Contratistas, formación y auditoría

La empresa A, un minorista de venta por correo, encarga a la empresa B la introducción de datos de su lista de clientes. El contrato establece una obligación de confidencialidad y medidas de gestión de la seguridad, y la empresa B también ha obtenido la certificación ISMS. Un día, un empleado de la empresa B copió datos de trabajo en una PC personal y se los llevó a casa, desde donde se filtraron los nombres y direcciones de unos 5,000 clientes. La empresa B se ha disculpado e informado de lo ocurrido, y dice que el empleado implicado ha sido sancionado. Usted, líder del departamento de ventas de la empresa A, debe explicar la política de respuesta en una reunión interna. En la reunión se ha planteado la opinión de que "como la empresa B estaba obligada por contrato, nuestra empresa no necesita dar la cara". ¿Cuál de las siguientes es la visión más adecuada de la responsabilidad de la empresa A en este caso?

1. Encargar el tratamiento de datos personales no elimina la responsabilidad de la empresa que lo encarga, y la empresa A debe tomar la iniciativa en la decisión sobre la notificación a las personas afectadas y el anuncio público
2. Como la empresa B era la que realmente manejaba la información, tanto el informe a la autoridad supervisora como la explicación de las medidas para evitar que se repita son responsabilidad exclusiva de la empresa B
3. La responsabilidad de la empresa A queda cumplida al reclamar daños y perjuicios a la empresa B
4. Como el contrato de externalización obligaba a la empresa B a aplicar la gestión de la seguridad, puede decirse que la propia empresa A no necesita comunicarse con las personas afectadas ni hacer un anuncio público

El departamento de asuntos generales de la empresa A está seleccionando un nuevo contratista para el procesamiento de nóminas. Como se le entregarán los nombres, números de cuenta bancaria e importes de salario de los empleados, decidió añadir la seguridad de la información como criterio de selección junto al precio. Hay tres empresas candidatas, y se han recibido las respuestas de cada una a una lista de comprobación. El jefe de asuntos generales dice: "ante todo, quiero reducir los costos", pero usted, como líder, ha organizado las respuestas para que sirvan de base para el juicio. Los resultados de las respuestas son los que se muestran en la siguiente tabla. Desde el punto de vista de la seguridad de la información, ¿cuál de los siguientes es el juicio más adecuado?

確認項目                          X社  Y社                     Z社------------------------------------------------------------------情報セキュリティ責任者の設置      有   有                      有従業者への年次教育                済   済                      未再委託の予定                      無   有（事前承認手続あり）  有（詳細は不明）監査（立入りまたは書面）の受入れ  可   可                      不可事故発生時の報告期限の明記        可   可                      不可提示価格                          高   中                      低

1. Como la empresa Y tiene previsto subcontratar a su vez, excluirla incondicionalmente de la selección solo por ese punto, sin importar su evaluación en los demás puntos
2. Como el precio ofrecido por la empresa X es el más alto entre las candidatas, excluirla de la selección aunque cumpla todos los demás puntos
3. Como la empresa Z tiene el precio más bajo y además cuenta con un responsable designado, elegirla dando por supuesto que la formación de los empleados y la aceptación de auditorías se mejorarán después de firmar el contrato
4. Como la empresa Y tiene un procedimiento de aprobación previa para la subcontratación y acepta auditorías, hacerla candidata después de confirmar cómo gestiona a sus subcontratistas

La empresa A ha externalizado a la empresa B el mantenimiento de su sistema central. El contrato establece: "Cuando se vaya a subcontratar, debe obtenerse la aprobación previa por escrito de la empresa que encarga el trabajo". Una tarde, un representante de la empresa B le llamó a usted, líder de seguridad de la información de la empresa A, diciendo: "Nos falta personal por ser temporada alta y queremos que nuestra socia, la empresa C, ayude con parte del trabajo a partir de mañana. Es urgente, ¿podría darnos su visto bueno verbal?". El trabajo de la empresa C requiere conectarse al entorno de mantenimiento, que contiene datos de clientes de la empresa A. La empresa B explica: "Tenemos una relación de muchos años con la empresa C y no hay ningún problema". ¿Qué debe hacer usted en primer lugar?

1. Hacer que la empresa A contrate directamente con la empresa C, sin pasar por la empresa B, para estructurarlo de forma que no cuente como subcontratación
2. Como la propia propuesta de subcontratar constituye un incumplimiento del contrato, rescindir de inmediato el contrato de externalización con la empresa B
3. Hacer que presenten por escrito el nombre y la ubicación de la empresa subcontratista C, el alcance y la duración del trabajo, el tipo de información que se manejará, y si la empresa C está sujeta por contrato a una obligación equivalente de confidencialidad y de gestión de la seguridad
4. Como es urgente, dar la aprobación verbal en el momento por teléfono, y recibir después de iniciado el trabajo el documento escrito con el nombre del subcontratista y el alcance del trabajo

La empresa A va a externalizar por primera vez a la empresa D su servicio de atención de consultas, y usted, como líder, revisó el borrador de contrato que le remitió el departamento jurídico. El borrador define una obligación de confidencialidad, la prohibición de usar la información para fines distintos de los previstos, la aprobación previa de la subcontratación y la obligación de informar en caso de incidente. En cambio, no hay ninguna disposición sobre la devolución o el borrado de los datos confiados al terminar el contrato, ni ninguna disposición sobre la aceptación de una auditoría con la que la empresa A pueda confirmar el estado de aplicación. El empleado del departamento jurídico dice: "como es su contrato estándar, probablemente sería difícil añadir cláusulas". El trabajo externalizado incluirá los nombres y los datos de contacto de los clientes. ¿Cuál es la respuesta más adecuada que debe dar usted?

