Prácticas de activos de información y riesgos

La empresa A es una empresa de venta de equipos industriales con 120 empleados. B, del departamento de ventas, ha sido nombrado líder de seguridad de la información del departamento y está elaborando por primera vez el inventario de activos de información del departamento de ventas. El departamento de ventas tiene los datos de contacto de los representantes de clientes registrados en el sistema de gestión de clientes, contratos en papel, tarjetas de presentación recogidas en ferias comerciales, archivos de cotizaciones en Excel, computadoras portátiles prestadas por la empresa y un servicio en la nube de apoyo a las ventas. Cuando B consultó al departamento de sistemas de información, le dijeron: «Sabemos lo que hay en los servidores, pero no conocemos la información que el departamento tiene por su cuenta». ¿Qué debe hacer B primero al elaborar el inventario?

1. Informar al comité de seguridad de la información de que el inventario no se ha hecho, y esperar instrucciones para toda la empresa antes de hacer nada
2. Transcribir directamente la lista de servidores gestionados por el departamento de sistemas de información como inventario del departamento de ventas
3. Decidir las valoraciones de confidencialidad, integridad y disponibilidad solo para los datos guardados en el sistema de gestión de clientes
4. Identificar todo lo que el departamento de ventas maneja en su trabajo, sin distinguir entre datos electrónicos, papel, equipos o servicios externos

B, del departamento de ventas de la empresa A, identificó la información del departamento y elaboró la primera versión del inventario de activos de información. El departamento de ventas maneja los datos de contacto de clientes registrados en el servidor de gestión de ventas, los contratos originales guardados en el archivo del tercer piso, las tarjetas de presentación recogidas en ferias y visitas, y una plantilla de cotización colocada en una carpeta compartida. B rellenó para cada activo las columnas de departamento usuario, responsable de gestión, lugar de almacenamiento, medio y número de registros. Para las tarjetas de presentación, como le dijeron que «cada empleado recibe y guarda las suyas», B lo registró así. Antes de entregar el inventario terminado a su superior, B está comprobando si hay algún problema en cómo se registró. ¿Qué entrada de este inventario es la que más necesita corregirse?

No  資産名          利用部門  管理責任者    保管場所          媒体  件数1   顧客連絡先一覧  営業部    営業部長      販売管理サーバ    電子  8,4002   契約書原本      営業部    営業事務課長  3階書庫(施錠)     紙    1,2003   受領した名刺    営業部    営業部全員    各自の名刺入れ    紙    不明4   見積書ひな形    営業部    営業企画課長  部門共有フォルダ  電子  40

1. No. 4 — Un activo que nunca se saca fuera de la empresa no necesita registrarse en el inventario
2. No. 1 — Un activo con un número elevado de registros siempre debe dividirse en varias filas, una por cada cantidad
3. No. 3 — El responsable de gestión no está identificado como una persona concreta, y no se controlan ni el lugar de almacenamiento ni el número de registros
4. No. 2 — Los documentos en papel están fuera del alcance de un inventario de activos de información, así que esta fila debe eliminarse de él

En la empresa A, la información de clientes que introduce el departamento de ventas al recibir un pedido la usa el departamento de logística para confirmar la dirección de entrega y el departamento de contabilidad para emitir facturas. La información de clientes se guarda en un sistema de gestión de ventas que opera el departamento de sistemas de información. Al elaborar el inventario de activos de información, los departamentos no se ponen de acuerdo sobre quién debe ser el responsable de gestión de esta información de clientes. Logística y contabilidad afirman cada uno que «solo la usan», mientras que el departamento de sistemas de información dice que «solo tiene el servidor y no conoce el contenido». ¿Cuál es la forma más adecuada de decidir el responsable de gestión?

