Auditoría informática: metodología, ENS y datos personales — Test de Cuerpo de Gestión de Sistemas e Informática de la Administración del Estado

Esta sección revela las respuestas correctas. Te recomendamos hacer el test antes de consultarla.

• Según el Esquema Nacional de Seguridad (ENS), ¿cuál es la categoría de un sistema que podría ocasionar perjuicios graves a los ciudadanos o al funcionamiento de los servicios esenciales?

  Respuesta correcta: Categoría media

  El artículo 23.2 del Real Decreto 311/2022, de 3 de mayo, establece que los sistemas de categoría media son aquellos en los que una brecha de seguridad podría causar perjuicios graves a los ciudadanos o al funcionamiento de los servicios esenciales.

• En el contexto de la auditoría de sistemas de información, ¿qué marco de referencia proporciona un conjunto de prácticas para la gestión de servicios de TI?

  Respuesta correcta: ITIL

  ITIL (Information Technology Infrastructure Library) es un conjunto de buenas prácticas para la gestión de servicios de TI. ISO/IEC 20000 es una norma para sistemas de gestión de servicios, pero ITIL es el marco de prácticas más ampliamente adoptado.

• De acuerdo con el RGPD, ¿cuál es la base jurídica que permite el tratamiento de datos personales cuando es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento?

  Respuesta correcta: Obligación legal

  El artículo 6.1.c) del RGPD establece que el tratamiento será lícito si es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento.

• En una auditoría informática, ¿qué tipo de evidencia se obtiene al observar directamente el funcionamiento de un proceso o procedimiento?

  Respuesta correcta: Evidencia de observación

  La evidencia de observación es aquella que el auditor recoge al presenciar directamente actividades, procesos o procedimientos. Es una técnica de recopilación de evidencia reconocida en las normas de auditoría.

• Según la Ley Orgánica 3/2018 (LOPDGDD), ¿qué organismo es el responsable de velar por el cumplimiento del RGPD en España?

  Respuesta correcta: La Agencia Española de Protección de Datos (AEPD)

  El artículo 46 de la LOPDGDD designa a la Agencia Española de Protección de Datos como la autoridad de control independiente encargada de velar por el cumplimiento del RGPD en España.

• Según el ENS, ¿cuál de los siguientes es un principio básico de seguridad?

  Respuesta correcta: Proporcionalidad

  El artículo 5 del Real Decreto 311/2022 enumera los principios básicos del ENS, entre los que se encuentran la proporcionalidad, integridad, confidencialidad, disponibilidad, trazabilidad y preservación de la información. Sin embargo, la proporcionalidad es un principio básico de aplicación general, mientras que disponibilidad, integridad y confidencialidad son dimensiones de seguridad.

• En el marco de COBIT 2019, ¿cuál es el componente que define los resultados esperados de la gobernanza de TI?

  Respuesta correcta: Objetivos de gobernanza

  En COBIT 2019, los objetivos de gobernanza (governance objectives) definen los resultados esperados de la implementación de un sistema de gobernanza de TI, alineados con las necesidades de los stakeholders.

• Según el RGPD, ¿cuál es el plazo máximo para notificar una violación de seguridad de los datos personales a la autoridad de control?

  Respuesta correcta: 72 horas

  El artículo 33.1 del RGPD establece que, en caso de violación de la seguridad de los datos personales, el responsable del tratamiento deberá notificarla a la autoridad de control competente en un plazo máximo de 72 horas.

• En una auditoría de seguridad según ISO/IEC 27001, ¿qué documento define el alcance del Sistema de Gestión de Seguridad de la Información (SGSI)?

  Respuesta correcta: Declaración de aplicabilidad

  Según ISO/IEC 27001, la declaración de aplicabilidad (Statement of Applicability) identifica los controles aplicables y justifica su inclusión o exclusión, definiendo así el alcance del SGSI.

• Según el ENS, ¿qué documento debe elaborarse para cada sistema de información, describiendo las medidas de seguridad a aplicar?