1. Como es el contrato estándar de la otra parte, firmarlo tal como se presenta sin cambios, y pedir verbalmente el borrado de los datos en el momento en que termine el contrato
2. Antes de firmar, negociar para añadir, mediante un memorando u otro documento similar, la devolución o el borrado de los datos al terminar el contrato y la aceptación de la confirmación mediante documentos o visitas in situ
3. Como las cláusulas que faltan representan un riesgo importante, abandonar por completo esta externalización y hacer todo el trabajo dentro de la empresa
4. Omitir la aceptación de auditorías, ya que en la práctica no se usa, y añadir mediante un memorando solo la devolución o el borrado de los datos al terminar el contrato

La empresa A mantiene la práctica de enviar una vez al año a sus contratistas una lista de comprobación en la que les pide respuestas sobre el estado de aplicación junto con evidencias que las respalden. También este año llegó una respuesta de la empresa B, contratista de introducción de datos, y cuando usted, como líder, la revisó, todos los puntos tenían la respuesta "aplicado". Sin embargo, de las evidencias solicitadas, la única que no se presentó fue la relativa a la formación anual de los empleados. La persona de contacto de la empresa B cambió a mitad de año, y parece que el traspaso desde la persona anterior quedó incompleto. Las respuestas y el estado de las evidencias son los que se muestran en la siguiente tabla. ¿Qué debe hacerse en primer lugar?

確認項目                  B社の回答       証跡の提出----------------------------------------------------従業者への年次教育の実施  実施            未提出アクセス権の定期棚卸し    実施            提出済再委託の有無              無              該当なし委託データの保管場所      社内サーバのみ  提出済事故時の連絡先の更新      更新済          提出済

1. Como la respuesta sobre la subcontratación fue "no", eliminar la cláusula de subcontratación del contrato del próximo año
2. Como la fiabilidad de la respuesta es dudosa, realizar una inspección in situ sin previo aviso y volver a verificar todos los puntos en el lugar
3. Pedir que se presenten, en un plazo determinado, evidencias que respalden la formación declarada, como los registros de asistencia
4. Como todas las respuestas son "aplicado", simplemente archivarlas como registro y no hacer ninguna otra confirmación hasta el próximo año

El departamento de recursos humanos de la empresa A está estudiando externalizar a una empresa externa B la tabulación y el análisis de una encuesta sobre el entorno laboral de toda la empresa. Los datos que se entregarán a la empresa B incluyen los nombres, la adscripción y las respuestas a la encuesta de los empleados. Un empleado de recursos humanos le preguntó a usted, como líder: "como se entregan datos a una parte externa, ¿no necesitamos obtener el consentimiento individual de cada empleado?". El plan de externalización prevé definir en el contrato la confidencialidad y las medidas de gestión de la seguridad, y especificar el lugar de trabajo y el método de almacenamiento. ¿Cuál de las siguientes es la explicación más adecuada?

1. Como el contratista también está sujeto a la Ley de Protección de la Información Personal, toda la gestión de los datos después de entregarlos es responsabilidad exclusiva del contratista, y la empresa que encarga el trabajo no tiene ningún deber de supervisión
2. Proporcionar datos personales como parte de una externalización no constituye una cesión a terceros y no requiere el consentimiento de la persona, pero la empresa que encarga el trabajo tiene el deber de supervisar al contratista
3. Los datos personales que no se han seudonimizado ni anonimizado nunca pueden entregarse a una parte externa en ninguna circunstancia
4. Incluso la externalización constituye una cesión a terceros, así que no se puede externalizar sin obtener el consentimiento individual de cada empleado

El departamento de ventas de la empresa A usa un servicio en la nube para compartir archivos (SaaS) con el fin de compartir presupuestos y propuestas. El proveedor del servicio ha obtenido la certificación ISMS y publica su estructura de gestión del centro de datos. Un día, un cliente se comunicó con la empresa diciendo: "su presupuesto aparece en una búsqueda en internet". La investigación reveló que, cuando un empleado creó un enlace para compartir, este se emitió con la configuración predeterminada "cualquiera que tenga el enlace puede verlo", y se había vuelto a publicar en un blog externo. Un empleado del departamento de ventas sostiene: "el problema está en el servicio del proveedor, así que hay que pedir al proveedor que investigue la causa y evite que se repita". ¿Cuál es la respuesta más adecuada en este caso?

1. Como parece haber una deficiencia en el alcance que cubre la certificación del proveedor, presentar una queja formal por escrito ante el organismo de certificación
2. Como la causa es el propio uso de la nube, prohibir el uso de servicios en la nube en toda la empresa y volver a los servidores propios
3. Como el usuario no tiene ninguna responsabilidad al usar un SaaS, proceder a reclamar daños y perjuicios al proveedor
4. Como la configuración del alcance de publicación entra en el área de responsabilidad del usuario, revisar la configuración predeterminada propia de la empresa A, la autoridad para emitir enlaces y las prácticas de inspección

Al renovar su contrato con la empresa E, contratista de logística, la empresa A ordenó en una lista las cláusulas del contrato. La revisión reveló que, aunque están presentes la mayoría de las cláusulas necesarias, hay algunas que faltan o son limitadas. La empresa E maneja los nombres y las direcciones de entrega de los clientes de la empresa A y tiene previsto subcontratar parte del trabajo de entrega a una empresa socia. Usted, como líder, está organizando qué solicitar en la negociación de la renovación a partir de esta lista. Los resultados de la revisión de las cláusulas son los que se muestran en la siguiente tabla. ¿Cuál de las siguientes respuestas de la empresa A es inadecuada en este caso?

