22 Preguntas de Práctica de Controles de acceso lógico y modelos con Respuestas

1. 1. La política de una organización establece que cada cuenta recibe solo los permisos que exige el puesto asignado. ¿Qué enunciado expresa mejor lo que exige el principio de mínimo privilegio?

   • A.Los permisos se fijan en el nivel común más alto del departamento para poder sustituirse.
   • B.Los permisos se limitan a lo que exigen las funciones asignadas y también en el tiempo.✓ Respuesta
   • C.Los permisos se conceden ampliamente al ingresar y se recortan cuando una auditoría lo pide.
   • D.Los permisos se asignan por antigüedad, así el personal veterano tiene más acceso al sistema.

   El mínimo privilegio significa que un sujeto conserva solo los permisos mínimos necesarios para su función, y nada más. El límite alcanza tanto a la amplitud del derecho como a su duración, por eso se prefiere la elevación temporal frente a la concesión permanente: cuanto menor es el permiso permanente, menor es el daño que puede causar una cuenta comprometida o mal usada.

   Ref. QB-B7R8SQFuente: ISC2 Certified in Cybersecurity Exam Outline, Identity and Access Management (IAM) Concepts (Identity and Access Management Concepts), logical access controls — principle of least privilege; NIST SP 800-53, control AC-6 Least PrivilegeReportar un problema con esta pregunta

2. 2. Una empleada se ha trasladado dos veces en cuatro años: de compras a logística y luego a marketing. Cada vez recibió los permisos del nuevo departamento y no se le retiró ninguno de los anteriores. ¿Cómo se llama esta situación y qué principio incumple?

   • A.Escalada de privilegios: incumple el mínimo privilegio porque ella eleva sus propios derechos.
   • B.Acumulación de privilegios: incumple el mínimo privilegio al dejar derechos innecesarios.✓ Respuesta
   • C.Separación de funciones: se incumple porque dos departamentos comparten el mismo sistema.
   • D.Cuenta huérfana: incumple el mínimo privilegio al dejar un acceso sin responsable asignado.

   La acumulación de privilegios es el fallo de la etapa de "traslado" del ciclo de vida de la identidad: al cambiar de puesto se añaden derechos nuevos pero nunca se revocan los antiguos, de modo que la cuenta acumula accesos muy superiores al puesto actual. Se distingue de la escalada de privilegios, en la que alguien obtiene derechos que nunca se le concedieron. El control detectivo habitual es la revisión periódica de accesos, donde el responsable recertifica cada permiso.

   Ref. QB-VP9RHSFuente: ISC2 Certified in Cybersecurity Exam Outline, Identity and Access Management (IAM) Concepts (Identity and Access Management Concepts) — identity life cycle management (provision, review, deprovision) and principle of least privilegeReportar un problema con esta pregunta

3. 3. Una empresa despliega un agente de inteligencia artificial que lee su sistema de tickets y redacta respuestas. Para ahorrar tiempo de configuración, se le entregan credenciales con acceso de lectura y escritura a todos los sistemas de la empresa. ¿Qué principio se incumple y cuál es la corrección adecuada?

   • A.Necesidad de conocer; el agente debe justificar cada ticket ante un supervisor.
   • B.Separación de funciones; el agente debe dividirse en dos agentes con dos dueños.
   • C.Mínimo privilegio; el agente solo debe tener los permisos del sistema de tickets.✓ Respuesta
   • D.Rotación de puestos; las credenciales del agente deben cambiar de sistema cada mes.

   El mínimo privilegio se aplica a las identidades no humanas igual que a las personas: un agente de IA, un bot o una cuenta de servicio son identidades y deben recibir solo los permisos que su tarea exige. Un acceso general convierte esa credencial en un único punto de compromiso total, porque cualquier cosa que secuestre al agente hereda todos sus derechos. Además, esas identidades deben ser no interactivas y seguir el mismo ciclo de alta, revisión y baja que las cuentas humanas.

   Ref. QB-C74KXRFuente: NIST SP 800-53, control AC-6 Least Privilege (applies to users and to processes acting on their behalf); ISC2 Certified in Cybersecurity Exam Outline, Identity and Access Management (IAM) Concepts — logical access controlsReportar un problema con esta pregunta

4. 4. Dos analistas tienen el mismo rol y permisos de sistema idénticos, pero solo uno de ellos puede abrir el expediente de cierta investigación. ¿Qué concepto explica esa restricción adicional?

