Se quiere que un cortafuegos permita únicamente el tráfico que se conecta desde dentro de la empresa a un sitio web externo mediante HTTPS. ¿Qué número de puerto de destino se debe permitir?
80
443
23
25
RespuestaB. 443
HTTPS usa el puerto TCP 443, así que solo se debe permitir el 443. El puerto 80 es HTTP, donde el tráfico circula sin cifrar (平文), lo que no se ajusta al objetivo de este caso de permitir únicamente conexiones cifradas. El puerto 25 es SMTP (envío de correo) y el puerto 23 es Telnet (inicio de sesión remoto), ambos sin relación con la navegación web. El principio de un cortafuegos (ファイアウォール) es permitir solo el tráfico necesario y denegar todo lo demás.
Pregunta 2 | Segmentación de la red en zonas
Se dividió una red interna en subredes por departamento, y la comunicación entre subredes se controla con un enrutador. ¿Cuál es el objetivo principal de esta medida?
Cifrar toda la comunicación que cruza entre subredes, para que su contenido no pueda leerse aunque sea interceptado en tránsito
Asignar a la vez la misma dirección IP a todos los dispositivos internos, reduciendo en gran medida el trabajo de gestión de direcciones
Bloquear en el perímetro todo acceso no autorizado desde internet, para que ningún dispositivo interno pueda ser vulnerado jamás
Que, aunque un dispositivo se infecte con malware, el daño quede contenido dentro de su zona y la comunicación pueda bloquearse en el límite
RespuestaD. Que, aunque un dispositivo se infecte con malware, el daño quede contenido dentro de su zona y la comunicación pueda bloquearse en el límite
El objetivo de dividir una red en zonas es frenar la propagación lateral (横展開) después de que se haya producido una intrusión o infección, y facilitar la contención bloqueando el tráfico en los equipos de límite. No es un mecanismo que bloquee por completo la intrusión desde el exterior; es una medida que limita la propagación del daño dentro de la red. Una dirección IP debe ser única por dispositivo para que la comunicación funcione, así que no se puede asignar la misma dirección a todos los dispositivos. El cifrado es función de una VPN o de TLS y no se logra con la división en subredes.
Pregunta 3 | Un malentendido sobre NAPT
A los dispositivos internos se les asignan direcciones IP privadas y se conectan a internet mediante la traducción NAPT a una dirección IP global. ¿Cuál de las siguientes es la descripción más adecuada de esta configuración?
El propósito principal de NAPT es ahorrar direcciones IP globales; el control de la comunicación desde el exterior debe hacerse por separado con un cortafuegos
Usar NAPT cifra automáticamente el contenido de la comunicación, por lo que una VPN deja de ser necesaria
Como NAPT es un mecanismo que oculta la dirección de origen, también bloquea automáticamente y por completo la comunicación no autorizada desde dentro hacia fuera
Mientras los dispositivos internos usen direcciones IP privadas, no se puede llegar a ellos directamente desde el exterior, así que nunca pueden infectarse con malware
RespuestaA. El propósito principal de NAPT es ahorrar direcciones IP globales; el control de la comunicación desde el exterior debe hacerse por separado con un cortafuegos
NAT/NAPT es un mecanismo de traducción de direcciones (アドレス変換) cuyo propósito es ahorrar direcciones IP globales. Tiene el efecto secundario de dificultar que se llegue a los dispositivos directamente desde fuera, pero no tiene ninguna función para seleccionar qué tráfico se permite, por lo que no sustituye a un cortafuegos (ファイアウォール). Tampoco tiene función de cifrado, así que tampoco sustituye a una VPN. Incluso con direcciones IP privadas, un dispositivo puede infectarse a través del correo electrónico o de la navegación web, y NAPT no impide que un dispositivo infectado se comunique con un servidor de comando y control (指令サーバ) externo.
Pregunta 4 | Los límites de una VPN
Un empleado que trabaja a distancia se conecta desde su casa al sistema de la empresa mediante una VPN. ¿Cuál de las siguientes describe una VPN de la forma más adecuada?
Una VPN cifra y protege la ruta de comunicación, pero no garantiza que el propio dispositivo que se conecta sea seguro, por lo que también se necesitan medidas del lado del dispositivo
Usar una VPN cifra automáticamente los archivos guardados en el dispositivo que se conecta
Mientras la ruta de comunicación esté cifrada con una VPN, una infección en el dispositivo que se conecta no puede afectar a los sistemas internos de la empresa
Una VPN es una línea dedicada física que no usa internet y no pasa por las instalaciones de un operador de telecomunicaciones
RespuestaA. Una VPN cifra y protege la ruta de comunicación, pero no garantiza que el propio dispositivo que se conecta sea seguro, por lo que también se necesitan medidas del lado del dispositivo
Una VPN es una tecnología que crea una línea dedicada virtual cifrada sobre una red pública (公衆網), y lo que protege es la confidencialidad y la integridad de la ruta de comunicación. Si un dispositivo infectado se conecta mediante una VPN, el malware puede entrar en la empresa a través de la ruta cifrada, por lo que en el lado del dispositivo siguen siendo necesarios, por separado, la aplicación de parches (パッチ適用), las medidas contra el malware y la autenticación multifactor (多要素認証). Usa una red pública como internet en lugar de una línea dedicada física, y no tiene ninguna función para cifrar los archivos guardados en el dispositivo.
Pregunta 5 | Wi-Fi
Con respecto a las medidas de seguridad para el Wi-Fi de una oficina, ¿cuál de las siguientes es la más adecuada?
Usar WPA2 o WPA3 para el cifrado y la autenticación, y considerar el SSID oculto (stealth) y el filtrado de direcciones MAC solo como medidas complementarias
Mientras esté configurado el filtrado de direcciones MAC, no se necesita ninguna otra medida, incluido el cifrado
Conectar el Wi-Fi para visitantes y el Wi-Fi interno de trabajo a la misma red, y gestionar de forma centralizada y conjunta los equipos y la configuración de los puntos de acceso
Activar el SSID oculto (stealth) para que los externos no vean el SSID basta para que WEP sea suficientemente seguro como método de cifrado
RespuestaA. Usar WPA2 o WPA3 para el cifrado y la autenticación, y considerar el SSID oculto (stealth) y el filtrado de direcciones MAC solo como medidas complementarias
La base de la seguridad del Wi-Fi (無線LAN) son el cifrado y la autenticación, usando WPA2 o WPA3. WEP no debe usarse porque puede descifrarse en poco tiempo. Tanto el SSID oculto como el filtrado de direcciones MAC (MACアドレスフィルタリング) pueden burlarse, porque el SSID o la dirección MAC se vuelven visibles al observar el tráfico, así que ninguno de los dos puede usarse como medida única. El principio es mantener el Wi-Fi para visitantes separado de la red de trabajo; conectarlos a la misma red crea el riesgo de que el dispositivo de un visitante llegue al interior de la empresa.