条項                        定めの有無  内容の要点--------------------------------------------------秘密保持義務                有          契約終了後3年間存続目的外利用の禁止            有          委託業務以外での利用を禁止再委託                      有          事前の書面による承認が必要監査の受入れ                有          書面での確認のみ。立入りは不可事故発生時の報告            有          発覚後72時間以内に報告終了時のデータの返却・削除  無          定めなし

1. Como informar en un plazo de 72 horas desde el descubrimiento puede retrasar la respuesta inicial, estudiar fijar por separado un plazo más corto para el primer aviso
2. Como está definida una obligación de confidencialidad, basta con que el contratista gestione a sus subcontratistas, y la empresa A no necesita conocer el nombre del subcontratista ni el alcance de su trabajo
3. Como no hay ninguna disposición sobre el tratamiento de los datos al terminar, solicitar que se añadan al contrato renovado el alcance y el plazo de la devolución o el borrado, y la presentación de un informe de finalización
4. Como no se permiten las visitas in situ, decidir de antemano los tipos concretos de evidencias que deben presentarse para la confirmación mediante documentos

A las 6 de la tarde de un viernes, usted, líder de seguridad de la información de la empresa A, recibió en su teléfono móvil una llamada de un representante de la empresa contratista B: "Falta una computadora portátil que se usaba para el trabajo. Puede que se haya quedado en algún lugar de nuestra oficina, así que todavía no está confirmado que se haya perdido". La computadora puede contener archivos de trabajo con datos de clientes confiados por la empresa A. El representante de la empresa B dice: "nos gustaría hacer un informe formal cuando las cosas estén claras". Según el contrato de la empresa A, debe hacerse un primer aviso en un plazo de 2 horas desde el descubrimiento, incluso si solo se trata de un posible incidente, y el punto de recepción es la mesa de incidentes del departamento de sistemas de información. ¿Qué debe hacerse en primer lugar?

1. Indicar al representante de la empresa B que no informe a nadie, ni dentro ni fuera de la empresa, hasta que se confirmen los hechos
2. Como la pérdida todavía no está confirmada, esperar hasta el lunes por la mañana para informar a un superior, y vigilar discretamente la situación sin comunicarse mientras tanto
3. Presentar de inmediato un primer aviso a la mesa de incidentes de la propia empresa, y pedir que la empresa B presente un primer aviso formal en el formato establecido e identifique la información que hay en la computadora
4. Sin esperar a la semana siguiente, ir usted mismo a la oficina de la empresa B y buscar la computadora junto con el representante

Ha terminado la externalización durante seis meses a la empresa B del servicio de atención de una campaña de la empresa A. En el trabajo se manejaron los nombres, direcciones y números de teléfono de unos 20,000 participantes. Llegó un correo de la empresa B que decía: "Todo el trabajo se ha completado. Los datos confiados se tratarán adecuadamente de acuerdo con nuestro reglamento". El contrato establece que los datos confiados deben devolverse o borrarse al terminar el contrato y que debe presentarse un informe de finalización. Al consultar con la empresa B, esta explicó que, además de los datos de trabajo, se guardan copias de seguridad diarias en un sistema aparte. ¿Cuál es la respuesta más adecuada de la empresa A?

1. Como se podrá confirmar si se hizo el borrado en la auditoría interna del próximo año, por ahora limitarse a guardar constancia de haber recibido el correo de informe
2. Después de confirmar que las copias de seguridad y las copias de trabajo también están incluidas en el alcance, pedir que se presente un informe de finalización del borrado en un plazo determinado
3. Como la empresa B está certificada y es de confianza, terminar la externalización sin pedir que se presente un informe de finalización del borrado
4. Como las copias de seguridad las creó la empresa B para sus propios fines operativos, no es necesario incluirlas en el alcance del borrado

La empresa A realizó por primera vez un simulacro de correos de ataques dirigidos. Cuando se envió a todos los empleados un correo de simulacro disfrazado de mensaje de trabajo habitual, la tasa de apertura fue del 22%, mientras que las notificaciones al punto de notificación solo llegaron al 6%. En la reunión en la que se compartieron los resultados, un jefe de departamento pidió: "denme una lista con los nombres de los empleados que lo abrieron. Quiero señalarlos, orientarlos individualmente y reflejarlo en las evaluaciones de desempeño". Usted, como líder, siente que necesita volver a explicar el propósito del simulacro. Está previsto seguir haciendo el simulacro una vez al año en adelante. ¿Cuál es la respuesta más adecuada que debe dar usted?

1. Entregar al jefe de departamento, tal como lo pidió, una lista con los nombres de los empleados que abrieron el correo, y colaborar en la orientación individual y en su reflejo en las evaluaciones de desempeño
2. A partir de la próxima vez, hacer que el correo de simulacro se reconozca claramente como simulacro para que baje la tasa de apertura
3. Como una tasa de apertura alta baja la moral dentro de la empresa, no publicar los resultados y que solo los conserve la persona encargada
4. No entregar nombres; compartir los resultados como tendencias por departamento, y usar el método que provocó más aperturas como material para una formación que afiance la conducta de notificar

La empresa A realizó su segundo simulacro de correos de ataques dirigidos y tabuló los resultados por departamento. El correo de simulacro estaba disfrazado de mensaje de trabajo habitual, y se midieron tanto las aperturas como las notificaciones. La tasa de notificación es el número de notificaciones como proporción de los correos enviados, y el tiempo hasta el primer aviso es el tiempo que tarda en llegar la primera notificación al punto de notificación. El objetivo para toda la empresa era "una tasa de apertura del 15% o menos", pero usted, como líder, cree que no debe juzgarse si el resultado es bueno o malo solo por la tasa de apertura. Los resultados tabulados se muestran en la siguiente tabla. ¿Cuál de las siguientes es la lectura más adecuada de los resultados?

