CRISC_DOMINIO 1 - IDENTIFICACIÓN DE RIESGOS DE TI

¿Cuál de los siguientes factores es MÁS importante determinar a la hora de definir estrategias de gestión de riesgo?

• Criterios de evaluación de riesgo

• Complejidad de la arquitectura de TI

• Un plan de recuperación en caso de desastres (DRP)

• Objetivos organizacionales

¿Cuál de las siguientes opciones representa la información MÁS importante que ha de incluirse en un plan estratégico de evaluación de riesgo?

• Requisitos del personal de gestión de riesgo

• La declaración de objetivos fundamentales de la gestión de riesgo

• Planes de inversión de mitigación de riesgos

• El estado actual y el estado futuro deseado

La información que ya no es necesaria para el objetivo principal de la organización desde la perspectiva de la seguridad de información debe:

• analizarse de acuerdo con la política de retención.

• protegerse de acuerdo con la política de clasificación de información.

• analizarse de acuerdo con la política de respaldo de información.

• protegerse de acuerdo con el análisis 'de impacto en el negocio (BIA)

Una organización terceriza gran parte de su departamento de TI, y los servidores del proveedor están en otro país. ¿Cuál de las siguientes consideraciones acerca de la seguridad es la MÁS crítica?

• Las notificaciones de violación de la seguridad pueden retrasarse por la diferencia horaria.

• Deben instalarse sensores adicionales para detección de intrusos, lo que genera costes adicionales.

• Es posible que la organización no pueda monitorear el cumplimiento con sus pautas internas de seguridad y privacidad.

• Las leyes y regulaciones del país de origen pueden no aplicarse en el otro país.

Una organización desarrolló recientemente una tecnología innovadora que podría proporcionar una considerable ventaja competitiva. ¿Cuál de los siguientes elementos determina PRIMERO cómo debe protegerse esa información desde el interior de la organización?

• La política de clasificación de datos

• La política de uso aceptable

• Las normas de cifrado

• La política de control de acceso

Se detectó un malware que re direcciona a los usuarios de computadoras a páginas web creadas específicamente con fines fraudulentos. El malware cambia la configuración del servidor del sistema de nombres de dominio (domain name system, DNS) y re direcciona a los usuarios a páginas por los hackers. Lo que MEJOR describe este escenario es:

• ataque intermediario (Man-in-the-middle attack, MITM).

• ataque de phishing

• ataque de pharming

• ataque de ingeniería social.

¿Cuál es el método MÁS eficaz para evaluar el impacto potencial de los requisitos jurídicos, regulatorios y contractuales en los objetivos de negocio?

• Un análisis de brechas orientado al cumplimiento.

• Entrevistas con las partes interesadas en los procesos de negocio.

• Un mapeo de los requisitos de cumplimiento de políticas y procedimientos.

• Un análisis de impacto en el negocio (BIA) orientado al cumplimiento.

¿Cuál de las siguientes es la MEJOR manera de asegurar que se mantenga un registro de riesgos preciso a lo largo del tiempo?

• Monitorear los indicadores clave de riesgo (KRI) y registrar las conclusiones en el registro de riesgos.

• Publicar el registro de riesgos centralizadamente con funciones de flujo de trabajo que realicen encuestas periódicas entre los evaluadores de riesgos.

• Distribuir el registro de riesgos entre los propietarios de los procesos de negocio para su análisis y actualización.

• Asignar personal de auditoría a la realización de auditorías periódicas para mantener el registro de riesgos.

¿Cuál de los siguientes es el objetivo PRINCIPAL del programa de gestión de riesgo?

• Mantener el riesgo residual a un nivel aceptable

• Instaurar controles preventivos para todas las amenazas

• Eliminar todo el riesgo inherente

• Reducir el riesgo inherente a cero

La MEJOR manera de evaluar los riesgos de los sistemas de información es:

• utilizar las pérdidas pasadas reales de la organización para determinar la exposición actual.

• evaluar las estadísticas de pérdidas publicadas por empresas similares.

• evaluar las amenazas asociadas con los activos de los sistemas de información y los proyectos de sistemas de información existentes.

• evaluar los puntos débiles del control de los sistemas de información identificados en los informes de auditoría.