Ingeniero de Seguridad de IA

Pregunta de muestra 1

Un ingeniero de seguridad en IA está compilando la documentación de la superficie de ataque de la aplicación móvil bancaria de Harwick Savings, previo a una evaluación. La documentación hasta el momento enumera los endpoints de la API REST, la pantalla de inicio de sesión y un SDK de analítica de terceros. Al revisar el manifiesto de la aplicación y las notas de diseño, el ingeniero también encuentra que la aplicación aplica certificate pinning en sus conexiones a la API, registra el esquema de URL personalizado harwick:// de modo que los correos electrónicos de campañas y el sitio web del banco puedan abrir pantallas específicas dentro de la aplicación, como la confirmación de transferencias, incorpora verificaciones de detección de root y antimanipulación, y muestra una serie de cuadros de diálogo de solicitud de permisos en el primer arranque. ¿Qué elemento adicional debe incluirse en la documentación de la superficie de ataque?

1. A.La configuración de certificate pinning, ya que una evasión del pinning expondría a intercepción todas las llamadas a la API que la documentación ya cubre.
2. B.Los cuadros de diálogo de solicitud de permisos, ya que los permisos otorgados en el primer arranque determinan a cuántos datos del dispositivo podría acceder un proceso comprometido de la aplicación.
3. C.Las verificaciones de detección de root y antimanipulación, ya que los atacantes que operan en dispositivos con jailbreak suelen vencer estas protecciones antes de hacer cualquier otra cosa.
4. D.El manejador del esquema harwick:// y los parámetros que acepta, ya que otras aplicaciones y páginas web pueden invocarlo fuera del flujo de inicio de sesión.

Pregunta de muestra 2

Usted es el ingeniero de seguridad en IA de una empresa manufacturera que está modernizando su plataforma de monitoreo del piso de planta. El equipo de DevOps propone una sola identidad de servicio para el pipeline de despliegue: puede fusionar pull requests en la rama principal, ejecutar los pasos de plan y de apply de Terraform, y resguardar las credenciales de nube de larga duración que crean y modifican recursos de producción, todo con el fin de que una sola integración reduzca la complejidad del pipeline. Aplicando los principios de control de acceso, ¿cuál es la objeción más sólida que usted debe plantear antes de aprobar este diseño?

1. A.La objeción más sólida es que la identidad quedaría con privilegios excesivos, con amplios derechos permanentes para crear y modificar recursos de producción que van mucho más allá de cualquier paso individual, por lo que el diseño viola el mínimo privilegio, y acotar sus permisos únicamente a los recursos específicos de Terraform que este pipeline administra es lo que exige aplicar la separación de funciones a este diseño antes de su aprobación.
2. B.La objeción más sólida es que la identidad dependería de credenciales de nube de larga duración, de modo que un solo robo otorgaría acceso duradero, y la separación de funciones que le falta a este diseño se restablece una vez que esas credenciales se sustituyen por tokens de corta duración emitidos de nuevo y rotados automáticamente antes de cada ejecución individual del pipeline, lo cual impide que una credencial robada se reutilice entre despliegues.
3. C.La objeción más sólida es que una sola identidad concentraría tanto la autoridad para fusionar un cambio en la rama principal como la autoridad para aplicarlo a producción; esas dos funciones deben residir en identidades separadas, porque de lo contrario un solo compromiso de la identidad del pipeline, incluso a través del ejecutor de compilación, podría llevar un cambio sin revisar directamente a producción.
4. D.La objeción más sólida es que la separación de funciones está ausente en el paso de fusión, por lo que exigir que un segundo revisor independiente apruebe cada pull request antes de fusionarse aporta esa separación entre autor y aprobador, lo cual atiende la preocupación justo en el punto donde los cambios nuevos entran realmente a la rama principal que consume el pipeline de despliegue.

Pregunta de muestra 3

Un ingeniero de seguridad en IA apoya a un proveedor de tecnología de recursos humanos con sede en Estados Unidos, cuya herramienta de IA filtra a los candidatos a un empleo mediante el análisis de currículos y de entrevistas en video. Un banco alemán, cliente del proveedor, quiere usar la herramienta para puestos con sede en la UE, con los datos de los candidatos alojados en servidores en Estados Unidos. El equipo jurídico del cliente sostiene que, como los servidores del proveedor están en Estados Unidos, el GDPR no aplica a este tratamiento. El ingeniero debe corregir esta interpretación antes de que la contratación avance. ¿Cuál explicación es correcta?

1. A.El alcance territorial del GDPR está ligado al lugar donde se alojan físicamente los servidores de una empresa, por lo que trasladar los datos de los candidatos a infraestructura ubicada en Estados Unidos deja este tratamiento fuera del alcance del GDPR.
2. B.El contrato entre el proveedor y el banco establece la ley estadounidense como aplicable, y esa elección contractual de la ley determina si los requisitos del GDPR se aplican a este tratamiento.
3. C.El GDPR aplica porque el tratamiento se dirige a titulares de datos ubicados en la UE mediante servicios que se les ofrecen; alojar los datos en servidores en Estados Unidos no elimina esa obligación.
4. D.Al ser encargado del tratamiento y no responsable, el proveedor no tiene obligaciones de cumplimiento independientes bajo el GDPR; la condición de responsable del banco absorbe cualquier obligación del GDPR que de otro modo pudiera aplicar aquí.