejar la configuración actual tal como está y añadir el acceso de actualización a la base de datos de pedidos y a la carpeta compartida del departamento de ventas
RespuestaC. Retirar el acceso a la base de datos de RR. HH., a la base de datos de nóminas y a la carpeta compartida del departamento de RR. HH., y conceder acceso de actualización a la base de datos de pedidos y a la carpeta compartida del departamento de ventas
Tras un traslado (異動), la persona solo debe tener los derechos necesarios para su nuevo trabajo, por lo que hay que eliminar los derechos del departamento anterior antes de conceder los del nuevo. Mantener los derechos antiguos durante mucho tiempo con el pretexto del traspaso de funciones (引継ぎ), o limitarse a añadir derechos nuevos, hace que los derechos se acumulen y va en contra del principio del mínimo privilegio (最小権限の原則). Esperar a una solicitud crea un período en el que la persona conserva derechos innecesarios mientras ya trabaja en su nuevo puesto, por lo que tampoco es adecuado.
Pregunta 32 | Revisión de derechos
La tabla enumera los derechos de acceso a la base de datos de nóminas. Solo el personal del departamento de RR. HH. encargado del cálculo de las nóminas usa esta base de datos en su trabajo. En una revisión anual, ¿cuál de las siguientes opciones enumera exactamente los derechos que deben eliminarse?
B pertenece al departamento de ventas, que no tiene ningún trabajo que requiera usar la base de datos de nóminas, por lo que este derecho es innecesario para su trabajo y debe eliminarse. D ya ha dejado la empresa, así que hay que desactivar y eliminar la propia cuenta junto con el derecho. A y C son personal del departamento de RR. HH. que maneja la base de datos de nóminas y la han usado recientemente, por lo que sus derechos deben mantenerse. Eliminar un derecho que todavía se necesita solo porque el último inicio de sesión es antiguo o, al revés, dejar el derecho de un empleado que ya se fue son decisiones equivocadas.
Pregunta 33 | Cuentas privilegiadas
¿Cuál de las siguientes es la forma más adecuada de gestionar la cuenta privilegiada de un sistema (una cuenta con derechos de administrador)?
Por eficiencia, hacer que todos los administradores compartan una sola cuenta, incluida su contraseña
Exigir una solicitud y una aprobación para cada uso, y conservar un registro del préstamo, la devolución y las operaciones realizadas
Para ahorrarse el esfuerzo de cambiar de cuenta, iniciar sesión con la cuenta privilegiada incluso para el trabajo diario normal
Como solo el personal de confianza usa la cuenta privilegiada, omitir la captura de los logs de operación
RespuestaB. Exigir una solicitud y una aprobación para cada uso, y conservar un registro del préstamo, la devolución y las operaciones realizadas
Como una cuenta privilegiada (特権ID) tiene un impacto de gran alcance, exigir una solicitud y una aprobación para cada uso, registrar el préstamo y la devolución y capturar los logs de operación (操作ログ) permiten rastrear quién hizo qué. Compartir la cuenta y su contraseña impide identificar a la persona. Usarla habitualmente para el trabajo normal amplía el daño posible ante un error o una infección por malware. Omitir los logs por confianza significa que, si ocurre un incidente, no se pueden confirmar los hechos.
Pregunta 34 | Gestión de logs
¿Cuál de las siguientes es la forma más adecuada de capturar y conservar los logs de acceso?
Concentrarlos en un servidor de logs separado, guardarlos en una forma que no pueda alterarse y revisar su contenido periódicamente
Dejar la configuración de la hora de cada dispositivo al criterio de su responsable
Permitir que un administrador edite libremente los logs capturados siempre que lo necesite
Excluir deliberadamente los registros de intentos fallidos de inicio de sesión para ahorrar capacidad de almacenamiento
RespuestaA. Concentrarlos en un servidor de logs separado, guardarlos en una forma que no pueda alterarse y revisar su contenido periódicamente
Un log es un rastro (証跡) que sirve para confirmar los hechos, por lo que solo contribuye a la disuasión y a la detección temprana si se conserva en una forma que no pueda alterarse ni borrarse y se revisa periódicamente. Que se pueda editar destruye su valor como rastro. Un inicio de sesión fallido es en sí un indicio de acceso no autorizado y debe conservarse siempre. Si los relojes no coinciden, no se pueden cotejar los logs de varios dispositivos, por lo que es necesaria la sincronización horaria (時刻同期).
