Uso de TI en las operaciones de la empresa

B, que ejerce como líder de seguridad de la información del departamento de contabilidad de la empresa A, está a cargo de la revisión anual de los derechos de acceso a las carpetas compartidas del departamento. B recibió del departamento de sistemas de información la lista de la configuración actual. El departamento de ventas necesita consultar la carpeta de facturas para comprobar el estado de cobro de los clientes que atiende cada empleado. El encargado de nóminas del departamento de recursos humanos necesita acceso de escritura a la carpeta de nóminas para calcular los salarios. El departamento de contabilidad elabora facturas y asientos contables, y para cada uno necesita acceso de escritura. En la carpeta de nóminas se guardan el importe del salario de todos los empleados y documentos relacionados con su Número Individual (My Number). A la luz del principio de mínimo privilegio, ¿qué configuración debería B pedir que se corrija en primer lugar?

行 フォルダ        利用者グループ  権限1  /経理/請求書    経理部          読み書き2  /経理/請求書    営業部          読み取り3  /経理/仕訳      経理部          読み書き4  /人事/給与      人事部給与担当  読み書き5  /人事/給与      全従業員        読み取り

1. Fila 3. Cambiar el acceso de lectura y escritura del departamento de contabilidad a la carpeta de asientos contables para que solo esté activo a fin de mes
2. Fila 5. Suprimir la posibilidad de que todos los empleados consulten la carpeta de nóminas y limitarla a los encargados de nóminas de recursos humanos que la necesitan para su trabajo
3. Fila 1. Que el departamento de contabilidad tenga acceso de lectura y escritura a la carpeta de facturas es un privilegio excesivo, así que debe cambiarse a solo lectura
4. Fila 2. Suprimir la posibilidad de que el departamento de ventas consulte la carpeta de facturas y hacer que pregunte al departamento de contabilidad cada vez que lo necesite

En la empresa A, la emisión de ID de usuario para el sistema de la empresa está a cargo de una sola persona, C, del departamento de sistemas de información. Con el procedimiento actual, cuando llega una solicitud por correo electrónico desde un departamento, C la revisa, juzga que es necesaria y la registra directamente en el sistema. Los correos de solicitud llegan dirigidos personalmente a C, y no existe ninguna norma que obligue a conservar un registro. En una auditoría interna reciente se descubrió que se había registrado un ID de un usuario inexistente, pero no se pudo rastrear a partir de la solicitud de quién se había creado. C lleva muchos años trabajando con diligencia y nadie sospecha de C personalmente. Al revisar este procedimiento, ¿cuál es la respuesta más adecuada?

1. Revisar el procedimiento de emisión de ID de usuario para que el jefe del departamento lo solicite, un responsable de gestión de la información lo apruebe y otro empleado distinto realice el registro, conservando un registro de la solicitud, la aprobación y el alta
2. Hacer que los correos de solicitud se dirijan al buzón compartido del departamento de sistemas de información en lugar de a una persona, y conservar los correos recibidos durante un año de forma que se puedan buscar
3. Hacer que C presente un compromiso escrito sobre la confidencialidad y el desempeño correcto de sus funciones, y que reciba una formación en seguridad de la información una vez al año
4. Para reducir la carga de trabajo de C, aumentar a dos el número de encargados del registro y hacer que se turnen para juzgar si una solicitud es válida y para realizar el registro

En una tienda minorista de la empresa A, las operaciones de la caja registradora POS se hacen con un ID común para toda la tienda, “shop01”, cuya contraseña conocen los ocho empleados, incluido el gerente de la tienda. Un día, la revisión de ventas de la sede central detectó que se habían registrado repetidamente el mismo día anulaciones de ventas, que normalmente casi nunca ocurren. Cuando la sede central pidió el registro de operaciones de la tienda, se obtuvo el siguiente registro. La tienda no tiene cámara de seguridad, y el cuadro de turnos solo registra el horario de trabajo, no quién estaba en la caja. La sede central no pudo identificar quién realizó esta operación. ¿Qué debe hacerse en primer lugar para evitar que se repita?

日時              利用者ID  端末   操作2026-08-03 09:12  shop01    POS-1  売上登録2026-08-03 13:40  shop01    POS-1  売上取消2026-08-03 15:02  shop01    POS-2  売上取消2026-08-03 18:05  shop01    POS-2  売上取消

1. Reducir los terminales POS a uno solo, POS-1, y acotar de antemano el lugar y la franja horaria en que pueden realizarse operaciones de caja
2. Ampliar el período de conservación de los registros de los tres meses actuales a tres años, y revisar los registros pasados para encontrar todas las operaciones similares
3. Emitir un ID individual para cada empleado, suprimir el ID compartido y hacer posible rastrear en los registros quién realizó cada operación
4. Exigir que la contraseña del ID compartido “shop01” se cambie cada mes, y que el gerente de la tienda comunique verbalmente la nueva a todos los empleados

En la empresa A, una cuenta privilegiada con derechos de administrador sobre el sistema de la empresa está asignada de forma permanente a tres empleados del departamento de sistemas de información. Los tres también revisan el correo habitual y preparan documentos desde equipos en los que han iniciado sesión con esta cuenta privilegiada. Hace poco, uno de los tres cometió un error de operación y borró parte de los datos de producción. Se recuperaron a partir de la copia de seguridad, pero el departamento de auditoría señaló que es necesario revisar cómo se gestiona la cuenta privilegiada. Los tres necesitan derechos de administrador para tareas de mantenimiento, pero ese trabajo solo se realiza unas pocas veces al mes. ¿Cuál de las siguientes es la forma más adecuada de operar la cuenta privilegiada?