Pregunta 6 | Autenticación del dominio remitente
Para reducir los daños causados por correos falsificados que suplantan el dominio propio de la empresa, se va a implantar la autenticación del dominio remitente. ¿Cuál de las siguientes describe SPF, DKIM y DMARC de la forma más adecuada?
DMARC es un mecanismo que cifra el cuerpo de un correo para que un tercero no pueda leer su contenido en tránsito.
SPF es un mecanismo para verificar una firma electrónica, DKIM es un mecanismo que publica en el DNS las direcciones IP de los servidores de envío autorizados para compararlas, y DMARC es un mecanismo en el que el lado remitente publica una política sobre cómo tratar los correos que no superan la autenticación.
SPF es un mecanismo que publica en el DNS las direcciones IP de los servidores de envío autorizados para compararlas, DKIM es un mecanismo para verificar una firma electrónica, y DMARC es un mecanismo que publica una política sobre cómo tratar los correos que no superan la autenticación.
Los tres solo necesitan configurarse en el servidor de correo receptor; no hace falta configurar nada en el dominio remitente.
RespuestaC. SPF es un mecanismo que publica en el DNS las direcciones IP de los servidores de envío autorizados para compararlas, DKIM es un mecanismo para verificar una firma electrónica, y DMARC es un mecanismo que publica una política sobre cómo tratar los correos que no superan la autenticación.
SPF publica en el DNS las direcciones IP de los servidores autorizados a enviar correo de un dominio, y el lado receptor las compara. Con DKIM, el lado remitente añade una firma electrónica (電子署名), que el lado receptor verifica con una clave publicada en el DNS. DMARC tiene en cuenta los resultados de SPF y DKIM y hace que el dominio remitente publique una política sobre si los correos que no superan la autenticación deben tratarse como «ninguna acción, cuarentena o rechazo», y además recibe informes sobre los resultados. La descripción que intercambia SPF y DKIM y la que describe DMARC como cifrado del cuerpo son ambas incorrectas. Todos ellos dependen de la configuración del lado del dominio remitente, como los registros DNS.
Pregunta 7 | Sincronización horaria
Los servidores y equipos de red internos se sincronizan con un servidor NTP para mantener sus relojes alineados. ¿Cuál de las siguientes es la razón más adecuada por la que esto es importante para la seguridad de la información?
Porque permite cotejar en orden cronológico los registros (logs) de varios dispositivos, rastrear con precisión el desarrollo de un incidente y conservar su valor como rastro de auditoría
Porque tener los relojes alineados cifra automáticamente la comunicación para que no pueda ser interceptada
Porque tener los relojes alineados permite predecir de antemano la hora a la que el malware empezará a actuar, de modo que la comunicación a esa hora puede bloquearse con antelación
Porque tener los relojes alineados reduce el tamaño de los archivos de registro que genera cada dispositivo, lo que alarga el tiempo que pueden conservarse los registros en el mismo equipo
RespuestaA. Porque permite cotejar en orden cronológico los registros (logs) de varios dispositivos, rastrear con precisión el desarrollo de un incidente y conservar su valor como rastro de auditoría
Si el reloj de cada dispositivo está desfasado, aunque se pongan varios registros uno al lado del otro, el orden de los hechos sigue sin estar claro, lo que impide rastrear qué ocurrió y cuándo, y además socava su fiabilidad como prueba. Por eso, alinear la hora mediante un servidor NTP común es una condición previa para la investigación de incidentes (インシデント) y para su valor como rastro de auditoría (監査証跡). La sincronización horaria no tiene nada que ver con el volumen de los registros, no ofrece ninguna función de cifrado de la comunicación y no permite predecir cuándo actuará el malware.
Pregunta 8 | Responsabilidad en IaaS
Una empresa construyó su servidor de trabajo con IaaS. A la luz del modelo de responsabilidad compartida, ¿cuál de las siguientes es algo que debe hacer el usuario?
Aplicar los parches del sistema operativo invitado y del middleware que él mismo instaló, de forma planificada y como responsabilidad propia del usuario
Aplicar las medidas contra vulnerabilidades y los parches de la propia plataforma de virtualización (hipervisor), de forma planificada y como responsabilidad propia del usuario
Realizar el control de entradas y salidas y la seguridad física del centro de datos visitando él mismo el lugar físicamente, incluido el registro de ello
Desplazarse al centro de datos y reemplazar personalmente las piezas cuando falla el hardware físico del servidor
RespuestaA. Aplicar los parches del sistema operativo invitado y del middleware que él mismo instaló, de forma planificada y como responsabilidad propia del usuario
En IaaS, el proveedor se encarga de las instalaciones, el hardware, la red y la plataforma de virtualización, mientras que todo lo que está por encima del sistema operativo invitado (ゲストOS) que instaló el usuario —el SO, el middleware, las aplicaciones, los datos y las cuentas— entra en el ámbito de responsabilidad del usuario (利用者の責任範囲). Por lo tanto, aplicar parches al SO invitado es algo que hace el usuario. El control de entradas y salidas del centro de datos, el reemplazo del hardware físico y la seguridad de la plataforma de virtualización están todos dentro del ámbito de responsabilidad del proveedor, y el usuario no puede realizarlos.
Pregunta 9 | Responsabilidad en SaaS
En un servicio SaaS para compartir archivos que se usa en el trabajo, un empleado configuró el alcance de uso compartido como «cualquier persona con el enlace», y un archivo confidencial quedó visible desde fuera de la empresa. A la luz del modelo de responsabilidad compartida, ¿cuál de las siguientes es la explicación más adecuada?