Pregunta 35 | Aplicación de parches
En cuanto a cómo priorizar la aplicación de parches en un gran número de sistemas, ¿cuál de las siguientes opciones es la más adecuada?
Omitir la verificación del funcionamiento en un entorno de pruebas y aplicar el parche a todos los sistemas a la vez el mismo día en que se publica
Dar prioridad a una vulnerabilidad cuya explotación se ha confirmado realmente y que afecta a un servidor expuesto a internet
Aplicarlos en orden empezando por el sistema con menos usuarios y dejando para el final el más usado
Aplicarlos mecánicamente en orden desde la fecha de publicación más antigua
RespuestaB. Dar prioridad a una vulnerabilidad cuya explotación se ha confirmado realmente y que afecta a un servidor expuesto a internet
La prioridad debe juzgarse según si ha habido explotación, si el sistema está expuesto al exterior, la gravedad y la importancia del activo afectado, por lo que una vulnerabilidad (脆弱性) con ataques observados que afecta a un servidor expuesto al exterior tiene la máxima prioridad. Ordenar por fecha de publicación o por número de usuarios no corresponde al nivel de peligro. Aplicarlo todo a la vez sin verificación conlleva el riesgo de detener las operaciones; cuando no se puede aplicar un parche (修正プログラム), debe usarse en su lugar una alternativa como restringir el tráfico.
Pregunta 36 | PPAP
¿Cuál de las siguientes describe más adecuadamente el problema de la práctica (a veces llamada PPAP) de adjuntar a un correo un archivo ZIP protegido con contraseña y enviar inmediatamente después la contraseña al mismo destinatario en otro correo?
La contraseña de un archivo ZIP está limitada a 8 caracteres, por lo que es imposible establecer una contraseña suficientemente robusta
El destinatario tiene que comprar e instalar aparte un software específico de pago para extraer el archivo
Como un archivo ZIP tiene una tasa de compresión baja, el volumen de tráfico de correo aumenta considerablemente y sube la carga del servidor de correo interno
Como el archivo y la contraseña viajan por el mismo canal, es vulnerable a la interceptación o al envío equivocado, y el cifrado impide que el lado receptor haga un análisis antivirus
RespuestaD. Como el archivo y la contraseña viajan por el mismo canal, es vulnerable a la interceptación o al envío equivocado, y el cifrado impide que el lado receptor haga un análisis antivirus
Como ambos se envían por el mismo canal de correo, interceptar ese canal expone los dos, y enviarlo al destinatario equivocado entrega tanto el archivo cifrado como su contraseña a la misma persona equivocada. Además, una puerta de enlace (ゲートウェイ) o un software antivirus no pueden inspeccionar el contenido de un ZIP cifrado, lo que deja pasar el malware. La tasa de compresión, la necesidad de un software específico y el límite de caracteres no son el problema esencial de esta práctica.
Pregunta 37 | Prevención de envíos equivocados
¿Cuál de las siguientes es la contramedida más adecuada contra una fuga de información por un correo enviado al destinatario equivocado?
