Análisis y gestión de riesgos de sistemas de información — Test de Cuerpo de Gestión de Sistemas e Informática de la Administración del Estado

Esta sección revela las respuestas correctas. Te recomendamos hacer el test antes de consultarla.

• Según la norma ISO 27001, ¿cuál es la definición de riesgo?

  Respuesta correcta: El efecto de la incertidumbre sobre los objetivos.

  Según la norma ISO 27001:2013, el riesgo se define como el efecto de la incertidumbre sobre los objetivos.

• ¿Qué real decreto aprueba el Esquema Nacional de Seguridad (ENS) en España?

  Respuesta correcta: Real Decreto 3/2010, de 8 de enero.

  El Esquema Nacional de Seguridad se establece en el Real Decreto 3/2010, de 8 de enero, por el que se regula el ENS en el ámbito de la Administración Electrónica.

• ¿Cuál de las siguientes metodologías es la recomendada por el Centro Criptológico Nacional (CCN) para el análisis de riesgos en las administraciones públicas españolas?

  Respuesta correcta: MAGERIT

  MAGERIT (Método de Análisis y Gestión de Riesgos de los Sistemas de Información) es la metodología publicada por el CCN-STIC para el análisis de riesgos en las administraciones públicas, según la Guía CCN-STIC 817.

• En el contexto de la gestión de riesgos, ¿cuál de los siguientes es un tipo de control destinado a reducir la probabilidad de que ocurra un incidente?

  Respuesta correcta: Control preventivo

  Los controles preventivos están diseñados para evitar la materialización de una amenaza, reduciendo así su probabilidad, según la taxonomía de controles de seguridad de la información.

• Según el Esquema Nacional de Seguridad (ENS), ¿qué documento debe establecer los objetivos y principios de seguridad de la información de una organización?

  Respuesta correcta: La Política de Seguridad

  Según el ENS (Real Decreto 3/2010), la Política de Seguridad es el documento que define los objetivos y principios de seguridad de la información de una organización.

• En el proceso de gestión de riesgos según ISO 27005, ¿cuál de las siguientes fases se realiza después de la evaluación de riesgos?

  Respuesta correcta: Tratamiento de riesgos

  Según la norma ISO 27005, el proceso de gestión de riesgos incluye: establecimiento del contexto, evaluación de riesgos (identificación, análisis, evaluación), tratamiento de riesgos, y luego seguimiento y revisión.

• ¿Cuál de los siguientes elementos NO es considerado un activo en el análisis de riesgos?

  Respuesta correcta: Una amenaza externa

  En el análisis de riesgos, los activos son elementos que tienen valor para la organización y que deben protegerse. Las amenazas son eventos potenciales que pueden causar daño a los activos.

• Según el ENS, ¿cuál es el nivel de seguridad que se aplica a sistemas que tratan información clasificada como de alta importancia para el correcto funcionamiento del servicio?

  Respuesta correcta: Nivel medio

  Según el Real Decreto 3/2010, el nivel medio de seguridad se aplica a sistemas que tratan información o prestan servicios cuyo funcionamiento inadecuado podría afectar significativamente a la eficacia de la Administración.

• En el método MAGERIT, ¿qué herramienta se utiliza para representar gráficamente los activos y sus relaciones?

  Respuesta correcta: Mapa de activos

  Según la metodología MAGERIT del CCN-STIC, el mapa de activos es una representación gráfica que muestra los activos y sus relaciones, facilitando el análisis de dependencias.

• ¿Qué norma proporciona directrices para la gestión de riesgos de seguridad de la información?

  Respuesta correcta: ISO 27005

  La norma ISO/IEC 27005 proporciona directrices para la gestión de riesgos de seguridad de la información, en el contexto de un SGSI.

• En gestión de continuidad, ¿qué significa RPO?

  Respuesta correcta: Recovery Point Objective

  RPO (Recovery Point Objective) es el punto en el tiempo al que se deben recuperar los datos tras un incidente, según la norma ISO 22301.

• ¿Qué ley regula el régimen jurídico del sector público en España?

  Respuesta correcta: Ley 40/2015, de 1 de octubre

  La Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, establece las bases del régimen jurídico de las administraciones públicas.

• ¿Cuál de los siguientes es un método de análisis cuantitativo de riesgos?

  Respuesta correcta: Análisis de valor esperado

  El análisis de valor esperado es un método cuantitativo que multiplica el impacto monetario por la probabilidad, según las directrices de gestión de riesgos.

• La opción de "evitar el riesgo" en el tratamiento de riesgos implica:

  Respuesta correcta: Eliminar la fuente del riesgo

  Evitar el riesgo significa decidir no realizar la actividad que conlleva el riesgo o eliminarla, según ISO 27005.