部門    送信数  開封数  開封率  報告数  報告率  初報までの時間--------------------------------------------------------------営業部  120     24      20%     40      33%     12分総務部  40      4       10%     2       5%      180分製造部  90      18      20%     27      30%     15分開発部  60      6       10%     3       5%      150分

1. La tasa de apertura de toda la empresa está por debajo del objetivo del 15% y la tasa de notificación también ha mejorado, así que deben suspenderse todos los simulacros futuros
2. Para asuntos generales y desarrollo, cuya tasa de apertura es baja pero cuya tasa de notificación también es baja y cuyo primer aviso es lento, dar prioridad a comunicar el punto de notificación y el procedimiento de notificación
3. Como asuntos generales tiene la tasa de apertura más baja, puede decirse que está en el mejor estado, y debe evaluarse que los demás departamentos necesitan imitar el enfoque de asuntos generales
4. Como ventas tiene la tasa de apertura más alta, el personal de ventas debe someterse a una nueva formación que incluya medidas disciplinarias

La empresa A imparte una formación anual en seguridad de la información mediante e-learning, dirigida solo a los empleados de plantilla. En la práctica, el personal temporal que se encarga de la recepción y los empleados de contratistas destinados en las instalaciones para el desarrollo también pueden conectarse a la red interna y consultar datos de clientes. Una auditoría interna reciente señaló que "algunas de las personas que tienen acceso a la información no están cubiertas por la formación". Recursos humanos ha planteado la opinión de que "como el personal temporal y los empleados de los contratistas no son empleados nuestros, ¿no es la formación responsabilidad de la agencia de personal temporal o del contratista?". Usted, como líder, debe presentar una política de corrección. ¿Cuál es el enfoque más adecuado?

1. Para el personal temporal, renunciar a la formación interna y abordarlo únicamente reduciendo el alcance de la información que pueden consultar
2. Juzgar que, como los empleados de los contratistas están sujetos a una obligación de confidencialidad mediante el contrato de externalización, la formación interna no es especialmente necesaria
3. Dejarlos fuera del alcance por su distinto tipo de empleo, y comunicar verbalmente que la formación queda en manos de la agencia de personal temporal o del contratista
4. Impartir formación y pedir compromisos escritos basados en el propio reglamento de la empresa también al personal temporal y a los empleados de los contratistas, según el grado de acceso que tengan a la información de la empresa

La empresa A revisó su reglamento sobre la salida de información fuera de la empresa. Con la revisión, sacar información mediante memorias USB, incluidas las personales, queda ahora prohibido en principio, y enviar archivos fuera de la empresa requiere ahora la solicitud y la aprobación de un superior a través de un servicio en la nube designado. La secretaría publicó el reglamento revisado en la biblioteca de reglamentos de la intranet y fijó como fecha de entrada en vigor el día 1 del mes siguiente. Sin embargo, en una reunión de líderes de las áreas operativas se repitieron comentarios como "no sabía que se había publicado" y "nunca he visto la nueva pantalla de solicitud". Faltan 3 semanas para la fecha de entrada en vigor. ¿Qué debe hacerse en primer lugar?

1. La comunicación ya está completa una vez publicado en la biblioteca de reglamentos y difundido internamente, así que no se necesita ninguna otra acción en particular
2. Como se ha visto que las áreas operativas no lo conocían, cancelar la propia revisión del reglamento y volver a la operación anterior
3. Antes de la fecha de entrada en vigor, hacer llegar a las personas afectadas un resumen de los cambios, la fecha de entrada en vigor y el nuevo procedimiento de solicitud, y celebrar una sesión para confirmar que lo han comprendido
4. Después de la fecha de entrada en vigor, identificar a quienes infrinjan el reglamento y dar orientación y advertencias individuales a los implicados

Usted, líder en la empresa A, ordenó en una lista el plan anual y los resultados de la formación en seguridad de la información de este año fiscal. Al ordenarlo, descubrió que algunas categorías se han llevado a cabo mientras que otras no tienen ningún plan. Los administradores de sistemas manejan los ID privilegiados, y los empleados de contratistas destinados en las instalaciones están en condiciones de consultar datos de clientes. Al elaborar el plan del próximo año, debe decidir qué abordar primero dadas las horas de trabajo limitadas. Los resultados ordenados se muestran en la siguiente tabla. ¿Cuál de las siguientes es la revisión más adecuada para el plan del próximo año?