1. Mantener la cuenta privilegiada bajo la gestión conjunta de los tres como hasta ahora, pero cambiar la práctica para que, siempre que se realice trabajo de administrador, estén presentes al menos dos personas que comprueben mutuamente sus acciones, y dejar constancia de ello en un registro de trabajo
2. Mantener la cuenta privilegiada asignada a los tres tal como está, y hacer que cada uno declare por su cuenta y registre al final de cada mes el trabajo de administrador que realizó
3. No asignar la cuenta privilegiada a nadie en condiciones normales; prestarla solo tras una solicitud y una aprobación para cada tarea de mantenimiento; hacer que se devuelva y que se cambie la contraseña después; y cotejar el registro de préstamos con el registro de operaciones
4. Cambiar la contraseña de la cuenta privilegiada por una cadena compleja de 32 caracteres y guardarla en un lugar que solo puedan consultar los tres empleados

D, que pertenecía al departamento de ventas de la empresa A, fue trasladado al departamento de contabilidad con efecto a partir del 1 de abril. A petición del jefe de la sección de contabilidad, el departamento de sistemas de información otorgó a D derechos de entrada de datos en el sistema contable. En cambio, nadie solicitó que se retiraran los derechos de D sobre el sistema de gestión de clientes que se usa en el departamento de ventas, así que se quedaron como estaban. D no necesita usar el sistema de gestión de clientes en el trabajo de contabilidad. La empresa A ha seguido esta misma práctica también en el pasado, y entre los empleados con más de diez años de antigüedad hay algunos que tienen derechos en cinco departamentos distintos. ¿Cuál de las siguientes es la respuesta más adecuada a esta situación?

1. Como los derechos del departamento anterior no causan ningún daño real mientras la persona no los use, dejar las cosas como están hasta el próximo inventario anual
2. A los empleados que han acumulado derechos, entregarles una lista de los derechos que tienen actualmente y hacer que declaren por su cuenta cuáles consideran innecesarios
3. Mantener los derechos del departamento anterior durante tres meses después del traslado por si se necesitan para el traspaso de tareas, y retirarlos pasados tres meses si la persona lo solicita
4. Establecer una norma según la cual el procedimiento de traslado debe incluir en un solo paquete la retirada de los derechos del departamento anterior y la concesión de los derechos del nuevo departamento, cambiando la práctica para que se confirme la retirada antes de realizar la concesión

La empresa A realiza cada seis meses un inventario de los derechos de acceso a su sistema contable. E, líder de seguridad de la información del departamento de contabilidad, revisa la lista preparada por el departamento de sistemas de información. La lista de esta vez es la siguiente. "Otsu" fue trasladado del departamento de contabilidad al de ventas en junio, y sus derechos sobre el sistema contable ya se retiraron en ese momento; ahora Otsu solo usa el sistema del departamento de ventas. "Hei" dejó la empresa con efecto a partir del 31 de mayo, pero la lista sigue mostrando sus derechos como activos. "Tei" sigue en el departamento de contabilidad, pero está de baja por maternidad y por cuidado de hijos desde febrero, con la previsión de reincorporarse al trabajo. ¿Cuál de los siguientes asuntos debería E atender primero?

利用者ID 氏名 区分                     会計システムの権限  最終ログインu101     甲   経理部 在籍              入力                2026-08-18u102     乙   営業部 在籍(6月に異動)   なし(異動時に削除)  2026-06-28u103     丙   2026-05-31付で退職       参照(有効)          2026-05-30u104     丁   経理部 在籍(休業中)      参照                2026-02-11

1. Como u101 inicia sesión todos los días y domina las operaciones, otorgarle además de los derechos de entrada nuevos derechos de aprobación
2. Desactivar u103, e identificar y corregir la razón por la que no se llevó a cabo el procedimiento de eliminación de la cuenta cuando la persona dejó la empresa
3. Como la fecha del último inicio de sesión de u102 es antigua y no se puede confirmar un uso reciente, eliminar la propia cuenta
4. Como u104 no tiene ningún inicio de sesión registrado desde hace más de seis meses, retirarle todos los derechos que tiene y notificárselo a la persona

La empresa A exige a todos los empleados que cambien la contraseña del sistema interno cada 90 días. Una revisión de la operación reveló que muchos empleados simplemente aumentan en uno el último dígito cada vez, y que con cada cambio el departamento de sistemas de información se ve inundado de consultas por "contraseñas olvidadas". Además, la empresa A trasladó hace poco el reembolso de gastos a un servicio en la nube, lo que permite iniciar sesión desde fuera de la empresa solo con un ID y una contraseña. Una empresa competidora ha informado de inicios de sesión no autorizados desde el exterior causados por un ataque de relleno de credenciales que usaba combinaciones de ID y contraseña filtradas de otros sitios. ¿Cuál de las siguientes es la revisión más adecuada de la gestión de contraseñas?