   • A.Separación de funciones: reparte una tarea delicada entre dos personas.
   • B.Mínimo privilegio: limita el nivel de permisos que se concede a cada cuenta.
   • C.Necesidad de conocer: limita el acceso a la información concreta que exige el deber.✓ Respuesta
   • D.Control dual: exige que dos personas actúen a la vez sobre la misma tarea.

   La necesidad de conocer y el mínimo privilegio están relacionados pero no son lo mismo. El mínimo privilegio rige la amplitud de permisos que recibe una cuenta; la necesidad de conocer rige si el deber actual de la persona justifica el acceso a una información concreta. Por eso dos personas pueden tener privilegios idénticos y quedar separadas por la necesidad de conocer, porque solo una lleva el caso al que pertenece el expediente.

   Ref. QB-WPM3QTFuente: NIST SP 800-53, control AC-6 Least Privilege and its need-to-know discussion; ISC2 Certified in Cybersecurity Exam Outline, Identity and Access Management (IAM) Concepts — logical access controlsReportar un problema con esta pregunta

5. 5. ¿Por qué divide una organización un proceso de negocio delicado de modo que ningún empleado pueda ejecutarlo de principio a fin?

   • A.Así una sola persona no puede cometer un fraude y además ocultarlo por sí misma.✓ Respuesta
   • B.Así cada persona implicada necesita menos permisos individuales en el sistema.
   • C.Así el proceso sigue funcionando cuando falta uno de los empleados asignados.
   • D.Así cada paso queda en un registro que los participantes no pueden modificar.

   La separación de funciones divide un proceso crítico de modo que su ejecución exige a dos o más personas. Su valor de seguridad es que la misma persona no puede realizar un acto fraudulento y controlar además el paso que lo revelaría o lo aprobaría; una segunda persona independiente debe intervenir antes de que el proceso concluya. Reducir permisos individuales es un efecto del mínimo privilegio, y la continuidad es un efecto colateral, no la finalidad.

   Ref. QB-D7FW4TFuente: NIST SP 800-53, control AC-5 Separation of Duties; ISC2 Certified in Cybersecurity Exam Outline, Identity and Access Management (IAM) Concepts — logical access controlsReportar un problema con esta pregunta

6. 6. En un departamento de cuentas por pagar, el mismo empleado da de alta nuevos proveedores en el maestro, registra sus facturas, aprueba los pagos y libera las transferencias bancarias. ¿Qué control falta?

   • A.Rotación de puestos: el empleado lleva demasiado tiempo en el mismo puesto.
   • B.Mínimo privilegio: la cuenta del empleado tiene más derechos de los necesarios.
   • C.Necesidad de conocer: el empleado lee registros de proveedores de otras áreas.
   • D.Separación de funciones: una sola persona controla toda la cadena de pago.✓ Respuesta

   Es la violación clásica de la separación de funciones: quien puede dar de alta a un beneficiario es también quien aprueba y libera el pago a ese beneficiario, de modo que puede crear un proveedor ficticio y pagarle sin que nadie más toque la operación. El defecto es la concentración de funciones incompatibles en una sola persona, no solo el tamaño del conjunto de permisos, que es lo que aborda el mínimo privilegio.

   Ref. QB-XPYDVUFuente: NIST SP 800-53, control AC-5 Separation of Duties; ISC2 Certified in Cybersecurity Exam Outline, Identity and Access Management (IAM) Concepts — logical access controlsReportar un problema con esta pregunta

7. 7. Un proceso de pago se organiza de modo que un empleado crea el registro del proveedor y otro distinto aprueba el pago. ¿Qué riesgo sigue abierto con esa disposición?

   • A.Hurto visual: alguno de ellos aprueba pagos en una oficina abierta.
   • B.Acumulación de privilegios: alguno de ellos se traslada luego a otra área.
   • C.Cuenta huérfana: uno de los dos empleados se marcha sin previo aviso.
   • D.Colusión: los dos empleados se ponen de acuerdo para abusar del proceso.✓ Respuesta

   La separación de funciones funciona porque impide que una sola persona complete un fraude, así que su riesgo residual es la colusión: si las dos personas que se reparten las funciones cooperan, el control queda anulado. Por eso se complementa con medidas detectivas como la rotación de puestos, las vacaciones obligatorias y la revisión independiente, que rompen un arreglo que depende de que esas dos personas sigan en su sitio.

