22 Preguntas de Práctica de Arquitectura de red y seguridad en la nube con Respuestas

1. 1. Una organización divide su red en segmentos separados y filtra el tráfico que pasa entre ellos. En el plano conceptual, ¿qué limita principalmente esa segmentación?

   • A.Limita hasta dónde puede llegar a otros segmentos quien compromete un solo equipo✓ Respuesta
   • B.Cifra todos los paquetes que cruzan el límite de un segmento hacia otro segmento
   • C.Elimina la necesidad de parchear los sistemas operativos de los equipos del segmento
   • D.Garantiza que ningún programa malicioso llegue a ejecutarse dentro de un segmento

   La segmentación obliga a que el tráfico entre grupos de sistemas pase por un punto de filtrado, de modo que un compromiso queda confinado al segmento donde empezó en lugar de extenderse libremente. No cifra el tráfico, no parchea los equipos ni impide que se ejecute código; esos son controles distintos.

   Ref. QB-5F7NKRFuente: ISC2 Certified in Cybersecurity Exam Outline, Networking and Cloud Security Concepts — understand network security architecture — network segmentationReportar un problema con esta pregunta

2. 2. Una empresa pequeña opera una red plana: estaciones, servidores, impresoras y cámaras comparten un único segmento sin filtrado entre dispositivos. ¿Por qué se considera peligrosa esa disposición?

   • A.Una red plana bloquea las sesiones cifradas y las aplicaciones deben volver a protocolos en claro
   • B.Una red plana no puede repartir direcciones de forma automática y cada equipo debe configurarse a mano
   • C.Una red plana no resuelve nombres en direcciones y cada servidor debe contactarse por su dirección
   • D.Una red plana permite que un equipo comprometido alcance a los demás y la infección se propaga sin freno✓ Respuesta

   Sin ningún límite interno, cualquier equipo que el atacante controle tiene camino libre hacia todos los demás, de modo que un solo punto de apoyo se convierte en acceso a todo el entorno. La asignación de direcciones, la resolución de nombres y el cifrado no dependen de que la red esté segmentada.

   Ref. QB-PXQ5CTFuente: ISC2 Certified in Cybersecurity Exam Outline, Networking and Cloud Security Concepts — network segmentation and defense in depthReportar un problema con esta pregunta

3. 3. Un administrador afirma que colocar los equipos de invitados en su propia VLAN (red de área local virtual) los aísla por completo y forma un límite de seguridad total. ¿Qué enunciado corrige esa afirmación?

   • A.Las VLAN dividen la red físicamente, así que dos VLAN nunca comparten un mismo conmutador
   • B.Las VLAN cifran las tramas al salir del conmutador, así que todo depende del algoritmo elegido
   • C.Las VLAN operan en la capa 3, así que el tráfico entre ellas pasa por reglas de cortafuegos
   • D.Las VLAN separan el tráfico solo de forma lógica y el salto de VLAN puede vencerlas✓ Respuesta

   Una VLAN es una separación de capa 2 creada por software sobre el mismo hardware de conmutación; como la separación es una etiqueta y no un corte físico, técnicas como el salto de VLAN pueden exponer el tráfico de otra VLAN. Por eso es una herramienta útil de segmentación, pero no un límite de seguridad garantizado por sí sola.

   Ref. QB-6FJYRSFuente: ISC2 Certified in Cybersecurity Exam Outline, Networking and Cloud Security Concepts — VLANs; IEEE 802.1Q VLAN tagging on Ethernet framesReportar un problema con esta pregunta

4. 4. Un equipo de centro de datos aplica política de filtrado en casi todos los puntos de conexión para que cada carga de trabajo hable solo con las cargas que necesita. ¿Qué concepto es y a qué tráfico se dirige?

   • A.Defensa en profundidad, dirigida a superponer controles administrativos, técnicos y físicos
   • B.Subred protegida, dirigida al tráfico entrante desde internet hacia los servidores públicos
   • C.Microsegmentación, dirigida al tráfico este-oeste entre sistemas dentro del centro de datos✓ Respuesta
   • D.Control de acceso a la red, dirigido a revisar el estado del equipo al conectarse a la red

   La microsegmentación coloca perímetros internos en casi cada punto de conexión, de modo que el movimiento lateral entre servidores dentro del centro de datos debe pasar por la política, que es justo lo que un diseño de solo perímetro no puede inspeccionar. La subred protegida gobierna el tráfico entrante de internet, no ese flujo interno este-oeste.