1. Acortar el ciclo de cambio de 90 días a 30 días, y suspender automáticamente las cuentas de los usuarios que no cambien su contraseña dentro del plazo
2. Añadir el requisito de que las contraseñas incluyan al menos un símbolo, mantener el cambio periódico de 90 días como está, y seguir permitiendo el uso externo del servicio en la nube solo con un ID y una contraseña
3. Suprimir la obligación de cambio periódico, exigir una contraseña suficientemente larga que no se reutilice, introducir la autenticación multifactor para el servicio en la nube al que se accede desde fuera, y exigir un cambio inmediato si se sospecha una filtración
4. Hacer que cada persona anote su contraseña en un papel y lo guarde en su propio cajón con llave, para consultarla allí si la olvida

F, líder de seguridad de la información de la empresa A, recibió del departamento de sistemas de información un material que muestra la situación actual de la gestión de registros (logs) del sistema de la empresa. La empresa A quiere usar los registros para disuadir el fraude interno y para investigar las causas cuando ocurren incidentes. Los elementos que se registran y el período de conservación cumplen los requisitos establecidos en el reglamento interno. Las inspecciones no las realiza el personal que opera el sistema, sino personal del departamento de auditoría interna. Se ha informado a todos los empleados, mediante el reglamento laboral y el reglamento de seguridad de la información, de que se recopilan registros. ¿Qué punto de este material es inadecuado como salvaguarda contra el fraude interno?

項目      現在の運用取得対象  ログイン成功、ログイン失敗、権限変更、重要ファイルの参照と持出し保管期間  1年間（規程が定める要件は6か月以上）保管場所  各サーバのローカル領域。システム管理者が編集・削除できる点検      月1回。内部監査部門の担当者が実施し、結果を記録する

1. Ámbito de recopilación. También se recopilan los registros de inicios de sesión fallidos y de cambios de permisos, y el número de elementos recopilados es excesivo
2. Inspección. Una vez al mes es demasiado poco frecuente, y además toda la inspección de registros debe ser evaluada automáticamente por un mecanismo
3. Período de conservación. El reglamento exige al menos 6 meses, pero los registros se conservan un año completo, lo cual es un período de conservación excesivo
4. Lugar de almacenamiento. Si el propio administrador del sistema puede editar o borrar los registros, estos no pueden servir como prueba de un fraude cometido por el administrador

La empresa A decidió dejar de operar el sistema de apoyo a ventas que funcionaba en un servidor propio y migrar a un SaaS externo. Antes de firmar el contrato, recibió del proveedor un material que muestra la división de responsabilidades. G, líder de seguridad de la información de la empresa A, oyó en una reunión interna la opinión de que "como pasamos a la nube, a partir de ahora las medidas de seguridad pueden dejarse en manos del proveedor", y sintió la necesidad de unificar el entendimiento de todos. Tras la migración, unos 200 vendedores de la empresa A tendrán cada uno un ID de usuario, registrarán archivos con información de clientes y los compartirán con personas dentro y fuera de la empresa. El material establece la siguiente división de responsabilidades. Según esta división de responsabilidades, ¿qué debe realizar periódicamente la propia empresa A?

項目                            提供者の責任  A社の責任データセンタの設備と入退室管理  有            無サーバOSとアプリの脆弱性修正    有            無利用者IDの登録・変更・削除      無            有アクセス権と共有範囲の設定      無            有登録するデータの内容            無            有

1. Elaborar su propio plan de aplicación de parches para el sistema operativo del servidor y aplicar los parches ella misma en lugar del proveedor del servicio
2. Obtener una vez al mes los registros de entrada y salida del centro de datos, conservarlos en la empresa y prepararse para las auditorías externas
3. Hacer periódicamente un inventario de los ID de usuario y de la configuración de los derechos de acceso a los archivos y del alcance de uso compartido, y eliminar los que no sean necesarios
4. Diagnosticar periódicamente ella misma las vulnerabilidades de la aplicación que opera el proveedor y notificar por escrito los resultados al proveedor

El departamento de marketing de la empresa A usa un almacenamiento en la nube para intercambiar archivos con una productora externa. La forma de compartir se deja en manos de cada empleado, y H, líder de seguridad de la información del departamento, inspecciona la lista de configuraciones de uso compartido una vez por trimestre. La lista de esta vez es la siguiente. La fila 1 es un catálogo de productos ya publicado en el sitio web. La fila 2 es una lista de clientes que contiene los nombres, números de teléfono y direcciones de correo electrónico de los contactos de las empresas clientes. La fila 3 es un recurso compartido asignado a dos empleados concretos de la productora, con una fecha de caducidad también configurada. ¿Qué punto de esta lista debería H corregir primero?