   Ref. QB-E7T8AUFuente: NIST SP 800-53, control AC-5 Separation of Duties (collusion as residual risk); ISC2 Certified in Cybersecurity Exam Outline, Identity and Access Management (IAM) Concepts — logical access controlsReportar un problema con esta pregunta

8. 8. Una bóveda de efectivo se abre solo cuando dos custodios están presentes y giran sus llaves respectivas en el mismo instante. ¿Cómo se describe mejor este control y en qué se diferencia de la separación de funciones?

   • A.Rotación de puestos: los custodios intercambian funciones periódicamente.
   • B.Separación de funciones: abrir la bóveda se ha dividido en dos tareas distintas.
   • C.Control dual: dos personas actúan sobre la misma tarea, no sobre tareas distintas.✓ Respuesta
   • D.Mínimo privilegio: cada custodio tiene una llave y no una llave maestra.

   El control dual, también llamado integridad de dos personas, exige que dos personas autorizadas actúen a la vez sobre una única acción para que surta efecto. La separación de funciones tiene otra estructura: fragmenta un proceso en varias tareas distintas asignadas a personas diferentes, que intervienen en momentos distintos de la secuencia en lugar de hacerlo juntas sobre el mismo paso.

   Ref. QB-QPG3PKFuente: NIST SP 800-53, control enhancement AC-3(2) Dual Authorization; ISC2 Certified in Cybersecurity Exam Outline, Identity and Access Management (IAM) Concepts — logical access controlsReportar un problema con esta pregunta

9. 9. Un banco exige que todo empleado en un puesto sensible tome al menos una semana ininterrumpida de vacaciones al año, durante la cual otro empleado asume sus tareas. ¿Cuál es la finalidad de seguridad de esta regla?

   • A.Es un control correctivo: quien la sustituye corrige los errores que encuentre allí.
   • B.Es un control preventivo: sus permisos quedan suspendidos durante toda esa semana.
   • C.Es un control detectivo: pueden aflorar las irregularidades que la persona ocultaba.✓ Respuesta
   • D.Es un control disuasorio: recuerda al personal que las vacaciones se auditan.

   Las vacaciones obligatorias son un control detectivo de personal. Muchos fraudes prolongados sobreviven solo porque una persona mantiene el control continuo y exclusivo de un proceso y puede ajustar los registros a diario; apartarla mientras otro hace el trabajo elimina el encubrimiento y deja aflorar la discrepancia. Detecta actos ya cometidos en lugar de impedir el acto en sí.

   Ref. QB-77BW3KFuente: ISC2 Certified in Cybersecurity Exam Outline, Identity and Access Management (IAM) Concepts (Identity and Access Management Concepts) — logical access controls supporting separation of duties (mandatory vacation as a detective personnel control)Reportar un problema con esta pregunta

10. 10. Además de ampliar las capacidades de un equipo, ¿qué beneficio de seguridad aporta rotar a los empleados por distintas asignaciones?

    • A.Quien asume las tareas puede detectar irregularidades que el anterior ocultaba.✓ Respuesta
    • B.Quien asume las tareas hereda sus cuentas y mantiene estables los permisos.
    • C.Quien asume las tareas reduce el número total de permisos del departamento.
    • D.Quien asume las tareas evita que el área tenga que revisar accesos cada año.

    La rotación de puestos es un control detectivo por la misma razón que las vacaciones obligatorias: una persona nueva desempeña las mismas funciones y ve los registros y las rutinas sin que el anterior pueda seguir ajustándolos, de modo que las irregularidades ocultas salen a la luz. Heredar las cuentas del anterior es, de hecho, una mala práctica: rompe la rendición de cuentas y arrastra permisos antiguos.

    Ref. QB-QZUEM3Fuente: ISC2 Certified in Cybersecurity Exam Outline, Identity and Access Management (IAM) Concepts (Identity and Access Management Concepts) — logical access controls supporting separation of duties (job rotation as a detective personnel control)Reportar un problema con esta pregunta

11. 11. Bajo el control de acceso discrecional, ¿quién decide qué sujetos pueden acceder a un objeto determinado?

    • A.El dueño del objeto, que además puede ceder ese acceso a otros usuarios.✓ Respuesta
    • B.El sistema operativo, mediante etiquetas que el dueño no puede alterar.
    • C.El administrador de seguridad, mediante roles ligados a cada puesto.
    • D.El motor de políticas, mediante condiciones evaluadas en cada solicitud.

    El control de acceso discrecional se define por la discrecionalidad del dueño: el propietario de un archivo o recurso decide quién puede usarlo y puede propagar ese permiso a otros, normalmente mediante una lista de control de acceso sobre el objeto. Las otras tres descripciones corresponden a los modelos obligatorio, basado en roles y basado en reglas o atributos, donde la decisión sale de manos del dueño.