1. Nombrar responsable de gestión al jefe del departamento de sistemas de información, que opera el sistema que guarda la información, e indicar junto a él en el inventario a ventas, logística y contabilidad como departamentos usuarios
2. Nombrar responsable de gestión al responsable del departamento de ventas, que genera la información en el curso de su trabajo y responde de su contenido y su ámbito de uso, e indicar junto a él en el inventario a logística y contabilidad como departamentos usuarios
3. Registrar conjuntamente como responsable de gestión a los responsables de los tres departamentos usuarios, que decidirán por consenso
4. No designar un responsable de gestión y registrar en el inventario solo los departamentos usuarios

La empresa A ha decidido actualizar su inventario de activos de información durante una revisión anual del inventario cada marzo. En este año fiscal, en el departamento de ventas, la persona a cargo del sistema de gestión de clientes cambió en un traslado de personal en abril. En junio se introdujo un nuevo servicio en la nube de apoyo a las ventas, que empezó a almacenar el historial de negociaciones. En septiembre se trasladaron 1,000 contratos en papel del archivo interno a un almacén externo. En noviembre se marchó un empleado con contrato temporal, y otro empleado se hizo cargo de los archivos de cotizaciones que esa persona manejaba. B piensa: «La revisión anual del inventario es en marzo, así que el inventario puede quedarse como está hasta entonces». ¿Cuál de las siguientes es la crítica más adecuada a este razonamiento?

1. La información almacenada en un servicio en la nube la gestiona el proveedor, así que no necesita figurar en el inventario propio de la empresa
2. El inventario solo necesita actualizarse cuando se reemplaza un sistema; un traslado de personal o un cambio de lugar de almacenamiento quedan fuera del alcance de una actualización
3. El inventario debe actualizarse en cuanto cambia un activo, y la revisión anual del inventario debe considerarse la ocasión para rellenar cualquier hueco general
4. El inventario es un registro del momento en que se elaboró, así que una vez finalizado nunca debe modificarse, y al año fiscal siguiente debe hacerse uno nuevo desde cero

B, del departamento de ventas de la empresa A, identificó los activos de información mediante una encuesta interna. Las respuestas reunidas solo abarcaban tres cosas: los datos del sistema de gestión de clientes, las propuestas de una carpeta compartida y los contratos del archivo. Pero al recorrer el departamento en persona, B encontró a un empleado que guardaba un archivo Excel con una lista de clientes en el escritorio de su portátil prestada, a un empleado que guardaba propuestas en un servicio gratuito de almacenamiento en la nube contratado a título personal y las editaba desde casa, a un empleado que guardaba en un cajón un fajo de tarjetas de presentación recogidas en ferias, y a un empleado que conservaba una memoria USB heredada de un compañero que había dejado la empresa. Nada de esto aparecía en las respuestas de la encuesta. ¿Cuál de las siguientes es la respuesta más adecuada para B?

1. Como las tarjetas de presentación y la memoria USB son poca cantidad, registrarlas juntas como una sola entrada llamada «otros» sin contarlas
2. Añadir al inventario también la información encontrada mediante la comprobación in situ, y revisar el método de identificación para que no dependa solo de la autodeclaración
3. Considerar terminado el trabajo de identificación una vez redactada una nueva norma que prohíba el uso de almacenamiento gratuito en la nube
4. Incluir en el inventario solo los activos escritos en la encuesta, y tratar todo lo demás como pertenencias personales gestionadas por cada individuo

B, del departamento de ventas de la empresa A, elaboró el inventario de activos de información del departamento y le han pedido que compruebe si hay algún activo que no se esté gestionando adecuadamente. Su superior le dijo: «No hay tiempo para comprobarlo todo a la vez, así que mire primero los de mayor riesgo». El inventario registra para cada activo el medio, el lugar de almacenamiento, el número de registros y si puede sacarse fuera. B piensa que el estado de la gestión puede leerse a partir de las propias entradas y está comparando filas. A continuación se muestra un extracto del inventario. ¿Qué activo debe tener máxima prioridad para una comprobación in situ?

No  資産名          媒体  保管場所                    件数   持出し1   顧客連絡先一覧  電子  社内ファイルサーバ          8,400  不可2   契約書原本      紙    3階書庫(施錠)               1,200  不可3   商談メモ        電子  各自の貸与PCのデスクトップ  不明   可4   請求書控え      紙    営業部キャビネット(施錠)    3,000  不可

1. No. 1 (lista de contactos de clientes)
2. No. 3 (notas de negociación)
3. No. 4 (copias de facturas)
4. No. 2 (contratos originales)

C, jefe de equipo del departamento de ventas de la empresa A, dejará la empresa a finales del mes que viene. C ha guardado el historial de negociaciones con 20 empresas clientes en una carpeta local de una portátil prestada y en la bandeja de entrada de su correo de trabajo, y solo una parte está en la carpeta compartida del departamento. C también guarda en un cajón de su escritorio una memoria USB con planos que le confió un cliente. Como su superior le ha dicho que «termine el traspaso antes de la baja», B, como líder de seguridad de la información, necesita organizar el procedimiento. ¿Qué debe hacer B primero?