行 フォルダ           共有範囲                        有効期限    利用目的1  製品カタログ_公開  リンクを知っている全員が閲覧可  なし        Webで一般公開中の資料2  顧客名簿_2026      リンクを知っている全員が閲覧可  なし        社内の営業活動用3  見積書_下書き      指定した相手のみ(要認証)        2026-09-30  制作会社の担当者2名と共有4  部内議事録         社内の指定グループのみ          なし        マーケ部の週次議事録

1. Fila 1. Aunque se trate de material ya público, debe prohibirse la configuración que permite verlo a cualquiera que tenga el enlace, así que debe restringirse solo al uso interno
2. Fila 3. Como se comparte con una parte externa, cancelarlo de inmediato sin esperar a la fecha de caducidad
3. Fila 2. Como la información personal de los contactos de los clientes puede verla cualquiera que simplemente conozca el enlace, cancelar este uso compartido de inmediato
4. Fila 4. Aunque sea para uso interno, el alcance de uso compartido de las actas de reunión debería limitarse únicamente a su autor

Al tabular los registros del proxy que retransmite las comunicaciones del interior de la empresa a internet, el departamento de sistemas de información de la empresa A descubrió el uso de servicios que la empresa no había aprobado. Los resultados de la tabulación son los siguientes. En las entrevistas se averiguó que el sitio de conversión de PDF lo usaba el personal de administración de ventas para unir y dividir archivos PDF de contratos, y que el software interno aprobado no podía hacer ese mismo trabajo. El sitio de traducción se usaba para traducir correos de un socio comercial extranjero. Ninguno de los empleados sabía que esto estaba prohibido por el reglamento. Como líder de seguridad de la información, ¿qué debe hacerse en primer lugar?

宛先サービス                利用者数  送信量   会社の承認承認済みクラウドストレージ  120       3.2 GB   承認済みオンラインPDF変換サイト     14        880 MB   未承認無料オンライン翻訳サイト    31        120 MB   未承認動画共有サイト              45        60 MB    未承認

1. Comprobar el uso real y la necesidad para el trabajo, preparar como empresa un medio seguro para hacer el mismo trabajo, definir en el reglamento qué servicios se pueden usar, y comunicarlo
2. Para el servicio de almacenamiento en la nube aprobado, que tiene el mayor volumen de tráfico saliente, fijar un límite máximo de uso por departamento
3. Identificar uno por uno a los usuarios, aplicar medidas disciplinarias según el reglamento laboral, y anunciarlo a toda la empresa para que no se repita
4. Bloquear de inmediato todos los destinos no aprobados, sin explicar específicamente los motivos del bloqueo ni orientar sobre medios alternativos

Al introducir el teletrabajo, la empresa A hizo posible conectarse desde fuera de la empresa, a través de un dispositivo VPN, a un servidor interno de operaciones (192.168.10.20). A los usuarios en teletrabajo se les asigna una dirección del rango 10.8.0.0/24 cuando se conectan por VPN, y el uso del servidor de operaciones se limita a HTTPS (tcp/443) mediante el navegador. El escritorio remoto (tcp/3389) del servidor de operaciones se gestiona de modo que solo lo use el personal de mantenimiento de la LAN interna (192.168.10.0/24). Las reglas del cortafuegos situado en el límite entre la LAN interna, la VPN e internet son las siguientes; se evalúan en orden de arriba abajo, y todo tráfico que no coincida con ninguna regla queda bloqueado por la denegación implícita del final. A la luz del principio de mínimo privilegio, ¿qué regla debe revisarse primero?

番号 送信元             宛先            プロトコル/ポート 動作1    192.168.10.0/24    インターネット  tcp/443           許可2    10.8.0.0/24        192.168.10.20   tcp/443           許可3    any                192.168.10.20   tcp/3389          許可4    10.8.0.0/24        192.168.10.30   tcp/445           拒否5    any                any             any               拒否（暗黙）

1. Regla 2. No identifica individualmente a los usuarios en teletrabajo, sino que concede un permiso general a nivel de red, así que esta regla debe eliminarse de inmediato
2. Regla 1. Permite todo el HTTPS desde la LAN interna hacia internet, así que existe el riesgo de que también salga tráfico innecesario para el trabajo
3. Regla 4. Deniega el uso compartido de archivos (tcp/445) desde los usuarios en teletrabajo hacia otro servidor interno (192.168.10.30), pero como también se necesita para el teletrabajo, cambiarla a permitir
4. Regla 3. Como el origen es 'any', también acepta escritorio remoto desde el lado de internet. Restringir el origen a la LAN interna

La empresa A va a cancelar el servicio en la nube de gestión de asistencia que ha usado durante 3 años y a cambiarse al servicio de otro proveedor. El servicio actual almacena los nombres, la adscripción, las horas trabajadas y los datos de origen para el cálculo de nóminas de unos 400 empleados. El contrato incluye una cláusula sobre el tratamiento de los datos al terminar el contrato. I, líder de seguridad de la información del departamento de asuntos generales, ha quedado a cargo del procedimiento de cancelación. Hay que trasladar al nuevo servicio 3 años de registros de asistencia. ¿Qué debe hacer I al cancelar?

