CISO adjunto

Pregunta de muestra 1

Cielo Financial Group concluyó hace seis meses la adquisición de una startup de pagos. El plan estratégico de ciberseguridad que usted mantiene para el equipo de GRC fue revisado formalmente por última vez hace catorce meses, antes de la adquisición, y todavía refleja únicamente el perfil de riesgo, el alcance regulatorio y los supuestos de plantilla de la empresa matriz. El CISO le pide preparar el plan para la actualización de ciberseguridad que se presentará al consejo de administración el próximo mes. ¿Qué debe hacer usted?

1. A.Presentar al consejo el plan existente sin cambios, ya que fue aprobado formalmente hace apenas catorce meses y sigue dentro del ciclo normal de revisión de planes estratégicos de dos años de la organización, por lo que ninguna revisión se justifica hasta que llegue ese ciclo programado, independientemente de la adquisición.
2. B.Anexar al plan existente un apéndice breve que resuma los riesgos de ciberseguridad de la adquisición, para conocimiento del consejo, ya que los objetivos centrales del plan, su alcance regulatorio y sus supuestos de recursos no necesitan cambiar; solo el material de contexto complementario.
3. C.Dejar de lado el plan existente y redactar desde cero un plan estratégico completamente nuevo para la organización combinada, ya que un plan escrito antes de una adquisición material no ofrece ningún punto de partida válido una vez que el negocio que describe ha cambiado de forma.
4. D.Revisar el perfil de riesgo, el alcance regulatorio y los supuestos de recursos del plan para reflejar a la organización combinada, y después llevar ese plan actualizado al consejo, ya que el cambio organizacional continuo significa que el plan mismo necesita actualizarse, no solo un informe de estatus.

Pregunta de muestra 2

El proceso de aceptación de riesgos de su organización requiere que los líderes de las unidades de negocio firmen la aceptación de los riesgos. Una auditoría revela que la mayoría de las firmas se otorgan sin evidencia de que los líderes hayan comprendido los riesgos que aceptaron.

El CISO de su organización le ha pedido recomendar mejoras al proceso de aceptación de riesgos, tras descubrir que varias vulnerabilidades de alto riesgo fueron aprobadas sin que los ejecutivos comprendieran el impacto potencial para el negocio. ¿Qué mejora de gobernanza aseguraría mejor que las decisiones de aceptación de riesgos sean verdaderamente informadas?

1. A.Implementar la aceptación automatizada de riesgos para los hallazgos que cumplan criterios predefinidos, basados en las calificaciones de severidad de las vulnerabilidades y en las puntuaciones de criticidad de los activos
2. B.Agilizar el flujo de aprobación permitiendo que los jefes de departamento acepten riesgos por debajo de un umbral predeterminado de puntuación de riesgo, sin revisión adicional
3. C.Consolidar la autoridad de aceptación de riesgos dentro del equipo de seguridad de la información, para aprovechar su experiencia técnica en la evaluación de amenazas de ciberseguridad
4. D.Requerir que los responsables del riesgo asistan a sesiones de presentación en las que se expliquen las implicaciones técnicas y de negocio, antes de documentar su reconocimiento informado.

Pregunta de muestra 3

Antes de que un borrador de política de retención de datos se presente al consejo de administración, se le pide a usted evaluarlo. La totalidad del texto operativo dice: "Los datos se conservarán únicamente el tiempo necesario y se eliminarán de forma segura". Evaluando la política como un instrumento bajo el cual la organización debe operar, ¿cuál es su debilidad más significativa?

1. A.Está redactada en voz pasiva, lo que debilita la autoridad de un documento de gobernanza.
2. B.No cita las leyes específicas que imponen a la empresa obligaciones de retención de datos.
3. C.Enuncia un principio sin fijar plazo de retención ni responsable, por lo que no es exigible ni auditable.
4. D.Debería fusionarse con la política de uso aceptable para reducir el número de documentos de gobernanza.