En SaaS se supone que el proveedor del servicio protege todo, así que este hecho también es responsabilidad del proveedor
La configuración del alcance de uso compartido durante el uso de SaaS la optimiza automáticamente el proveedor del servicio, así que ni el usuario ni el proveedor tienen responsabilidad
Configurar los derechos de acceso y el alcance de uso compartido, y gestionar los datos que se colocan allí, entra en el ámbito de responsabilidad del usuario, así que es responsabilidad del usuario
Como SaaS no da al usuario ninguna autoridad sobre la configuración de uso compartido, este tipo de situación no puede ocurrir
RespuestaC. Configurar los derechos de acceso y el alcance de uso compartido, y gestionar los datos que se colocan allí, entra en el ámbito de responsabilidad del usuario, así que es responsabilidad del usuario
En SaaS, el funcionamiento de la aplicación y sus medidas contra vulnerabilidades son responsabilidad del proveedor, pero los propios datos, las cuentas de usuario y la configuración de los derechos de acceso y del alcance de uso compartido siguen dentro del ámbito de responsabilidad del usuario (利用者の責任範囲). Usar la nube no traslada esta parte de la responsabilidad al proveedor. El proveedor no optimiza la configuración automáticamente, y precisamente porque el usuario tiene autoridad sobre la configuración de uso compartido, en la práctica ocurren con frecuencia fugas por errores de configuración como este.
Pregunta 10 | Responsabilidad en PaaS
Una empresa ejecuta sobre PaaS una aplicación de trabajo que desarrolló internamente. Si se encuentra una vulnerabilidad de inyección SQL en esta aplicación, ¿cuál de las siguientes es la respuesta más adecuada?
Como se trata de una vulnerabilidad del propio sistema operativo, se resuelve haciendo que el usuario aplique un parche al SO invitado
Como la aplicación desarrollada internamente entra en el ámbito de responsabilidad del usuario, se corrige el programa internamente
Como PaaS no permite que el usuario desarrolle aplicaciones, esta vulnerabilidad no puede ocurrir
Como es un problema del entorno de ejecución que proporciona el proveedor de PaaS, basta con esperar una corrección del proveedor
RespuestaB. Como la aplicación desarrollada internamente entra en el ámbito de responsabilidad del usuario, se corrige el programa internamente
En PaaS, el proveedor gestiona el SO, el middleware y el entorno de ejecución, mientras que la aplicación y los datos que el usuario desarrolló y desplegó encima, junto con la gestión de cuentas, entran en el ámbito de responsabilidad del usuario (利用者の責任範囲). La inyección SQL (SQLインジェクション) es una vulnerabilidad que surge de cómo se construyó la aplicación propia de la empresa, así que la empresa corrige el programa por sí misma. No es algo para lo que haya que esperar al proveedor, ni algo que se arregle con un parche del SO. PaaS es precisamente una plataforma para que el usuario desarrolle y ejecute aplicaciones, así que la afirmación de que no se puede desarrollar también es incorrecta.
Pregunta 11 | Disponibilidad en serie
El dispositivo A, con una disponibilidad de 0.95, y el dispositivo B, con una disponibilidad de 0.90, están conectados en serie, de modo que todo el sistema funciona solo cuando A y B están funcionando. ¿Cuál es la disponibilidad del sistema completo? Suponga que las fallas de A y B son independientes entre sí.
0.990
0.855
0.900
0.925
RespuestaB. 0.855
En una configuración en serie (直列構成), todos los dispositivos deben estar funcionando al mismo tiempo, así que la disponibilidad (稼働率) total es el producto de la disponibilidad de cada dispositivo: 0.95 × 0.90 = 0.855. 0.925 es el promedio simple de las dos disponibilidades ((0.95 + 0.90) ÷ 2), y 0.900 es la disponibilidad del dispositivo B por sí solo; ninguno es el valor de una configuración en serie. 0.990 también es un valor sin fundamento; como referencia, una configuración en paralelo en la que basta con que funcione uno de los dos daría 1 − (1 − 0.95) × (1 − 0.90) = 0.995. Como la disponibilidad total baja cuantos más dispositivos se añaden en serie, las partes que necesitan disponibilidad deben, en cambio, hacerse redundantes.
Pregunta 12 | Disponibilidad en paralelo
Dos dispositivos, cada uno con una disponibilidad de 0.90, se instalan en una configuración redundante en la que el sistema completo funciona mientras funcione cualquiera de los dos. ¿Cuál es la disponibilidad del sistema completo? Suponga que las fallas de los dos dispositivos son independientes entre sí.
0.90
0.95
0.81
0.99
RespuestaD. 0.99
La disponibilidad (稼働率) de una configuración en paralelo (redundante, 並列構成) se obtiene restando de 1 la probabilidad de que todos los dispositivos se detengan al mismo tiempo: 1 − (1 − 0.90) × (1 − 0.90) = 1 − 0.10 × 0.10 = 1 − 0.01 = 0.99. 0.81 es el valor de una configuración en serie que requiere que ambos funcionen (0.90 × 0.90), y 0.90 es el valor de un solo dispositivo. 0.95 es un valor sin fundamento que no sale de ninguno de estos cálculos; ninguno de ellos es el resultado de una configuración redundante. Las cifras confirman que la redundancia eleva la disponibilidad total y contribuye a la continuidad del negocio.
Pregunta 13 | RAID y copias fuera del sitio
Los discos de un servidor de archivos están configurados como RAID 1 (espejo). ¿Cuál de las siguientes es la evaluación más adecuada de esto como contramedida contra el ransomware?
RAID 1 es eficaz contra la falla de un disco, pero como el cifrado se refleja en ambos discos, también es necesario guardar copias de seguridad por generaciones fuera de línea o en un lugar remoto
Ampliar RAID 1 a una configuración de cinco discos evitaría los daños del ransomware
RAID 1 es un mecanismo que siempre prohíbe escribir en el disco, así que aunque el ransomware intente cifrar un archivo, no puede reescribirlo y no se produce ningún daño
Con RAID 1, incluso un archivo cifrado puede restaurarse automáticamente a partir del contenido del otro disco, así que no es especialmente necesaria ninguna medida adicional como hacer copias de seguridad
RespuestaA. RAID 1 es eficaz contra la falla de un disco, pero como el cifrado se refleja en ambos discos, también es necesario guardar copias de seguridad por generaciones fuera de línea o en un lugar remoto
Lo que RAID protege es la falla física del disco; el cifrado o el borrado accidental realizados como una escritura legítima se reflejan igualmente en todos los discos. Por lo tanto, RAID no sustituye a las copias de seguridad (バックアップ). Es necesario hacer copias de seguridad de varias generaciones (世代管理), guardar al menos una en un lugar desconectado de la red o en un sitio remoto, y comprobar periódicamente que se pueden restaurar. RAID no tiene ninguna función para prohibir la escritura, y añadir más discos no cambia la manera en que se refleja el cifrado.
