22 Preguntas de Práctica de Seguridad de datos y operaciones con Respuestas

1. 1. Una organización redacta las reglas sobre cómo debe almacenarse, compartirse y finalmente eliminarse cada tipo de registro de negocio. ¿Por qué el PRIMER paso es asignar una clasificación a los datos?

   • A.La clasificación fija el nivel de sensibilidad del que derivan las reglas de manejo posteriores.✓ Respuesta
   • B.La clasificación convierte los registros guardados en un formato ilegible para no autorizados.
   • C.La clasificación registra dónde reside físicamente cada archivo, para localizarlo y destruirlo.
   • D.La clasificación traslada la responsabilidad de los registros del área de negocio al área de TI.

   La clasificación es la decisión sobre cuán sensibles son los datos, y de ella derivan todas las reglas posteriores: qué cifrado exigir, quién puede acceder, cuánto tiempo conservarlos y cómo sanear el medio. Por eso es el primer paso del ciclo de vida. Clasificar no cifra ni inventaría datos, y la responsabilidad sigue siendo del propietario, mientras el custodio aplica los controles.

   Ref. QB-BB7F4RFuente: ISC2 CC Exam Outline, Security Operations and Incident Response — data handling (classification, labeling)Reportar un problema con esta pregunta

2. 2. Un documento se evalúa como «Confidencial» según el esquema de la empresa y luego la palabra «Confidencial» se coloca en su encabezado y en sus metadatos. ¿Qué enunciado describe MEJOR estos dos actos?

   • A.Ambos actos son clasificación, porque poner la marca es lo que asigna la sensibilidad.
   • B.La evaluación es el etiquetado y la marca en encabezado y metadatos es la clasificación.
   • C.Ambos actos son etiquetado, porque el sistema de almacenamiento decide la sensibilidad.
   • D.La evaluación es la clasificación y la marca en encabezado y metadatos es la etiqueta.✓ Respuesta

   La clasificación es el juicio que asigna un nivel de sensibilidad; el etiquetado es la marca visible o legible por máquina que comunica ese nivel para aplicar las reglas de manejo. La marca nunca crea el nivel y la plataforma de almacenamiento no decide la sensibilidad: lo hace el propietario de los datos.

   Ref. QB-TTZ9HQFuente: ISC2 CC Exam Outline, Security Operations and Incident Response — data handling (classification, labeling)Reportar un problema con esta pregunta

3. 3. Una base de datos financiera está cifrada en disco y sus registros viajan a un servidor de informes por un canal cifrado. ¿Qué estado de los datos queda MENOS protegido por estas dos medidas?

   • A.Los datos en uso, porque deben descifrarse en memoria para que la aplicación los procese.✓ Respuesta
   • B.Los datos en reposo, porque el cifrado de disco deja sin proteger las copias de respaldo.
   • C.Los datos en tránsito, porque el canal cifrado protege las cabeceras pero no la carga útil.
   • D.Los datos archivados, porque el archivo es un cuarto estado que el cifrado no puede cubrir.

   Los datos existen en tres estados: en reposo, en tránsito y en uso. El cifrado de disco cubre el primero y el canal protegido el segundo, pero los datos en uso deben descifrarse en memoria para que la aplicación los procese, por lo que ese estado es el más difícil de proteger. El archivo es una etapa del ciclo de vida, no un cuarto estado.

   Ref. QB-ABU4XPFuente: ISC2 CC Exam Outline, Security Operations and Incident Response — data handling and data states (at rest, in transit, in use)Reportar un problema con esta pregunta

4. 4. Los desarrolladores necesitan una copia realista de la base de datos de clientes para probar una función de facturación, pero no tienen necesidad de negocio de ver números de cuenta reales. ¿Cuál es el propósito PRINCIPAL del enmascaramiento de datos aquí?

   • A.Comprime los valores reales en un conjunto menor para que la copia cargue más rápido.
   • B.Sustituye los valores reales por sustitutos realistas que mantienen los datos utilizables.✓ Respuesta
   • C.Elimina los registros de clientes de la copia de pruebas y deja las tablas vacías.
   • D.Cifra toda la base de pruebas para que solo la abran quienes tengan la clave correcta.