対象                時期           方法         受講率------------------------------------------------------新入社員            4月（配属前）  集合研修     100%中途入社者          随時           eラーニング  100%一般社員            10月           eラーニング  97%管理職              10月           集合研修     88%システム管理者      未実施         なし         なし派遣・委託先従業者  未実施         なし         なし

1. Fijar como punto de máxima prioridad del plan de formación del próximo año aumentar la formación de los empleados generales de una a dos veces al año
2. Dar prioridad a añadir al plan del próximo año la formación para los administradores de sistemas y para el personal temporal y los empleados de contratistas, para los que actualmente no existe ningún plan
3. Como los nuevos empleados tienen una tasa de asistencia del 100% y se ha consolidado, suprimir por completo el próximo año la formación presencial para nuevos empleados
4. Suprimir la formación presencial para mandos, que tiene la tasa de asistencia más baja, y concentrar toda la formación para mandos en e-learning

La empresa A aplica una prueba de comprensión al final de su formación anual, y también este año se tabularon por temas los resultados de toda la empresa. La tasa media global de respuestas correctas subió 2 puntos respecto al año anterior. En cambio, por temas la diferencia es grande, y resulta que un tema concreto se ha mantenido bajo. En las áreas operativas siguen presentándose informes de incidentes sin consecuencias relacionados con la salida de información mediante memorias USB personales. Usted, como líder, está analizando los resultados para reflejarlos en el plan de formación del próximo año. Los resultados tabulados se muestran en la siguiente tabla. ¿Qué debe hacerse en primer lugar?

分野                    今年の正答率  前年の正答率--------------------------------------------------パスワードの管理        92%           90%不審メールの報告先      88%           60%情報の持出し申請の手順  41%           44%記録媒体の廃棄          78%           75%SNSでの発信             85%           83%

1. Como la tasa de respuestas correctas sobre a quién notificar los correos sospechosos ha subido mucho, suprimir a partir del próximo año la formación y las preguntas sobre ese tema y dedicar ese tiempo a otros temas
2. Para el tema del procedimiento de solicitud de salida de información, cuya tasa de respuestas correctas se ha mantenido baja, comprobar si la explicación de los materiales es insuficiente y si el propio procedimiento real de solicitud es difícil de usar
3. Eliminar de la prueba del próximo año las preguntas del tema con una tasa de respuestas correctas baja, para subir la tasa media global de respuestas correctas
4. Como la tasa media global de respuestas correctas ha subido respecto al año anterior, usar de nuevo el próximo año los mismos materiales y la misma estructura

La empresa A elaboró un manual de procedimientos de respuesta a incidentes que supone una infección por ransomware, pero en los seis meses transcurridos desde su elaboración no ha realizado ni un solo ejercicio. El manual especifica, entre otras cosas, el punto de contacto inicial, quién decide el aislamiento de la red y quién decide la divulgación pública. Un ejercicio real que detenga de verdad el sistema de la empresa es difícil de llevar a cabo por su gran impacto en la línea de producción. Se estudió externalizar el ejercicio, pero el presupuesto de este año lo hace difícil. Usted, como líder, quiere comprobar de todos modos si el manual se puede usar realmente. ¿Cuál es el enfoque más adecuado?

1. Como limitarse a leer juntos el manual no tiene sentido, esperar a poder conseguir presupuesto para hacer cualquier ejercicio, y entonces hacer un ejercicio real que detenga el sistema de la empresa en pleno funcionamiento
2. Basta con que el ejercicio lo realice solo el departamento de sistemas de información; no es necesaria la participación de los departamentos operativos
3. Distribuir un escenario hipotético, reunir a las personas implicadas y realizar un ejercicio de simulación de mesa en el que cada persona confirme por turnos las acciones y decisiones que tomaría a continuación, sacando a la luz datos de contacto desactualizados y huecos en la responsabilidad de las decisiones
4. Si no se puede hacer un ejercicio real, omitir por completo los ejercicios y sustituirlos por la distribución del manual a todo el mundo

En la empresa A, la persona encargada gestionaba los registros de asistencia a la formación en seguridad de la información en un archivo de hoja de cálculo en una PC personal. Cuando esa persona pasó a otro puesto y se ordenaron los archivos, se descubrió que faltaban los registros de asistencia de dos años. Por desgracia, llegó una solicitud de la empresa F, cliente de un servicio externalizado, que pedía "presentar registros que muestren el estado de la formación impartida a sus empleados". La formación en sí se ha impartido todos los años, y todavía existen los materiales y los correos de convocatoria de esa época. Usted, como líder, debe atender tanto esta presentación como la gestión de los registros en el futuro. ¿Cuál es el enfoque más adecuado?

1. Como la formación en sí se ha impartido todos los años aunque se hayan perdido los registros, basta con explicar verbalmente que se llevó a cabo
2. Como los registros solo existen para las auditorías y la confirmación de los clientes, elaborarlos de nuevo cada vez que se reciba una solicitud
3. Definir en el reglamento quién es responsable de conservar los registros, dónde y durante cuánto tiempo, pasando a un sistema que no dependa de una sola persona, y presentar a la empresa F los registros que sí existen junto con un plan para evitar que se repita
4. Recrear una lista de asistentes de los dos años que faltan basándose en la memoria de los asistentes y de otras personas implicadas, presentarla a la empresa F como el registro real de asistencia de esa época, y seguir atendiendo igual las solicitudes futuras

La empresa A lleva tres años seguidos realizando simulacros de correos de ataques dirigidos, reflejando cada vez los resultados en la formación. En la primera ronda, muchos empleados abrieron el correo y casi nadie lo notificó, así que la empresa se centró en comunicar el punto de notificación y en explicar que notificar no conllevaría culpas. Además de los simulacros, la empresa también registra el número medio mensual de correos sospechosos que los empleados reciben realmente y notifican al punto de notificación. En la próxima reunión del comité, usted, como líder, debe informar a la dirección de la evolución de los 3 años. La evolución se muestra en la siguiente tabla. ¿Cuál es el contenido más adecuado para el informe?

