Analista de GRC

Pregunta de muestra 1

El sistema de manejo de equipaje de Skyharbor Regional Airport opera sobre una red de control industrial. Una actualización de firmware aplicada el mes pasado a los PLC de las bandas transportadoras modificó los tiempos de paro de los motores, pero el cambio nunca se validó contra la lógica del enclavamiento de paro de emergencia, porque la ventana de mantenimiento se recortó antes de que pudieran ejecutarse los scripts de prueba. Las bandas han operado sin incidentes desde entonces. Como analista de GRC que revisa este cambio durante una auditoría posterior a un incidente, ¿qué afirmación captura mejor el impacto operativo y de seguridad?

1. A.El impacto debe tratarse como operativo, ya que las bandas han funcionado sin incidentes y los cambios de firmware rara vez afectan la lógica del enclavamiento de seguridad.
2. B.El enclavamiento podría no detener la banda con la rapidez suficiente, por lo que la operación diaria parece normal mientras un riesgo de lesiones permanece sin detectarse hasta que se active un paro.
3. C.El impacto debe tratarse como una cuestión de seguridad, ya que un cambio de firmware sin probar no afectaría el rendimiento ni la programación una vez que las bandas operan con normalidad.
4. D.No existe un impacto significativo hasta que el enclavamiento se active realmente, por lo que dar seguimiento al tiempo de actividad de las bandas basta para detectar cualquier problema antes de que ocurra un daño.

Pregunta de muestra 2

Fatima, analista de GRC que prepara a un cliente para un examen SOC 2 Tipo II, revisa el programa de gestión de identidades y accesos del cliente. El sistema ERP del cliente otorga el acceso únicamente mediante roles estáticos basados en el puesto: cada auxiliar de cuentas por pagar recibe permisos idénticos sin importar el estado de parches de su dispositivo, su horario laboral o la sensibilidad de los registros de proveedores específicos que consulta. El hallazgo preliminar del examinador exige que las decisiones de acceso incorporen factores contextuales de riesgo, como el estado de cumplimiento del dispositivo y la sensibilidad del registro, sin que el negocio tenga que crear un nuevo rol con nombre propio para cada combinación posible. ¿Qué remediación debería recomendar Fatima?

1. A.Aumentar la granularidad de la jerarquía de roles existente del ERP, de modo que los auxiliares se dividan en roles adicionales que reflejen las diferencias en el estado de parches del dispositivo, el horario laboral y la sensibilidad de los registros de proveedores, y que el área de gestión de identidades reasigne a cada auxiliar afectado al rol que corresponda a su perfil actual.
2. B.Adoptar controles de acceso basados en políticas que evalúen reglas que combinen los atributos del auxiliar, la postura de cumplimiento del dispositivo y la sensibilidad del registro del proveedor en el momento de cada solicitud de acceso, otorgando o negando el acceso de forma dinámica a partir de esa evaluación del contexto en tiempo real.
3. C.Retirar por completo las asignaciones permanentes de roles y exigir que se presente y revise un formato de solicitud aprobado por un gerente antes de abrir cada registro de proveedor, de modo que cada decisión de acceso se convierta en una aprobación manual puntual en lugar de una concesión permanente basada en reglas.
4. D.Superponer políticas de acceso condicional al ERP, de modo que cada inicio de sesión requiera autenticación multifactor y se niegue siempre que el dispositivo no supere su verificación vigente de cumplimiento de parches, incorporando así la postura de riesgo en tiempo real del dispositivo a cada decisión de autenticación para todos los auxiliares.

Pregunta de muestra 3

Usted es el analista de GRC en Vantage Logistics. La plataforma heredada de prevención de pérdida de datos (DLP) está por renovarse a un costo de 340,000 dólares al año. Una opción más reciente, nativa de la nube, costaría 210,000 dólares al año, pero requiere un esfuerzo de migración estimado en cuatro meses y cubriría inicialmente menos canales de datos de la empresa que los que la herramienta heredada cubre hoy. El director de finanzas le pide fundamentar la decisión de renovación en un análisis de costo-beneficio en forma. ¿Cuál de las siguientes opciones refleja ese análisis?

1. A.Optar por la plataforma nativa de la nube es la recomendación acertada, pues su costo anual, 130,000 dólares menor, representa un ahorro recurrente que mejora de manera sostenida la eficiencia del presupuesto general de seguridad y libera recursos cada año para otras prioridades de control apremiantes.
2. B.Antes de inclinarse por cualquiera de las dos plataformas, procede ponderar el costo total de cada opción, incluidos el esfuerzo de migración y la posible brecha de cobertura durante la transición, frente a la reducción de riesgo y el beneficio operativo que esa opción realmente aporta, y recomendar únicamente la que resulte mejor sustentada con ese ejercicio.
3. C.Renovar la plataforma heredada es lo procedente, dado que actualmente cubre más canales de datos de la empresa que la opción en la nube, y conservar una herramienta probada y desplegada en su totalidad evita la disrupción y el riesgo de transición que toda migración introduce.
4. D.La plataforma nativa de la nube es la opción a seguir, ya que las herramientas modernas nativas de la nube suelen ser más capaces y contar con mejor soporte que los productos on-premises que van quedando obsoletos, y representan con claridad la dirección hacia la que avanza el mercado de seguridad en su conjunto.