22 Preguntas de Práctica de Gobernanza, riesgo y cumplimiento con Respuestas

1. 1. Una empresa llama "GRC" a su programa de seguridad (gobernanza, riesgo y cumplimiento). ¿Qué enunciado describe mejor lo que aporta cada una de las tres partes?

   • A.La gobernanza audita los controles implantados, la gestión de riesgos redacta las políticas y el cumplimiento elige las herramientas.
   • B.La gobernanza notifica los incidentes al regulador, la gestión de riesgos contrata seguros y el cumplimiento capacita al personal.
   • C.La gobernanza financia las compras de tecnología, la gestión de riesgos realiza las auditorías internas y el cumplimiento fija el rumbo.
   • D.La gobernanza fija el rumbo y la rendición de cuentas, la gestión de riesgos trata las amenazas y el cumplimiento atiende obligaciones.✓ Respuesta

   Las tres disciplinas responden a preguntas distintas. La gobernanza es la función de la alta dirección y del consejo que fija el rumbo, asigna la rendición de cuentas y ejerce la supervisión; la gestión de riesgos identifica, evalúa y trata los riesgos que impedirían cumplir la misión; el cumplimiento demuestra que se atienden las obligaciones legales, regulatorias y contractuales. Unirlas mantiene el rumbo, las decisiones de riesgo y la evidencia en un mismo ciclo.

   Ref. QB-79384JFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Governance — Plan Governance, Risk and Compliance (GRC)Reportar un problema con esta pregunta

2. 2. Una organización supera todas las pruebas de control de su auditoría regulatoria anual y se la declara plenamente conforme. ¿Por qué es un error concluir que, por tanto, es segura?

   • A.El cumplimiento es un ejercicio puramente técnico, por lo que nunca dice nada sobre los controles administrativos o físicos.
   • B.Los marcos de cumplimiento los redactan reguladores que no tienen acceso al registro de riesgos real de la organización.
   • C.Un régimen de cumplimiento fija un mínimo en un momento dado, y las amenazas y el entorno cambian de forma continua.✓ Respuesta
   • D.Las auditorías de cumplimiento las hacen terceros, por lo que sus conclusiones no tienen valor dentro de la organización.

   El cumplimiento mide un conjunto definido de requisitos en una fecha definida: es un suelo, no un techo. Una organización puede satisfacer cada requisito de la lista y seguir arrastrando riesgos que esa lista nunca contempló, y su exposición cambia al día siguiente de la auditoría. La seguridad se gestiona de forma continua frente al riesgo propio; el cumplimiento evidencia obligaciones ante un tercero.

   Ref. QB-PRV2HHFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Governance — purpose and importance of GRCReportar un problema con esta pregunta

3. 3. Se está creando un nuevo programa de GRC (gobernanza, riesgo y cumplimiento). ¿Qué resultado describe MEJOR lo que el programa pretende producir?

   • A.Un catálogo de productos de seguridad aprobados que cada unidad de negocio debe comprar e implantar.
   • B.Una certificación técnica de cada sistema, emitida por seguridad, que sustituye a la revisión directiva.
   • C.Una garantía de que no ocurrirá ningún incidente mientras los controles sigan plenamente financiados.
   • D.Una forma repetible de fijar el rumbo, sopesar el riesgo frente a los objetivos y demostrar el cumplimiento.✓ Respuesta

   Un programa de GRC existe para hacer repetible la toma de decisiones: rumbo y rendición de cuentas documentados, un método coherente para juzgar el riesgo frente a los objetivos del negocio y evidencia de que se cumplen las obligaciones legales, regulatorias y contractuales. Sus productos son artefactos como políticas, un registro de riesgos e informes, no una lista de productos; y ningún programa puede prometer la ausencia de incidentes.