1. Reinicializar la portátil que usó C el último día de trabajo, y desechar la memoria USB prestada sin comprobar su contenido
2. Identificar y enumerar la información que C tiene en el curso de su trabajo, y confirmar con el responsable de gestión cuál de ella debe traspasarse como activo de información
3. Hacer que el superior lea toda la bandeja de entrada del correo de trabajo de C y reenvíe uno por uno a la carpeta compartida del departamento los mensajes que parezcan necesarios
4. Desactivar de inmediato todas las cuentas internas prestadas a C, para que C no pueda usar ningún sistema interno hasta el último día de trabajo

En el departamento de ventas de la empresa A, un empleado se había registrado, por razones de eficiencia, en un servicio de encuestas en línea con un plan gratuito. Este servicio se usó para recoger los nombres, nombres de empresa y direcciones de correo electrónico de los visitantes de una feria comercial, que luego se usaron para la actividad de ventas. No se había presentado ninguna solicitud de uso al departamento de sistemas de información, y solo unas pocas personas del departamento sabían siquiera que existía. Cuando B lo encontró durante la identificación de los activos de información, ya se habían recogido unos 600 registros. La pantalla de administración del servicio estaba configurada para que dos empleados pudieran iniciar sesión con cuentas personales. ¿Cuál de las siguientes es la respuesta más adecuada para B?

1. Como el plan gratuito no tiene costo, no registrarlo en el inventario y dejar que su uso continúe tal cual
2. Poner los nombres de los dos titulares de las cuentas en la columna del responsable de gestión y dejar toda la gestión posterior en manos de esas dos personas
3. Eliminar de inmediato toda la información personal recogida y cancelar el servicio, omitiendo tanto un informe interno como un registro en el inventario
4. Registrar en el inventario la información que se recoge y su uso, tramitar el proceso interno de solicitud y comprobar las medidas de control de seguridad del proveedor

A partir de este año fiscal, la empresa A ha decidido elaborar un inventario de activos de información en cada departamento, y el departamento de asuntos generales celebró una sesión informativa. Después de la sesión, varios empleados preguntaron a B, del departamento de ventas: «¿Hasta dónde llega el inventario a la hora de considerar algo un activo de información?». El departamento de ventas tiene una base de datos de clientes, contratos en papel, portátiles y teléfonos inteligentes prestados, software de cotizaciones y un servicio externo en la nube de apoyo a las ventas. También existe un conocimiento práctico sobre negociación y descuentos que solo conocen los empleados veteranos. Un empleado sostuvo que «los equipos que figuran en el inventario de equipos de la empresa no deberían contar como activos de información», mientras que otro dijo que «los datos en la nube pertenecen al proveedor». ¿Qué explicación del alcance de los activos de información es la más adecuada?

1. Solo cuentan como activos de información las cosas cuyo valor monetario puede estimarse; las que no pueden estimarse, como el conocimiento práctico que tiene una persona, quedan fuera del alcance
2. Los datos electrónicos, los documentos en papel, los equipos, el software, los servicios externos y el conocimiento que tienen las personas se tratan todos como activos de información siempre que tengan valor para el negocio
3. Solo son activos de información las cosas que la empresa posee y guarda internamente; la información almacenada en un servicio externo en la nube y el conocimiento que tienen las personas no se incluyen
4. Solo los datos electrónicos son activos de información; los documentos en papel, los equipos y los servicios externos no se incluyen

La empresa A tiene una regla unificada para toda la empresa para decidir la importancia de un activo de información. La confidencialidad, la integridad y la disponibilidad se valoran cada una en una escala de tres niveles: alto (3), medio (2) o bajo (1), y la regla establece que la importancia de un activo es igual a la más alta de sus tres valoraciones. B, del departamento de ventas, valoró los principales activos del departamento según esta regla y obtuvo los resultados siguientes. B quiere extraer los activos valorados con importancia «alta» para priorizar las contramedidas para ellos. Según esta regla, ¿qué combinación de activos tiene importancia «alta»?

