Analista de Riesgo Cibernético

Pregunta de muestra 1

Verano Pay, una empresa fintech, está integrando un modelo de lenguaje de gran escala de un tercero en su flujo de trabajo de revisión de fraudes mediante nuevos plugins que leen registros de transacciones y escriben en el sistema interno de gestión de casos. La dirección ejecutiva solicita al analista de riesgo cibernético desarrollar un plan de gestión de riesgos de ciberseguridad para la integración antes de su entrada en producción. ¿Qué entregable cumple mejor con la solicitud?

1. A.Amenazas específicas de la integración, como la inyección de prompts (prompt injection) a través de las notas de caso y el abuso de permisos de los plugins, calificadas por probabilidad e impacto, con controles priorizados, responsables designados y un calendario de reevaluación.
2. B.El alta de la integración en el registro de riesgos empresarial bajo la categoría existente de tecnología de terceros, heredando los requisitos de manejo de datos, control de acceso y respuesta a incidentes que la política de seguridad de la empresa ya define.
3. C.Un paquete contractual con el proveedor que cubra compromisos de disponibilidad, términos de tratamiento de datos, plazos de notificación en caso de vulneración y derechos de auditoría, negociado con el área jurídica del proveedor del modelo y revisado anualmente en la renovación del contrato.
4. D.Una prueba de penetración de la capa de plugins previa al lanzamiento, con la remediación de los hallazgos críticos y altos como condición para la entrada en producción y una nueva prueba programada al cumplirse el primer aniversario del despliegue.

Pregunta de muestra 2

Novara Biotech está incorporando una nueva unidad de negocio, una subsidiaria de investigación por contrato que almacena datos no publicados de ensayos clínicos y se conecta con varias organizaciones externas de investigación por contrato mediante enlaces VPN de sitio a sitio. La dirección le solicita a usted desarrollar un perfil de riesgo de ciberseguridad para esta unidad de negocio antes de su integración al programa de riesgos de la empresa matriz. ¿Qué debe caracterizar principalmente el perfil de riesgo?

1. A.El estado de vulnerabilidades técnicas de la unidad: las debilidades específicas detectadas en sus escaneos de vulnerabilidades y pruebas de penetración más recientes, cada una clasificada por severidad CVSS, asociada a su explotabilidad y a su estado actual de parches, y con seguimiento frente a sus fechas límite de remediación, porque la concentración de fallas técnicas explotables es lo que impulsa de manera más directa la exposición de la unidad antes de la integración.
2. B.La conformidad regulatoria de la unidad: las regulaciones sobre datos clínicos y las cláusulas de protección de datos en sus contratos con las organizaciones externas de investigación, las brechas de control encontradas al auditarla contra el marco de referencia aplicable, los responsables de remediación asignados a cada brecha y las fechas objetivo de cierre, porque la conformidad con los controles que le son exigibles es la señal más firme del riesgo de la unidad antes de la integración.
3. C.La exposición general al riesgo de la unidad: cuáles de sus activos y datos son los más críticos y sensibles, las amenazas que enfrenta de manera plausible dados sus datos de ensayos clínicos y sus enlaces VPN externos, la madurez de sus controles existentes y la postura de riesgo resultante, de modo que el programa de riesgos obtenga una línea base estructurada contra la cual monitorear y priorizar a lo largo del tiempo.
4. D.El entorno de amenazas de la unidad: los adversarios con probabilidad de buscar datos no publicados de ensayos clínicos, las motivaciones y técnicas en las que esos actores suelen apoyarse, las rutas de ataque que exponen sus enlaces VPN externos con socios de investigación y las campañas recientes de intrusión contra objetivos del sector biotecnológico, porque una imagen detallada de quién podría atacar y cómo constituye la sustancia de un perfil de riesgo.

Pregunta de muestra 3

Usted es el Analista de Riesgo Cibernético en Meridian Health Partners, una aseguradora regional de servicios de salud. El CISO le ha solicitado construir un modelo de excedencia de pérdidas basado en FAIR para el escenario "el ransomware deja fuera de operación los sistemas de procesamiento de reclamaciones durante 5 o más días hábiles consecutivos", con el fin de sustentar una decisión del consejo sobre la retención del seguro cibernético. Usted ha recopilado inteligencia de amenazas que sitúa los incidentes de ransomware contra aseguradoras similares en aproximadamente uno cada 8 años, junto con estimaciones del equipo de reclamaciones sobre los costos de la interrupción. El CFO, que no tiene formación en seguridad, le pide resumir el modelo antes de la sesión del consejo. ¿Qué enfoque refleja mejor una práctica FAIR sólida?

1. A.Entregar al CFO la cifra única de pérdida anual más probable, calculada a partir de la mediana de la frecuencia de amenaza y de la mediana de la magnitud de pérdida, ya que para un consejo sin perfil técnico es más fácil actuar sobre un número único que sobre una distribución de probabilidad.
2. B.Calcular la frecuencia de eventos de amenaza a partir de la tasa base histórica exacta de ransomware reportada en el informe de amenazas de un solo proveedor, y presentar la pérdida esperada redondeada al millar de dólares más cercano para demostrar rigor analítico ante el consejo.
3. C.Presentar la frecuencia de eventos de amenaza y la magnitud de pérdida como rangos calibrados (por ejemplo, intervalos de confianza del 90%) derivados de estimación estructurada, y mostrar la curva de excedencia de pérdidas resultante para que el consejo pueda ver la probabilidad de superar distintos umbrales de pérdida, en lugar de un número único.
4. D.Sustituir las estimaciones numéricas de amenaza y pérdida por una calificación cualitativa de riesgo alto, medio o bajo para el escenario, ya que los miembros del consejo suelen sentirse más cómodos interpretando etiquetas cualitativas que interpretando curvas probabilísticas de excedencia de pérdidas.