回     開封率  報告率  初報までの時間  実際の不審メール報告-----------------------------------------------------------第1回  22%     6%      120分           月2件第2回  15%     18%     45分            月9件第3回  12%     34%     18分            月21件

1. Como la tasa de apertura es el único indicador que vale la pena evaluar, informar de que no se han logrado resultados hasta que la tasa de apertura baje del 10%
2. Como la tasa de notificación ha subido pero la tasa de apertura todavía no ha llegado al 0%, informar de que los tres años de simulacros no han tenido ningún efecto
3. Como el número de notificaciones de correos sospechosos que reciben realmente los empleados sigue aumentando, informar de que la conciencia de seguridad de la información de los empleados en realidad está disminuyendo
4. Informar de que, junto con el descenso de la tasa de apertura, han continuado el aumento de la tasa de notificación y el acortamiento del tiempo hasta el primer aviso, y de que las notificaciones de correos sospechosos reales también han aumentado, lo que indica que la conducta de notificar se está afianzando

En la reunión anual del comité de seguridad de la información de la empresa A, usted, como líder, informa sobre el estado de la formación. Los informes anteriores se centraban en hechos de ejecución como "se impartió e-learning y la tasa de asistencia fue del 97%", y la dirección ha preguntado repetidamente: "entonces, ¿la empresa se ha hecho realmente más fuerte?". Para el próximo año, usted está estudiando externalizar parte de la formación y rehacer los materiales de los temas con baja comprensión, y ambas cosas requieren presupuesto. Tiene a mano la tasa de asistencia, la tasa de respuestas correctas de la prueba de comprensión por tema, la tasa de notificación y el tiempo hasta el primer aviso de los simulacros, y la evolución del número y el tipo de incidentes. ¿Cuál es la forma más adecuada de informar al comité?

1. Como la dirección no necesita los detalles, omitir la evolución de los indicadores, el plan del próximo año y el presupuesto necesario, e informar solo de la conclusión de que no se ha producido ningún problema grave
2. Presentar la tasa de asistencia junto con la tasa de respuestas correctas de la prueba de comprensión por tema, la tasa de notificación y el tiempo hasta el primer aviso de los simulacros, y la evolución del número y el tipo de incidentes, y proponer qué cambiar a continuación y qué recursos se necesitan
3. Como el efecto de la formación no puede expresarse en números, informar solo del número de sesiones realizadas y del número de participantes
4. Mostrar solo la tasa de asistencia, y explicar que no llegar al 100% se debe a la baja conciencia en las áreas operativas

La empresa A realiza una auditoría interna de seguridad de la información una vez al año. El alcance de la auditoría de este año incluye el mecanismo de gestión de derechos de acceso que el propio departamento de sistemas de información diseñó y opera. En una reunión para decidir quién realizará la auditoría, la secretaría propuso: "como el departamento de sistemas de información es el que mejor conoce el mecanismo, sería eficiente que un encargado (主任) de ese departamento se encargue de la auditoría". El propio encargado también dice: "podría comprobarlo rápidamente". Usted, como líder, tiene dudas sobre esta propuesta. ¿Cuál es el enfoque más adecuado?

1. Como la auditoría interna es solo una actividad formal, omitirla esta vez y sustituirla por los resultados de una evaluación externa realizada por un organismo de certificación
2. Como la independencia es solo un requisito formal, seguir adelante con la propuesta de la secretaría tal como está, y basta con indicar en el informe de auditoría que se tuvo en cuenta la independencia
3. Como el empleado que mejor conoce el mecanismo tiene más probabilidades de encontrar deficiencias, seguir adelante con la propuesta de la secretaría y que se encargue ese encargado del departamento de sistemas de información
4. Encargar la auditoría al departamento de auditoría, a un especialista externo o a otra persona que no pertenezca al departamento auditado, y que el departamento de sistemas de información quede en la posición de aportar explicaciones y evidencias

La empresa A empieza este año por primera vez las auditorías internas de seguridad de la información, y se ha nombrado auditor a un empleado de asuntos generales. Ese empleado dice: "pienso visitar cada departamento y señalar en el momento todo lo que me llame la atención". La empresa tiene un reglamento de seguridad de la información y diversos manuales de procedimientos, y los contratos con las empresas contratistas incluyen cláusulas sobre la gestión de la seguridad. Los resultados de la auditoría deben comunicarse a la dirección, y para cada hallazgo se solicitará una acción correctiva. Usted, como líder, teme que los departamentos auditados no encuentren convincente este enfoque. ¿Qué debe hacerse en primer lugar?

1. Conseguir el informe de auditoría de otra empresa y adoptar tal cual los hallazgos que figuran en él como hallazgos propios de esta empresa
2. Visitar cada departamento, enumerar lo que llame la atención y seleccionar como hallazgos los puntos que parezcan importantes
3. Definir de antemano el alcance de la auditoría y los criterios de auditoría con los que se juzgará lo que está bien y lo que está mal (el propio reglamento de la empresa, los manuales de procedimientos, las cláusulas de los contratos, las leyes)
4. Como avisar de antemano a los departamentos les permite prepararse, realizar la auditoría por sorpresa sin comunicar el alcance ni el calendario, y señalar como hallazgos solo lo que se observe en el momento

La empresa A gestiona en una lista los hallazgos de la auditoría interna, y cada mes comprueba la categoría, el plazo de corrección y el avance. Las categorías son "no conformidad", que no cumple un reglamento o un requisito, y "oportunidad de mejora", que no es una infracción pero podría hacerse mejor. Hoy es 20 de octubre, y usted, como líder, ha ordenado la situación antes de la reunión de seguimiento. Algunos puntos no avanzan, y algunos incluso han superado su plazo. La situación actual se muestra en la siguiente tabla. ¿Qué punto debe abordarse primero?