No  資産名          機密性  完全性  可用性1   顧客連絡先一覧  高      中      中2   見積書ひな形    低      中      低3   受注データ      中      高      高4   展示会案内文    低      低      低

1. No. 2 y No. 3
2. No. 3 y No. 4
3. No. 1 y No. 2
4. No. 1 y No. 3

Para explicar a los empleados del departamento la forma de pensar detrás de las valoraciones, B, del departamento de ventas de la empresa A, usó como ejemplo una hoja de precios que indica los porcentajes de descuento por cliente. Si esta hoja de precios llegara a un competidor, pondría a la empresa en desventaja en las negociaciones de precios. Si una cifra de la hoja se reescribiera por error, podría presentarse a un cliente un precio cotizado incorrecto, que luego habría que retirar. Por otro lado, si una falla del sistema la hiciera ilegible durante aproximadamente medio día, el trabajo podría continuar usando como sustituto una copia impresa del mes anterior. ¿Cuál es la valoración más adecuada para esta hoja de precios?

1. Confidencialidad alta, integridad baja, disponibilidad alta
2. Confidencialidad baja, integridad baja, disponibilidad baja
3. Confidencialidad baja, integridad alta, disponibilidad alta
4. Confidencialidad alta, integridad alta, disponibilidad baja

En el departamento de ventas de la empresa A, las valoraciones de los activos de información se dejaron al criterio de cada empleado, y casi todos los activos terminaron valorados con «confidencialidad alta». Según la norma de tratamiento de la empresa, un activo con confidencialidad alta requiere guardarse en un archivo cerrado con llave, la aprobación de un superior para sacarlo y, cuando se comparte fuera de la empresa, cifrado más un registro de entrega. Como resultado, incluso sacar un folleto de invitación a una feria o un catálogo de productos ya publicado requería aprobación. Las solicitudes de aprobación pasaron de una docena aproximadamente al mes a casi doscientas. Al final, el superior empezó a sellar las aprobaciones sin revisar el contenido, y se descubrió que incluso la salida de la lista de clientes realmente sensible pasaba sin ninguna revisión. ¿Cuál de las siguientes es la respuesta más adecuada para B?

1. Para reducir la carga de las aprobaciones, suprimir por completo el paso de aprobación del superior para sacar elementos, sin importar la importancia, para todos los activos
2. Bajar uniformemente a «medio» la valoración de todos los activos que tiene el departamento de ventas, y simplificar en gran medida la norma de tratamiento incluso para los activos de confidencialidad alta
3. Presentar un criterio de valoración que permita juzgar según el tamaño real del impacto, rehacer las valoraciones y bajar la valoración de los activos de bajo impacto, como la información pública, para ajustarla a la realidad
4. Dejar las valoraciones de los activos como están y cambiar, en todos los casos, el aprobador de la salida de elementos del superior al propio empleado que de hecho los saca fuera de la empresa

La empresa A tiene una norma de tratamiento vinculada a la importancia de un activo de información. El jefe de ventas ha pedido a B, del departamento de ventas, que proporcione una lista de contactos de clientes, valorada con importancia «alta», a una agencia externa para una campaña conjunta con un socio comercial. Existe un contrato de servicios con la agencia, pero B no ha comprobado si incluye una cláusula de confidencialidad. El jefe de ventas ha dicho: «La campaña empieza pronto, así que dese prisa, por favor». A continuación se muestra un extracto de la norma de tratamiento. ¿Qué debe hacer B primero?

