DOMINIO 1 - GOBIERNO DE SEGURIDAD DE LA INFORMACIÓN Flashcards

Question

El elemento MÁS importante a considerar al desarrollar un caso de negocio para un proyecto es: A. la viabilidad y propuesta de valor. B. el compromiso de los recursos y el tiempo. C. el análisis financiero de los beneficios. D. la alineación con los objetivos de la organización.

Answer 1

**A es la respuesta correcta.** Justificación: **A. La viabilidad y el hecho de que la propuesta de valor tenga sentido serán consideraciones importantes para que un proyecto siga adelante.** B. Los recursos y el tiempo necesarios son importantes, pero son un componente de la propuesta de valor en términos de costes. C. El análisis financiero de los beneficios es un componente de la propuesta de valor, pero normalmente se deben proponer otros beneficios. D. La propuesta de valor debe incluir la alineación con los objetivos del negocio.

Answer 2

**B es la respuesta correcta.** Justificación: A. Los marcos industriales son útiles para mejorar la implementación de seguridad en la medida en que se alineen con, y respalden, los objetivos del negocio. **B. El factor más crítico a considerar para definir los requisitos de seguridad de la información es la estrategia de negocio, ya que todo lo que hace el negocio, incluida la seguridad de la información, se realiza solo para llevar a cabo la estrategia del negocio.** C. Los requisitos de seguridad son impulsados por las prácticas, los procedimientos y la política de seguridad de la información. Hay que tener en cuenta la infraestructura tecnológica a la hora de implantar la seguridad, pero si la infraestructura actual no puede soportar los requisitos de seguridad de la información que están alineados con la estrategia empresarial, también habrá que reevaluar la infraestructura. D. Las competencias de los usuarios reflejan un estado actual y pueden ser útiles para trazar un camino hacia el menor coste, pero las competencias pueden mejorarse proporcionando formación para que los usuarios alcancen el nivel requerido. La estrategia del negocio es el impulsor de los requisitos de seguridad de la información (y todas las otras actividades).

Answer 3

**D es la respuesta correcta.** Justificación: A. Establecer las métricas de seguridad y el control del desempeño es muy importante porque indican el logro de objetivos de seguridad, pero esto es solo un aspecto de los requisitos principales para apoyar los objetivos de negocio. B. Educar a los propietarios del proceso de negocio está subordinado a apoyar los objetivos de negocio y es solo un aspecto secundario en el desarrollo de una estrategia de seguridad de la información. C. Cumplir los requisitos legales y regulatorios es solo uno de los objetivos de la estrategia necesaria para apoyar los objetivos de negocio. **D. El objetivo de la seguridad de la información en una empresa es ayudar a la empresa a conseguir sus objetivos y es el objetivo principal de una estrategia de la seguridad de la información.**

Answer 4

**C es la respuesta correcta.** Justificación: A. A pesar de que la aprobación del director general de la política de seguridad contribuye a la buena visibilidad y demuestra su compromiso, es un evento único y discreto que puede ser olvidado rápidamente por la alta dirección. B. La formación en concienciación de la seguridad para los empleados no tendrá tanto efecto sobre el compromiso de la alta dirección como la alineación con los objetivos de negocio. **C. Garantizar que las actividades de seguridad siguen alineadas y apoyan los objetivos empresariales es fundamental para obtener un mayor apoyo de la dirección. La revisión periódica de las actividades de seguridad proporcionará visibilidad regular a la alta gerencia.** D. Aunque la aprobación de la estrategia de seguridad por parte de la alta dirección proporciona una buena visibilidad y demuestra el compromiso de la cúpula directiva, se trata de un evento único y discreto que puede ser olvidado rápidamente por la alta dirección.

Answer 5

**C es la respuesta correcta.** Justificación: A. Las entrevistas a los especialistas las debería hacer el gerente de seguridadde la información. B. El desarrollo del contenido del programa debe ser realizado por el personal de seguridad de la información. **C. La priorización de las iniciativas de seguridad de la información corresponde a un comité directivo de seguridad de la información.** D. Aprobar el acceso a sistemas financieros críticos es la responsabilidad de los propietarios individuales de los datos de sistemas.

