Consultor de Ciberseguridad

Pregunta de muestra 1

El vicepresidente de ventas de Meridian Freight Logistics se comprometió con un cliente minorista importante a que un nuevo portal de integración EDI entrará en operación en seis semanas, para cerrar un contrato de 2 millones de dólares. La prioridad del CISO aprobada por el consejo para este año es cerrar el hallazgo de la prueba de penetración del trimestre pasado, datos sin cifrar en reposo en la plataforma de almacenamiento compartido, la misma plataforma donde correrá el almacén de transacciones del nuevo portal, antes de que cualquier sistema nuevo orientado a clientes se lance sobre ella. Se solicita al consultor de ciberseguridad elaborar el plan de seguridad para el lanzamiento del portal. ¿Cuál plan integra mejor ambas prioridades?

1. A.Convertir el cifrado de la plataforma de almacenamiento compartido en una condición obligatoria para la salida a producción del portal, dentro del plan de seis semanas, de modo que la remediación y el lanzamiento concluyan juntos.
2. B.Lanzar el portal conforme al calendario con su almacén de transacciones alojado en una base de datos administrada por un tercero, asignando el hallazgo de cifrado a las certificaciones de cumplimiento de ese proveedor.
3. C.Pausar la construcción del portal hasta cerrar el hallazgo de cifrado en toda la plataforma de almacenamiento, y después reiniciar el compromiso de seis semanas con el cliente.
4. D.Preparar dos variantes del plan, una que proteja la fecha de lanzamiento y otra que proteja la prioridad del consejo, y pedir al consejo que elija entre ambas.

Pregunta de muestra 2

Un consultor está calificando el programa de gestión de vulnerabilidades de un cliente del sector manufacturero contra un modelo de madurez de procesos de cinco niveles (Inicial, Gestionado, Definido, Gestionado Cuantitativamente, En Optimización) como parte de un contrato de evaluación de madurez. El equipo de seguridad del cliente presenta una política escrita de gestión de vulnerabilidades, flujos de trabajo estandarizados y una ejecución consistente de esos flujos de trabajo en todas las unidades de negocio durante los últimos dieciocho meses. El equipo no recopila ni revisa métricas como el tiempo medio de remediación, y no compara el desempeño contra objetivos numéricos. El vicepresidente de TI del cliente sostiene que el programa debería calificarse en 'Gestionado Cuantitativamente' porque se ha ejecutado de manera consistente durante año y medio. Con base en la evidencia proporcionada, ¿cómo debe calificar el consultor el programa?

1. A.Calificar el programa en 'Gestionado', ya que el estatus de 'Definido' exige además un mecanismo documentado de adaptación de procesos o de mejora continua que el cliente aún no ha demostrado utilizar.
2. B.Calificar el programa en 'Definido', ya que cuenta con un proceso documentado y estandarizado que se sigue de manera consistente en toda la organización, pero carece de las métricas cuantitativas de desempeño requeridas para alcanzar 'Gestionado Cuantitativamente'.
3. C.Calificar el programa en 'Gestionado Cuantitativamente', como sostiene el vicepresidente, ya que dieciocho meses de ejecución consistente en todas las unidades de negocio demuestran que el proceso está bajo control cuantitativo.
4. D.Calificar el programa en 'En Optimización', ya que la ejecución consistente y sostenida durante un periodo prolongado refleja la mejora continua de procesos que define el nivel más alto de madurez.

Pregunta de muestra 3

Un consultor de ciberseguridad está probando un control en un cliente fintech de tamaño mediano: una política que exige la revisión de un ingeniero senior antes de integrar (merge) cualquier cambio de código sugerido por IA que afecte los módulos de autenticación o de criptografía. La política lleva cuatro meses en vigor. Al revisar el historial de git, el consultor encuentra que 14 commits asistidos por IA modificaron el módulo de autenticación en ese periodo, pero solo 3 registran un comentario de revisión de un ingeniero senior. La dirección de ingeniería señala que la política existe y que los ingenieros recibieron capacitación sobre ella al implementarse. ¿Qué conclusión refleja mejor una evaluación sólida de la efectividad de este control?

1. A.El control es efectivo, porque la política escrita asigna con claridad a los ingenieros senior la responsabilidad obligatoria de revisar, antes del merge, los cambios de autenticación y de criptografía.
2. B.La efectividad del control aún no puede juzgarse, porque todavía falta completar una evaluación de riesgos de IA independiente y formal que cubra específicamente este asistente de programación en particular, y que la dirección de seguridad firme formalmente.
3. C.El control está bien diseñado pero no opera de manera efectiva, ya que solo 3 de los 14 commits relevantes muestran la revisión requerida; las pruebas deben ampliarse y el consultor debe reportar una deficiencia.
4. D.El control es inefectivo, y el consultor debe exigir de inmediato que los commits sugeridos por IA se bloqueen automáticamente hasta contar con la aprobación criptográfica de un líder de seguridad.