   Ref. QB-69QVWGFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Governance — purpose and importance of GRCReportar un problema con esta pregunta

4. 4. La dirección pregunta por qué el equipo de seguridad quiere adoptar un marco de ciberseguridad publicado en lugar de redactarlo todo desde cero. ¿Qué respuesta es correcta?

   • A.Un marco aporta un conjunto ordenado de resultados y un vocabulario común que la organización adapta a su riesgo.✓ Respuesta
   • B.Un marco prescribe configuraciones exactas de producto, de modo que resuelve de antemano las decisiones técnicas.
   • C.Un marco certifica automáticamente a la organización en cuanto copia su lista de controles en las políticas.
   • D.Un marco obliga jurídicamente a cualquier organización que lo cite, lo que hace innecesaria la política interna.

   Un marco es una herramienta de estructuración: ordena los resultados que un programa debe lograr y da a todos un vocabulario común para discutirlos, de modo que la organización no tiene que inventar la estructura. Los marcos son voluntarios salvo que una ley o un contrato impongan uno, no llegan a prescribir productos y adoptar uno no certifica nada por sí mismo.

   Ref. QB-SRX22NFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Governance — GRC frameworks and toolsReportar un problema con esta pregunta

5. 5. Una organización quiere una norma de sistema de gestión frente a la cual pueda ser auditada y certificada de forma independiente en seguridad de la información. ¿Cuál está diseñada para ese fin?

   • A.ISO/IEC 27001, que especifica los requisitos de un sistema de gestión de la seguridad de la información✓ Respuesta
   • B.ISO 31000, que aporta principios y directrices para gestionar riesgos de cualquier naturaleza
   • C.ISO/IEC 27002, que ofrece orientación y consejos de implantación sobre los controles de seguridad
   • D.Los Controles CIS, que ofrecen una lista priorizada de acciones defensivas para profesionales

   Certificar exige requisitos auditables, y ISO/IEC 27001 es la norma que enuncia los requisitos para establecer y operar un sistema de gestión de la seguridad de la información, de modo que un organismo acreditado pueda auditar la conformidad. ISO/IEC 27002 es orientación sobre controles, ISO 31000 es orientación sobre gestión del riesgo en general y los Controles CIS son una lista priorizada para profesionales; ninguna de las tres certifica un sistema de gestión.

   Ref. QB-99SVEMFuente: ISO/IEC 27001, Information security management systems — Requirements, contrasted with ISO/IEC 27002 and ISO 31000Reportar un problema con esta pregunta

6. 6. El Marco de Ciberseguridad del NIST organiza los resultados de ciberseguridad en funciones. ¿Qué función abarca establecer y supervisar la estrategia de riesgo, los roles y la política de la organización?

   • A.Identificar (Identify): inventariar activos, proveedores y los riesgos que les afectan
   • B.Proteger (Protect): aplicar salvaguardas que limiten o contengan un posible evento
   • C.Gobernar (Govern): establecer y supervisar la estrategia de riesgo, los roles y la política✓ Respuesta
   • D.Detectar (Detect): hallar y analizar los indicios de que un evento ya ha ocurrido

   La función Gobernar es donde el marco sitúa el contexto organizativo, la estrategia de gestión del riesgo, los roles y responsabilidades, la política y la supervisión: las decisiones que orientan cómo se ejecutan todas las demás funciones. Identificar inventaría activos y riesgos, Proteger aplica salvaguardas y Detectar halla indicios de eventos; ninguna recoge los resultados de estrategia y rendición de cuentas.

   Ref. QB-RRKQUKFuente: NIST Cybersecurity Framework, Core Functions: Govern, Identify, Protect, Detect, Respond, RecoverReportar un problema con esta pregunta

7. 7. Un registro de cumplimiento enumera juntos HIPAA, SOX, GDPR y PCI DSS. ¿Qué enunciado sobre el origen de estas obligaciones es correcto?