    Ref. QB-8H2M74Fuente: NIST IR 7316, Assessment of Access Control Systems — Discretionary Access ControlReportar un problema con esta pregunta

12. 12. Un empleado crea una hoja de cálculo en un servidor de archivos compartido y, por iniciativa propia, concede a dos compañeros permiso para abrirla sin intervención del departamento de informática. ¿Qué modelo de control de acceso ilustra esto?

    • A.Control de acceso basado en atributos: se juzga según el contexto.
    • B.Control de acceso obligatorio: el servidor etiqueta cada archivo nuevo.
    • C.Control de acceso basado en roles: ambos comparten la misma función.
    • D.Control de acceso discrecional: el creador del archivo elige quién lo lee.✓ Respuesta

    La señal del control de acceso discrecional es que el creador o dueño del recurso concede el acceso por sí mismo, sin que ninguna autoridad central lo evalúe. En el caso no interviene ninguna etiqueta de clasificación, ningún rol laboral ni ninguna condición de contexto: la decisión depende por entero de la discrecionalidad del dueño, que es la propiedad definitoria del modelo.

    Ref. QB-RZ7SS4Fuente: NIST IR 7316, Assessment of Access Control Systems — Discretionary Access ControlReportar un problema con esta pregunta

13. 13. ¿Qué enunciado describe mejor la principal debilidad de seguridad del control de acceso discrecional en una organización grande?

    • A.Las decisiones exigen un esquema central de etiquetas y frenan el trabajo.
    • B.Las decisiones se reparten entre muchos dueños; los permisos proliferan.✓ Respuesta
    • C.Las decisiones dependen de condiciones como la hora y el lugar, que varían.
    • D.Las decisiones siguen los roles y dejan sin permisos a los puestos atípicos.

    Como cada dueño decide de forma independiente, un sistema discrecional carece de supervisión central sobre quién alcanza qué: los permisos se acumulan de manera inconsistente, nadie tiene la imagen completa y revisar o revocar accesos resulta difícil. Esa misma propiedad implica que un código malicioso ejecutado como el dueño puede volver a conceder su acceso a terceros. Las demás opciones describen inconvenientes de los modelos obligatorio, basado en reglas y basado en roles.

    Ref. QB-9HDXC5Fuente: NIST IR 7316, Assessment of Access Control Systems — limitations of Discretionary Access ControlReportar un problema con esta pregunta

14. 14. En un sistema de control de acceso obligatorio, ¿qué determina si un sujeto puede leer un objeto concreto?

    • A.La habilitación del sujeto frente a la etiqueta del objeto, más la necesidad de conocer.✓ Respuesta
    • B.La decisión del dueño del objeto, anotada en la lista de control de acceso del archivo.
    • C.El rol asignado al sujeto, comparado con los roles con los que se comparte el objeto.
    • D.El dispositivo y la ubicación del sujeto, comparados con el reglamento de esa red.

    El control de acceso obligatorio asigna una etiqueta de clasificación a cada objeto y una habilitación a cada sujeto, y el propio sistema las compara: la habilitación debe alcanzar la clasificación y, además, el sujeto debe tener necesidad de conocer ese compartimento. Ni el dueño ni el usuario pueden cambiar etiquetas ni conceder excepciones, lo que hace de este el modelo más rígido y el más fuerte para la confidencialidad.

    Ref. QB-SZJ4Y5Fuente: NIST IR 7316, Assessment of Access Control Systems — Mandatory Access Control (labels and clearances)Reportar un problema con esta pregunta

15. 15. En un sistema gubernamental cada documento lleva una clasificación y cada usuario una habilitación. El sistema operativo aplica la comparación y ni los autores ni los usuarios pueden alterar las marcas. ¿Qué modelo se está utilizando?

    • A.Control de acceso obligatorio: la política la aplica el sistema, no el usuario.✓ Respuesta
    • B.Control de acceso discrecional: el autor marca el documento al crearlo.
    • C.Control de acceso basado en roles: la habilitación funciona como un rol.
    • D.Control de acceso basado en reglas: la comparación es una regla fija.

    Dos señales identifican el control de acceso obligatorio: etiquetas de clasificación contrastadas con las habilitaciones de los sujetos, y aplicación por parte del sistema según una política central que los usuarios no pueden anular. Una habilitación no es un rol, porque expresa un nivel de confianza para manejar material clasificado y no un conjunto de permisos de puesto, y el hecho de que el autor no pueda cambiar la marca descarta justamente el modelo discrecional.