重要度  保管                  持出し        社外共有                廃棄高      施錠書庫または暗号化  上長承認必須  契約と部門長承認が必要  溶解またはデータ消去の記録中      施錠書庫              上長承認必須  上長承認が必要          溶解またはデータ消去低      指定なし              承認不要      承認不要                一般廃棄可

1. Cambiar la importancia de la lista de contactos de clientes a «media» para que pueda proporcionarse solo con la aprobación de un superior
2. Como reducir a 100 registros la cantidad proporcionada bajaría la importancia, crear una versión extractada y proporcionarla sin aprobación
3. Comprobar si el contrato con la agencia contiene una cláusula de confidencialidad, y tramitar la obtención de la aprobación del jefe de departamento
4. Enviarla a la persona de contacto de la agencia como archivo comprimido protegido con contraseña, y comunicar la contraseña en un mensaje aparte

En el departamento de ventas de la empresa A, el archivo de informes de actividad de ventas se valoró con importancia «baja» con el argumento de que era «solo un documento que se comparte internamente», y se colocó en una carpeta compartida que cualquier empleado podía editar. A veces el informe registra el nombre y el cargo de la persona visitada junto con el contenido de la reunión y las condiciones comerciales con otras empresas. Un día, un empleado temporal cometió un error de operación y copió la carpeta de informes en la carpeta compartida de toda la empresa, dejándola visible durante dos semanas para todos los empleados de otros departamentos. Tras este hecho, B tiene que revisar la valoración. ¿Qué enfoque de la revisión es el más adecuado?

1. Rehacer la valoración según el impacto si se filtrara la información contenida en el informe, y aplicar una regla de tratamiento que eleve la valoración de confidencialidad cuando incluya información de alto impacto, como condiciones comerciales
2. Como el informe se actualiza a diario y su contenido cambia continuamente, excluirlo por completo de la valoración
3. Como la causa esta vez fue el error de operación del empleado temporal, dejar sin cambios la valoración del informe y evitar la recurrencia eliminando la cuenta de esa persona
4. Basta con revisar los derechos de acceso de la carpeta compartida de toda la empresa para que el personal de otros departamentos no pueda ver el informe, así que la valoración de confidencialidad del informe se deja como está

La empresa A ha establecido como criterio de valoración de la confidencialidad: «la información que, si se filtrara, podría generar una obligación legal de notificación o una reclamación de daños se valora como alta», «la información ya publicada se valora como baja» y «la información que no encaja en ninguna de las dos se valora como media». En el departamento de ventas, cada empleado valoró una parte de los activos y B recopiló los resultados. En el proceso, B sospecha que el criterio puede haberse aplicado de forma incoherente entre los empleados, sobre todo en lo que respecta a si la información se recogió en un evento externo. A continuación se muestran los resultados de la valoración del departamento de ventas. ¿Cuál de estas valoraciones debe corregirse según el criterio?

No  資産名                  含まれる情報                                機密性の評価1   顧客連絡先一覧          顧客担当者の氏名・電話番号・メールアドレス  高2   展示会来場者アンケート  来場者の氏名・勤務先・メールアドレス        低3   契約書原本              取引条件・押印済みの署名                    高4   製品カタログ(公開版)    公開済みの製品仕様と価格                    低

1. No. 1 (la lista de contactos de clientes del departamento de ventas)
2. No. 4 (catálogo de productos publicado actualmente en la web)
3. No. 3 (contratos originales)
4. No. 2 (encuesta a los visitantes de la feria)

En la empresa A, cada departamento valoraba los activos de información con sus propios términos: ventas usaba «importante / normal / menor», fabricación usaba «A / B / C» y contabilidad usaba «una escala de 5 niveles del 1 al 5». Cuando una apreciación del riesgo de toda la empresa intentó comparar entre departamentos, resultó imposible juzgar a qué activo había que dar prioridad para las contramedidas. También se descubrió que incluso la misma palabra, «importante», se aplicaba con razonamientos distintos según el departamento. ¿Cuál de las siguientes es la propuesta más adecuada para B, que actúa como secretaría del comité de seguridad de la información?