1. De acuerdo con la cláusula del contrato, recibir la devolución de los datos propios de la empresa en un formato utilizable para la migración, y confirmar mediante un documento, como un certificado de borrado, que los datos, incluidas las copias de seguridad, se han borrado del lado del proveedor
2. Suponer que al cancelar se borran automáticamente los datos del proveedor junto con la cuenta, y realizar únicamente el procedimiento de cancelación sin ninguna confirmación especial de la devolución o del borrado
3. Hacer que los datos se queden tal cual del lado del proveedor incluso después de la cancelación, y volver a ponerlos a disposición contratando de nuevo cada vez que se necesiten los 3 años de registros
4. Abrir una por una las pantallas de administración, guardar capturas de pantalla de todas ellas, considerarlas como los 3 años de registros, y omitir tanto la solicitud de devolución de los datos al proveedor como la confirmación del borrado

La empresa A permite trabajar desde casa y trabajar fuera de la oficina, y entrega a los empleados computadoras portátiles de la empresa. Para conectarse a los sistemas internos es obligatorio usar VPN, pero las pautas concretas de comportamiento se dejaron al criterio de cada persona. J, líder de seguridad de la información, ha ido anotando las prácticas de trabajo reales que comunican los empleados para reflejarlas en el reglamento. Los puntos anotados se refieren al trabajo en casa, al trabajo en una cafetería estando fuera y al uso de las videoconferencias. ¿Cuál de los siguientes es un comportamiento inadecuado en el teletrabajo?

1. En casa, usar para el trabajo solo la computadora portátil entregada por la empresa, y no guardar datos de trabajo en una PC compartida con la familia
2. Bloquear la pantalla incluso en una ausencia breve, y usar un filtro de privacidad en lugares donde hay otras personas cerca
3. Grabar las videoconferencias solo después de confirmar de antemano su necesidad, y limitar dónde se guardan los datos grabados y con quién se pueden compartir
4. Estando fuera, en una cafetería, conectarse al Wi-Fi público del local y conectarse directamente al sistema interno sin usar VPN para trabajar

En el departamento de ventas de la empresa A existe un fuerte deseo de consultar el correo de la empresa estando fuera, y varios empleados, por decisión propia, habían configurado su cuenta de correo de la empresa en sus teléfonos inteligentes personales. La empresa no conocía esta situación y no tiene ningún reglamento sobre el uso de dispositivos personales para el trabajo. Como los empleados del departamento de ventas pasan la mayor parte del día fuera de la oficina, prohibir de forma uniforme el uso de dispositivos personales retrasaría la respuesta a las consultas de los clientes y perturbaría el trabajo. Por otra parte, algunos dispositivos personales no tienen configurado el bloqueo de pantalla, y la empresa no dispone de ningún medio para borrarlos a distancia en caso de pérdida. De las respuestas propuestas por el líder de seguridad de la información, ¿cuál es la más adecuada?

1. Sin que la empresa decida si permite o no el uso de dispositivos personales para el trabajo, notificar a todos los empleados que informen solo cuando pierdan un dispositivo, y dejar todo lo demás al criterio de cada persona
2. Definir en el reglamento las condiciones para permitir el uso de dispositivos personales para el trabajo (configuración del bloqueo de pantalla, instalación de MDM, consentimiento para el bloqueo y borrado remotos, alcance del almacenamiento de datos de trabajo), y permitir su uso solo en los dispositivos que se hayan solicitado y aprobado
3. Como los dispositivos personales no son activos de la empresa, seguir dejando la configuración del bloqueo de pantalla y su uso al criterio de cada empleado
4. A los empleados que puedan confirmar verbalmente que no guardan datos de trabajo en el dispositivo, permitirles usar el correo de la empresa en un dispositivo personal sin ninguna solicitud ni reglamento, y dejar la configuración del bloqueo de pantalla al criterio de cada persona

K, empleado de la empresa A, dejó en el portaequipajes de un tren, al volver de un viaje de negocios, su bolso con la computadora portátil entregada por la empresa, y no se dio cuenta hasta después de salir de la estación. La computadora guarda material para negociaciones con clientes y también tiene la configuración de VPN para conectarse al sistema interno. Son las 8 de la noche de un día laborable y el personal del departamento de sistemas de información ya se ha ido, pero la empresa A tiene un punto de contacto de emergencia disponible las 24 horas, y K sabe cómo comunicarse con él. La computadora tiene configurados el bloqueo de pantalla y el cifrado del disco, y admite el bloqueo remoto y el borrado remoto mediante MDM. ¿Qué debe hacer K en primer lugar?