   El enmascaramiento sustituye los campos sensibles por valores realistas pero ficticios, de modo que los datos conservan su formato y utilidad sin exponer los valores reales a quien no tiene necesidad de negocio. Cifrar la copia seguiría revelando los valores a quien tenga la clave, y vaciar las tablas anula la prueba.

   Ref. QB-WT3A2UFuente: ISC2 CC Exam Outline, Security Operations and Incident Response — data handling (masking, obfuscation)Reportar un problema con esta pregunta

5. 5. Un portátil se reasignará a otro empleado. Un técnico borra los archivos del usuario anterior y vacía la papelera de reciclaje. ¿Qué enunciado describe MEJOR el resultado?

   • A.Los datos son irrecuperables, porque vaciar la papelera limpia los sectores implicados.
   • B.Los datos quedaron sobrescritos una vez, lo que cumple el estándar aceptado de purga.
   • C.Los datos siguen siendo recuperables porque solo se quitaron los punteros; no es saneamiento.✓ Respuesta
   • D.Los datos los vuelve a cifrar el sistema de archivos, así que recuperarlos ya es inviable.

   Borrar un archivo o formatear rápido solo elimina los punteros del sistema de archivos; los bloques conservan el contenido original, lo que se llama remanencia de datos. El saneamiento exige al menos «Clear» (sobrescritura lógica con comandos normales) y «Purge» o «Destroy» para mayor garantía.

   Ref. QB-DBW4FTFuente: NIST SP 800-88, Guidelines for Media Sanitization — Clear, Purge, Destroy; ISC2 CC Exam Outline, Security Operations and Incident ResponseReportar un problema con esta pregunta

6. 6. Una organización debe sanear un lote de unidades de estado sólido que contuvieron registros confidenciales; luego las reutilizará dentro de la empresa. ¿Qué método es adecuado?

   • A.Desmagnetizar cada unidad, porque el campo magnético borra las celdas de memoria flash.
   • B.Ejecutar un borrado criptográfico o el comando de purga que ofrece el fabricante.✓ Respuesta
   • C.Formatear rápidamente cada unidad, porque eso limpia la capa de traducción y sus datos.
   • D.Triturar físicamente cada unidad, porque guardó registros clasificados como confidenciales.

   La desmagnetización solo funciona en medios magnéticos; un SSD guarda los datos en celdas flash y no le afecta un campo magnético. Como las unidades deben seguir siendo usables, se descarta destruirlas y un formateo rápido deja remanencia, así que la técnica de purga correcta es el borrado criptográfico o el comando del fabricante.

   Ref. QB-VTQXUSFuente: NIST SP 800-88, Guidelines for Media Sanitization — Purge techniques for flash memory devicesReportar un problema con esta pregunta

7. 7. Una política de registros indica cuánto tiempo debe conservarse cada categoría y exige su eliminación al vencer ese plazo. ¿Qué enunciado describe MEJOR el valor de seguridad de un calendario de retención?

   • A.Los datos conservados de más amplían la exposición en una filtración; eliminarlos la reduce.✓ Respuesta
   • B.Los datos conservados para siempre son más seguros, pues borrar podría destruir pruebas.
   • C.Los datos tienen plazos que fija el equipo de almacenamiento según el espacio disponible.
   • D.Los datos en papel son los únicos con retención; las copias digitales quedan en respaldo.

   La retención limita el riesgo en ambos sentidos: los registros deben existir lo suficiente para cumplir requisitos legales y de negocio, y no deben sobrevivir más allá, porque cada copia extra es material que un atacante puede robar y amplía el alcance de una notificación de brecha. Los plazos los fija la ley y la necesidad del negocio, no el espacio en disco.

   Ref. QB-CBJS9SFuente: ISC2 CC Exam Outline, Security Operations and Incident Response — data handling (retention and destruction)Reportar un problema con esta pregunta

8. 8. Un equipo debe cifrar una exportación nocturna muy grande de la base de datos y además permitir que decenas de socios intercambien claves con seguridad. ¿Qué enunciado compara MEJOR la criptografía simétrica y la asimétrica?