No  指摘事項                            区分        是正期限    状況--------------------------------------------------------------------1   退職者のアカウントが3件残存         不適合      9/30        未（担当が未定）2   委託先の年次報告書が未読のまま保管  不適合      11/15       対応中3   異動時の旧権限の削除手順が未整備    不適合      11/30       対応中4   教育記録の保管期間が規程に未記載    改善の機会  次回改訂時  未5   会議室での書類の置きっぱなし        改善の機会  随時        済

1. Concentrarse en completar primero la elaboración del procedimiento de No.3, al que todavía le quedan días hasta su plazo
2. Empezar a trabajar en la eliminación de las cuentas de personas que dejaron la empresa (No.1), que ha superado su plazo y todavía no tiene a nadie asignado
3. Para el problema de No.5, los documentos que se dejan en la sala de reuniones, emitir un nuevo aviso de precaución para toda la empresa
4. Empezar a trabajar, antes que en los demás puntos, en ajustar la redacción del reglamento sobre el período de conservación de los registros de formación de No.4

El departamento de ventas de la empresa A recibió en la auditoría interna del año pasado el hallazgo de que "no se habían retirado los derechos de acceso del departamento anterior de un empleado trasladado". Ventas retiró en el momento los derechos de la persona afectada, informó al departamento de auditoría de que "se advirtió al empleado implicado" y lo dio por corregido. Sin embargo, la auditoría de este año produjo el mismo hallazgo en 3 casos distintos. La investigación mostró que los traslados se tramitan en el sistema de recursos humanos, pero la retirada de los derechos de acceso funciona de forma que el personal de cada departamento solicita la retirada cuando se da cuenta, y el manual de procedimientos no describe ningún paso de retirada. Usted, como líder, quiere detener la repetición esta vez de forma definitiva. ¿Cuál es el enfoque más adecuado?

1. Como se ha repetido a pesar de la advertencia del año pasado, sancionar según el reglamento laboral al empleado que no retiró los derechos de acceso anteriores
2. Hacer cada año, justo antes de la auditoría, un inventario y una retirada en bloque de los derechos de acceso innecesarios, para evitar el hallazgo también el año siguiente
3. Como este hallazgo se repite todos los años, pedir con firmeza al departamento de auditoría que lo excluya de los hallazgos por ser inevitable en la práctica
4. Incorporar la retirada de los derechos de acceso anteriores al procedimiento de traslado como paso obligatorio, y confirmar su ejecución mediante un inventario trimestral

El departamento de ventas de la empresa A tiene previsto someterse la semana próxima a una auditoría interna sobre "la salida y el almacenamiento de la información de clientes". En la práctica, algunos empleados de ventas, a quienes el procedimiento oficial de solicitud les resulta engorroso, han estado guardando listas de clientes en un almacenamiento en la nube contratado personalmente sin obtener la aprobación de un superior. El jefe del departamento de ventas dio la instrucción en una reunión del departamento: "como una mala evaluación de la auditoría sería un problema, no saquen ese tema a menos que se lo pregunten". Usted, como líder, no está seguro de si debe seguir esta instrucción. Después de la auditoría se exigirá presentar un plan de corrección. ¿Cuál es el enfoque más adecuado?

1. Aconsejar al jefe del departamento que explique sin ocultar nada la situación real y el número de casos, junto con la causa de fondo (que el procedimiento oficial es difícil de usar) y un plan de corrección
2. Borrar antes de la fecha de la auditoría todos los archivos del almacenamiento en la nube contratado personalmente, y explicar las cosas como si esa práctica nunca hubiera existido
3. Seguir la instrucción del jefe del departamento, responder de forma superficial solo a lo que se pregunte específicamente, y no plantear por su parte la situación real
4. Como la auditoría es solo una formalidad, limitarse a presentar los registros solicitados, y excluir de la asistencia al personal que conoce la situación real

En la auditoría interna de la empresa A, el auditor entrevistó a un empleado del departamento operativo sobre las prácticas de operación y también comprobó si había registros que las respaldaran. El empleado explicó en cada punto que "se lleva a cabo según el reglamento", pero el estado de los registros variaba según el punto. El auditor cree que hay que cotejar las explicaciones con los registros para llegar a un juicio. Los resultados de la comprobación se muestran en la siguiente tabla. ¿Cuál es el juicio más adecuado que debe hacer el auditor?