   Ref. QB-KXN5UPFuente: ISC2 Certified in Cybersecurity Exam Outline, Networking and Cloud Security Concepts — micro-segmentation; NIST SP 800-207, Zero Trust Architecture (micro-segmentation approach)Reportar un problema con esta pregunta

5. 5. Un cortafuegos agrupa sus interfaces en zonas —no confiable, subred protegida e interna— y las reglas se escriben entre esas zonas. ¿Cuál es el principio detrás de organizarlo así?

   • A.Los sistemas se agrupan por edificio y el tráfico entre edificios se permite salvo regla que lo niegue
   • B.Los sistemas se agrupan por nivel de confianza y entre grupos se niega el tráfico salvo regla expresa✓ Respuesta
   • C.Los sistemas se agrupan por consumo de ancho de banda y entre grupos el tráfico se limita, no se filtra
   • D.Los sistemas se agrupan por sistema operativo y entre plataformas solo se busca código dañino conocido

   Las zonas existen para que las interfaces de confianza comparable compartan una política, y el cortafuegos evalúa cada cruce entre zonas contra un conjunto explícito de reglas bajo una postura de denegación por defecto. Agrupar por edificio, plataforma o ancho de banda no expresaría ninguna relación de confianza que las reglas puedan aplicar.

   Ref. QB-3FGY8PFuente: NIST SP 800-41, Guidelines on Firewalls and Firewall Policy (firewall policy and network zones); ISC2 CC Exam Outline, Networking and Cloud Security Concepts — firewall zonesReportar un problema con esta pregunta

6. 6. Una organización coloca sus servidores de cara al público en una subred protegida, llamada a menudo DMZ. ¿Qué logra ese diseño y qué evita de forma deliberada?

   • A.Los usuarios externos llegan a los servidores publicados y los de archivos internos se trasladan a esa misma subred
   • B.Los usuarios externos llegan a los servidores publicados, pero estos no obtienen paso libre hacia la red interna✓ Respuesta
   • C.Los usuarios externos quedan apartados de los servidores publicados y solo el personal por túnel puede usarlos
   • D.Los usuarios externos llegan a los servidores publicados y estos ya no necesitan parches porque el cortafuegos protege

   Una subred protegida es una zona filtrada aparte, accesible a propósito desde fuera, mientras otro conjunto de reglas impide que sus equipos inicien tráfico sin restricción hacia dentro, de modo que un servidor público comprometido no se convierta en puerta a la red privada. Sus equipos siguen necesitando parches y refuerzo completos.

   Ref. QB-MXZFZQFuente: NIST SP 800-41, Guidelines on Firewalls and Firewall Policy (demilitarized zone / screened subnet design)Reportar un problema con esta pregunta

7. 7. ¿Qué enunciado describe mejor la defensa en profundidad como principio de diseño?

   • A.Se superponen controles independientes de distinto tipo y el fallo de uno no deja expuesto el activo✓ Respuesta
   • B.Se duplica el mismo control en el mismo punto para que la capacidad crezca cuando sube la demanda
   • C.Se elige un único control muy fuerte en el perímetro y los controles internos más débiles sobran
   • D.Se aplican controles solo a los activos más críticos para concentrar el gasto donde de veras importa

   La defensa en profundidad funciona porque las capas son independientes y de distinto tipo —administrativas, técnicas y físicas—, así que una debilidad que vence una capa difícilmente vence la siguiente. Duplicar el mismo control en el mismo punto añade capacidad, no profundidad, porque un solo fallo vencería ambas copias.

   Ref. QB-4FUAEQFuente: ISC2 Certified in Cybersecurity Exam Outline, Networking and Cloud Security Concepts — Defense in depth; NIST SP 800-160 Vol. 1, security design principle of defense in depthReportar un problema con esta pregunta

8. 8. Toda la seguridad de una empresa es un cortafuegos de internet: los equipos no tienen protección de punto final, no hay filtrado interno y el personal no recibe formación. ¿Qué crítica es la más acertada?