   • A.PCI DSS es una ley federal estadounidense, por lo que prevalece sobre las obligaciones contractuales.
   • B.PCI DSS se impone por contrato con las marcas de tarjetas y los adquirentes; las otras tres son leyes.✓ Respuesta
   • C.Las cuatro son leyes, de modo que un incumplimiento solo lo sanciona un regulador gubernamental.
   • D.Las cuatro son orientaciones voluntarias y cada organización adopta lo que encaje con su apetito de riesgo.

   HIPAA, SOX y GDPR son leyes que hacen cumplir autoridades públicas, mientras que PCI DSS es una norma sectorial que resulta vinculante a través de los contratos del comercio con las marcas de tarjetas y su banco adquirente. La distinción importa porque las consecuencias difieren: sanciones regulatorias en un caso, y remedios contractuales —multas trasladadas por el adquirente o pérdida de la capacidad de procesar tarjetas— en el otro.

   Ref. QB-89EJ9KFuente: PCI Security Standards Council, PCI DSS — enforced through payment brand and acquirer contracts; HIPAA, SOX and GDPR are statutesReportar un problema con esta pregunta

8. 8. Un documento de fortificación para portátiles de desarrollo está etiquetado como guía. Un desarrollador sigue casi todo, pero se aparta de dos recomendaciones y documenta el motivo. ¿Cómo debe tratarlo un revisor de gobernanza?

   • A.Es un incumplimiento: todo documento de seguridad aprobado tiene la misma fuerza obligatoria.
   • B.Es un incumplimiento: las guías priman sobre las normas, así que apartarse es lo más grave.
   • C.Aceptable: una guía es orientativa, por lo que una desviación documentada y razonada no incumple.✓ Respuesta
   • D.Aceptable: ningún documento obliga al personal hasta que la dirección firme una orden de aplicación.

   En la jerarquía documental de gobernanza, las políticas, las normas y los procedimientos son obligatorios, pero una guía es explícitamente discrecional: recomienda buenas prácticas y admite el juicio profesional. Como el desarrollador ejerció ese juicio y dejó constancia del motivo, no hay nada que sancionar; si la organización quisiera que fueran obligatorias, debió publicarlas como norma.

   Ref. QB-KRT2ZDFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Principles — policies, standards, procedures and guidelinesReportar un problema con esta pregunta

9. 9. Una brecha expone registros de clientes en un sistema configurado por un administrador, por indicación del propietario del sistema y bajo una política aprobada por el consejo. ¿Quién RINDE CUENTAS del riesgo y quién es RESPONSABLE de la ejecución?

   • A.La alta dirección rinde cuentas y no puede delegarlo; el propietario y el administrador ejecutan el trabajo.✓ Respuesta
   • B.El administrador rinde cuentas, porque la mala configuración la hizo él con sus propias manos.
   • C.La rendición de cuentas pasa a quien ejecuta, así que bajó del consejo al propietario del sistema.
   • D.La rendición de cuentas recae en el auditor que aprobó el diseño del control en la última revisión.

   La gobernanza separa ambas ideas: la responsabilidad de ejecutar tareas puede delegarse hacia abajo, a propietarios y profesionales, pero la rendición de cuentas por el resultado permanece en la alta dirección y el consejo, que fijan el rumbo y supervisan. Por eso la aceptación del riesgo residual y la aprobación de políticas se deciden arriba aunque el trabajo práctico ocurra varios niveles más abajo.

   Ref. QB-39NVDDFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Governance — governance: senior management direction, accountability and oversightReportar un problema con esta pregunta

10. 10. Tras la mitigación, queda un nivel documentado de riesgo residual en una aplicación de negocio. Según la doctrina de gobernanza, ¿de quién se necesita la aceptación formal para que el sistema siga en producción?