1. Como existe la posibilidad de que aparezca antes de la mañana siguiente, limitarse ese día a preguntar a la compañía ferroviaria, e informar a su superior en la reunión de la mañana siguiente
2. Para no causar problemas a la empresa, comprar con su propio dinero una computadora portátil del mismo modelo para poder seguir trabajando, e informar de todo junto más adelante
3. No informar a la empresa hasta estar seguro de que el dispositivo se ha perdido, y concentrarse primero en presentar una denuncia de objeto perdido ante la policía
4. Informar de inmediato al punto de contacto de emergencia designado y solicitar el bloqueo remoto o el borrado remoto del dispositivo y la suspensión de la cuenta

Un vendedor de la empresa A envió un correo electrónico anunciando un seminario de la empresa a los contactos de 42 empresas clientes. Al hacerlo, introdujo las 42 direcciones de correo en el campo Para y las envió todas de una vez, de modo que cada destinatario podía ver los nombres y las direcciones de correo de los contactos de las demás empresas. Un cliente lo señaló y se notificó como incidente. La empresa A no tenía ninguna norma escrita sobre el método de envío masivo a personas externas, y la comprobación antes del envío se dejaba a cada persona. Ya habían ocurrido dos incidentes similares antes, y en cada ocasión se emitió un aviso de precaución, pero el problema se ha repetido. ¿Cuál de las siguientes es la medida más adecuada para evitar que se repita?

1. Definir en el reglamento interno un procedimiento según el cual, al detectar un envío a destinatarios equivocados, se envíe de inmediato un correo de solicitud de borrado a los mismos destinatarios y se confirme por teléfono que se ha borrado
2. Hacer que el empleado que provocó el envío equivocado presente una disculpa por escrito, y distribuir a toda la empresa un aviso de precaución que describa el incidente
3. Notificar a toda la empresa que todos deben activar la función de autocompletado de direcciones del programa de correo, para evitar errores al introducir las direcciones
4. Definir en el reglamento que se debe usar CCO (BCC) en los envíos masivos a varios destinatarios externos, y combinarlo con un mecanismo que retenga los envíos unos minutos y exija la confirmación del superior cuando el número de destinatarios supere un umbral establecido

Desde hace años, la empresa A sigue la práctica de comprimir siempre los archivos adjuntos en un ZIP protegido con contraseña cuando envía archivos a personas externas, y justo después enviar al mismo destinatario un segundo correo que contiene solo la contraseña. El mes pasado, un empleado envió por error un archivo a un destinatario equivocado, y luego también envió el correo con la contraseña al mismo destinatario equivocado, de modo que el archivo llegó a un tercero en un estado legible. Además, varias empresas clientes han comunicado que "por motivos de seguridad, hemos configurado nuestro sistema para no aceptar archivos ZIP adjuntos protegidos con contraseña". El líder de seguridad de la información de la empresa A está estudiando revisar esta práctica. ¿Cuál de las siguientes es la orientación más adecuada para la revisión?

1. Como los problemas son que el archivo y la contraseña se envían por el mismo canal y que un ZIP cifrado elude el análisis antivirus del destinatario, cambiar a otro método de entrega, como un almacenamiento compartido que designe y autentique al destinatario
2. Acordar de antemano con cada cliente una contraseña fija y compartirla, mientras se siguen enviando los archivos adjuntos al correo como hasta ahora
3. Aumentar la longitud de la contraseña de 8 a 16 caracteres y, por lo demás, mantener la práctica actual de enviarlos en dos correos separados
4. Comunicar la contraseña verbalmente por teléfono, suprimir el segundo correo, seguir adjuntando archivos ZIP cifrados en adelante, pero a los destinatarios cuyos sistemas no admitan archivos ZIP cifrados, adjuntar el archivo al correo sin cifrar

L, del departamento de contabilidad de la empresa A, recibió un correo a nombre de un contacto de un socio comercial con el asunto "Había un error en la factura. Adjuntamos la versión corregida." El cuerpo del mensaje hacía referencia a intercambios anteriores, así que L abrió el archivo adjunto; en ese momento apareció brevemente algo parecido a una advertencia y después no ocurrió nada más. Inquieto, L volvió a revisar la dirección del remitente y se dio cuenta de que era un dominio distinto, muy parecido al del cliente. La empresa A tiene un punto de notificación para asuntos de seguridad de la información, y su número de extensión es bien conocido. El terminal de L está conectado a la LAN interna por cable y además tiene activada la LAN inalámbrica. ¿Qué debe hacer L en primer lugar?