Pregunta 14 | Uso de una vista
La tabla de empleados de una base de datos de recursos humanos tiene columnas de número de empleado, nombre, departamento, cargo, salario y número individual. Los empleados en general deben poder consultar solo el nombre, el departamento y el cargo, como directorio de empleados. ¿Cuál de los siguientes es el método más adecuado?
Definir una vista que extraiga solo las columnas de nombre, departamento y cargo, y conceder a los empleados en general permiso de consulta solo sobre esa vista
Conceder a todos los empleados permiso de consulta sobre la propia tabla de empleados, y pedir internamente a todos que no miren las columnas de salario y número individual
Cambiar la tabla de empleados para que todos los empleados puedan actualizarla, y operarla con las columnas de salario y número individual permanentemente en blanco
Colocar una copia de seguridad de la tabla de empleados en una carpeta compartida para que cada uno busque y use desde allí la información que necesite
RespuestaA. Definir una vista que extraiga solo las columnas de nombre, departamento y cargo, y conceder a los empleados en general permiso de consulta solo sobre esa vista
Una vista (ビュー) es una tabla virtual que extrae solo las columnas o filas necesarias de la tabla original, y conceder permiso de consulta solo sobre la vista mantiene intactas las columnas de salario y número individual. Esto se ajusta al principio de mínimo privilegio (最小権限の原則), que consiste en conceder solo el acceso mínimo necesario. Confiar en pedir a la gente que no mire no impone ninguna restricción técnica y no puede evitar una fuga. Dejar las columnas en blanco destruye los propios datos, y conceder permiso de actualización a todos los empleados está fuera de toda consideración. Colocar una copia de seguridad en una carpeta compartida crea una copia no gestionada y amplía las vías por las que podría producirse una fuga.
Pregunta 15 | Recuperación de una base de datos
El disco de un servidor de base de datos falló y quedó inutilizable, y se reemplazó por otro disco. Se dispone tanto de una copia de seguridad de la noche anterior como del registro de imágenes posteriores (after-image log) tomado desde entonces. ¿Qué método restaura el sistema al estado inmediatamente anterior a la falla?
Restaurar solo la copia de seguridad y reanudar la operación desde el estado de la noche anterior
Restaurar la copia de seguridad y luego realizar un avance (roll-forward) que aplique el registro de imágenes posteriores
Recuperar realizando solo una reversión (rollback) que deshaga una transacción interrumpida a mitad del proceso
Usar solo el registro de imágenes anteriores (before-image log) para volver a un estado previo al momento en que se tomó la copia de seguridad
RespuestaB. Restaurar la copia de seguridad y luego realizar un avance (roll-forward) que aplique el registro de imágenes posteriores
La recuperación de una falla del medio (媒体障害) se hace restaurando la copia de seguridad y luego realizando un avance (roll-forward, ロールフォワード) que aplica en orden el registro de imágenes posteriores (更新後ログ) siguiente, lo que lleva el sistema hasta el estado inmediatamente anterior a la falla. Restaurar solo la copia de seguridad hace perder todas las actualizaciones realizadas después. Una reversión (rollback, ロールバック) devuelve una transacción interrumpida a mitad del proceso al estado anterior a su inicio y no recupera las actualizaciones hechas desde la copia de seguridad. Usar el registro de imágenes anteriores para volver a un punto anterior a la copia de seguridad no es recuperación en absoluto. Cualquiera de los dos tipos de recuperación depende de que los registros se hayan conservado.
Pregunta 16 | Definición de requisitos
En el desarrollo de un nuevo sistema de trabajo, ¿qué enfoque sigue la idea de la seguridad desde el diseño (security by design)?
Volver a la etapa de diseño solo cuando se encuentre una vulnerabilidad durante las pruebas, y considerar y añadir en ese momento la medida de seguridad que haga falta
Como la seguridad es trabajo del personal de operaciones, no tenerla en cuenta en absoluto, ni como requisito ni en el diseño, durante la fase de desarrollo
Definir en la etapa de planificación y definición de requisitos los requisitos de seguridad, como la forma de dividir los derechos de acceso, el alcance de los registros que se capturan, el cifrado y el método de autenticación
Dar prioridad a implementar primero la funcionalidad y avanzar con el desarrollo, añadiendo una a una las funciones de seguridad necesarias después de que el sistema entre en producción
RespuestaC. Definir en la etapa de planificación y definición de requisitos los requisitos de seguridad, como la forma de dividir los derechos de acceso, el alcance de los registros que se capturan, el cifrado y el método de autenticación
La seguridad desde el diseño (セキュリティバイデザイン) es la idea de incorporar la seguridad al diseño desde la etapa de planificación y definición de requisitos. Intentar añadirla en una fase posterior provoca grandes retrabajos (手戻り) que implican cambios de diseño, encarece tanto el costo como el plazo y a menudo deja cosas sin corregir del todo una vez iniciada la operación. Añadirla después de entrar en producción, considerarla solo cuando se encuentra una vulnerabilidad o no tenerla en cuenta durante el desarrollo provocan todos este tipo de retrabajos y medidas insuficientes.
Pregunta 17 | Pruebas de penetración
¿Cuál de las siguientes describe de la forma más adecuada las pruebas de penetración que se realizan antes de publicar un sistema web?