   • A.La simétrica es más lenta pero escala a muchas partes; la asimétrica cifra grandes volúmenes.
   • B.La simétrica usa un par de claves por socio; la asimétrica usa un único secreto compartido.
   • C.La simétrica solo aporta integridad; la asimétrica aporta confidencialidad a datos guardados.
   • D.La simétrica es rápida para grandes volúmenes; la asimétrica resuelve el reparto de claves.✓ Respuesta

   La criptografía simétrica usa una sola clave compartida para cifrar y descifrar, por lo que es rápida para grandes volúmenes pero deja el problema de distribuir esa clave con seguridad. La asimétrica usa un par de claves pública/privada relacionadas y es mucho más lenta, así que en la práctica sirve para intercambiar o proteger una clave de sesión simétrica.

   Ref. QB-YTSXCWFuente: ISC2 CC Exam Outline, Security Operations and Incident Response — encryption (symmetric and asymmetric)Reportar un problema con esta pregunta

9. 9. Un proveedor quiere enviar un archivo de cotización que solo la empresa compradora pueda leer. ¿Qué clave debe usar el proveedor para cifrar el archivo?

   • A.La clave pública de la empresa compradora, pues solo su clave privada puede descifrarlo.✓ Respuesta
   • B.La clave privada del propio proveedor, pues solo su clave pública podría abrirlo después.
   • C.La clave pública del propio proveedor, pues la compradora ya tiene una copia de esa clave.
   • D.La contraseña compartida del pedido anterior, pues ambas partes ya tienen ese secreto.

   Para lograr confidencialidad se cifra con la clave pública del destinatario, porque solo la clave privada correspondiente —que únicamente él posee— puede revertirlo. Cifrar con la clave privada del emisor hace lo contrario: cualquiera lo deshace con la clave pública publicada, y por eso ese sentido sirve para firmar, no para ocultar.

   Ref. QB-FBMSSVFuente: ISC2 CC Exam Outline, Security Operations and Incident Response — encryption (asymmetric key pairs)Reportar un problema con esta pregunta

10. 10. Un contrato se envía con una firma digital creada a partir del resumen (hash) del documento cifrado con la clave privada del remitente. ¿Qué garantías aporta la firma por sí misma?

    • A.Confidencialidad, integridad y disponibilidad, que cubren todo el ciclo del documento.
    • B.Integridad, autenticación y no repudio, pero no confidencialidad del texto del contrato.✓ Respuesta
    • C.Confidencialidad y autenticación, porque firmar también cifra el texto para el receptor.
    • D.Integridad y disponibilidad, porque la firma guarda una copia verificada del contrato.

    Verificar la firma con la clave pública del remitente demuestra que el resumen lo generó quien posee la clave privada (autenticación y no repudio) y que al recalcular el hash sigue coincidiendo (integridad). El texto viaja sin ocultarse, así que la confidencialidad exige cifrar el mensaje aparte.

    Ref. QB-BJPC9DFuente: ISC2 CC Exam Outline, Security Operations and Incident Response — encryption, hashing and digital signaturesReportar un problema con esta pregunta

11. 11. Un sistema de respaldo guarda un resumen (hash) de cada archivo y lo vuelve a calcular al restaurar. ¿Qué enunciado explica MEJOR en qué se diferencia el hash del cifrado?

    • A.El hash es reversible con la clave correcta, así que puede reconstruir el archivo perdido.
    • B.El hash oculta el contenido a quien no tenga el resumen, así que aporta confidencialidad.
    • C.El hash produce una salida tan larga como la entrada y puede descifrarse al archivo original.
    • D.El hash es unidireccional y de longitud fija, así que verifica integridad y no oculta nada.✓ Respuesta

    Una función hash convierte cualquier entrada en un resumen de longitud fija y no se puede revertir, por lo que sirve para la integridad: si cambia un solo bit, el resumen recalculado ya no coincide. El cifrado está diseñado para revertirse con una clave y es lo que aporta confidencialidad; resuelven partes distintas de la tríada CIA.

    Ref. QB-U2VHUDFuente: ISC2 CC Exam Outline, Security Operations and Incident Response — encryption and hashingReportar un problema con esta pregunta

12. 12. Un equipo de aplicaciones decide cómo almacenar las contraseñas de los usuarios en su base de datos. ¿Qué enfoque es correcto?