   • A.El diseño tiene una sola capa: quien supera el cortafuegos no encuentra ningún otro obstáculo✓ Respuesta
   • B.El diseño tiene demasiadas capas y las alertas repetidas desbordarán a un equipo de soporte pequeño
   • C.El diseño se apoya en controles físicos: protege los equipos pero deja sin proteger los registros
   • D.El diseño usa solo controles administrativos: fija expectativas pero no obliga a cumplir ninguna

   Todo lo descrito reside en un único punto perimetral, así que la arquitectura tiene una capa y ninguna profundidad: un correo de phishing, el portátil de un contratista o cualquier tráfico que el cortafuegos permita aterriza en un entorno sin nada más que lo detenga. Un cortafuegos es un control técnico, de modo que el diseño no es físico ni administrativo.

   Ref. QB-HXXFGMFuente: ISC2 Certified in Cybersecurity Exam Outline, Networking and Cloud Security Concepts — Defense in depth — layered controlsReportar un problema con esta pregunta

9. 9. Un revisor observa que todas las capas de protección de una organización son productos técnicos. ¿Qué incorporación amplía mejor la defensa en profundidad?

   • A.Un segundo cortafuegos de otra marca instalado detrás del primero en el mismo enlace perimetral
   • B.Un enlace a internet más rápido para que los equipos de inspección no se saturen en horas pico
   • C.Un periodo de retención de registros más largo para conservar pruebas durante más tiempo
   • D.Un programa de políticas y concienciación del personal, más candados en las salas de equipos✓ Respuesta

   La defensa en profundidad se define entre tipos de control, no solo entre aparatos, así que el hueco de una pila puramente técnica se llena con controles administrativos —políticas y formación— y físicos, como cerrar las salas de equipos. Añadir otro dispositivo en el mismo enlace perimetral deja el mismo punto único de dependencia.

   Ref. QB-ZESAWKFuente: ISC2 Certified in Cybersecurity Exam Outline, Networking and Cloud Security Concepts — Defense in depth spans administrative, technical and physical controlsReportar un problema con esta pregunta

10. 10. ¿Qué supuesto abandona deliberadamente un enfoque de confianza cero?

    • A.Que la identidad del usuario debe probarse antes de conceder acceso a un recurso
    • B.Que los usuarios y el tráfico que ya están dentro del perímetro son de fiar✓ Respuesta
    • C.Que la información sensible debe cifrarse siempre que viaje por una red pública
    • D.Que las acciones administrativas deben registrarse para poder revisarse después

    La confianza cero parte de que la red interna es hostil, lo que elimina la confianza implícita que el modelo perimetral concede a todo lo que ya está dentro. Los otros tres supuestos son buenas prácticas habituales que la confianza cero conserva y en las que incluso se apoya más.

    Ref. QB-VPQVAJFuente: NIST SP 800-207, Zero Trust Architecture (tenets — no implicit trust based on network location)Reportar un problema con esta pregunta

11. 11. Bajo confianza cero, un usuario que se autenticó hace una hora pide ahora una aplicación interna distinta. ¿Qué exige el modelo?

    • A.La solicitud se permite porque la autenticación previa vale ese día para toda la red interna
    • B.La solicitud se permite porque el equipo tiene una dirección del rango interno de confianza
    • C.La solicitud queda en espera hasta que un administrador apruebe a mano el nuevo acceso
    • D.La solicitud vuelve a autenticarse y autorizarse según la política antes de abrir el recurso✓ Respuesta

    En confianza cero el acceso se concede por sesión y por recurso, así que cada nueva solicitud se evalúa contra la política en vez de heredar confianza de un inicio de sesión anterior o de la dirección del equipo. Esa reevaluación es aplicación automática de política, no una cola de aprobación manual.

    Ref. QB-D7W2WJFuente: NIST SP 800-207, Zero Trust Architecture (access granted on a per-session basis, evaluated per request)Reportar un problema con esta pregunta

12. 12. ¿En qué se diferencia la confianza cero de la microsegmentación, aunque las organizaciones suelan desplegarlas juntas?

