Auditor de TI

Respuesta correcta: A

El expediente demuestra únicamente debida diligencia comercial: verificación de referencias, evaluación de costos, notas de negociación y un acuerdo estándar de confidencialidad. Ninguno de estos elementos examina las dimensiones específicas de seguridad del riesgo de la cadena de suministro relevantes para el firmware de las RTU y una plataforma de monitoreo vinculada con las operaciones de la red eléctrica. Entre esas dimensiones se encuentran una lista de materiales que revele los componentes integrados y de terceros, un cuestionario sobre las prácticas de desarrollo y aplicación de parches de Kestrel, derechos contractuales para realizar auditorías o exigir remediación y visibilidad sobre los propios subcontratistas de Kestrel. El hallazgo debe identificar esta brecha y recomendar que se cierre antes de firmar. La opción B es incorrecta porque la verificación de referencias refleja la satisfacción de los clientes y el funcionamiento operativo, no las prácticas de ingeniería de seguridad ni la procedencia de los componentes. Que otras empresas de servicios públicos utilicen el equipo sin incidentes no demuestra que las prácticas de desarrollo y aplicación de parches de Kestrel sean adecuadas, por lo que la reputación operativa no sustituye la evidencia específica de seguridad faltante. La opción C es incorrecta porque un acuerdo de confidencialidad protege la información confidencial intercambiada durante la operación, pero no crea para Kestrel una obligación expresa de divulgar vulnerabilidades ni establece derechos de auditoría u obligaciones de remediación. Por ello, no vuelve redundante un cuestionario separado ni una cláusula de auditoría. La opción D identifica correctamente que adquisiciones no ha atendido suficientemente el riesgo de la cadena de suministro, pero extrae una conclusión equivocada: la ausencia de un cuestionario de seguridad en el expediente de la RFP demuestra una brecha en los requisitos de adquisiciones, no las prácticas reales de desarrollo de Kestrel, ya que nunca se le solicitó esa información. Recomendar la descalificación y repetir por completo el proceso competitivo trata como hecho comprobado una inferencia no demostrada sobre el proveedor y resulta desproporcionado respecto de la evidencia. La recomendación defendible es exigir los controles faltantes, como la lista de materiales, el cuestionario y los derechos de auditoría, antes de firmar el contrato, y evaluar las respuestas de Kestrel antes de decidir si se rechaza al proveedor.

Esta pregunta mide: T1344: Determine if procurement activities sufficiently address supply chain risks

Respuesta correcta: C

La opción C es correcta porque la gestión del riesgo de la cadena de suministro requiere visibilidad de todas las partes que tienen contacto con los datos dentro de la cadena, incluidas las partes de cuarto nivel. El mecanismo estándar para extender las obligaciones de seguridad y privacidad más allá del proveedor directo es un requisito contractual de traslado de obligaciones. La integración no debe continuar hasta que se cierre esta brecha. La opción A es incorrecta porque las cláusulas de protección de datos del contrato principal no obligan automáticamente a subcontratistas no divulgados. Solo se extienden a una parte de cuarto nivel si las disposiciones contractuales de traslado de obligaciones lo establecen expresamente, lo cual no se confirmó en este caso. La opción B es incorrecta porque aplazar una exposición relevante y actualmente activa hasta el siguiente ciclo anual de revisión ignora que el riesgo existe ahora, mientras se construye la integración. La opción D es incorrecta porque considera automáticamente descalificante cualquier uso de un subencargado. La gestión del riesgo de la cadena de suministro consiste en obtener visibilidad e imponer controles apropiados, no en prohibir toda subcontratación. Por lo tanto, esta opción sobrerreacciona en lugar de resolver la brecha real.

Esta pregunta mide: K0803: Knowledge of supply chain risk management principles and practices

Respuesta correcta: C

La dependencia de una organización de servicios conforme a SOX 404 exige evidencia de que los controles relevantes para el control interno sobre la información financiera (ICFR) operaron eficazmente durante todo el periodo sujeto a auditoría, no solo de que estaban diseñados adecuadamente en un momento determinado. Un informe SOC 1 Tipo II es el único documento ofrecido que satisface ambas condiciones: su alcance comprende los controles sobre el procesamiento de nómina, relevantes para ICFR, y prueba su eficacia operativa durante un periodo, que es lo requerido por las pruebas de ITGC conforme a SOX 404. El informe SOC 2 Tipo II también abarca un periodo, pero sus criterios corresponden a seguridad y disponibilidad, no a controles sobre la información financiera relevantes para ICFR; por lo tanto, un informe que cubre un periodo, pero aplica criterios incorrectos, tampoco puede sustentar la dependencia conforme a SOX 404. El informe SOC 1 Tipo I aplica los criterios correctos, los controles sobre el procesamiento de nómina, pero únicamente emite una opinión sobre si esos controles estaban diseñados adecuadamente en una fecha específica; no proporciona evidencia de que hayan operado eficazmente durante el año, que es la brecha específica que las pruebas de ITGC conforme a SOX 404 buscan cerrar. La carta puente aborda la materia correcta, pero constituye una declaración del propio personal de NimbusPay respecto de que nada cambió, no una prueba independiente de la eficacia operativa durante el periodo actual; por sí sola, no puede sustituir un informe Tipo II con pruebas, aunque puede complementarlo para cubrir un periodo breve sin cobertura.

Esta pregunta mide: AUDIT-K01: Knowledge of IT audit standards and frameworks including SOC 1 and SOC 2, COBIT, the IIA IPPF, and SOX 404 ITGC scoping