    • A.El analista de seguridad que midió el riesgo residual durante la evaluación
    • B.El alto directivo o propietario del sistema responsable de la función de negocio✓ Respuesta
    • C.El auditor externo que revisará el conjunto de controles en la próxima auditoría
    • D.El administrador que configuró los controles de mitigación en ese sistema

    Aceptar un riesgo es una decisión de negocio, no técnica, así que debe tomarla quien rinde cuentas de esa función y puede soportar las consecuencias: el alto directivo o el propietario del sistema o de los datos. Los analistas miden y asesoran, los administradores implantan y los auditores examinan, pero ninguno puede comprometer a la organización a asumir una pérdida.

    Ref. QB-AMCJTKFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Principles — risk management: risk treatment and acceptance of residual riskReportar un problema con esta pregunta

11. 11. Una empresa redacta y financia un requisito de parcheo para todos sus servidores. Además, realiza comprobaciones mensuales que verifican y registran si cada servidor fue realmente parcheado. ¿Qué término corresponde a cada actividad, en ese orden?

    • A.Diligencia debida (due diligence) y luego cuidado debido (due care): investigar y después registrar.
    • B.Debido proceso (due process) y luego cuidado debido (due care): tramitar y después decidir el gasto.
    • C.Cuidado debido (due care) y luego negligencia: financiar el control y revisarlo duplica el esfuerzo.
    • D.Cuidado debido (due care) y luego diligencia debida (due diligence): actuar y después verificarlo.✓ Respuesta

    El cuidado debido es hacer lo que haría una organización prudente: aquí, exigir y financiar el parcheo. La diligencia debida es la investigación, verificación y documentación continuas que muestran que el deber se cumplió de verdad: aquí, las comprobaciones y los registros mensuales. El par importa jurídicamente: el primero fija el estándar de conducta y la segunda aporta la prueba de que se alcanzó.

    Ref. QB-T4JQDMFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Principles — professional and ethical conduct (due care and due diligence)Reportar un problema con esta pregunta

12. 12. Un miembro de ISC2 descubre que la instrucción de un cliente de ocultar un fallo grave dejaría al público expuesto a un daño. Los cánones del Código de Ética se aplican en un orden establecido. ¿Cómo debe resolverse el conflicto?

    • A.El canon de servir con diligencia a los principales prima, así que la instrucción del cliente decide.
    • B.El canon de proteger a la sociedad y la confianza pública prima sobre el servicio al cliente.✓ Respuesta
    • C.Los cánones tienen el mismo peso, de modo que el miembro elige el que mejor encaje en el encargo.
    • D.El canon de promover la profesión prima, por lo que conviene acatar al cliente sin hacer ruido.

    Los cánones del Código de Ética de ISC2 están enumerados por orden de precedencia, y el primero es proteger a la sociedad, el bien común, la confianza pública necesaria y la infraestructura. Como ese canon prevalece sobre el deber de prestar un servicio diligente y competente a los principales, el miembro no puede ocultar un fallo que dañaría al público para satisfacer a un cliente.

    Ref. QB-9MZ7NJFuente: ISC2 Code of Ethics, Canons (Canon I: protect society, the common good, necessary public trust and confidence, and the infrastructure)Reportar un problema con esta pregunta

13. 13. Una revisión descubre que personal de varios departamentos pega datos de clientes en herramientas públicas de IA generativa que la empresa nunca aprobó ni inventarió. ¿Qué paso de gobernanza debe ir PRIMERO?

    • A.Emitir una política de uso aceptable de la IA e inventariar los servicios de IA ya en uso.✓ Respuesta
    • B.Bloquear todo el tráfico saliente de los departamentos afectados hasta que dejen de usarlos.
    • C.Pedir a cada departamento que siga usando las herramientas y avise si nota algo extraño.
    • D.Comprar primero una plataforma de IA corporativa y redactar la gobernanza tras implantarla.

    Esto es IA en la sombra, y la gobernanza la aborda como a cualquier servicio no autorizado: enunciar la regla y averiguar qué existe. Una política de uso aceptable dice qué datos pueden entregarse a los servicios de IA y cuáles no, y un inventario de activos de IA revela la exposición que hay que evaluar. La política y la visibilidad preceden a comprar tecnología o bloquear en bloque, que atacan síntomas sin base para decidir.