1. Ejecutar uno mismo un análisis completo del dispositivo con el software antivirus y, si no se detecta nada, no informar al punto de notificación
2. Para evitar que otros sufran el mismo daño, reenviar el correo recibido tal cual a todo el departamento, advirtiéndoles que no lo abran
3. Para evitar que el daño se extienda, apagar el dispositivo de inmediato y llevarlo a la mañana siguiente al departamento de sistemas de información para consultar
4. Desconectar el dispositivo de la red, tanto por cable como inalámbrica, sin apagarlo, y comunicarse de inmediato con el punto de notificación designado

La empresa A tiene que entregar un archivo de lista que contiene los nombres, direcciones y números de teléfono de los encuestados a dos empleados de una productora a la que ha encargado la tabulación de una encuesta. El reglamento de la empresa A establece que, al proporcionar información personal a una parte externa, debe usarse un método que permita limitar quién la recibe y que deje un registro bajo el control de la empresa, y prohíbe usar para el trabajo un servicio contratado personalmente por un individuo. El personal comparó los cuatro métodos siguientes. D es un servicio de almacenamiento en línea contratado personalmente por el empleado, y la empresa no puede controlar su uso. El enlace público de B puede descargarlo cualquiera que conozca la URL. Según esta tabla comparativa, ¿cuál es la forma más adecuada de entregar el archivo de la lista?

方法                              受け手の限定  有効期限  取得の記録  会社の管理下A 暗号化ZIPをメールに添付         不可          なし      なし        該当なしB 公開リンクで共有                不可          設定可    あり        ありC 相手を指定した共有(要認証)      可            設定可    あり        ありD 個人契約のオンラインストレージ  可            設定可    あり        なし

1. A. Como el archivo está cifrado, es seguro sea cual sea la ruta, y es mejor que no quede ningún registro de la descarga, para no dejar información innecesaria
2. B. Como quedan tanto la fecha de caducidad como el registro de descarga, basta con notificar por correo el enlace compartido a los dos empleados
3. C. Permite limitar los destinatarios a los dos empleados concretos, y tanto la fecha de caducidad como el registro de descarga quedan bajo el control de la empresa, por lo que cumple los requisitos del reglamento
4. D. El empleado está acostumbrado a usarlo, y se pueden conservar tanto la fecha de caducidad como el registro de descarga, así que es la forma más fiable de entregarlo

El departamento de ventas de la empresa A recibió una llamada de alguien que decía ser un contacto de la empresa cliente B. La persona dijo: "Borré por accidente el archivo de la lista de clientes que nos enviaron el mes pasado. Lo necesito hoy, así que llámeme a este número y vuelva a enviarlo a mi dirección de correo". El empleado que atendió la llamada recuerda que, efectivamente, se proporcionó material a la empresa B, pero no era un asunto que llevara personalmente. El reglamento de la empresa A exige obtener la aprobación del responsable de gestión de la información para proporcionar a partes externas información que contenga datos personales. La persona que llama insiste repetidamente en que es urgente. ¿Cuál es la respuesta más adecuada que debe dar este empleado?

1. No enviarlo en ese momento; devolver la llamada no al número indicado por teléfono, sino al contacto conocido de la empresa B, para confirmar si la solicitud es auténtica, y responder después de obtener la aprobación del responsable de gestión de la información de acuerdo con el reglamento
2. Como es el mismo contenido que ya se proporcionó antes, volver a enviarlo en ese momento por decisión propia del empleado
3. Como la otra parte tiene prisa, enviar primero el archivo y obtener después la aprobación del responsable de gestión de la información
4. Como enviarlo con contraseña protege el contenido, devolver la llamada al número indicado por teléfono y enviarlo, omitiendo el procedimiento de aprobación del responsable de gestión de la información

La empresa A exige que, al sacar datos electrónicos fuera de la empresa, se obtenga la aprobación previa de un superior, se use una memoria USB con cifrado o una computadora portátil entregada por la empresa, y la salida se anote en un registro de salidas. Se prohíbe el uso de soportes de almacenamiento personales para el trabajo, y la norma es que los soportes sacados deben devolverse en cuanto termine el trabajo, anotando la fecha de devolución en el registro. El aprobador se define como el jefe del departamento (jefe de sección o gerente de departamento), y no cambia según el contenido de la información que se saca. El mes pasado, en el departamento de ventas, se extravió una memoria USB que contenía una lista de clientes, y se decidió inspeccionar el registro de salidas cada mes. Cuando el líder de seguridad de la información del departamento de asuntos generales inspeccionó el registro de salidas de este mes, encontró los siguientes registros. ¿Qué registro de este documento es inadecuado según el reglamento?