Al enviar a muchos destinatarios a la vez, ponerlos a todos en el campo Para para que todos vean quién más lo recibió
Usar un mecanismo que retiene el mensaje unos minutos antes de enviarlo y aprovechar ese tiempo para comprobar los destinatarios y los adjuntos
Dejar la introducción del destinatario a la función de autocompletado y omitir la comprobación antes de enviar, para enviarlo rápido
Si se detecta un correo enviado por error, esperar un tiempo sin avisar al destinatario
RespuestaB. Usar un mecanismo que retiene el mensaje unos minutos antes de enviarlo y aprovechar ese tiempo para comprobar los destinatarios y los adjuntos
Retener el mensaje unos minutos (送信保留) es eficaz porque permite anularlo en cuanto se detecta el error, y debe combinarse con la comprobación de los destinatarios y los adjuntos. Poner en el campo Para a muchos destinatarios que no se conocen entre sí expone la dirección de cada uno a todos los demás, por lo que debe usarse CCO (BCC). Confiar en el autocompletado favorece confundir direcciones parecidas. Dejar sin atender un envío equivocado ya detectado solo hace que el daño se extienda.
Pregunta 38 | Configuración de la nube
En cuanto a la gestión del alcance de uso compartido del almacenamiento en la nube que se usa en el trabajo, ¿cuál de las siguientes opciones es la más adecuada?
Seguir usando el alcance de uso compartido predeterminado y revisarlo solo si surge un problema
Comprobar el alcance de uso compartido al crear un archivo y hacer revisiones periódicas para retirar los accesos públicos innecesarios
Como los reglamentos internos prohíben compartir fuera de la empresa, no hace falta comprobar especialmente la configuración de uso compartido
Configurarlo como “cualquier persona con el enlace” es seguro, porque quien no conoce la URL no puede verlo
RespuestaB. Comprobar el alcance de uso compartido al crear un archivo y hacer revisiones periódicas para retirar los accesos públicos innecesarios
La exposición involuntaria por un error de configuración en la nube es una de las principales causas de fugas, por lo que la comprobación al crear el archivo debe acompañarse de una revisión periódica (棚卸し). Mantener la configuración predeterminada, o revisarla solo después de que surja un problema, es demasiado tarde. Lo compartido con cualquier persona que tenga el enlace puede verlo cualquiera a quien se reenvíe la URL, y la mera existencia de un reglamento no garantiza que la configuración real sea correcta.
Pregunta 39 | Clasificación de medidas
Se aplicaron las siguientes medidas (a) a (c) contra la fuga de información. ¿Qué combinación clasifica correctamente cada una como humana, técnica o física? (a) Se estableció un reglamento que prohíbe el uso de memorias USB personales en el trabajo y se comunicó a todos los empleados. (b) Se desactivaron mediante configuración los puertos USB de las PC de trabajo. (c) Se decidió guardar los documentos importantes en un armario con cerradura.
(a) Física, (b) Técnica, (c) Humana
(a) Humana, (b) Física, (c) Técnica
(a) Humana, (b) Técnica, (c) Física
(a) Técnica, (b) Humana, (c) Física
RespuestaC. (a) Humana, (b) Técnica, (c) Física
(a) es una medida humana (人的対策) que regula el comportamiento de las personas mediante un reglamento y su comunicación, (b) es una medida técnica (技術的対策) que restringe mediante una función de los equipos o del software, en concreto la configuración del dispositivo, y (c) es una medida física (物理的対策) que guarda bajo llave un objeto físico, los documentos. Observe que incluso medidas con el mismo objetivo, impedir que se saquen memorias USB, se clasifican de forma distinta según se impongan mediante un reglamento o mediante una configuración.
Pregunta 40 | Contraseñas
¿Cuál de las siguientes es la forma más adecuada de que un usuario gestione su propia contraseña?
Como mezclar símbolos basta para que sea segura, se puede establecer una contraseña corta de menos de 8 caracteres fácil de recordar
Usar una frase de contraseña larga y distinta para cada servicio y, si no se pueden recordar todas, usar un gestor de contraseñas aprobado
Para no olvidarla, reutilizar la misma contraseña en todos los servicios y no cambiarla nunca
Para no olvidarla, escribirla en una nota adhesiva y pegarla en el borde de la pantalla
RespuestaB. Usar una frase de contraseña larga y distinta para cada servicio y, si no se pueden recordar todas, usar un gestor de contraseñas aprobado
La longitud es lo que más influye en la robustez de una contraseña, y no reutilizarla evita que una fuga en un lugar se extienda a otros servicios. Cuando hay demasiadas para gestionarlas, debe usarse un gestor de contraseñas aprobado. La reutilización hace que el daño de un ataque de lista de contraseñas (パスワードリスト攻撃) se extienda de golpe. Mezclar símbolos no compensa que sea corta, y exhibirla en una nota adhesiva permite que un tercero la vea fácilmente.