  Respuesta correcta: Plan de seguridad

  El artículo 28 del Real Decreto 311/2022 establece que para cada sistema de información se elaborará un plan de seguridad que describa las medidas de seguridad aplicables según su categoría.

• En el contexto de la auditoría informática, ¿qué técnica consiste en la ejecución de procedimientos de auditoría mediante software especializado que analiza datos de la organización?

  Respuesta correcta: CAATs (Computer Assisted Audit Techniques)

  Las técnicas de auditoría asistidas por ordenador (CAATs) implican el uso de software para analizar datos, permitiendo al auditor examinar grandes volúmenes de información de manera eficiente.

• De acuerdo con la Ley 40/2015, de 1 de octubre, ¿qué principio establece que las administraciones públicas deben utilizar preferentemente recursos compartidos?

  Respuesta correcta: Principio de racionalización

  El artículo 4.2.i) de la Ley 40/2015 establece el principio de racionalización, que implica la utilización preferente de recursos compartidos para optimizar medios y recursos en la Administración.

• Según el ENS, ¿cuál es el objetivo de la dimensión de seguridad 'trazabilidad'?

  Respuesta correcta: Garantizar que las acciones realizadas sobre la información pueden ser atribuidas a una entidad

  El artículo 5.2.e) del Real Decreto 311/2022 define la trazabilidad como la dimensión que permite atribuir de manera inequívoca acciones o eventos a una entidad o individuo.

• En el contexto de la auditoría de cumplimiento del RGPD, ¿qué figura es designada por el responsable del tratamiento para supervisar el cumplimiento de la normativa?

  Respuesta correcta: Delegado de Protección de Datos (DPD)

  El artículo 37 del RGPD establece la figura del Delegado de Protección de Datos (DPO), designado para supervisar el cumplimiento de la normativa de protección de datos.

• Según la norma ISO/IEC 27001, ¿cuál es el primer paso del proceso de gestión de riesgos de seguridad de la información?

  Respuesta correcta: Establecimiento del contexto

  Según ISO/IEC 27001, el proceso de gestión de riesgos comienza con el establecimiento del contexto, que define los parámetros básicos para gestionar los riesgos.

• ¿Qué organismo es responsable de la publicación de las Guías de Ciberseguridad y de las series de documentos STIC en el ámbito de la Administración española?

  Respuesta correcta: Centro Criptológico Nacional (CCN)

  El Centro Criptológico Nacional (CCN), dependiente del CNI, publica las Guías de Ciberseguridad y los documentos STIC (Seguridad de las Tecnologías de la Información y las Comunicaciones) para la Administración.

• En una auditoría de sistemas, ¿qué tipo de prueba consiste en verificar la secuencia de operaciones de un proceso?

  Respuesta correcta: Pruebas de recorrido

  Las pruebas de recorrido (walkthroughs) implican seguir la secuencia de operaciones de un proceso para verificar su diseño y funcionamiento, permitiendo identificar posibles debilidades.

• Según el ENS, ¿qué comité es el órgano colegiado de coordinación, cooperación y asesoramiento en materia de seguridad en el uso de medios electrónicos?

  Respuesta correcta: Comité de Seguridad de la Información

  El artículo 9 del Real Decreto 311/2022 establece que cada Administración Pública contará con un Comité de Seguridad de la Información como órgano colegiado de coordinación, cooperación y asesoramiento.

• De acuerdo con el RGPD, ¿qué derecho tiene el interesado para solicitar la limitación del tratamiento de sus datos personales?

  Respuesta correcta: Derecho de limitación

  El artículo 18 del RGPD regula el derecho del interesado a obtener la limitación del tratamiento de sus datos personales en los supuestos allí establecidos.

• En el marco de COBIT, ¿qué componente se refiere a las estructuras organizativas, políticas y procedimientos que apoyan la gobernanza y gestión de TI?

  Respuesta correcta: Principios, políticas y marcos

  En COBIT 2019, el componente 'Principios, políticas y marcos' se refiere a los mecanismos que traducan el comportamiento deseado en guías prácticas para el día a día.