1. Definir, para toda la empresa, tanto los niveles de valoración como los criterios (el impacto de una fuga, una alteración o la pérdida de uso) para asignar algo a cada nivel, y hacer que cada departamento rehaga sus valoraciones con el mismo criterio
2. Hacer que el departamento de sistemas de información realice por su cuenta la valoración de toda la empresa, sin implicar a cada departamento en la valoración
3. Estandarizar la notación de todos los departamentos en la escala más fina de 5 niveles de contabilidad, dejando como antes a criterio de cada departamento los criterios sobre en qué nivel cae algo
4. Dejar como está la notación de valoración de cada departamento, y hacer que cada uno elija sus tres primeros para que sirvan como lista de contramedidas de toda la empresa

En el departamento de ventas de la empresa A, los datos de pedidos se introducen en el sistema de gestión de ventas, y las instrucciones de envío y la facturación se basan todas en estos datos. Si el sistema se detiene, ese día no pueden salir los envíos; una interrupción de un día completo desplaza al mes siguiente unos 20 millones de yenes de ventas y además provoca retrasos en las entregas a los clientes. Por otro lado, una carpeta compartida con notas de negociaciones anteriores no causa ninguna alteración importante del trabajo diario aunque no esté disponible durante una semana. Las notas de negociación también tienen más registros que los datos de pedidos. B tiene que decidir la valoración de disponibilidad de ambos. ¿Qué forma de pensar es la más adecuada?

1. La disponibilidad es un asunto que debe decidir el departamento de sistemas de información, que opera el sistema, y el departamento de ventas, como departamento usuario, debe abstenerse de participar en la valoración
2. Como ambos son información que se usa habitualmente en el trabajo interno, fijar la misma valoración de disponibilidad para los dos
3. Corregir y fijar para las notas de negociación, que tienen más registros, una valoración de disponibilidad más alta que la de los datos de pedidos
4. Valorar según cuánto trabajo se detiene cuando algo deja de poder usarse y cuánto tiempo de interrupción puede tolerarse, dando alta a los datos de pedidos y baja a las notas de negociación

En el departamento de ventas de la empresa A, la lista de contactos de clientes se guarda en el servidor de archivos interno, configurado para que todos los empleados puedan acceder a ella. El mes pasado se descubrió que la cuenta de un empleado que había dejado la empresa no se había eliminado. Los empleados también consultan el mismo archivo desde fuera de la oficina mediante una VPN en sus portátiles de la empresa. B está empezando una apreciación del riesgo de este activo, comenzando por la identificación del riesgo. ¿Cuál de las siguientes es la tarea más adecuada para realizar como identificación del riesgo?

1. Combinar las amenazas a la lista de contactos de clientes (acceso no autorizado, fraude interno, pérdida, etc.) con las vulnerabilidades que podrían aprovecharse (una cuenta innecesaria que sigue existiendo, privilegios concedidos en exceso, etc.) para identificar los hechos que podrían ocurrir
2. Estimar el costo de una contramedida para cada riesgo identificado, aplicar las que quepan en el presupuesto empezando por la más barata y registrar su estado de implementación
3. Eliminar de inmediato la cuenta que sigue existiendo del empleado que dejó la empresa en la lista de contactos de clientes, restringir los derechos de acceso de todos los empleados a lo necesario para su trabajo, y dar por terminada en ese momento toda la secuencia de trabajo sobre este activo
4. Estimar la probabilidad y el grado de impacto para la lista de contactos de clientes, multiplicarlos para calcular el tamaño del riesgo y compararlo con los criterios de aceptación

La empresa A ha definido en su normativa un método para calcular el nivel de riesgo y un criterio de aceptación. El nivel de riesgo es el producto de «probabilidad (alta 3, media 2, baja 1) × impacto (alto 3, medio 2, bajo 1)». Un producto de 6 o más se trata como un riesgo inaceptable que debe abordarse con prioridad. B, del departamento de ventas, analizó los riesgos del departamento con este método y obtuvo los resultados siguientes. Su superior ha dicho: «Quiero reducirlo a un solo punto y avanzar primero con una contramedida». Según este criterio, ¿qué riesgo debe abordarse con prioridad?