Pregunta 41 | Phishing
Llega un correo que dice ser de un banco y afirma: “Su cuenta será suspendida. Compruébelo de inmediato en el enlace de abajo”. ¿Cuál de las siguientes es la respuesta más adecuada del usuario?
Abrir el enlace y juzgar según si el diseño de la página que aparece es igual al de la auténtica
Como el texto en japonés es natural y no tiene errores, considerarlo auténtico e introducir el ID y la contraseña en la página enlazada
Sin usar el enlace del correo, comprobar la situación a través del marcador o la aplicación oficial que se usa habitualmente
Llamar al número de teléfono que aparece en el correo y seguir las instrucciones de esa persona
RespuestaC. Sin usar el enlace del correo, comprobar la situación a través del marcador o la aplicación oficial que se usa habitualmente
Un sitio de phishing (フィッシング) está hecho para parecer idéntico al auténtico, por lo que no se puede juzgar por su apariencia ni por lo natural que sea el texto. Como el enlace o los datos de contacto del correo pueden haber sido preparados por el atacante, no deben usarse; lo correcto es comprobarlo a través de un canal que la persona ya usa habitualmente. Un texto que mete prisa al lector es una técnica clásica para nublar el juicio, y nunca debe introducirse el ID.
Pregunta 42 | Wi-Fi pública
En cuanto a las precauciones al usar una Wi-Fi pública para el trabajo fuera de la oficina, ¿cuál de las siguientes opciones es la más adecuada?
También puede usarse para iniciar sesión en los sistemas internos de la empresa, siempre que la sesión sea corta
Activar la conexión automática permite evitar los puntos de acceso peligrosos
Incluso una Wi-Fi pública sin cifrar es segura si el SSID coincide con el nombre del local
Pasar por una VPN proporcionada por la empresa o usar el anclaje de red (tethering) de un teléfono inteligente
RespuestaD. Pasar por una VPN proporcionada por la empresa o usar el anclaje de red (tethering) de un teléfono inteligente
En una Wi-Fi pública (公衆無線LAN) el tráfico puede no estar cifrado, y además existen puntos de acceso falsos hechos para parecerse a los legítimos, por lo que lo seguro es proteger el tráfico con una VPN o usar el anclaje de red (テザリング). El nombre de un SSID puede ponerse libremente, así que no prueba su autenticidad. La conexión automática aumenta el riesgo de conectarse sin querer a un punto de acceso (アクセスポイント) falso, y la duración de la sesión no cambia el nivel de peligro.
Pregunta 43 | Gestión de teléfonos inteligentes
¿Cuál de las siguientes es la forma más adecuada de gestionar un teléfono inteligente que se usa para el trabajo?
Una aplicación de calculadora pide permiso para acceder a los contactos, y se le concede porque resulta práctico
Se instala y usa una aplicación distribuida fuera de la tienda oficial de aplicaciones porque los usuarios le han dado buenas valoraciones
Como una actualización del sistema operativo podría volver inestable el funcionamiento, posponer su aplicación por ahora y seguir trabajando con la versión actual
Configurar un bloqueo de pantalla, instalar aplicaciones solo desde la tienda oficial y comprobar si cada permiso solicitado es razonable según la función de la aplicación
RespuestaD. Configurar un bloqueo de pantalla, instalar aplicaciones solo desde la tienda oficial y comprobar si cada permiso solicitado es razonable según la función de la aplicación
Lo básico es un bloqueo de pantalla (画面ロック) por si se pierde el teléfono, instalar solo desde una tienda oficial cuyo proveedor pueda verificarse y no conceder permisos (権限) desproporcionados respecto a la función de la aplicación. Que una calculadora pida acceso a los contactos no es natural y hace sospechar que se están extrayendo datos. De una aplicación de fuera de la tienda oficial no se pueden verificar ni el proveedor ni la seguridad. Posponer las actualizaciones significa seguir expuesto a ataques dirigidos a vulnerabilidades ya conocidas.