Answer 6

**D es la respuesta correcta.** Justificación: A. La interoperabilidad es importante, pero carece de mérito si se logra una solución tecnológicamente elegante que no satisface las necesidades del negocio. B. La escalabilidad es importante, pero solo en la medida en que la arquitectura cumpla los requisitos de las partes interesadas. C. Existen varias metodologías viables de desarrollo, y la elección de la que se va a utilizar no es particularmente importante, siempre que satisfaga las necesidades de la empresa. **D. El factor más importante para el diseño de la arquitectura de seguridad de la información es el de las salvaguardas para los requisitos de las partes interesadas definidos por las necesidades de negocio.**

Answer 7

****A es la respuesta correcta. Justificación: **A. Sin el apoyo de la dirección, el programa nunca podrá establecer un estatuto que le permita funcionar** dentro del entorno. Todas las demás opciones siguen el estatuto. B. Sin un estatuto para el programa, no habrá presupuesto porque el programa no existirá. C. Se necesita un estatuto para establecer el programa antes de que se pueda desarrollar la política. D. La estructura jerárquica no se establecerá hasta que el programa tenga un estatuto.

Answer 8

**D es la respuesta correcta.** Justificación: A. La actualización de los parámetros de seguridad a nivel de plataforma suele ser realizada por personal con menores responsabilidades porque es una tarea básica para los administradores de TI. B. Los ejercicios de prueba de recuperación ante desastres normalmente los haría el personal de operaciones de los equipos de BCP/DR y de otros departamentos. C. Aprobar el acceso a sistemas financieros críticos es responsabilidad de los propietarios de los datos. **D. Desarrollar una estrategia para la seguridad de la información sería la tarea más adecuada para el responsable de seguridad de la información.**

Answer 9

**D es la respuesta correcta.** Justificación: A. Cualquier planificación para la seguridad de información debe estar debidamente alineada con las necesidades del negocio y no sería necesario que lo estuviera con el plan estratégico de TI. B. Las necesidades tecnológicas no deberían tener prioridad sobre las del negocio y la estrategia de seguridad de la información no se puede basar en la tasa actual de cambio tecnológico sin establecer primero si está alineada con las necesidades del negocio. C. La planificación no debe hacerse con un calendario artificial que no tiene en cuenta necesidades del negocio: un calendario de tres a cinco años debe estar justificar y parece arbitrario. **D. Cualquier plan para la seguridad de información debe estar debidamente alineado con la estrategia del negocio.**

Answer 10

**B es la respuesta correcta.** Justificación: A. Las necesidades de personal se derivan de los plazos de ejecución y los requisitos del plan estratégico. **B. Lo más importante es presentar una visión de futuro y, a continuación, crear una hoja de ruta desde el estado actual hasta el estado futuro deseado, basándose en un análisis de carencias que identifique los requisitos para alcanzar el estado futuro.** C. Los requisitos de inversión de capital de TI no se determinan a nivel del plan estratégico, sino a partir de una evaluación financiera y operativa de los activos de capital necesarios para conseguir los objetivos del plan estratégico. D. La declaración de misión suele ser una declaración breve y de alto nivel de los objetivos generales de la organización y sólo afecta directamente a la estrategia de seguridad de la información al establecer el contexto.

Answer 11

**B es la respuesta correcta.** Justificación: A. El tiempo requerido para la implantación puede tener impacto sobre la empresa, pero está subordinado al impacto global del proyecto en la misma. **B. La priorización de los proyectos de seguridad de la información se debe evaluar en función del impacto positivo que tendrán sobre la empresa.** C. El coste total de la implantación es un aspecto del proyecto de seguridad de la información, pero no es el factor por el que se evalúa la priorización. D. La combinación de recursos necesarios puede ser un factor de entrega, pero no es especialmente relevante para priorizar los proyectos de seguridad.