No  リスク                          発生可能性  影響度  積1   顧客連絡先一覧の外部への漏えい  低(1)       高(3)   32   退職者アカウントによる不正閲覧  中(2)       高(3)   63   紙の契約書の紛失                中(2)       中(2)   44   展示会案内文の誤送信            高(3)       低(1)   3

1. No. 2 (consulta no autorizada mediante la cuenta de un empleado que dejó la empresa)
2. No. 3 (pérdida de un contrato original en papel)
3. No. 4 (envío erróneo de una invitación a una feria a un destinatario equivocado)
4. No. 1 (una fuga externa a gran escala de la lista de contactos de clientes)

En el departamento de ventas de la empresa A se celebró una reunión para decidir la política de tratamiento del riesgo a la vista de los resultados de la apreciación del riesgo. Asistieron el jefe de ventas, B y un representante del departamento de sistemas de información. La discusión dio como resultado un tipo de tratamiento distinto para cada uno de cuatro riesgos. B necesita clasificar las decisiones por tipo de tratamiento del riesgo para informar al comité de seguridad de la información de toda la empresa. A continuación se muestran las decisiones. Si cada tratamiento se clasifica como evitar el riesgo, reducir el riesgo, transferir el riesgo o retener el riesgo (aceptación), ¿qué combinación es correcta?

No  リスク                      決めた対応1   展示会での名刺収集時の紛失  名刺の収集をやめ、来場者情報は取引先経由でのみ受け取る2   ファイルサーバへの不正侵入  アクセス権の見直しと多要素認証の導入を行う3   サイバー攻撃による損害賠償  サイバー保険に加入する4   社内掲示板の記載誤り        影響が小さいため対策は行わず、記録を残して年次で再評価する

1. 1 = evitar, 2 = reducir, 3 = transferir, 4 = retener
2. 1 = transferir, 2 = reducir, 3 = evitar, 4 = retener
3. 1 = reducir, 2 = evitar, 3 = retener, 4 = transferir
4. 1 = evitar, 2 = transferir, 3 = reducir, 4 = retener

En el departamento de ventas de la empresa A se aplicó una medida de reducción, como la revisión de los derechos de acceso, al riesgo de fuga de la lista de contactos de clientes, pero el nivel de riesgo quedó apenas un poco por encima del criterio de aceptación. Se está considerando como medida adicional introducir un sistema dedicado de gestión de extracción de datos, pero costaría 8 millones de yenes al año. Por otro lado, la pérdida esperada de este riesgo se estima en alrededor de 1 millón de yenes al año. B está pensando cómo tratar el riesgo restante. ¿Qué respuesta es la más adecuada?

1. Como supera el criterio de aceptación, siempre debe aplicarse una contramedida adicional, sin importar el costo
2. Cambiar el método de cálculo del nivel de riesgo y rehacer la evaluación para que quede dentro del criterio de aceptación
3. Ordenar la relación costo-beneficio y la naturaleza del riesgo restante, explicarlo a las personas del nivel directivo que tienen la responsabilidad y registrarlo como riesgo residual una vez obtenida su aprobación
4. Como el costo no compensa, B, como líder de seguridad de la información, decide por su cuenta aceptar el riesgo, sin dejar ningún registro en particular

La empresa A realiza una apreciación del riesgo cada abril. En este año fiscal, en junio se introdujo un nuevo servicio en la nube de apoyo a las ventas, que empezó a almacenar información de clientes. En septiembre entró en vigor una reforma de la ley que regula el tratamiento de la información personal. En noviembre se produjo un incidente de infección por malware en otro departamento, y se emitió una alerta para toda la empresa. En enero se fusionaron el departamento de ventas y el departamento de planificación de ventas, lo que cambió el responsable de gestión y el ámbito de autoridad. B piensa: «La próxima apreciación es en abril, así que los resultados actuales pueden mantenerse hasta entonces». ¿Cuál de las siguientes es la crítica más adecuada a este razonamiento?

1. La introducción de un nuevo servicio, una reforma legal, la ocurrencia de un incidente y un cambio organizativo son todos hechos que cambian las premisas de la apreciación y requieren una revisión cada vez
2. Responder a una reforma legal es trabajo del departamento jurídico, no un motivo para revisar la apreciación del riesgo del departamento de ventas
3. Un incidente ocurrido en otro departamento no tiene nada que ver con este departamento, así que no es motivo para una revisión
4. Como se decidió que la apreciación del riesgo se haga una vez al año, los cambios que se produzcan durante el año pueden simplemente incorporarse todos juntos en la próxima apreciación, sin necesidad de una revisión cada vez

B, del departamento de ventas de la empresa A, está realizando la primera apreciación del riesgo del departamento. Tiene a mano un inventario de activos de información terminado la semana pasada, que registra el nombre de cada activo, el responsable de gestión, las valoraciones de confidencialidad/integridad/disponibilidad y la importancia. Su superior ha dicho: «Como el tiempo disponible es limitado, quiero abordar primero los puntos de mayor prioridad». La empresa tiene una normativa que define un método para calcular el nivel de riesgo y un criterio de aceptación. ¿Qué debe hacer B a continuación?