    • A.La confianza cero solo sirve para cargas en la nube; la microsegmentación solo para equipos locales
    • B.La confianza cero protege el perímetro exterior; la microsegmentación elimina todos los perímetros
    • C.La confianza cero protege activos, identidades y datos; la microsegmentación añade perímetros internos✓ Respuesta
    • D.La confianza cero cambia la autenticación por vigilancia; la microsegmentación, el filtrado por cifrado

    La microsegmentación es una técnica de red: multiplica perímetros internos para que el movimiento lateral deba cruzar política. La confianza cero es más amplia: traslada el punto de decisión al sujeto, el activo y los datos, verificando cada solicitud, por lo que suele describirse como construir mejores puertas en vez de muros más altos.

    Ref. QB-WP38GKFuente: NIST SP 800-207, Zero Trust Architecture (micro-segmentation as one deployment approach; protection focused on resources)Reportar un problema con esta pregunta

13. 13. Un desarrollador añade capacidad de almacenamiento por el portal del proveedor en minutos y no habla con nadie del proveedor. ¿Qué característica esencial de la nube ilustra esto?

    • A.Elasticidad rápida, porque la capacidad crece y se reduce según suba o baje la carga
    • B.Agrupación de recursos, porque la capacidad sale de un hardware compartido entre clientes
    • C.Autoservicio bajo demanda, porque la capacidad se obtiene sin hablar con el proveedor✓ Respuesta
    • D.Servicio medido, porque la capacidad consumida se mide y se factura según lo utilizado

    El detalle definitorio es que el consumidor aprovisiona la capacidad por sí mismo, sin interacción humana con el proveedor, que es justo lo que nombra el autoservicio bajo demanda. La elasticidad describe el escalado según la carga y el servicio medido, la medición; ninguna es lo que el caso subraya.

    Ref. QB-E79D3MFuente: NIST SP 800-145, The NIST Definition of Cloud Computing (essential characteristic: on-demand self-service)Reportar un problema con esta pregunta

14. 14. Máquinas virtuales de varios clientes sin relación entre sí corren en los mismos equipos físicos y el proveedor reasigna capacidad entre ellas según la demanda. ¿Qué característica esencial es?

    • A.Acceso amplio a la red, porque esos equipos compartidos se alcanzan desde muchos dispositivos
    • B.Servicio medido, porque el proveedor contabiliza cuánta capacidad usó cada uno de los clientes
    • C.Autoservicio bajo demanda, porque los clientes piden esa capacidad compartida por el portal
    • D.Agrupación de recursos, porque un mismo conjunto sirve a varios clientes con reparto dinámico✓ Respuesta

    La agrupación de recursos es el modelo multiinquilino en que los recursos físicos y virtuales se reúnen y se asignan y reasignan de forma dinámica según la demanda, que es justo lo descrito. La medición y el autoservicio pueden existir también, pero ninguno explica por qué clientes sin relación comparten los mismos equipos.

    Ref. QB-TPZ7YFFuente: NIST SP 800-145, The NIST Definition of Cloud Computing (essential characteristic: resource pooling / multi-tenant model)Reportar un problema con esta pregunta

15. 15. El personal abre la misma aplicación alojada desde portátiles de la empresa, tabletas personales y móviles mediante conexiones de red corrientes. ¿Qué característica esencial describe esto?

    • A.Acceso amplio a la red, porque el servicio se alcanza por red desde plataformas cliente corrientes✓ Respuesta
    • B.Elasticidad rápida, porque el servicio ajusta su capacidad al número de clientes que se conectan
    • C.Agrupación de recursos, porque esos clientes se atienden desde hardware compartido entre inquilinos
    • D.Autoservicio bajo demanda, porque esos clientes consiguen su acceso sin ayuda del proveedor

    El acceso amplio a la red significa que las capacidades están disponibles por red y se alcanzan con mecanismos estándar desde plataformas cliente heterogéneas, que es lo que demuestra la mezcla de portátiles, tabletas y móviles. Nada en el caso indica que la capacidad variara ni que se midiera el consumo.

    Ref. QB-B77DJGFuente: NIST SP 800-145, The NIST Definition of Cloud Computing (essential characteristic: broad network access)Reportar un problema con esta pregunta

16. 16. Un equipo de desarrollo quiere escribir, probar y desplegar su propia aplicación mientras el proveedor aporta y mantiene el sistema operativo, el entorno de ejecución y el hardware. ¿Qué modelo de servicio encaja?