Answer 12

**B es la respuesta correcta.** Justificación: A. Dirigir a los reguladores a una persona o departamento específicos no es un método que prepare para una revisión regulatoria, ya que solo servirá como acción para facilitar la revisión. **B. Las autoevaluaciones proporcionan la mejor retroalimentación en cuanto a cumplimiento o preparación y permiten la identificación de los elementos que requieren corrección** C. Evaluar los informes regulatorios anteriores no es tan efectivo como las autoevaluaciones porque las condiciones pueden haber cambiado. D. El departamento legal debe revisar todas las consultas formales, pero esto no ayuda a prepararse para una revisión regulatoria.

Answer 13

**D es la respuesta correcta.** Justificación: A. La definición de funciones y responsabilidades no mejora por sí sola el cumplimiento de las políticas si no se realiza un seguimiento adecuado y se aplica la rendición de cuentas. B. Los flujos de los procedimientos no se ven necesariamente afectados por la definición de roles y responsabilidades. C. Es más probable que la segregación de las funciones se produzca como resultado de la aplicación del cumplimiento de políticas que solo por definir roles y responsabilidades, aunque sea un primer paso necesario. **D. Definir roles y responsabilidades aclara quien es responsable del desempeño y los resultados.**

Answer 14

**C es la respuesta correcta.** Justificación: A. El director de seguridad no es responsable de la obligación legal y regulatoria de la empresa que pueda aparecer por los fallos de seguridad. B. El director de asesoría legal no es individualmente responsable de la obligación legal y regulatoria por los fallos de seguridad en la empresa. **C. El consejo de administración y la alta dirección son los responsables últimos de garantizar que la normativa se cumpla adecuadamente y tienen la responsabilidad legal y reglamentaria por los fallos de seguridad en la empresa.** D. El grupo de dirección de seguridad de la información no es responsable de la obligación legal y regulatoria que pueda aparecer por los fallos de seguridad en la empresa.

Answer 15

**C es la respuesta correcta.** Justificación: A. La adopción de unas normas de seguridad adecuadas se basa en la implementación de la intención de las políticas y no es el primer paso, ya que sigue al desarrollo de políticas que apoyan la estrategia. B. Las líneas básicas de seguridad se establecen como resultado de determinar el riesgo aceptable. Su determinación no es el primer paso en la implementación de la seguridad de la información, sino que se considera un requisito anterior al desarrollo de estrategias. **C. El gobierno de la seguridad se basa en la estrategia de seguridad de la información, que es el primer paso en la implementación. Primero se debe desarrollar una estrategia de la seguridad de la información que cumpla y apoye los objetivos de negocio.** D. Las políticas son un instrumento para el gobierno y se desarrollan para ayudar a la estrategia; las políticas no se encuentran entre las primeras actividades que se llevan a cabo para implementar el gobierno de la seguridad de la información.

Answer 16

**A es la respuesta correcta.** Justificación: **A. Para que sea efectivo y recibir apoyo de la alta dirección, un programa de seguridad de la información debe estar alineado con la estrategia de negocio corporativa.** B. Un enfoque de la gestión de riesgos que sea efectivo puede ser de poca ayuda para una empresa si no aborda de forma específica la estrategia de negocios de la empresa y es coherente con esta. C. El programa de gobierno debe abordar los requisitos regulatorios que afectan a la empresa hasta donde determine la gerencia, pero no es el requisito más básico. D. Las buenas prácticas son la base del programa de gobierno, pero no tienen prioridad sobre la estrategia de negocio como requisito más básico.

Answer 17

**C es la respuesta correcta.** Justificación: A. El comité de dirección de seguridad guiará y se asegurará de que la política de seguridad esté alineada con los objetivos de negocio, pero no es responsable de su aplicación. B. El director de informática puede participar hasta cierto punto en la aplicación de la política, pero no es directamente responsables de ello. **C. Hacer cumplir la política de seguridad de la información es la responsabilidad del director de seguridad de información.** D. El director de cumplimiento suele participar en determinar el nivel de cumplimiento, pero no suele participar directamente en la aplicación de la política.