Pregunta 44 | Equilibrio con la eficiencia
Desde el terreno se oyen voces que dicen: “Los reglamentos de seguridad de la información son demasiado estrictos y no se puede sacar el trabajo adelante”. ¿Cuál de las siguientes es la respuesta más adecuada del responsable de seguridad de la información?
Dejar al criterio del propio personal si se aplica el reglamento, permitiendo omitirlo siempre que parezca inviable
Decidir no sancionar las infracciones, dejando sin cambios el contenido actual del reglamento
Escuchar cómo se trabaja en realidad, estudiar si el procedimiento puede simplificarse sin alterar el nivel de riesgo y revisar el reglamento si es necesario
Como los reglamentos existen para cumplirse, ignorar las opiniones del terreno e indicar que se apliquen estrictamente
RespuestaC. Escuchar cómo se trabaja en realidad, estudiar si el procedimiento puede simplificarse sin alterar el nivel de riesgo y revisar el reglamento si es necesario
Un reglamento (規程) que nadie puede cumplir acaba ignorado en el terreno y abre atajos como usar un servicio en la nube personal o compartir contraseñas, lo que en realidad es más peligroso. Por eso, lo correcto es escuchar cómo se trabaja de verdad, hacer que el procedimiento sea más fácil de seguir sin rebajar el nivel de riesgo (リスク) y, si es necesario, revisar el propio reglamento. Limitarse a ordenar que se aplique estrictamente no cambia la realidad de fondo, y dejar la aplicación al criterio del personal o no hacer cumplir las sanciones convierte el reglamento en letra muerta.
Pregunta 45 | Medidas para el teletrabajo
Para el teletrabajo se aplicaron las medidas (a) a (c) siguientes. ¿Qué combinación las clasifica correctamente como medidas humanas, técnicas o físicas? (a) Se cambió la contraseña de administrador del router Wi-Fi de casa respecto a su valor predeterminado. (b) Se colocó un filtro de privacidad en la pantalla. (c) Se estableció un reglamento que prohíbe que los familiares usen la PC de trabajo y se comunicó a todos los empleados.
(a) Técnica, (b) Humana, (c) Física
(a) Física, (b) Técnica, (c) Humana
(a) Humana, (b) Física, (c) Técnica
(a) Técnica, (b) Física, (c) Humana
RespuestaD. (a) Técnica, (b) Física, (c) Humana
(a) es una medida técnica (技術的対策) que impide operaciones no autorizadas cambiando la configuración de un dispositivo, (b) es una medida física (物理的対策) que usa un accesorio que bloquea físicamente la visión, y (c) es una medida humana (人的対策) que regula el comportamiento de las personas mediante un reglamento y su comunicación. Las combinaciones que tratan (b) como humana o técnica, o (a) como humana o física, no se corresponden con el medio que usa cada medida.
Práctica: responda las preguntas de esta página
Es una herramienta de práctica con preguntas en orden aleatorio (funciona si JavaScript está activado). Aun sin ella, puede leer todas las preguntas y explicaciones de arriba.
* Las explicaciones son información con fines de estudio. El contenido y el sistema de los exámenes cambian cada año, así que consulta siempre los anuncios oficiales de la entidad organizadora.
Esta página es una traducción del texto original en japonés. Si hay diferencias entre la traducción y el original, prevalece la versión en japonés. Esta traducción se ha hecho con IA y puede contener errores.Informar de un error de traducciónVer el original en japonés