    • A.Infraestructura como servicio, donde el cliente instala y mantiene por su cuenta el sistema operativo
    • B.Plataforma como servicio, donde el cliente gestiona su aplicación y sus datos sobre una base mantenida✓ Respuesta
    • C.Software como servicio, donde el cliente solo usa una aplicación ya terminada que ofrece el proveedor
    • D.Despliegue privado, donde el cliente posee y mantiene por completo la pila para su uso exclusivo

    En plataforma como servicio el consumidor despliega aplicaciones creadas por él sobre infraestructura gestionada por el proveedor: no controla la red, los servidores, el sistema operativo ni el almacenamiento, pero sí la aplicación desplegada y su configuración. La infraestructura como servicio dejaría el sistema operativo al cliente y el software como servicio no dejaría aplicación que escribir.

    Ref. QB-UPCJ5HFuente: NIST SP 800-145, The NIST Definition of Cloud Computing (service model: Platform as a Service)Reportar un problema con esta pregunta

17. 17. Al pasar de infraestructura a plataforma y luego a software como servicio, ¿cómo cambia la parte de la pila que gestiona el propio cliente?

    • A.Se reduce en cada paso, porque el proveedor asume más capas por debajo de la carga✓ Respuesta
    • B.Crece en cada paso, porque el cliente debe integrarse con más herramientas del proveedor
    • C.No cambia en ningún paso, porque se gestionan las mismas capas en cualquier modelo
    • D.Se reduce solo en almacenamiento, porque el cómputo sigue siendo del cliente siempre

    Cada modelo entrega más de la pila subyacente al proveedor: la infraestructura deja al cliente el sistema operativo y todo lo de arriba, la plataforma absorbe el sistema operativo y el entorno de ejecución, y el software absorbe también la aplicación. El alcance del cliente se estrecha en cada paso, aunque sus datos y cuentas nunca salen de sus manos.

    Ref. QB-C7JQQHFuente: NIST SP 800-145, The NIST Definition of Cloud Computing (consumer control under IaaS, PaaS and SaaS); ISC2 CC Exam Outline, Networking and Cloud Security Concepts — shared security modelReportar un problema con esta pregunta

18. 18. Una empresa contrata a un proveedor para construir y operar un entorno de nube usado solo por ella, sobre hardware que no comparte con ningún otro cliente. ¿Qué modelo de despliegue es?

    • A.Privada, porque el modelo lo define el uso por una sola organización, no el dueño del equipo✓ Respuesta
    • B.Comunitaria, porque otros clientes del proveedor comparten la misma sala y el mismo soporte
    • C.Híbrida, porque personal de la empresa y del proveedor administran cada uno una parte
    • D.Pública, porque el entorno lo construye y opera un proveedor externo y no la propia empresa

    La nube privada se define por el uso exclusivo de una sola organización; puede ser propiedad de la organización, de un tercero o de ambos, gestionarse y operarse igual, y estar dentro o fuera de sus instalaciones. Suponer que privada obliga a alojarla uno mismo es el error habitual que busca este caso.

    Ref. QB-ZP58ZPFuente: NIST SP 800-145, The NIST Definition of Cloud Computing (deployment model: private cloud)Reportar un problema con esta pregunta

19. 19. Una firma guarda sus registros regulados en un entorno dedicado solo a ella, ejecuta su sitio público de marketing en una plataforma compartida de un proveedor y conecta ambos. ¿Qué modelo de despliegue resulta?

    • A.Pública, porque basta con llevar una carga a un proveedor externo para que todo lo sea
    • B.Comunitaria, porque la empresa comparte plataforma con otras sujetas a las mismas normas
    • C.Híbrida, porque dos modelos distintos siguen separados y a la vez quedan enlazados✓ Respuesta
    • D.Privada, porque la carga más sensible decide la clasificación de todo el conjunto

    La nube híbrida es la composición de dos o más despliegues distintos que siguen siendo entidades únicas pero quedan unidos para que datos y aplicaciones puedan moverse entre ellos, justo el esquema privado más público descrito. Una nube comunitaria exigiría que otras organizaciones compartieran el entorno, y ninguna carga aislada reclasifica todo el conjunto.