    Ref. QB-S47D8KFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Governance — GRC and foundational AI concepts (AI acceptable use, AI asset inventory)Reportar un problema con esta pregunta

14. 14. Un programa informa cada mes dos cifras: el porcentaje de servidores parcheados dentro del plazo acordado y el número de cuentas privilegiadas sin autenticación multifactor, que se escala al comité de riesgos al superar un umbral fijado. ¿Cómo se clasifican mejor?

    • A.El porcentaje de parcheo es un indicador clave de riesgo (KRI) y el recuento con umbral mide rendimiento.
    • B.Ambos son indicadores clave de rendimiento, porque los dos cuentan una condición que existe hoy.
    • C.Ambos son indicadores clave de riesgo, porque toda cifra que llega al comité de riesgos lo es.
    • D.El porcentaje de parcheo es un indicador clave de rendimiento (KPI) y el recuento con umbral es un KRI.✓ Respuesta

    Un indicador clave de rendimiento dice si el programa hace lo que prometió: parchear dentro del plazo es desempeño frente a una meta. Un indicador clave de riesgo mira hacia delante: tiene un umbral definido y avisa de que la exposición crece antes de que haya pérdida, que es justo lo que hace el recuento de cuentas privilegiadas sin MFA. El destinatario de una cifra no determina su tipo.

    Ref. QB-8MNVFHFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Governance — Measure cybersecurity effectiveness (key metrics, key risk indicators)Reportar un problema con esta pregunta

15. 15. Un comité de riesgos pide al responsable de seguridad que proponga un indicador clave de riesgo en lugar de otra cifra de estado. ¿Qué característica debe tener la medida propuesta?

    • A.Debe contar los eventos de seguridad que el equipo de monitorización ya cerró este trimestre.
    • B.Debe señalar el aumento de la exposición antes de la pérdida, con un umbral de escalado.✓ Respuesta
    • C.Debe comparar el gasto real del equipo con el presupuesto aprobado a principios de año.
    • D.Debe resumir los hallazgos de auditoría abiertos y resueltos durante el ciclo anterior.

    Lo que distingue a un indicador clave de riesgo de una métrica cualquiera es su dirección y su consecuencia: se elige porque se mueve antes que la pérdida y lleva un umbral definido que, al cruzarse, dispara el escalado o la acción. Los recuentos de eventos cerrados, el gasto frente al presupuesto y los hallazgos pasados describen lo ya ocurrido: informan del estado en vez de advertir.

    Ref. QB-R4U23JFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Governance — Measure cybersecurity effectiveness (key risk indicators)Reportar un problema con esta pregunta

16. 16. Un informe mensual enumera el número de correos bloqueados, de denegaciones del cortafuegos y de alertas generadas. Nadie ha cambiado nunca nada por esas cifras. ¿Cuál es el problema de fondo?

    • A.Se recopilan con demasiada frecuencia; este tipo de recuento basta con reunirlo una vez al año.
    • B.Son cuantitativas, y las métricas de gobernanza deben ser siempre cualitativas ante un consejo.
    • C.Se pueden contar pero no sirven para decidir, porque nadie las ligó a un objetivo ni a una acción.✓ Respuesta
    • D.Las genera una herramienta automática, y solo cuenta como métrica la cifra compilada a mano.

    Una métrica útil está ligada a un objetivo y puede cambiar una decisión: si la cifra sube o baja, alguien actúa de otro modo. Los recuentos de actividad, como correos bloqueados o denegaciones del cortafuegos, miden lo ocupada que está la herramienta, no si la organización está mejor protegida, así que generan trabajo de reporte sin informar ninguna elección. Ser cuantitativa o automática no es el defecto.