Una prueba que examina la estructura interna del programa para confirmar que cada rama de su lógica se ejecuta al menos una vez, midiendo la calidad por el grado de cobertura
Una prueba que intenta realmente una intrusión desde el punto de vista de un atacante para comprobar si las defensas pueden ser superadas, y que requiere el consentimiento previo del administrador del sistema objetivo para realizarse
Una prueba que comprueba, desde fuera y sin mirar la estructura interna del programa, si la salida coincide con la especificación para una entrada dada, y que también sirve como evaluación de la posibilidad de intrusión como comprobación final antes del lanzamiento
Una prueba en la que usuarios reales manejan el sistema para evaluar qué tan claras y fáciles de usar son las pantallas
RespuestaB. Una prueba que intenta realmente una intrusión desde el punto de vista de un atacante para comprobar si las defensas pueden ser superadas, y que requiere el consentimiento previo del administrador del sistema objetivo para realizarse
Las pruebas de penetración (ペネトレーションテスト) comprueban la posibilidad de intrusión desde el punto de vista de un atacante, un propósito diferente al de una prueba que comprueba si las funciones operan según la especificación. Aunque se superen todas las pruebas funcionales, a veces la intrusión todavía puede tener éxito. Examinar la estructura interna para confirmar la cobertura de ramas es una prueba de caja blanca (ホワイトボックステスト), comprobar la entrada y la salida sin mirar la estructura interna es una prueba de caja negra (ブラックボックステスト), y evaluar la facilidad de uso es una prueba de usabilidad; cada una es algo distinto. Tenga en cuenta además que intentar entrar sin permiso en el sistema de otra persona puede infringir la Ley de Prohibición del Acceso No Autorizado a Computadoras (不正アクセス禁止法), por lo que el consentimiento previo es indispensable.
Pregunta 18 | Gestión de problemas
En la gestión de servicios, ¿cuál de las siguientes describe de la forma más adecuada la diferencia entre la gestión de incidentes y la gestión de problemas?
La gestión de incidentes tiene como objetivo identificar la causa raíz y evitar la recurrencia, mientras que la gestión de problemas tiene como objetivo devolver el servicio a su estado normal lo antes posible
La gestión de incidentes tiene como objetivo devolver el servicio a su estado normal lo antes posible, mientras que la gestión de problemas tiene como objetivo identificar la causa raíz y evitar la recurrencia
La gestión de incidentes se ocupa solo de los incidentes relacionados con la seguridad de la información, y la gestión de problemas se ocupa de cualquier otro tipo de falla o incidente: una distinción por alcance
La gestión de incidentes y la gestión de problemas se refieren exactamente a la misma actividad, con el mismo objeto, propósito y procedimiento, y solo difieren en cómo se llaman en un informe
RespuestaB. La gestión de incidentes tiene como objetivo devolver el servicio a su estado normal lo antes posible, mientras que la gestión de problemas tiene como objetivo identificar la causa raíz y evitar la recurrencia
El propósito de la gestión de incidentes (インシデント管理) es la recuperación rápida del servicio, y está bien restablecer las operaciones con una solución provisional aunque no se conozca la causa raíz. El propósito de la gestión de problemas (問題管理) es identificar la causa raíz y evitar la recurrencia mediante una solución permanente. Como sus propósitos difieren, se gestionan como procesos separados. La descripción que intercambia los dos propósitos y la que los trata como la misma actividad son ambas incorrectas, y la distinción no se basa en si se trata de un incidente de seguridad o no.
Pregunta 19 | SLA
Al externalizar la operación de un sistema de trabajo, se acuerda un SLA. ¿Cuál de las siguientes describe un SLA de la forma más adecuada?
Un SLA es un documento en el que el proveedor y el usuario acuerdan niveles numéricos de calidad del servicio, y en él se definen no solo la disponibilidad y el tiempo objetivo de recuperación, sino también cuestiones de seguridad como el plazo para informar en caso de incidente y el período de conservación de los registros
Un SLA es una norma interna del proveedor del servicio y no debe darse a conocer al usuario
Un SLA debe recoger solo objetivos relacionados con la disponibilidad, como la disponibilidad y el tiempo objetivo de recuperación, y nunca debe recoger cuestiones relacionadas con la seguridad, como el plazo para informar en caso de incidente o el período de conservación de los registros
Una vez acordado, un SLA nunca debe revisarse, y tampoco se mide su cumplimiento durante el período del contrato
RespuestaA. Un SLA es un documento en el que el proveedor y el usuario acuerdan niveles numéricos de calidad del servicio, y en él se definen no solo la disponibilidad y el tiempo objetivo de recuperación, sino también cuestiones de seguridad como el plazo para informar en caso de incidente y el período de conservación de los registros
Un SLA (acuerdo de nivel de servicio, サービスレベル合意書) es un documento acordado por el proveedor y el usuario, que define objetivos numéricos como la disponibilidad, el tiempo objetivo de recuperación en caso de falla y el tiempo de respuesta. Establecer también cuestiones relacionadas con la seguridad —el plazo para informar en caso de incidente, el período de conservación de los registros, el tiempo de respuesta ante una vulnerabilidad, etc.— deja claro qué se hará por el usuario cuando ocurra un incidente. No es una norma interna solo del proveedor; el nivel acordado se mide, evalúa y mejora de forma continua (SLM, gestión del nivel de servicio), y se revisa cuando es necesario.
Pregunta 20 | Cambios y configuración
¿Qué combinación describe de la forma más adecuada la gestión de cambios y la gestión de la configuración en la gestión de servicios?
La gestión de cambios es la actividad de servir como punto de contacto único que recibe las consultas y los reportes de fallas de los usuarios, y la gestión de la configuración es la actividad que busca restablecer el servicio lo antes posible tras una falla ocurrida
La gestión de cambios es la actividad de identificar la causa raíz de una falla, y la gestión de la configuración es la actividad de asegurar la capacidad de procesamiento necesaria para el negocio
La gestión de cambios es la actividad de evaluar el impacto de un cambio en un sistema, obtener la aprobación y luego llevarlo a cabo y registrarlo; la gestión de la configuración es la actividad de conocer de forma continua y precisa los elementos de configuración, como equipos, software y ajustes, y las relaciones entre ellos
La gestión de cambios es la actividad de un auditor que indica al departamento auditado que haga mejoras, y la gestión de la configuración es la actividad de la dirección de decidir si realizar una inversión
RespuestaC. La gestión de cambios es la actividad de evaluar el impacto de un cambio en un sistema, obtener la aprobación y luego llevarlo a cabo y registrarlo; la gestión de la configuración es la actividad de conocer de forma continua y precisa los elementos de configuración, como equipos, software y ajustes, y las relaciones entre ellos
La gestión de cambios (変更管理) es un mecanismo que evita los cambios desordenados evaluando su impacto, obteniendo la aprobación antes de llevarlos a cabo y manteniendo un registro; el propio hecho de impedir un cambio no aprobado es en sí una medida de seguridad. La gestión de la configuración (構成管理) es la actividad de conocer de forma continua y precisa las versiones y ajustes de los equipos y del software y cómo se relacionan entre sí, de modo que cuando se anuncia una vulnerabilidad puedan identificarse de inmediato los activos afectados. Un punto de contacto único para consultas es la mesa de servicio, la recuperación rápida es la gestión de incidentes, identificar la causa raíz es la gestión de problemas y asegurar la capacidad de procesamiento es la gestión de la capacidad; cada uno es un proceso distinto.