    Ref. QB-H7BDKQFuente: NIST SP 800-145, The NIST Definition of Cloud Computing (deployment model: hybrid cloud)Reportar un problema con esta pregunta

20. 20. Tanto en infraestructura como en plataforma o software como servicio, ¿qué responsabilidades siguen siendo del cliente en todos los casos?

    • A.El software de virtualización, las cabinas de disco y la red del centro del proveedor
    • B.La seguridad física del centro de datos y la destrucción de los discos averiados
    • C.Los datos propios, las identidades y permisos concedidos y la configuración elegida✓ Respuesta
    • D.La aplicación de parches a los sistemas operativos anfitriones bajo la capa virtual

    La línea divisoria es la seguridad de la nube frente a la seguridad en la nube: el proveedor asegura la instalación, el hardware y la capa de virtualización, mientras el cliente conserva siempre lo que solo él puede decidir: sus datos, a quién da identidad y con qué permisos, y cómo configura sus servicios. Esa constante se mantiene incluso en software como servicio, donde casi todo lo demás pasó al proveedor.

    Ref. QB-47G4VFFuente: ISC2 Certified in Cybersecurity Exam Outline, Networking and Cloud Security Concepts — Shared security model — roles and responsibilities; NIST SP 800-144, Guidelines on Security and Privacy in Public Cloud ComputingReportar un problema con esta pregunta

21. 21. ¿Qué responsabilidad corresponde al proveedor de servicios en la nube bajo cualquier modelo de servicio?

    • A.Clasificar los registros del cliente y decidir cuáles pueden compartirse fuera
    • B.Proteger las instalaciones y el hardware físico junto con la capa de virtualización✓ Respuesta
    • C.Crear las cuentas de usuario del cliente y revisar sus permisos con el tiempo
    • D.Definir las opciones de la aplicación del cliente y las reglas de uso compartido

    El proveedor posee las capas que el cliente no puede tocar: el edificio, la energía y el control de acceso físico, el hardware y el hipervisor que separa a los inquilinos. La clasificación, la creación de cuentas y la configuración dependen de decisiones de negocio del propio cliente, así que nunca se transfieren.

    Ref. QB-KPAX9FFuente: ISC2 Certified in Cybersecurity Exam Outline, Networking and Cloud Security Concepts — Shared security model; NIST SP 800-144 (division of security responsibilities in public cloud)Reportar un problema con esta pregunta

22. 22. Un directivo dice que, una vez que las cargas pasan a un proveedor, cualquier brecha de los datos de clientes de la empresa es problema exclusivo del proveedor. ¿Qué principio corrige esa idea?

    • A.La rendición de cuentas viaja con la carga y el contrato hace responder al proveedor ante el regulador
    • B.La rendición de cuentas sigue siendo de la empresa aunque las tareas se deleguen en el proveedor✓ Respuesta
    • C.La rendición de cuentas recae en quien operaba el componente que falló cuando ocurrió el incidente
    • D.La rendición de cuentas se reparte a partes iguales y ambas figuran en cada notificación de brecha

    Una organización puede delegar la ejecución de tareas de seguridad en un proveedor, pero no la rendición de cuentas: sigue respondiendo por los datos que recogió y por elegir y supervisar al proveedor. Para eso existen el contrato y el acuerdo de nivel de servicio: definir deberes, derechos de auditoría y remedios, no trasladar la responsabilidad última.

    Ref. QB-57UE2HFuente: NIST SP 800-144, Guidelines on Security and Privacy in Public Cloud Computing (accountability for outsourced services remains with the organization); ISC2 CC Exam Outline, Networking and Cloud Security ConceptsReportar un problema con esta pregunta

Preguntas de práctica basadas en el temario del ISC2 Certified in Cybersecurity (CC). Este sitio no está afiliado ni respaldado por ISC2, y estas no son preguntas reales del examen. ISC2 revisa periódicamente los dominios y sus pesos y fija la duración, el estándar de aprobación y los requisitos — confirma el temario y las condiciones vigentes con ISC2 antes de inscribirte. Temario oficial del CC →