    • A.Guardar cada contraseña como hash con sal generado por una función de derivación de claves.✓ Respuesta
    • B.Guardar cada contraseña con hash sin sal, pues los hashes iguales agilizan las búsquedas.
    • C.Guardar cada contraseña en texto claro en una tabla con acceso ya restringido.
    • D.Guardar cada contraseña cifrada con AES para que un administrador pueda descifrarla.

    Las contraseñas se resumen con hash, no se cifran, porque el sistema nunca necesita leerlas: solo compara resúmenes al iniciar sesión, y cualquier método reversible expone todas las claves si roban la llave. Una sal aleatoria única por contraseña anula las tablas rainbow precalculadas y una función de derivación hecha para contraseñas ralentiza cada intento.

    Ref. QB-AJB24CFuente: ISC2 CC Exam Outline, Security Operations and Incident Response — encryption and hashing (password protection of stored credentials)Reportar un problema con esta pregunta

13. 13. Un organismo público planea migrar a criptografía resistente a la computación cuántica aunque hoy ninguna máquina cuántica puede romper sus algoritmos actuales. ¿Qué razonamiento respalda MEJOR actuar ahora?

    • A.Los algoritmos resistentes son más rápidos y la migración se paga con capacidad de cómputo.
    • B.Las máquinas cuánticas ya rompen AES-256, así que hay que retirar el cifrado simétrico.
    • C.El tráfico cifrado capturado hoy puede guardarse y descifrarse cuando exista esa máquina.✓ Respuesta
    • D.El hash deja de dar integridad en cuanto las máquinas cuánticas alcancen escala utilizable.

    El riesgo que impulsa la migración es «cosechar ahora, descifrar después»: un adversario puede grabar hoy el tráfico protegido y descifrarlo años más tarde cuando exista una máquina cuántica capaz, así que los datos con larga vida secreta deben reprotegerse antes. La amenaza golpea sobre todo a algoritmos asimétricos como RSA y ECC; el cifrado simétrico y el hash se debilitan pero siguen siendo utilizables con tamaños mayores, y por eso NIST ha estandarizado algoritmos poscuánticos.

    Ref. QB-T2H7PCFuente: NIST post-quantum cryptography standards (key encapsulation and digital signature); ISC2 CC Exam Outline, Security Operations and Incident Response — quantum-resistant encryptionReportar un problema con esta pregunta

14. 14. Un gerente pregunta por qué recolectar registros de servidores, cortafuegos y sistemas de autenticación si esos sistemas ya aplican sus propios controles. ¿Cuál es el propósito de seguridad PRINCIPAL del registro y la monitorización?

    • A.Para dejar constancia de la actividad y poder detectar, investigar y reconstruir hechos.✓ Respuesta
    • B.Para sustituir a los controles preventivos, ya que un evento registrado no causa daño.
    • C.Para demostrar a los auditores que el presupuesto se gastó en las herramientas compradas.
    • D.Para mejorar el rendimiento sacando las transacciones antiguas de los servidores.

    El registro es un control detectivo: genera la constancia de quién hizo qué, dónde y cuándo, que es lo que permite detectar, investigar y reconstruir después. Por sí mismo no impide nada, por lo que complementa a los controles preventivos en lugar de sustituirlos.

    Ref. QB-9JYPWAFuente: ISC2 CC Exam Outline, Security Operations and Incident Response — security operations (logging and monitoring security events)Reportar un problema con esta pregunta

15. 15. Al construir una línea de tiempo, un investigador descubre que tres servidores registran horas distintas para el mismo inicio de sesión. ¿Qué práctica evita MÁS directamente este problema?

    • A.Ampliar el periodo de retención para que los registros antiguos sigan disponibles.
    • B.Elevar el nivel de detalle del registro en cada servidor para capturar más información.
    • C.Sincronizar el reloj de cada sistema con una fuente horaria común antes de recolectar.✓ Respuesta
    • D.Dejar los registros en el servidor que los genera para no añadir retardo de transferencia.

    Correlacionar registros de distintos sistemas depende de una base horaria común y exacta, así que cada host debe sincronizar su reloj con la misma fuente de confianza. Sin eso, el orden de los eventos entre sistemas no es fiable y la línea de tiempo pierde valor probatorio; más detalle o más retención no corrigen un reloj desviado.

