Ingeniero DevSecOps

Pregunta de muestra 1

Un ingeniero de DevSecOps está reevaluando un bypass de autenticación reportado previamente en la API de rastreo de embarques de Calder Freight. Las notas del parche del proveedor indican que se agregó una verificación de nulos que faltaba en la función de validación de tokens. El ingeniero vuelve a ejecutar la solicitud original de la prueba de concepto y confirma que ahora devuelve una respuesta 401. ¿Qué debe hacer a continuación para completar adecuadamente el análisis de este parche?

1. A.Registrar la respuesta 401 como evidencia de la reevaluación y marcar el hallazgo como remediado en el informe final.
2. B.Obtener del proveedor el diff del código y verificar que la verificación de nulos se haya agregado a la función de validación de tokens antes de dar por cerrado el hallazgo.
3. C.Volver a ejecutar la prueba de concepto original contra las instancias de staging y de recuperación ante desastres para confirmar que el parche se desplegó de manera consistente.
4. D.Sondear los demás endpoints que llaman a la misma biblioteca de validación de tokens en busca del bypass original antes de cerrar el hallazgo.

Pregunta de muestra 2

En Solstice Retail, los ingenieros del equipo de DevSecOps modifican las reglas del firewall directamente en producción cada vez que un equipo de negocio envía un mensaje al canal del personal de guardia, sin dejar constancia de quién aprobó el cambio ni contar con un plan de reversión. Un cambio apresurado realizado de esta manera bloquea durante seis horas el tráfico legítimo de pagos. La dirección pide al responsable de ingeniería de DevSecOps que corrija el proceso para evitar que esto vuelva a ocurrir. ¿Qué cambio refleja una mejor práctica de gestión de servicios?

1. A.Exigir que todos los cambios del firewall sean ejecutados personalmente por el responsable de ingeniería de DevSecOps, sustituyendo la aprobación documentada por el criterio de dicho responsable
2. B.Restringir los cambios del firewall a una ventana nocturna de mantenimiento para limitar el impacto potencial de los errores, pero conservar el proceso actual de aprobación sin registro
3. C.Establecer un proceso formal para los cambios del firewall que exija una solicitud documentada, una evaluación de riesgos, una aprobación y un plan de reversión antes del despliegue
4. D.Exigir que cada cambio del firewall sea aprobado de manera retroactiva por el equipo de negocio solicitante después del despliegue y registrar esa aprobación en el log de auditoría

Pregunta de muestra 3

Su cliente Kestrel Financial se prepara para integrar la API de un modelo de lenguaje de gran escala de un tercero en su herramienta de atención a clientes. Al revisar la lista de subencargados del proveedor en su papel de ingeniero de DevSecOps, usted descubre que el proveedor recurre a una firma de etiquetado de datos, una cuarta parte en la cadena, para realizar el ajuste fino del modelo con transcripciones de clientes, pero esa firma no aparece en ninguna parte de la documentación pública del proveedor ni en el contrato marco de servicios firmado. ¿Cuál es el siguiente paso más apropiado, fundamentado en la práctica de gestión de riesgos de la cadena de suministro?

1. A.Proceder con la integración, ya que las cláusulas de protección de datos del contrato marco de servicios ya obligan a toda parte que llegue a tratar datos de clientes en etapas posteriores de la cadena.
2. B.Registrar al subencargado no divulgado como hallazgo para la próxima revisión anual programada del proveedor, ya que los términos contractuales normalmente se revisan solo en la renovación.
3. C.Exigir al proveedor que divulgue a la firma de etiquetado que actúa como cuarta parte y que le haga extensivas por contrato las mismas obligaciones de manejo de datos y de seguridad antes de que la integración proceda.
4. D.Instruir al proveedor para que deje de usar de inmediato cualquier firma de etiquetado que actúe como cuarta parte, ya que recurrir a un subcontratista no divulgado incumple de manera directa las obligaciones de cumplimiento del proveedor.