Pregunta 21 | Independencia de la auditoría
Una empresa ha decidido realizar internamente una auditoría de sistemas. Desde el punto de vista de la independencia del auditor de sistemas, ¿cuál de las siguientes es la más adecuada?
Realiza la auditoría un miembro del departamento de auditoría interna que sea organizativamente independiente del departamento auditado, o un auditor externo
El jefe del departamento auditado audita el trabajo de su propio departamento y elabora y presenta el informe de auditoría
Un miembro del personal de operaciones del departamento de sistemas de información audita el mismo sistema de trabajo que opera día a día
El líder de proyecto que estuvo a cargo de desarrollar el sistema auditado audita él mismo ese sistema
RespuestaA. Realiza la auditoría un miembro del departamento de auditoría interna que sea organizativamente independiente del departamento auditado, o un auditor externo
Al auditor de sistemas (システム監査人) se le exige ser organizativamente independiente del departamento auditado (independencia externa, 外観上の独立性) y poder juzgar de forma justa y objetiva (independencia interna, 精神上の独立性). Auditar algo que uno mismo construyó u operó crea el riesgo de pasar por alto hechos inconvenientes, o de que se sospeche que se pasaron por alto, lo que no satisface la independencia. Un miembro del personal de operaciones, el líder del proyecto de desarrollo y el jefe del departamento auditado estarían cada uno auditando su propio trabajo, y todos son inadecuados; la auditoría debe realizarla en cambio un departamento de auditoría interna independiente o un auditor externo.
Pregunta 22 | Rastros de auditoría
Con respecto al rastro de auditoría y el seguimiento en una auditoría de sistemas, ¿cuál de las siguientes los describe de la forma más adecuada?
Un rastro de auditoría es el propio informe de auditoría que elabora el auditor, que no se da a conocer al departamento auditado para mantener la independencia, y en el seguimiento el departamento auditado evalúa su propio estado de mejora y lo da por cerrado
Un rastro de auditoría es un mecanismo o conjunto de registros que permite rastrear el procesamiento a posteriori, mostrando cuándo, quién y cómo se llevó a cabo; en el seguimiento, el auditor confirma el estado de mejora de los hallazgos señalados
Un rastro de auditoría solo se captura durante el período de auditoría y puede omitirse durante la operación normal
En el seguimiento, el auditor idea y lleva a cabo él mismo las medidas de mejora y resuelve el problema
RespuestaB. Un rastro de auditoría es un mecanismo o conjunto de registros que permite rastrear el procesamiento a posteriori, mostrando cuándo, quién y cómo se llevó a cabo; en el seguimiento, el auditor confirma el estado de mejora de los hallazgos señalados
Un rastro de auditoría (監査証跡) se refiere a un mecanismo o registro, como los registros de acceso, el historial de operaciones o los registros de aprobación, que permite rastrear después el curso del procesamiento, y precisamente porque se captura y conserva de forma continua, incluso en tiempos normales, es posible la verificación a posteriori. El seguimiento (フォローアップ) es la actividad en la que el auditor confirma si realmente se llevaron a cabo mejoras en los puntos señalados en el informe de auditoría. Llevar a cabo la mejora en sí es tarea del departamento auditado; si el auditor la realizara él mismo, en la siguiente auditoría estaría auditando su propio trabajo, lo que socavaría la independencia. Un rastro de auditoría es algo distinto del informe de auditoría.
Pregunta 23 | CISO
¿Cuál de las siguientes describe de la forma más adecuada el papel de un CISO en una empresa?
Elaborar la estrategia de ventas y de precios de los productos propios de la empresa, y ser responsable de alcanzar los objetivos de ventas
Preparar los estados financieros y ser responsable de explicar los asuntos contables en la junta de accionistas
Ser responsable de formular la política de seguridad de la información, decidir la política de tratamiento de riesgos, dirigir la respuesta ante un incidente e informar a la dirección
Realizar personalmente la instalación y el cableado de las PC y los equipos de red internos, y encargarse del mantenimiento diario y de la respuesta ante fallas
RespuestaC. Ser responsable de formular la política de seguridad de la información, decidir la política de tratamiento de riesgos, dirigir la respuesta ante un incidente e informar a la dirección
Un CISO (director de seguridad de la información, 最高情報セキュリティ責任者) es el máximo responsable de nivel directivo en materia de seguridad de la información, y se encarga de formular la política, decidir la política de tratamiento de riesgos (リスク対応), dirigir la respuesta ante un incidente grave e informar a la dirección y a partes externas. La estrategia de ventas corresponde al departamento de ventas, preparar y explicar los estados financieros corresponde a un CFO o al departamento de finanzas, y la instalación de equipos o el mantenimiento diario es trabajo práctico del departamento de sistemas de información; nada de esto es función del CISO. Tiene valor en sí mismo colocar a un responsable en el nivel directivo en lugar de dejar la seguridad en manos del personal individual.
Pregunta 24 | Segregación de funciones
Desde el punto de vista del control interno, ¿cuál de las siguientes prácticas sigue la idea de la segregación de funciones?