確認事項                            現場の説明    記録の状況------------------------------------------------------------特権IDの利用は都度申請し承認を得る  実施している  申請書はあるが承認欄が空欄サーバ室の入退室を記録する          実施している  入退室記録あり委託先への情報の持出しを台帳に記録  実施している  台帳がなく担当者の記憶のみ従業者教育を年1回実施する           実施している  受講記録あり

1. Para los puntos que carecen de registros, hacer que el auditor entreviste en detalle al empleado y cree un nuevo libro de registro, tratándolo tal cual como pista de auditoría
2. Como las áreas operativas explican que se está llevando a cabo, juzgar que no hay ningún problema exista o no un registro
3. Para el formulario de solicitud con el campo de aprobación en blanco y para las salidas que dependen de la memoria sin libro de registro, señalar como hallazgo la insuficiencia de la pista de auditoría, ya que no se puede confirmar la ejecución
4. Para los registros de entrada y salida y la formación, de los que sí existen registros, señalar igualmente un hallazgo porque la explicación del empleado por sí sola es insuficiente

La empresa A realiza cada año una auditoría interna de seguridad de la información y elabora un informe de auditoría. Sin embargo, la secretaría se limita a archivar el informe, no existe ningún espacio para presentarlo a la dirección, y no se refleja en el plan ni en el presupuesto del año siguiente. Como resultado, año tras año aparecen casi los mismos hallazgos, y en las áreas operativas se oye decir que "de todos modos nunca cambia nada". La auditoría de este año también acaba de terminar, y usted, como líder, acaba de recibir el informe. ¿Cuál es el enfoque más adecuado?

1. Juzgar que, como los resultados de la auditoría son un asunto de las operaciones de las áreas operativas, no es necesario comunicarlos a la dirección
2. Como una auditoría es una actividad de comprobación, considerar que el PDCA ha completado un ciclo por el simple hecho de haber realizado la auditoría
3. Como que aparezcan los mismos hallazgos todos los años se debe a la perspectiva fija del auditor, rotar cada año los puntos de auditoría para que no se repitan los mismos hallazgos
4. Establecer un espacio de revisión por la dirección en el que la dirección revise los resultados de la auditoría, los incidentes ocurridos y el grado de cumplimiento de los objetivos, y reflejar sus decisiones en el plan y la asignación de recursos del próximo año

A petición de un cliente, la empresa A busca obtener por primera vez la certificación ISMS. El empleado de la secretaría propone: "como el objetivo es superar la evaluación, tomemos como modelo el reglamento pulido de otra empresa para que parezca ideal, y rehagamos también los registros para que se vean ordenados en la evaluación". La operación real es más laxa que el borrador del reglamento en algunos puntos; por ejemplo, los registros de entrada y salida se introducen en lotes semanales en lugar de cada vez. La evaluación comprueba tanto el reglamento como la operación real. Usted, como líder, tiene dudas sobre este enfoque. ¿Cuál es el enfoque más adecuado?

1. Suprimir el reglamento para ajustarse a la operación de las áreas operativas, dejando los asuntos al criterio de cada caso
2. Dar forma al reglamento para que se ajuste a lo que la empresa puede llevar a cabo realmente, de modo que los registros generados por la operación diaria puedan presentarse tal cual como evidencia
3. En las partes en que el reglamento y la operación difieren, operar según el reglamento solo durante el período de la evaluación, y volver a la operación anterior una vez terminada la evaluación
4. Como el objetivo es superar la evaluación, redactar un reglamento nuevo de apariencia ideal, ordenar también los registros para la evaluación y presentarlos

La empresa A se sometió a una evaluación externa y recibió un informe del organismo de evaluación. El informe clasifica los hallazgos por categorías, y la respuesta exigida y el plazo varían según la categoría. El empleado de la secretaría dice: "como hay muchos puntos, quizá deberíamos atender solo los que tienen un plazo explícito". Usted, como líder, decide ordenar qué significa cada categoría antes de decidir una política de respuesta. El contenido del informe se muestra en la siguiente tabla. ¿Cuál de las siguientes respuestas de la empresa A sería inadecuada?

区分          件数  求められる対応                        期限--------------------------------------------------------------重大な不適合  1     原因分析と是正計画の提出、是正の完了  30日以内に計画提出軽微な不適合  3     是正処置の実施                        次回審査まで改善の機会    5     対応は任意（推奨事項）                期限なし

1. Como las 5 oportunidades de mejora no tienen plazo y su atención es opcional, no guardar ningún registro de ellas y ni siquiera considerarlas
2. Establecer dentro de la empresa un mecanismo para hacer el seguimiento de si las acciones correctivas se llevaron a cabo dentro de sus plazos
3. Como las 3 no conformidades menores también requieren corrección, asignar a cada una un responsable y un plazo interno
4. Para la no conformidad mayor, empezar de inmediato el análisis de causas y prepararse para presentar un plan de corrección en un plazo de 30 días

La auditoría interna de la empresa A produjo un hallazgo de no conformidad según el cual "los registros de operaciones del sistema central se conservan solo una semana, así que, si se sospecha un fraude, no hay forma de rastrearlo hacia atrás". Corregirlo requiere almacenamiento adicional y un cambio de configuración, con un costo estimado de varios millones de yenes. El departamento de sistemas de información respondió: "no podemos hacerlo porque no está presupuestado para este año fiscal", y solo quedan 2 meses hasta el plazo de corrección. Usted, como líder, ha pedido que se actúe tres veces sin que cambie la situación, y siente que esto no puede resolverse solo mediante la coordinación entre departamentos. ¿Cuál es el enfoque más adecuado?

1. Tratarlo como una decisión propia del departamento de sistemas de información de aceptar el riesgo, y que el líder lo tramite como corregido
2. Pedir al departamento de auditoría que retire por ahora este hallazgo, y organizarlo para que se vuelva a plantear con el mismo contenido el próximo año fiscal, cuando haya presupuesto
3. Como sin presupuesto no se puede hacer nada, seguir ampliando el plazo de corrección e informar del estado como "en curso"
4. Ordenar el impacto previsto si sigue siendo imposible rastrear, los recursos necesarios y quién aceptaría el riesgo si se aplaza la respuesta, y luego elevarlo a la dirección para que decida