    Ref. QB-S26VGBFuente: ISC2 CC Exam Outline, Security Operations and Incident Response — security operations (logging and monitoring security events)Reportar un problema con esta pregunta

16. 16. Un atacante con derechos administrativos en un servidor comprometido edita los registros locales de ese servidor para borrar rastros de la intrusión. ¿Qué control protege MEJOR la integridad de los registros?

    • A.Comprimir los registros locales para que cualquier edición dañe el archivo y se note.
    • B.Dar acceso de lectura a todos los administradores para que alguien note el cambio.
    • C.Reenviar los registros a un almacén central de solo escritura con acceso restringido.✓ Respuesta
    • D.Rotar los registros locales con más frecuencia para sobrescribir pronto lo alterado.

    Los registros que solo residen en el sistema que los generó quedan bajo control de quien comprometa ese sistema. Enviarlos de inmediato a un colector central independiente, de solo anexado y con acceso restringido, hace que los privilegios locales del atacante ya no alcancen la copia que importa y preserva la evidencia.

    Ref. QB-8JMCR9Fuente: ISC2 CC Exam Outline, Security Operations and Incident Response — security operations (log integrity and centralized monitoring)Reportar un problema con esta pregunta

17. 17. Un sistema de monitorización registra un inicio de sesión fallido, una coincidencia de regla del cortafuegos y el reinicio de un servicio; uno de ellos resulta ser una escalada de privilegios lograda por un atacante. ¿Qué enunciado distingue MEJOR un evento de un incidente?

    • A.Un evento es el que un analista ya confirmó; un incidente es una alerta automática aún sin validar.
    • B.Un evento lo genera una herramienta de seguridad; un incidente siempre lo reporta un usuario afectado.
    • C.Un evento ocurre fuera del horario laboral; un incidente ocurre dentro del horario central de trabajo.
    • D.Un evento es cualquier suceso observable; un incidente amenaza confidencialidad, integridad o disponibilidad.✓ Respuesta

    Un evento es simplemente algo observable en un sistema y la mayoría son inocuos. Una alerta es un evento marcado por una regla, y un incidente es el subconjunto que daña de forma real o inminente la confidencialidad, la integridad o la disponibilidad, o incumple la política. La distinción importa porque solo un incidente activa el plan de respuesta.

    Ref. QB-R2THBAFuente: ISC2 CC Exam Outline, Security Operations and Incident Response — security event triage; NIST SP 800-61, Computer Security Incident Handling GuideReportar un problema con esta pregunta

18. 18. Varias alertas que los analistas ya validaron como reales esperan al mismo tiempo en la cola. ¿Qué base para priorizarlas es la MÁS adecuada?

    • A.El orden de llegada de las alertas, atendiendo siempre primero la más antigua de la cola.
    • B.El impacto en las funciones del negocio, la sensibilidad de los datos y la recuperabilidad.✓ Respuesta
    • C.La sofisticación técnica del ataque, estudiando primero el caso más novedoso e interesante.
    • D.La cantidad de alertas repetidas, despejando primero la regla que más ruido genera.

    La clasificación por triaje prioriza según la consecuencia, no según el orden de llegada ni la novedad técnica: impacto funcional en el negocio, sensibilidad de la información en riesgo y dificultad de recuperación. Atender estrictamente por orden de llegada deja un compromiso grave detrás de asuntos menores.

    Ref. QB-FJ4QXHFuente: ISC2 CC Exam Outline, Security Operations and Incident Response — security event triage (prioritization); NIST SP 800-61, incident prioritizationReportar un problema con esta pregunta

19. 19. Por separado, un inicio de sesión VPN fallido, un restablecimiento de contraseña y una carga grande de archivos parecen rutinarios, pero juntos describen una toma de control de cuenta. ¿Qué función del SIEM aborda MEJOR esto?

    • A.Normalización, que reescribe los registros de cada fuente a un formato común.
    • B.Correlación, que enlaza registros de varias fuentes y momentos en una sola alerta.✓ Respuesta
    • C.Retención, que conserva los registros el tiempo suficiente para revisarlos después.
    • D.Agregación, que cuenta cuántas veces apareció un registro idéntico en un periodo.