• Según el ENS, ¿qué documento contiene el resultado de la evaluación de riesgos?

  Respuesta correcta: Análisis de Riesgos

  El análisis de riesgos es el documento que recoge los resultados de la evaluación de riesgos, según el ENS.

• En el contexto de la gestión de riesgos, ¿qué se entiende por "impacto"?

  Respuesta correcta: La consecuencia de un evento sobre los activos

  Según la norma ISO 27000, el impacto es el resultado de un incidente de seguridad, que afecta a los activos.

• En la metodología OCTAVE, ¿qué significa el acrónimo OCTAVE?

  Respuesta correcta: Operational Critical Threat, Asset, and Vulnerability Evaluation

  OCTAVE es una metodología de evaluación de riesgos desarrollada por el SEI (Software Engineering Institute) de la Universidad Carnegie Mellon, y su acrónimo significa Operational Critical Threat, Asset, and Vulnerability Evaluation.

• Según el ENS, ¿qué organismo actúa como órgano de apoyo técnico en materia de seguridad de las tecnologías de la información?

  Respuesta correcta: El Centro Criptológico Nacional (CCN)

  Según el Real Decreto 3/2010, el Centro Criptológico Nacional (CCN) actúa como órgano de apoyo técnico en materia de seguridad de las tecnologías de la información para las Administraciones Públicas.

• ¿Qué norma internacional proporciona principios y directrices para la gestión de riesgos en general?

  Respuesta correcta: ISO 31000

  La norma ISO 31000:2018 proporciona principios, marco y proceso para la gestión de riesgos en cualquier tipo de organización.

• ¿Qué tipo de control es un seguro contra ciberriesgos?

  Respuesta correcta: Compensatorio

  Los controles compensatorios son aquellos que proporcionan una alternativa a los controles primarios, como un seguro que compensa pérdidas financieras.

• Según ISO 27005, ¿qué se entiende por "riesgo residual"?

  Respuesta correcta: El riesgo que queda después de aplicar los controles

  Según la norma ISO 27005, el riesgo residual es el riesgo que permanece después de haber aplicado los controles de tratamiento de riesgos.

• En el contexto de la gestión de continuidad del negocio, ¿qué significa BIA?

  Respuesta correcta: Business Impact Analysis

  BIA (Business Impact Analysis) es el análisis de impacto al negocio, una fase clave en la gestión de la continuidad del negocio según la norma ISO 22301.

• Según el ENS, ¿cuál de los siguientes es un principio básico de seguridad?

  Respuesta correcta: Confidencialidad, integridad, disponibilidad

  El ENS, en su artículo 7, establece como principios básicos la seguridad integral, la gestión de riesgos, la prevención, la reacción y la recuperación, pero los principios clásicos de la seguridad de la información son confidencialidad, integridad y disponibilidad, recogidos en la norma ISO 27000.

• ¿Qué tipo de control es un sistema de prevención de intrusiones (IPS)?

  Respuesta correcta: Preventivo

  Un sistema de prevención de intrusiones (IPS) es un control preventivo, ya que bloquea actividades maliciosas en tiempo real.

• En el método MAGERIT, ¿cuál de las siguientes no es una dimensión de valoración de los activos?

  Respuesta correcta: Autenticidad

  Según la metodología MAGERIT, los activos se valoran en función de las dimensiones de confidencialidad, integridad y disponibilidad (CID).

• ¿Qué reglamento europeo regula la protección de datos personales?

  Respuesta correcta: Reglamento (UE) 2016/679

  El Reglamento (UE) 2016/679, General de Protección de Datos (RGPD), es la norma europea que regula la protección de datos personales.

• En la gestión de riesgos, la "consulta" con las partes interesadas tiene como objetivo:

  Respuesta correcta: Obtener su feedback y compromiso

  La consulta en la gestión de riesgos es un proceso de comunicación bidireccional con las partes interesadas para considerar sus puntos de vista y lograr un compromiso, según ISO 31000.

• Según el ENS, ¿qué documento debe aprobar el órgano directivo de la organización?

  Respuesta correcta: Política de Seguridad

  De acuerdo con el ENS, la política de seguridad debe ser aprobada por el órgano directivo de la organización, según el Real Decreto 3/2010.

• ¿Qué norma británica precedió a la ISO 22301 en continuidad del negocio?

  Respuesta correcta: BS 25999

  La norma BS 25999 fue la norma británica para la gestión de continuidad del negocio, que sirvió de base para la ISO 22301.

• ¿Qué documento recoge los controles seleccionados para tratar los riesgos en un SGSI según ISO 27001?

  Respuesta correcta: Declaración de Aplicabilidad

  Según ISO 27001, la declaración de aplicabilidad es el documento que contiene los controles seleccionados y justifica su inclusión o exclusión.