    Ref. QB-AHR9J6Fuente: NIST IR 7316, Assessment of Access Control Systems — Mandatory Access Control (system-enforced policy)Reportar un problema con esta pregunta

16. 16. Una organización quiere que cada persona recién contratada reciba el primer día un conjunto de permisos coherente y revisable, determinado por el puesto para el que fue contratada. ¿Qué modelo satisface mejor ese requisito?

    • A.Control de acceso basado en roles: liga los permisos al puesto asignado.✓ Respuesta
    • B.Control de acceso discrecional: cada jefe concede lo que el nuevo necesita.
    • C.Control de acceso obligatorio: asigna una habilitación desde el primer día.
    • D.Control de acceso basado en atributos: pesa el contexto de cada solicitud.

    El control de acceso basado en roles asocia los permisos a roles que reflejan funciones laborales, y los usuarios obtienen derechos solo al ser asignados a un rol. Eso hace repetible el alta, sencillos el traslado y la baja, y viable la recertificación, porque quien revisa examina un número manejable de roles en lugar de miles de concesiones individuales. Además sostiene el mínimo privilegio y la separación de funciones, ya que los roles incompatibles pueden declararse mutuamente excluyentes.

    Ref. QB-TZWE57Fuente: INCITS 359, Role-Based Access Control standard — core RBAC (permissions assigned to roles, roles assigned to users)Reportar un problema con esta pregunta

17. 17. En una aplicación de nóminas, todo el personal asignado al puesto de 'Especialista de Nóminas' recibe los mismos permisos, y los permisos nunca se conceden a personas individuales. En ese diseño, ¿qué distingue un rol de un grupo?

    • A.El rol lo crea el dueño de los datos; el grupo lo crea la política del sistema.
    • B.El rol es un conjunto de usuarios de un área; el grupo, de carpetas compartidas.
    • C.El rol solo se aplica a administradores; el grupo, a los usuarios estándar.
    • D.El rol es un conjunto de permisos ligados a un puesto; el grupo, de usuarios.✓ Respuesta

    Un grupo es simplemente una colección con nombre de cuentas de usuario, mientras que un rol es una colección con nombre de permisos que corresponde a una función laboral, a la que después se asignan los usuarios. La distinción importa porque permite revisar qué puede hacer un puesto con independencia de quién lo ocupe en ese momento, y cambiar en un solo sitio los permisos de toda una función.

    Ref. QB-BH4MQ7Fuente: INCITS 359, Role-Based Access Control standard — role as a permission set corresponding to a job functionReportar un problema con esta pregunta

18. 18. Una empresa bloquea los inicios de sesión en su sistema contable fuera del horario de 07:00 a 20:00 en días laborables, y la restricción rige para todos los usuarios, incluidos los directivos. ¿Qué modelo es este y en qué se diferencia del control de acceso basado en roles?

    • A.Basado en roles: decide por la función laboral asignada a cada usuario.
    • B.Basado en reglas: decide por condiciones del momento, no por el puesto.✓ Respuesta
    • C.Basado en reglas: decide por la antigüedad que tiene cada usuario aquí.
    • D.Discrecional: decide por los límites que fijó el dueño de ese sistema.

    El control basado en reglas aplica condiciones predefinidas por igual a todo el mundo: hora del día, día de la semana, dirección de origen, zona de red o estado del dispositivo, evaluadas en el instante de la solicitud. El control basado en roles pregunta quién es el usuario dentro de la organización, por lo que resulta relativamente estático. La pista aquí es que la restricción ignora por completo la identidad y alcanza incluso a los directivos, así que no puede depender del rol.

    Ref. QB-KZE4XWFuente: NIST IR 7316, Assessment of Access Control Systems — rule-based access control compared with role-based access controlReportar un problema con esta pregunta

19. 19. La política de un hospital permite que una enfermera abra un historial clínico solo si el paciente está en su sala asignada, la solicitud cae dentro de su turno y el dispositivo está gestionado por el hospital. ¿Qué modelo describe esto?

    • A.Control discrecional: pondera lo que el dueño del dato decidió compartir.
    • B.Control basado en roles: pondera el único rol asignado a esa enfermera.
    • C.Control basado en atributos: pondera sujeto, recurso y contexto a la vez.✓ Respuesta
    • D.Control obligatorio: pondera la habilitación concedida a esa enfermera.