    La correlación es el paso que aplica reglas sobre registros normalizados de distintas fuentes y ventanas de tiempo, de modo que varias entradas de señal débil se convierten en una sola alerta de mayor confianza que cuenta una misma historia. La normalización solo prepara los datos y ni la agregación ni la retención establecen esa relación.

    Ref. QB-Y2AVHJFuente: ISC2 CC Exam Outline, Security Operations and Incident Response — security event triage (correlation, use cases)Reportar un problema con esta pregunta

20. 20. Un informe de amenazas enumera tipos de actores junto con sus motivaciones. ¿Qué pareja es correcta?

    • A.Hacktivista: lucro por revender registros de clientes robados en mercados criminales.
    • B.Script kiddie: espionaje sostenido contra la cadena de suministro de defensa extranjera.
    • C.Actor estatal: recolección de inteligencia que favorece los fines de un gobierno.✓ Respuesta
    • D.Crimen organizado: difundir un mensaje político desfigurando un sitio gubernamental.

    Los tipos de actor se distinguen por motivación y recursos. Los actores estatales están financiados y son pacientes, y buscan espionaje y ventaja estratégica más que dinero inmediato. Los hacktivistas persiguen un mensaje ideológico, el crimen organizado busca beneficio y los script kiddies usan herramientas ajenas por curiosidad o notoriedad y no pueden sostener una campaña de espionaje.

    Ref. QB-8GP7R9Fuente: ISC2 CC Exam Outline, Security Operations and Incident Response — security operations (threat actors: types and motivations)Reportar un problema con esta pregunta

21. 21. Un equipo de seguridad se suscribe a fuentes que informan sobre campañas de adversarios e indicadores. ¿Cuál es el propósito PRINCIPAL de la inteligencia de amenazas?

    • A.Aportar pruebas judiciales que identifiquen al atacante concreto para poder procesarlo.
    • B.Fundamentar decisiones de defensa con conocimiento oportuno sobre quién ataca y cómo.✓ Respuesta
    • C.Sustituir el registro propio de la organización, pues la fuente informa en tiempo real.
    • D.Garantizar que todo ataque citado en la fuente se bloquee de forma automática.

    La inteligencia de amenazas es conocimiento basado en evidencia sobre los adversarios que se convierte en decisiones: qué detecciones construir, qué vulnerabilidades parchear primero y qué contar a la dirección sobre el riesgo. Para servir debe ser oportuna, relevante, precisa y accionable; no sustituye la telemetría propia ni realiza la atribución judicial.

    Ref. QB-QYG269Fuente: ISC2 CC Exam Outline, Security Operations and Incident Response — cyber threat intelligenceReportar un problema con esta pregunta

22. 22. Un defensor quiere un catálogo de las tácticas y técnicas que usan los adversarios para medir qué comportamientos puede detectar. ¿Qué aporta un marco de amenazas de ese tipo?

    • A.Aporta una fuente en vivo de direcciones maliciosas y hashes para bloquear de inmediato.
    • B.Aporta un estándar legal que fija las sanciones aplicables a cada técnica de ataque.
    • C.Aporta una lista de productos certificados que la organización está obligada a comprar.
    • D.Aporta un vocabulario común sobre el comportamiento adversario para medir la detección.✓ Respuesta

    Un marco de amenazas como MITRE ATT&CK es una base de conocimiento estructurada de tácticas (el objetivo) y técnicas (el método) del adversario, que da a los defensores un lenguaje común para mapear sus detecciones y revelar huecos de cobertura. No es una fuente de indicadores, ni una norma legal, ni una lista de productos; la Cyber Kill Chain describe el ataque como una secuencia de etapas y el Modelo Diamante relaciona adversario, capacidad, infraestructura y víctima.

    Ref. QB-7GBVJ8Fuente: ISC2 CC Exam Outline, Security Operations and Incident Response — threat frameworks; MITRE ATT&CK knowledge base; Lockheed Martin Cyber Kill ChainReportar un problema con esta pregunta

Preguntas de práctica basadas en el temario del ISC2 Certified in Cybersecurity (CC). Este sitio no está afiliado ni respaldado por ISC2, y estas no son preguntas reales del examen. ISC2 revisa periódicamente los dominios y sus pesos y fija la duración, el estándar de aprobación y los requisitos — confirma el temario y las condiciones vigentes con ISC2 antes de inscribirte. Temario oficial del CC →