1. Empezando por los activos de mayor importancia, identificar los riesgos a partir de combinaciones de amenaza y vulnerabilidad, y calcular los niveles de riesgo a partir de la probabilidad y el impacto
2. Reunir ejemplos de incidentes que ocurrieron en otras empresas y aplicar las mismas contramedidas de manera uniforme a todos los activos
3. Prescindir del criterio de aceptación y aplicar la primera contramedida que se le ocurra
4. Para todos los activos del inventario, pedir cotizaciones de productos de contramedidas a varios proveedores y comparar costo y eficacia

En el departamento de ventas de la empresa A se elaboró un plan de tratamiento del riesgo a partir de los resultados de la apreciación del riesgo. La plantilla del plan registra, para cada riesgo, la contramedida, la persona responsable, el plazo y cómo se tratará el riesgo residual que quede tras la implementación. El propietario de cada riesgo redactó su propia parte y B las recopiló. Al recopilarlas, B notó que algunas filas se habían entregado en blanco o con una redacción poco clara. A continuación se muestra un extracto del plan elaborado. ¿Qué entrada de este plan es la que más necesita corregirse?

No  リスク                      対応策                        責任者            期限            残留リスクの扱い1   退職者IDによる不正閲覧      退職手続にID即時停止を組込み  営業事務課長      10月末          受容し記録する2   紙の契約書の紛失            施錠書庫での保管と持出し記録  営業部長          11月末          受容し記録する3   ノートPC紛失時の情報漏えい  全台のディスク暗号化          情報システム部長  12月末          受容し記録する4   顧客情報の誤送信            注意喚起の周知                未定              できるだけ早く  未検討

1. No. 4 — No se han decidido ni la persona responsable ni el plazo, y también está sin decidir cómo se tratará el riesgo residual
2. No. 2 — La persona responsable se ha fijado en el nivel de jefe de departamento, un puesto demasiado alto para que esto sea eficaz
3. No. 3 — La persona responsable asignada es un jefe de un departamento completamente distinto, no de ventas
4. No. 1 — La contramedida se basa únicamente en un procedimiento operativo en lugar de un medio técnico

En el departamento de ventas de la empresa A se está considerando una contramedida para el riesgo de fuga de información por la pérdida de una portátil que almacena información de clientes. La pérdida esperada si se produce una fuga es de 5 millones de yenes por incidente y, según la experiencia pasada, se espera una pérdida aproximadamente una vez cada cinco años, es decir, 0.2 veces al año. La opción A es introducir un software de cifrado de disco, con un costo de 300,000 yenes al año, que evita casi por completo una fuga aunque se pierda la portátil. La opción B es reemplazar todas las portátiles que se sacan fuera por un modelo con funciones antipérdida, con un costo de 4 millones de yenes al año. La opción C es no tomar ninguna contramedida y, en su lugar, pagar al cliente una compensación de disculpa cuando se produzca una pérdida, con un desembolso anual esperado de 1 millón de yenes. ¿Cuál de los siguientes es el contenido más adecuado que B debe explicar en la reunión de dirección?

1. Como el tamaño de un riesgo no puede expresarse en términos monetarios en primer lugar, debe prescindirse por completo de comparar la relación costo-beneficio de las contramedidas
2. Como el costo de todas las contramedidas supera la pérdida anual esperada, no debe aplicarse ninguna, y simplemente debe elegirse la opción C tal cual
3. La pérdida anual esperada es de 1 millón de yenes, y la opción A, que evita casi por completo una fuga por 300,000 yenes al año, es la mejor en términos de relación costo-beneficio
4. Debe elegirse la opción B, la contramedida más fuerte, y no es necesario dar especial peso al tamaño de su costo anual de 4 millones de yenes