Answer 18

**B es la respuesta correcta.** Justificación: A. La política de privacidad de datos corporativos no puede dictar que la política de seguridad de la información se ajuste a ella, ya que aborda una función diferente y puede ser un subconjunto en sí misma. **B. Como filial, la entidad local tendrá que garantizar que el programa de seguridad de la información cumple las leyes locales del país en lo que respecta a protección de datos, privacidad y seguridad. En caso de incumplimiento, sería posible considerar responsable a la alta dirección.** C. Las directivas de la política de privacidad de datos del país donde se encuentra la sede central pueden no ser aplicables, ya que las políticas de la empresa deben cumplir los requisitos de las leyes locales que sean de aplicación y no las leyes aplicables en la sede central donde se habría elaborado la política de privacidad. Las leyes de privacidad y protección de datos son específicas de cada país. D. Además, al diferir las regulaciones locales del país en que se encuentra la sede central de la empresa, es improbable que una política a nivel del grupo resuelva todos los requisitos legales locales. Las leyes de privacidad y protección de datos son específicas de cada país.

Answer 19

**C es la respuesta correcta.** Justificación: A. La participación activa de un comité de dirección formado por los propietarios del negocio o por sus delegados es una manera de conseguir la alineación estratégica, pero un comité de dirección no es la única manera de conseguir este objetivo. B. Si la empresa tiene una unidad de planificación estratégica de negocio, la participación activa en sus actividades puede ayudar a comprender las futuras direcciones del negocio y garantizar que se incluyan cuestiones de seguridad en el proceso de planificación, pero la alineación estratégica del programa de seguridad de la información no requiere la creación de dicha unidad. **C. La alineación estratégica efectiva del programa de seguridad de la información requiere que una comprensión de los planes y objetivos empresariales determinados por los han determinado los propietarios del negocio. Aunque el método de conseguir una coordinación o interacción regular con los propietarios del negocio puede variar según el tamaño y la estructura de la empresa, la interacción en sí misma es un requisito.** D. La alineación de un programa de seguridad de la información debe tener en cuenta la cultura y la tecnología existente, pero la seguridad de la información apoya los objetivos de negocio de la empresa, que pueden incluir cambios en la cultura y la tecnología actual Estos aspectos de la empresa no se deben aceptar como base para la alineación del programa cuando no están alineados con los objetivos de negocio.

Answer 20

**A es la respuesta correcta.** Justificación: **A. La mayoría de las leyes y normativas sobre privacidad requieren que se revele cómo se utilizará la información.** B. Una cláusula de exención de responsabilidad puede ser prudente, pero no es necesaria ya que no se refiere a la privacidad de datos. C. No es obligatorio ni deseable publicar los detalles técnicos relacionados con la manera en que se protege la información en el sitio web. D. No es obligatorio decir dónde se alberga la información.

Answer 21

**C es la respuesta correcta.** Justificación: A. Los objetivos funcionales y de seguridad deben estar alineados a nivel operativo, pero ninguno deriva del otro. B. La seguridad no es un fin en sí misma y debe servir a los objetivos generales del negocio. Por tanto, los objetivos de negocio no se derivan de los objetivos de seguridad. **C. Los objetivos de seguridad deben derivarse de los objetivos de negocio, que se desarrollan en función de la estrategia empresarial global. Esta es la relación más importante, ya que depende de la estrategia de negocio definida por la alta dirección.** D. Si los objetivos de seguridad se definen independientemente de los objetivos de negocio, la función de seguridad no apoyaría la estrategia general del negocio o podría obstaculizar a consecución de los objetivos globales del negocio.