Separar al empleado que emite una orden de compra del que inspecciona los bienes entregados
Dar prioridad a la eficiencia y conceder también al personal de desarrollo de sistemas la autoridad para cambiar el entorno de producción
Conceder derechos de administrador a todos los empleados para que cualquiera pueda realizar la tarea que sea necesaria
Hacer que un solo empleado lleve a cabo de principio a fin todo, desde la solicitud hasta la aprobación, la ejecución y el registro, para que la responsabilidad quede clara
RespuestaA. Separar al empleado que emite una orden de compra del que inspecciona los bienes entregados
La segregación de funciones (職務分掌) es un principio básico del control interno (内部統制) que reparte roles como la solicitud, la aprobación, la ejecución y el registro entre varias personas, creando una estructura en la que el control mutuo hace menos probable que ocurran fraudes o errores. Separar a la persona que emite un pedido de la que inspecciona la entrega es un ejemplo típico. Una situación en la que una sola persona puede completar por sí misma toda una secuencia de procesamiento hace que el fraude sea difícil de descubrir y viola la segregación de funciones. También debe evitarse conceder al personal de desarrollo la autoridad para cambiar el entorno de producción, ya que permite hacer un cambio sin pasar por la aprobación. Conceder derechos de administrador a todos también viola el principio de mínimo privilegio.
Pregunta 25 | RFI y RFP
¿Cuál de las siguientes describe de la forma más adecuada el flujo de contratación al encargar un sistema de trabajo a un proveedor externo?
Solicitud de información (RFI) → Solicitud de propuesta (RFP) → recepción y evaluación de propuestas → contrato
Contrato → Solicitud de propuesta (RFP) → recepción y evaluación de propuestas → Solicitud de información (RFI)
Solicitud de propuesta (RFP) → Solicitud de información (RFI) → contrato → recepción y evaluación de propuestas
Recepción y evaluación de propuestas → Solicitud de información (RFI) → contrato → Solicitud de propuesta (RFP)
RespuestaA. Solicitud de información (RFI) → Solicitud de propuesta (RFP) → recepción y evaluación de propuestas → contrato
Primero, una RFI (solicitud de información, 情報提供依頼書) recopila información de los proveedores sobre qué productos, servicios y tecnologías existen en el mercado. A partir de esa información, los requisitos se organizan en una RFP (solicitud de propuesta, 提案依頼書), y se pide a varios proveedores propuestas concretas. Las propuestas y cotizaciones presentadas se evalúan según criterios fijados de antemano para seleccionar un proveedor, y se celebra un contrato. La etapa de recopilar información va primero y la de solicitar propuestas va después; las demás opciones invierten este orden y son incorrectas. Los requisitos de seguridad deben especificarse claramente en la RFP.
Pregunta 26 | Selección de un contratista
Una empresa va a externalizar un trabajo que implica datos personales de clientes. Con respecto a la selección y gestión del contratista, ¿cuál de las siguientes es la más adecuada?
Aunque el contratista subcontrate a su vez a otro operador, no es necesario informar a la parte que externaliza
Basta con seleccionar al proveedor con el mejor precio y plazo de entrega; el estado de las certificaciones, las cuestiones de seguridad y los acuerdos para casos de incidente pueden discutirse después de firmar el contrato
Una vez externalizado el trabajo, la responsabilidad de gestionar los datos personales pasa por completo al contratista, y la parte que externaliza se aparta totalmente de su gestión o supervisión tras la selección
Especificar claramente en los criterios de selección y en el contrato aspectos como el estado de las certificaciones, cómo se tratará la subcontratación, la obligación de informar de un incidente, la aceptación de auditorías y el borrado de los datos al final del encargo, y seguir recibiendo informes periódicos y supervisando incluso después de externalizar
RespuestaD. Especificar claramente en los criterios de selección y en el contrato aspectos como el estado de las certificaciones, cómo se tratará la subcontratación, la obligación de informar de un incidente, la aceptación de auditorías y el borrado de los datos al final del encargo, y seguir recibiendo informes periódicos y supervisando incluso después de externalizar
Al seleccionar un contratista (委託先), la seguridad debe incluirse como criterio de evaluación junto con el precio y el plazo de entrega. El estado de certificación ISMS o de la Privacy Mark (プライバシーマーク), si se permite la subcontratación (再委託) y cómo se gestionará a cualquier subcontratista, la obligación y el plazo para informar de un incidente, una cláusula de aceptación de auditorías y el método para devolver o borrar los datos al final del contrato deben especificarse claramente en los criterios de selección y en el contrato. Incluso después de externalizar el tratamiento de datos personales, la parte que externaliza conserva la obligación de ejercer una supervisión necesaria y adecuada sobre el contratista, y la responsabilidad no se traslada. Permitir que el contratista subcontrate sin informar a la parte que externaliza también es inadecuado.
Pregunta 27 | IA generativa y confidencialidad
Un empleado ha pedido usar un servicio de IA generativa en el trabajo. Desde el punto de vista de la prevención de fugas de información, ¿qué regla debe establecer la organización?
Como el proveedor siempre elimina el contenido introducido, permitir que también se introduzca libremente información confidencial
Como la IA generativa es peligrosa, prohibir su uso en todos los dispositivos internos sin excepción, pero dejar el uso a través de un dispositivo personal o de una cuenta personal al criterio de cada persona
Dejar que cada empleado elija libremente el servicio de IA generativa que prefiera personalmente, y que introduzca en él libremente cualquier dato de trabajo sin restricción
Limitar los servicios utilizables a los que haya aprobado la organización, y establecer explícitamente en las reglas que no deben introducirse información personal de clientes ni información de gestión no publicada
RespuestaD. Limitar los servicios utilizables a los que haya aprobado la organización, y establecer explícitamente en las reglas que no deben introducirse información personal de clientes ni información de gestión no publicada
El contenido introducido en una IA generativa (生成AI) puede ser almacenado por el proveedor o usarse para el entrenamiento, así que introducir información confidencial crea el riesgo de que se filtre hacia fuera desde allí. Por lo tanto, la organización debe limitar los servicios utilizables a los que haya aprobado y establecer explícitamente en las reglas qué información puede y no puede introducirse. No hay ninguna garantía de que el contenido introducido se elimine siempre. Dejar que los empleados elijan libremente, o prohibirla internamente dejando el uso en dispositivos personales al criterio de cada uno, crean TI en la sombra (シャドーIT) fuera del control de la organización y en realidad aumentan el riesgo de fuga.