• Según el ENS, ¿qué medida de seguridad es obligatoria para todos los sistemas, independientemente de su categoría?

  Respuesta correcta: Control de accesos

  El artículo 31 del Real Decreto 311/2022 establece que el control de accesos es una medida de seguridad obligatoria para todos los sistemas, aunque su intensidad varía según la categoría.

• En el contexto de la auditoría de cumplimiento del RGPD, ¿qué documento debe elaborarse para evaluar el impacto sobre la protección de datos?

  Respuesta correcta: Evaluación de impacto relativa a la protección de datos (EIPD)

  El artículo 35 del RGPD establece la obligación de realizar una evaluación de impacto relativa a la protección de datos (EIPD) cuando el tratamiento pueda entrañar un alto riesgo para los derechos y libertades de las personas físicas.

• Según la norma ISO 19011, ¿qué principio de auditoría establece que los auditores deben basar sus conclusiones únicamente en evidencias verificables?

  Respuesta correcta: Enfoque basado en la evidencia

  La norma ISO 19011 establece el principio de 'enfoque basado en la evidencia', que implica que las conclusiones de la auditoría deben basarse en evidencias verificables.

• En el ámbito del ENS, ¿qué documento recoge los requisitos de seguridad que deben cumplir los productos de tecnología de la información?

  Respuesta correcta: Catálogo de estándares

  El Catálogo de estándares, publicado por el CCN, recoge los requisitos de seguridad que deben cumplir los productos TIC para su uso en la Administración, conforme al artículo 47 del Real Decreto 311/2022.

• Según el RGPD, ¿cuál es el plazo máximo para atender una solicitud de ejercicio de derechos por parte del interesado?

  Respuesta correcta: 1 mes

  El artículo 12.3 del RGPD establece que el responsable del tratamiento debe proporcionar información sobre las acciones tomadas respecto a una solicitud de ejercicio de derechos sin dilación indebida y, en todo caso, en el plazo de un mes.

• En una auditoría de sistemas, ¿qué tipo de muestreo selecciona elementos basándose en el criterio profesional del auditor, sin utilizar técnicas estadísticas?

  Respuesta correcta: Muestreo de juicio

  El muestreo de juicio (o no estadístico) se basa en la experiencia y criterio del auditor para seleccionar partidas, sin seguir técnicas estadísticas formales.

• Según el ENS, ¿qué nivel de conformidad es necesario para los sistemas de categoría alta?

  Respuesta correcta: Conformidad total

  El artículo 35.2 del Real Decreto 311/2022 establece que los sistemas de categoría alta deberán alcanzar una conformidad total con las medidas de seguridad del ENS.

• En el contexto de la auditoría informática, ¿qué estándar proporciona un marco para la gestión de la continuidad del negocio?

  Respuesta correcta: ISO 22301

  ISO 22301 es la norma internacional que especifica los requisitos para establecer, implementar y mejorar un sistema de gestión de la continuidad del negocio.

• De acuerdo con la Ley 11/2007, de acceso electrónico de los ciudadanos a los servicios públicos, ¿qué principio garantiza que los ciudadanos puedan relacionarse con la Administración por medios electrónicos?

  Respuesta correcta: Principio de accesibilidad

  El artículo 4 de la Ley 11/2007 establece el principio de accesibilidad, que garantiza que los ciudadanos puedan relacionarse con las Administraciones Públicas por medios electrónicos en condiciones de igualdad.

• Según el ENS, ¿qué organismo es responsable de la certificación de la conformidad de los sistemas con el ENS?

  Respuesta correcta: Entidades de certificación acreditadas

  El artículo 35 del Real Decreto 311/2022 establece que la certificación de la conformidad con el ENS será realizada por entidades de evaluación de la conformidad acreditadas por la ENAC.

• En el contexto del RGPD, ¿qué principio implica que los datos personales sean adecuados, pertinentes y limitados a lo necesario para los fines del tratamiento?

  Respuesta correcta: Principio de minimización de datos

  El artículo 5.1.c) del RGPD establece el principio de minimización de datos, según el cual los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines del tratamiento.