Answer 22

**C es la respuesta correcta.** Justificación: A. Aunque los ejemplos de incidentes en otras empresas pueden ayudar a obtener la aceptación de la alta dirección, el programa de seguridad debe basarse en amenazas realistas para los objetivos corporativos de la empresa. B. Las buenas prácticas son útiles y pueden ser la base para el programa de seguridad, lo que puede mejorar la aceptación de la alta dirección. Sin embargo, esto puede no ser un argumento sustancial para obtener el compromiso de la dirección ejecutiva. **C. Vincular amenazas realistas a objetivos de negocio clave llamará directamente la atención de la directiva y proporcionará a la gerencia ejecutiva la comprensión necesaria del escenario de riesgo para garantizar su compromiso con el programa de seguridad.** D. El análisis de los riesgos tecnológicos actuales puede mejorar el compromiso de la alta gerencia, pero pueden no tener tanto peso como las amenazas realistas a los objetivos de negocio de la empresa.

Answer 23

**C es la respuesta correcta.** Justificación: A. Las buenas prácticas raramente son la respuesta más efectiva para una empresa. Pueden ser una guía útil, pero no suelen ser una preocupación primordial. B. Los requisitos del negocio son una preocupación para formular las políticas de retención de datos y tendrán que cumplir los requisitos de las leyes del país. **C. La principal preocupación para el desarrollo de la política de retención de datos es la alineación con los requisitos regulatorios y legislativos locales. El cumplimiento es una necesidad del negocio, y las políticas y los procedimientos internos no pueden tener prioridad sobre las leyes del país.** D. El almacenamiento es una consideración irrelevante cuando se desarrolla una política de retención de datos, ya que deben tomarse las medidas necesarias en función de las necesidades.

Answer 24

**D es la respuesta correcta.** Justificación: A. El custodio de los datos es responsable del manejo y la gestión operativa de la información en consonancia con la clasificación de datos. B. El administrador de la base de datos no es responsable de la clasificación de los datos, sino de la administración técnica de la base de datos y los requisitos del manejo que se aplican a los datos en almacenamiento y en tránsito, de acuerdo con los requisitos de cada nivel de clasificación. C. El responsable de la seguridad de la información supervisa el proceso global de clasificación y tratamiento de datos para garantizar la conformidad con las políticas y normas de la empresa. **D. El propietario de los datos es responsable de la clasificación de los mismos y de garantizar su coherencia con los criterios de clasificación de la empresa.**

Answer 25

**A es la respuesta correcta.** Justificación: **A. Definir y ratificar la estructura de clasificación de datos y los procedimientos de tratamiento, en consonancia con el apetito de riesgo de la empresa y el valor de los activos de información, es la función principal del responsable de la seguridad de la información en relación con el proceso de clasificación y tratamiento de datos dentro de la empresa.** B. La responsabilidad de asignar los niveles de clasificación a los activos de información corresponde a los propietarios de los datos y no al gerente de seguridad de la información. C. El trabajo de asegurar los activos de información es responsabilidad de los custodios de los datos y no del gerente de seguridad de la información. D. Confirmar la correcta clasificación de los activos de información puede ser una de las funciones del auditor de seguridad de la información que lleva a cabo las revisiones de cumplimiento.

Answer 26

**B es la respuesta correcta.** Justificación: A. Un ambiente positivo para la seguridad (cultura) permite la gestión efectiva de la implementación de seguridad, pero no es tan importante durante el desarrollo de una estrategia de seguridad. **B. Entender los objetivos clave del negocio es lo más importante a la hora de desarrollar la estrategia de seguridad porque la estrategia de negocio es la que impulsa la seguridad.** C. Una línea de reporte con la alta dirección no es importante para desarrollar la estrategia de seguridad. Es necesaria para asegurarse de que la alta dirección esté informada sobre las iniciativas de seguridad y para garantizar su compromiso. D. La asignación de recursos es un factor de gran importancia en el desarrollo de la estrategia de seguridad.

DOMINIO 1 - GOBIERNO DE SEGURIDAD DE LA INFORMACIÓN Flashcards

(50 cards)