Pregunta 28 | Resultados de la IA
Se usó una IA generativa para redactar un documento explicativo destinado a publicarse fuera de la empresa. ¿Cuál de las siguientes es la forma más adecuada de tratar este borrador?
Como la IA generativa puede producir contenido de apariencia verosímil que no es real, y su resultado puede parecerse a una obra protegida por derechos de autor existente, hacer que una persona verifique los hechos y compruebe la situación de los derechos antes de publicarlo
Mientras se cite una fuente, puede publicarse tal cual sin verificar los hechos del contenido
Como el resultado de la IA generativa se basa en un enorme volumen de datos de entrenamiento, su contenido siempre es exacto y nunca se parece a una obra protegida existente, así que puede publicarse tal cual sin comprobarlo
Como un texto creado por IA generativa nunca puede plantear un problema de derechos de autor, no es necesario comprobar la situación de los derechos
RespuestaA. Como la IA generativa puede producir contenido de apariencia verosímil que no es real, y su resultado puede parecerse a una obra protegida por derechos de autor existente, hacer que una persona verifique los hechos y compruebe la situación de los derechos antes de publicarlo
La IA generativa puede producir alucinaciones (ハルシネーション), frases de apariencia verosímil que no se basan en hechos, así que su resultado nunca debe tratarse como correcto tal cual. También puede ocurrir que el resultado se parezca a una obra protegida por derechos de autor (著作物) existente, y publicarlo o venderlo tal cual crea el riesgo de infringir derechos. Por lo tanto, una persona debe verificar los hechos y comprobar los derechos y las condiciones de uso antes de publicarlo. Basarse en datos de entrenamiento no lo hace exacto, y citar una fuente no sustituye a la verificación de los hechos.
Pregunta 29 | Una decisión de inversión
Para cierto activo de información, la pérdida por un incidente se estima en 20 millones de yenes por cada ocurrencia, con una probabilidad anual del 10%. ¿Cuál de las siguientes es la forma más adecuada de pensar, desde el punto de vista de la dirección, sobre el costo de una contramedida para evitar este incidente?
La pérdida anual esperada asciende a 2 millones de yenes, así que debe compararse con el costo anual de la contramedida para juzgar si la inversión vale la pena; salvo que todo lo que implique vidas humanas o el cumplimiento de la ley no debe decidirse solo por la relación costo-beneficio
La pérdida anual esperada asciende a 2 millones de yenes, pero, sin importar el monto, el costo de la contramedida debe fijarse siempre en los 20 millones de yenes completos, igual que la pérdida por ocurrencia, sin considerar la relación costo-beneficio
Mientras la probabilidad de ocurrencia no sea del 100%, el incidente puede tratarse como algo que no ocurrirá, así que no se necesita ninguna contramedida
Como las medidas de seguridad son un costo que no genera ingresos, no debe gastarse nada en ellas
RespuestaA. La pérdida anual esperada asciende a 2 millones de yenes, así que debe compararse con el costo anual de la contramedida para juzgar si la inversión vale la pena; salvo que todo lo que implique vidas humanas o el cumplimiento de la ley no debe decidirse solo por la relación costo-beneficio
La pérdida anual esperada (想定損失額) puede estimarse aproximadamente como la pérdida por ocurrencia multiplicada por la probabilidad anual de ocurrencia: 20,000,000 × 10% = 2,000,000 yenes. El enfoque básico es comparar cuánto reduciría esta pérdida esperada una contramedida con el costo anual de esa contramedida, para juzgar si la inversión vale la pena. Gastar siempre el monto total de la pérdida o no gastar nada en absoluto no es racional en ningún caso, y juzgarla innecesaria solo porque la probabilidad no es del 100% también es incorrecto. Dicho esto, una contramedida que implique vidas humanas o el cumplimiento de la ley no debe decidirse solo por la relación costo-beneficio (費用対効果).
Pregunta 30 | KGI y KPI
Para informar a la dirección en forma numérica sobre el estado de las iniciativas de seguridad de la información, se fijan un KGI, un CSF y un KPI. ¿Qué combinación es la más adecuada?
El KPI es un indicador secreto que solo conoce la dirección y no se muestra al departamento a cargo
Fijar como KGI «cero incidentes graves», como CSF «elevar la conciencia de seguridad de todos los empleados» y como KPI aspectos como «la tasa de apertura en el simulacro» o «el número medio de días para corregir una vulnerabilidad»
KGI, CSF y KPI son todos indicadores de resultado final, así que se escribe tres veces el mismo contenido para expresarlos
Fijar como KGI «una tasa de apertura del 5% o menos en el simulacro de correos de ataques dirigidos», como CSF «repetir el simulacro cada año» y como KPI «llevar a cero el número de incidentes graves»
RespuestaB. Fijar como KGI «cero incidentes graves», como CSF «elevar la conciencia de seguridad de todos los empleados» y como KPI aspectos como «la tasa de apertura en el simulacro» o «el número medio de días para corregir una vulnerabilidad»
Un KGI (重要目標達成指標) es el indicador de resultado final que se debe alcanzar, un CSF (重要成功要因) es el factor crítico de éxito decisivo para lograrlo, y un KPI (重要業績評価指標) es un indicador intermedio que mide el avance. En consecuencia, «cero incidentes graves» como resultado final se coloca como KGI, elevar la conciencia como factor de éxito se coloca como CSF, y la tasa de apertura en el simulacro o el número medio de días para corregir una vulnerabilidad, que miden cómo va ese avance, se colocan como KPI. La combinación que intercambia el KGI y el KPI es incorrecta. Los tres son indicadores distintos con funciones diferentes, y el KPI es algo que debe compartirse con el departamento a cargo para que pueda mejorar su actividad diaria.
Práctica: responda las preguntas de esta página
Es una herramienta de práctica con preguntas en orden aleatorio (funciona si JavaScript está activado). Aun sin ella, puede leer todas las preguntas y explicaciones de arriba.
* Las explicaciones son información con fines de estudio. El contenido y el sistema de los exámenes cambian cada año, así que consulta siempre los anuncios oficiales de la entidad organizadora.
Esta página es una traducción del texto original en japonés. Si hay diferencias entre la traducción y el original, prevalece la versión en japonés. Esta traducción se ha hecho con IA y puede contener errores.Informar de un error de traducciónVer el original en japonés