    Ref. QB-7MAJAGFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Governance — Measure cybersecurity effectiveness (key metrics)Reportar un problema con esta pregunta

17. 17. A una directiva le informan de que al cierre del mes había 312 vulnerabilidades abiertas. Ella pregunta qué le dice eso. ¿Qué le falta a la métrica para responder a su pregunta?

    • A.Convertir el recuento en porcentaje, lo que hace interpretable cualquier cifra puntual.
    • B.Fijar una línea base y mostrar la tendencia, para ver si la cifra mejora o empeora.✓ Respuesta
    • C.Compararla con la cifra publicada por un competidor, única referencia válida para medir.
    • D.Desglosarla por escáner y por subred, lo que convierte el recuento en medida de gobernanza.

    Un recuento puntual no significa nada por sí solo porque no hay nada con qué compararlo. Fijar una línea base e informar de la tendencia entre periodos permite ver la dirección —la exposición se reduce o crece—, que es lo que sostiene una decisión. Los porcentajes, los desgloses técnicos más finos o las cifras de un competidor no aportan ese punto de referencia.

    Ref. QB-Q4GQVGFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Governance — Measure cybersecurity effectiveness (key metrics, trends and reporting)Reportar un problema con esta pregunta

18. 18. Se proponen tres artefactos: una pantalla que el equipo de operaciones vigila durante todo el turno, una hoja trimestral que puntúa cada área de control frente a su meta y una narrativa trimestral escrita que explica qué cambió y por qué. ¿Qué opción los nombra en ese orden?

    • A.Panel de control, informe y tarjeta de puntuación: tiempo real, metas y resumen trimestral.
    • B.Tarjeta de puntuación, informe y panel de control: puntuación, vigilancia en vivo y resumen.
    • C.Informe, panel de control y tarjeta de puntuación: narrativa, metas y pantalla operativa.
    • D.Panel de control, tarjeta de puntuación e informe: tiempo real, metas cumplidas y narrativa.✓ Respuesta

    Cada vehículo de entrega encaja con un ritmo y un público distintos. Un panel de control es visual y casi en tiempo real, para la monitorización operativa; una tarjeta de puntuación es periódica y valora el desempeño frente a metas definidas; un informe es una narrativa periódica escrita que aporta detalle y contexto. Elegir mal el vehículo es un fallo habitual, porque el formato fija lo que el lector espera en actualidad y detalle.

    Ref. QB-6MX75FFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Governance — Measure cybersecurity effectiveness (dashboards, score cards, reports)Reportar un problema con esta pregunta

19. 19. Un responsable de seguridad dispone de quince minutos para informar al consejo de administración. ¿Qué elección de contenido encaja con ese público?

    • A.La lista de cada vulnerabilidad crítica del trimestre, con el host afectado y su puntuación.
    • B.El recorrido por los cambios de reglas del cortafuegos desde la última reunión, en orden.
    • C.La exposición del negocio expresada como impacto, con las decisiones que se piden al consejo.✓ Respuesta
    • D.Los recuentos brutos de alertas de cada herramienta, para que el consejo juzgue la tecnología.

    El reporte debe ajustarse al público. Un consejo gobierna: necesita el riesgo expresado como impacto de negocio y una declaración clara de las decisiones o los recursos que se le piden, porque es sobre eso que puede actuar. Las listas de hosts, los cambios de reglas y los recuentos brutos de alertas son detalle operativo propio de los equipos técnicos; llevarlos al consejo consume la sesión sin informar ninguna decisión de gobernanza.

    Ref. QB-P45DQFFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Governance — Measure cybersecurity effectiveness (reports and audience)Reportar un problema con esta pregunta

20. 20. Una empresa usa un modelo de IA que puntúa solicitudes de préstamo. El personal de riesgos quiere un indicador clave de riesgo específico de IA en el panel de gobernanza. ¿Qué medida sirve para ese fin?