    El control basado en atributos evalúa una política sobre varias clases de atributos a la vez: del sujeto (sala y turno de la enfermera), del recurso (a qué paciente pertenece el historial), de la acción y del entorno (que el dispositivo esté gestionado). Un rol por sí solo no podría expresarlo, porque todas las enfermeras tienen el mismo rol y aun así cada una obtiene una respuesta distinta según las circunstancias de la solicitud.

    Ref. QB-4HM9HXFuente: NIST SP 800-162, Guide to Attribute Based Access Control (ABAC) Definition and ConsiderationsReportar un problema con esta pregunta

20. 20. En la terminología de control de acceso, una cuenta de usuario abre una tabla de base de datos. ¿Qué enunciado identifica correctamente el sujeto y el objeto?

    • A.La tabla de la base de datos es el sujeto; la cuenta es el objeto solicitante.
    • B.La cuenta de usuario es el sujeto que actúa; la tabla es el objeto afectado.✓ Respuesta
    • C.La cuenta de usuario es el sujeto; el permiso concedido es el objeto en juego.
    • D.El sistema operativo es el sujeto; la cuenta y la tabla son sus objetos aquí.

    Un sujeto es la entidad activa que solicita una acción, y no tiene por qué ser una persona: una cuenta de usuario, un proceso o un servicio que actúa en su nombre también lo son. Un objeto es el recurso pasivo sobre el que se actúa, como un archivo, una tabla, un registro o un dispositivo. El permiso en sí es el derecho de acceso que une a ambos, no el objeto.

    Ref. QB-EGXAEDFuente: NIST IR 7316, Assessment of Access Control Systems — subjects, objects and access rightsReportar un problema con esta pregunta

21. 21. Una lista de control de acceso y una capacidad expresan los mismos permisos desde direcciones opuestas. ¿Qué enunciado describe correctamente esa diferencia?

    • A.La lista la porta el sujeto; la capacidad se adjunta al objeto solicitado.
    • B.La lista se adjunta al objeto; la capacidad la porta el sujeto que accede.✓ Respuesta
    • C.La lista enumera las acciones permitidas; la capacidad, las prohibidas.
    • D.La lista se comprueba al iniciar sesión; la capacidad, en cada solicitud.

    Ambas describen la misma matriz de acceso leída por ejes distintos. La lista de control de acceso pertenece a un objeto y enumera los sujetos autorizados sobre él, lo que facilita responder "¿quién llega a este archivo?". La capacidad pertenece a un sujeto y enumera los objetos que puede alcanzar, lo que facilita responder "¿a qué llega este usuario?", pero dificulta enumerar a todos los que acceden a un mismo recurso.

    Ref. QB-WYR5UCFuente: NIST IR 7316, Assessment of Access Control Systems — access control lists and capability listsReportar un problema con esta pregunta

22. 22. Un pequeño estudio de diseño quiere que cada persona que crea un archivo lo comparta directamente con los colaboradores que elija, con la menor intervención administrativa posible. ¿Qué modelo encaja y cuál es la contrapartida?

    • A.Control basado en reglas: trato uniforme, pero hay que definir antes las reglas.
    • B.Control obligatorio: confidencialidad alta, pero hay que etiquetar cada archivo.
    • C.Control basado en roles: alta consistencia, pero el compartir depende del puesto.
    • D.Control discrecional: flexible, pero los permisos resultan difíciles de auditar.✓ Respuesta

    Cuando el requisito declarado es máxima flexibilidad y mínima administración, el modelo discrecional es el adecuado, porque los dueños conceden el acceso por sí mismos sin una autoridad central de por medio. El coste es justamente aquello que lo hace cómodo: las decisiones se descentralizan, así que los permisos se acumulan de forma dispar y cuesta revisarlos o revocarlos. Cada modelo se elige según la palabra clave del requisito: flexibilidad, confidencialidad o consistencia escalable.

    Ref. QB-FGANKEFuente: NIST IR 7316, Assessment of Access Control Systems — comparison of discretionary, mandatory, role-based and rule-based modelsReportar un problema con esta pregunta

Preguntas de práctica basadas en el temario del ISC2 Certified in Cybersecurity (CC). Este sitio no está afiliado ni respaldado por ISC2, y estas no son preguntas reales del examen. ISC2 revisa periódicamente los dominios y sus pesos y fija la duración, el estándar de aprobación y los requisitos — confirma el temario y las condiciones vigentes con ISC2 antes de inscribirte. Temario oficial del CC →