No 持出し日   持ち出す情報        媒体           暗号化 承認者 返却日1  2026-08-03 展示会用の配付資料  貸与USBメモリ  有     部長   2026-08-042  2026-08-05 顧客名簿            私物USBメモリ  無     なし   未返却3  2026-08-07 会議用スライド      貸与ノートPC   有     課長   2026-08-084  2026-08-10 見積書の控え        貸与USBメモリ  有     部長   2026-08-11

1. No.2. Usa un soporte personal, lo cual está prohibido, no tiene ni cifrado ni aprobación del superior, y no tiene registro de devolución
2. No.1. Aunque sea material para distribuir en una exposición, si se saca de la empresa debe enviarse por correo postal y no en un soporte
3. No.4. Como la copia del presupuesto es confidencial, no debe sacarse aunque esté cifrada
4. No.3. Un jefe de sección aprobó la salida de las diapositivas de la reunión, pero el aprobador siempre debe ser un gerente de departamento

La empresa A celebra reuniones con socios comerciales externos en una sala de reuniones situada en una esquina de la planta de oficinas. El camino hasta la sala va desde la recepción a través de la planta de oficinas, pasando junto a filas de escritorios de los empleados. Hace poco, un visitante se fijó en el importe estimado de un asunto sin relación que había quedado escrito en la pizarra blanca de la sala de reuniones y lo comentó, lo que llevó al líder de seguridad de la información a revisar la operación. Al mismo tiempo, el departamento está revisando el almacenamiento y la eliminación de los documentos en papel y el procedimiento de recepción de visitantes. En la planta de oficinas hay instalada una trituradora y también una caja de recogida para la destrucción por disolución de documentos confidenciales, que se encarga a una empresa externa. ¿Cuál de las siguientes prácticas es inadecuada?

1. Al sacar documentos en papel fuera de la empresa, meterlos en un sobre que oculte el contenido y llevarlos en un bolso con cerradura
2. Romper a mano en trozos pequeños una lista de clientes que ya no se necesita y tirarla a la papelera de residuos generales de la planta de oficinas
3. Emitir y registrar en la recepción un pase de visitante, y que un empleado acompañe siempre al visitante en toda la zona de oficinas
4. Antes de recibir a un visitante, borrar lo escrito en la pizarra blanca de la sala de reuniones y recoger los materiales que hayan quedado sobre la mesa

Un empleado de la empresa A publicó en su cuenta personal de redes sociales fotos de una reunión social del departamento. En el fondo de las fotos se veían sin querer el nombre en clave y la fecha prevista de lanzamiento de un nuevo producto no anunciado, escritos en la pizarra blanca de la sala de reuniones, y documentos con el nombre de un cliente que habían quedado sobre un escritorio. La publicación salió a la luz por un aviso de un tercero externo y se borró rápidamente, pero para entonces ya se había vuelto a publicar en otros lugares. La empresa A no prohíbe el uso personal de las redes sociales y no tiene normas sobre las publicaciones. El empleado no tenía ninguna mala intención y no se había fijado en lo que aparecía al fondo. ¿Cuál es la medida más adecuada de aquí en adelante?

1. Establecer normas que exijan comprobar el fondo de las fotos tomadas dentro de la empresa antes de publicarlas y que las publicaciones relacionadas con el trabajo obtengan la aprobación previa del departamento de relaciones públicas, e impartir formación usando este caso real como ejemplo
2. Mientras se omitan los nombres de la empresa, de los clientes y de las personas, los asuntos relacionados con el trabajo, incluido el contenido sobre el producto no anunciado, pueden seguir publicándose libremente en las redes sociales personales como hasta ahora
3. Como publicar en una cuenta personal es una cuestión de libertad individual, la empresa no debe establecer normas sobre la toma de fotos ni sobre las publicaciones y no debe intervenir
4. Como una publicación deja de difundirse una vez borrada, definir y comunicar únicamente la práctica de hacer que la persona la borre cuando se descubra

En la empresa A había muchas quejas de que redactar actas de reuniones y borradores de documentos lleva mucho tiempo, y varios departamentos habían empezado a usar servicios gratuitos de IA generativa conversacional con cuentas individuales. En un departamento, se pegaron tal cual para resumirlas unas actas de reunión que contenían nombres de clientes, precios de transacciones y un calendario de lanzamiento no anunciado. Las condiciones de este servicio indican que el contenido introducido puede usarse para mejorar el servicio. No existe ninguna norma de uso para toda la empresa, ni que lo prohíba ni que lo permita. Las expectativas de mejorar la eficiencia son altas, y una simple prohibición corre el riesgo de que la gente siga usándolo de todos modos. De las respuestas propuestas por el líder de seguridad de la información, ¿cuál es la más adecuada?

1. Como ayuda a mejorar la eficiencia, seguir dejando la elección del servicio y el alcance de la información introducida al criterio de cada persona
2. Establecer como norma para toda la empresa solo el enmascaramiento de los nombres de los clientes, permitir que se sigan introduciendo como hasta ahora los precios de transacciones y los calendarios de lanzamiento no anunciados, y dejar que cada persona elija libremente qué servicio usar
3. Definir en el reglamento el alcance de la información que se puede introducir, prohibiendo introducir información confidencial e información personal, proporcionar como empresa un servicio de nivel corporativo con un contrato en el que el contenido introducido no se use para el entrenamiento, y exigir que el resultado siempre lo compruebe la persona responsable
4. Notificar por correo a toda la empresa la prohibición total del uso de la IA generativa, y dejar lo que siga al criterio de cada departamento