    • A.Seguir la deriva del modelo, para ver la caída de calidad antes de que dañe las decisiones.✓ Respuesta
    • B.Anotar la precisión que declara el proveedor y repetirla cada trimestre en el panel de control.
    • C.Contar el total de solicitudes de inferencia atendidas, que muestra cuán popular se ha vuelto.
    • D.Registrar cuántas peticiones de mejora ha presentado el negocio este año sobre ese modelo.

    La deriva del modelo es la divergencia gradual entre las condiciones con las que se entrenó y aquellas en las que opera ahora, y degrada la calidad de la salida antes de que nadie note decisiones erróneas. Como se mueve antes que la pérdida y admite un umbral que dispara revisión o reentrenamiento, se comporta como un indicador clave de riesgo. El volumen de solicitudes, las afirmaciones del proveedor y las peticiones de mejora describen uso o expectativa, no exposición creciente.

    Ref. QB-5GNZ93Fuente: ISC2 Certified in Cybersecurity Exam Outline, Security Governance — Measure cybersecurity effectiveness (AI-specific key risk indicators on dashboards and reports)Reportar un problema con esta pregunta

21. 21. El plan de continuidad de un servicio de IA de cara al cliente solo respalda hoy la base de datos de la aplicación. ¿Qué más debe protegerse para que el servicio pueda restaurarse de verdad?

    • A.Los materiales de marketing y la documentación de usuario publicada con el servicio.
    • B.Los pesos del modelo, los conjuntos de entrenamiento y la configuración del servicio.✓ Respuesta
    • C.Los contratos con el proveedor y las facturas pagadas por la capacidad de cómputo.
    • D.Los datos de analítica web que indican cuántos usuarios entraron cada día al sitio.

    Restaurar un servicio de IA significa restaurar aquello que produce las respuestas, no solo los registros que guardó. Los pesos del modelo entrenado, los conjuntos de datos con los que se construye y reentrena, y la configuración que los ensambla son lo que hace funcionar el servicio; un plan que los omite permite recuperar datos pero no capacidad. Contratos, documentación y analítica son registros útiles, pero no restauran nada.

    Ref. QB-MYFUP2Fuente: ISC2 Certified in Cybersecurity Exam Outline, Security Governance — understand redundancy (backing up configurations, model weights and training datasets for AI services)Reportar un problema con esta pregunta

22. 22. El material de concienciación de una empresa enseña a detectar el phishing buscando errores gramaticales y formato extraño. ¿Por qué hay que actualizar esa guía ahora que los atacantes usan IA generativa?

    • A.La IA redacta señuelos fluidos y personalizados y clona voces; la redacción ya no delata.✓ Respuesta
    • B.La IA ha vuelto tan raro el phishing que conviene formar sobre otros tipos de ataque.
    • C.La IA genera mensajes que la pasarela de correo siempre bloquea antes de que lleguen.
    • D.La IA solo afecta a las llamadas de voz, así que el material escrito sigue valiendo igual.

    La IA generativa elimina los defectos superficiales que los programas de concienciación enseñaban a buscar: produce a escala mensajes fluidos, bien formateados y personalizados, y puede clonar una voz conocida para una llamada o un mensaje grabado. Por eso el contenido debe pasar de detectar mala redacción a verificar la propia petición por un canal conocido y fiable y a reportar cualquier cosa inesperada al equipo de seguridad.

    Ref. QB-4GAP42Fuente: ISC2 Certified in Cybersecurity Exam Outline, Security Governance — understand security awareness (AI amplifying social engineering and phishing)Reportar un problema con esta pregunta

Preguntas de práctica basadas en el temario del ISC2 Certified in Cybersecurity (CC). Este sitio no está afiliado ni respaldado por ISC2, y estas no son preguntas reales del examen. ISC2 revisa periódicamente los dominios y sus pesos y fija la duración, el estándar de aprobación y los requisitos — confirma el temario y las condiciones vigentes con ISC2 antes de inscribirte. Temario oficial del CC →