Especialista en Ciberseguridad

Pregunta de muestra 1

Una compañía de seguros de tamaño mediano contrata a un especialista en ciberseguridad. La compañía ha desplegado un chatbot de IA generativa para atender consultas de sus asegurados. El chatbot invoca una API hacia la base de datos de reclamaciones para consultar el estatus de la póliza de la persona con quien conversa. Una prueba de penetración encuentra que prompts cuidadosamente elaborados pueden manipular al chatbot para que revele datos de reclamaciones pertenecientes a otros asegurados, y que la credencial de API que utiliza el chatbot otorga acceso de lectura a toda la tabla de reclamaciones, en lugar de estar acotada a un asegurado a la vez. La dirección pide al especialista recomendar un enfoque de remediación antes de la siguiente liberación. ¿Qué recomendación debe hacer el especialista?

1. A.Acotar la credencial de base de datos del chatbot para que cada sesión solo pueda consultar los registros del asegurado autenticado, agregar filtrado de entradas y salidas para detectar referencias a otras cuentas, y registrar los patrones de consulta anómalos para su revisión.
2. B.Confiar en el entrenamiento de seguridad integrado del chatbot para rechazar solicitudes indebidas, y agregar un aviso en la interfaz que informe a los asegurados que las respuestas pueden ser ocasionalmente inexactas o incompletas durante periodos de alta demanda.
3. C.Reescribir el prompt de sistema para instruir al modelo que nunca divulgue información de otro asegurado, verificar la corrección con una breve prueba manual y retomar el asunto en la siguiente revisión trimestral de seguridad.
4. D.Indicar al personal de atención a clientes que, durante las llamadas escaladas, recuerde a los asegurados no preguntar por las reclamaciones de otras personas, y vigilar el volumen general de llamadas en busca de señales de actividad inusual o sospechosa.

Pregunta de muestra 2

En Meridian Health Analytics, la política de uso aceptable prohíbe instalar software no aprobado en los endpoints. Un gerente de proyecto envía un correo electrónico a la especialista en ciberseguridad de guardia para pedirle que otorgue a un contratista derechos de administrador local durante dos semanas, de modo que el contratista pueda instalar una herramienta especializada de modelado que el catálogo de servicios de TI todavía no contempla. El manual de políticas de ciberseguridad de la empresa define un proceso documentado de excepciones para casos como este: una justificación de negocio por escrito, una fecha de expiración definida y el visto bueno del propietario del activo o de un responsable de riesgos delegado, todo asentado en el registro de excepciones de GRC antes de aprovisionar el acceso elevado. No hay ningún incidente activo ni condición de emergencia; el trabajo de modelado no está bloqueando nada urgente. ¿Qué debe hacer la especialista?

1. A.Integrar el expediente de excepción completo, la justificación de negocio por escrito, una fecha de expiración definida, el visto bueno del propietario del activo o de un responsable de riesgos delegado y la entrada en el registro de excepciones de GRC, pero aprovisionar primero el acceso de administrador local del contratista para que el trabajo de modelado pueda comenzar, y después cerrar y archivar los cuatro elementos dentro de esa misma semana.
2. B.Preparar la justificación de negocio por escrito, establecer una fecha de expiración definida y asentar la entrada en el registro de excepciones de GRC, y luego aprovisionar el acceso de administrador local del contratista con base en la confirmación por escrito del gerente de proyecto sobre la contratación, tratando esa confirmación como el visto bueno que el proceso exige.
3. C.Obtener por teléfono la conformidad del propietario del activo o de un responsable de riesgos delegado y establecer la fecha de expiración de dos semanas, aprovisionar el acceso de administrador local del contratista, y después capturar la justificación de negocio por escrito y la entrada en el registro de excepciones de GRC una vez que el trabajo esté en marcha.
4. D.Llevar el proceso documentado de excepciones hasta su conclusión, la justificación de negocio por escrito, una fecha de expiración definida, el visto bueno del propietario del activo o de un responsable de riesgos delegado y la entrada asentada en el registro de excepciones de GRC, y aprovisionar el acceso de administrador local del contratista solo cuando los cuatro elementos estén en el expediente.

Pregunta de muestra 3

Una falla en el sistema de supresión de incendios obliga a Helio Systems a apagar su centro de datos primario durante un tiempo estimado de 14 horas. Varias aplicaciones resultan afectadas. El plan de BCDR de la organización, desarrollado en conjunto con los líderes de las unidades de negocio, asigna a cada función de negocio un nivel de recuperación con un tiempo máximo tolerable de inactividad y un orden designado de conmutación por error (failover): el Nivel 1 es el procesamiento de pagos de reclamaciones con un RTO de 2 horas, el Nivel 2 es el portal de clientes con un RTO de 8 horas, y el Nivel 3 son los tableros internos de analítica con un RTO de 48 horas. El especialista en ciberseguridad de guardia, quien coordina la conmutación técnica, encuentra que los tableros de analítica son el sistema más rápido y de menor riesgo para conmutar al sitio secundario, mientras que el procesamiento de pagos de reclamaciones requiere un procedimiento de conmutación más complejo y de mayor riesgo. ¿En qué orden debe el especialista dirigir el trabajo de conmutación?

1. A.Conmutar primero los tableros de analítica, dado que implican el menor riesgo técnico, luego el portal de clientes y después el procesamiento de pagos de reclamaciones, una vez que el equipo haya ganado confianza con las conmutaciones anteriores.
2. B.Conmutar los tres sistemas de manera simultánea, dividiendo al equipo de guardia entre cada uno, de modo que todos los sistemas se restablezcan lo más cerca posible del mismo momento.
3. C.Contactar individualmente a cada líder de unidad de negocio y dejar que ellos decidan el orden en vivo durante la interrupción, ya que conocen la urgencia de su propia función mejor que el documento del plan de BCDR.
4. D.Conmutar primero el procesamiento de pagos de reclamaciones, luego el portal de clientes y después los tableros de analítica, siguiendo los niveles de recuperación y los RTO definidos en el plan de BCDR, sin importar cuál conmutación sea técnicamente más simple.