22 Preguntas de Práctica de Gestión del ciclo de vida de identidades con Respuestas

1. 1. Una empresa está documentando los permisos de una nueva aplicación financiera. ¿Qué afirmación refleja correctamente la definición de roles en la gestión del ciclo de vida de la identidad?

   • A.Los permisos se asignan al código de centro de costos y todo su personal los hereda sin más.
   • B.Los permisos se asignan a cada persona por su nombre y luego se anota un rol para los informes.
   • C.Los permisos se asignan a un rol que describe una función laboral y las personas se asignan al rol.✓ Respuesta
   • D.Los permisos se asignan al dueño de la aplicación, que copia sus propios derechos a cada usuario.

   Los roles se definen antes del aprovisionamiento y es el rol, no la persona, el que lleva el conjunto de permisos. Como los permisos pertenecen a la función laboral, el acceso es coherente para todos los que hacen ese trabajo y basta con añadir o quitar la asignación del rol para concederlo, revisarlo o revocarlo.

   Ref. QB-MT64ZAFuente: ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Roles definition'Reportar un problema con esta pregunta

2. 2. En una empresa las cuentas de los nuevos empleados se crean cuando un jefe escribe a la mesa de ayuda, y el acceso concedido varía de un caso a otro. ¿Qué cambio corrige mejor esta situación?

   • A.Crear cada cuenta con acceso amplio y restringirlo en la próxima revisión programada.
   • B.Exigir a los jefes un correo más detallado con todos los sistemas que el empleado usará.
   • C.Mantener el correo, pero pedir que un segundo jefe apruebe cada solicitud al responder.
   • D.Activar la creación de cuentas desde el registro aprobado del sistema de RR. HH.✓ Respuesta

   El aprovisionamiento debe partir de una fuente autorizada de verdad, normalmente el registro de RR. HH., y automatizarse mediante un flujo de trabajo. La automatización hace que los permisos concedidos sean idénticos para todos los que ocupan el mismo rol y deja un rastro auditable, algo que un ticket improvisado nunca garantiza.

   Ref. QB-4BZWDAFuente: ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Provision'Reportar un problema con esta pregunta

3. 3. ¿Qué secuencia ordena correctamente los pasos de aprovisionamiento de un empleado recién contratado?

   • A.Emitir las credenciales, asignar el rol, verificar la identidad y luego crear la cuenta.
   • B.Crear la cuenta, emitir las credenciales, verificar la identidad y luego asignar el rol.
   • C.Verificar la identidad, crear la cuenta, asignar el rol y luego emitir las credenciales.✓ Respuesta
   • D.Asignar el rol, crear la cuenta, emitir las credenciales y luego verificar la identidad.

   La verificación de identidad y el registro van primero: la organización confirma que la persona es quien dice ser antes de vincularle cualquier credencial. Una credencial emitida antes de esa comprobación autenticaría a alguien no verificado, y la asignación del rol debe preceder a la emisión para que la cuenta nunca esté activa con un acceso indefinido.

   Ref. QB-KTTRT9Fuente: ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Provision'Reportar un problema con esta pregunta

4. 4. Para ahorrar tiempo, un administrador crea la cuenta de una analista nueva copiando todas las pertenencias a grupos de una analista veterana. ¿Por qué es una mala práctica?

   • A.La copia deja la cuenta nueva sin ninguna pertenencia a grupos hasta que el directorio replique.
   • B.La copia arrastra privilegios que la veterana acumuló durante años y exceden lo necesario.✓ Respuesta
   • C.La copia bloquea a la analista veterana hasta que un administrador restablezca su contraseña.
   • D.La copia hace que ambas compartan una credencial y el registro no distingue sus acciones.

   Clonar una cuenta existente importa la acumulación de privilegios de esa cuenta junto con su acceso legítimo, de modo que la persona recién contratada empieza con permisos excesivos y el mínimo privilegio se rompe desde el primer día. Los permisos deben concederse a partir del rol definido para el puesto.

   Ref. QB-3BNK89Fuente: ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — 'Provision' and 'Principle of least privilege'Reportar un problema con esta pregunta

5. 5. Un administrador de sistemas recién contratado necesita acceso de personal común desde el primer día y ocasionalmente requerirá derechos de administrador de dominio. ¿Qué debe concederse al aprovisionar?

   • A.Acceso ordinario más la credencial compartida del administrador actual del equipo.
   • B.Acceso ordinario más derechos administrativos permanentes, pues el cargo ya los presupone.
   • C.Solo derechos administrativos, porque ya incluyen todos los permisos del personal común.
   • D.Acceso ordinario del puesto ahora; los derechos administrativos se piden y aprueban aparte.✓ Respuesta

   El aprovisionamiento concede el mínimo privilegio del rol definido, y los derechos elevados se tramitan como una solicitud aparte aprobada y alojada en una cuenta administrativa distinta. Unos derechos administrativos permanentes en la cuenta de uso diario amplían el alcance de cualquier ataque de phishing o malware sobre esa sesión.

   Ref. QB-JTFEN8Fuente: ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — 'Provision' and 'Principle of least privilege'Reportar un problema con esta pregunta

6. 6. Tres técnicos de la mesa de ayuda entran al sistema de tickets con una única cuenta compartida llamada 'support'. ¿Cuál es el principal problema de seguridad?

   • A.La contraseña compartida caduca tres veces más rápido porque la usan tres personas.
   • B.El sistema rechaza sesiones simultáneas y dos técnicos esperan mientras trabaja el tercero.
   • C.Las acciones en el sistema no se atribuyen a una persona y se pierde la responsabilidad.✓ Respuesta
   • D.La cuenta no admite un rol, así que los técnicos reciben derechos administrativos.

   La gestión del ciclo de vida de la identidad exige una identidad única por persona, porque la responsabilidad y el no repudio dependen de poder vincular cada acción registrada con un ser humano concreto. Una cuenta compartida tampoco puede revisarse ni revocarse para una sola persona sin afectar a las demás.

   Ref. QB-2BA938Fuente: ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Provision'Reportar un problema con esta pregunta

7. 7. La política exige que un administrador de red tenga una cuenta de uso diario y otra cuenta administrativa aparte. ¿Qué logra ese arreglo?

   • A.Las dos cuentas comparten permisos, así que una sola revisión cubre ambas a la vez.
   • B.El administrador aparece por nombre en los registros, cosa imposible con una cuenta.
   • C.El administrador solo cambia la contraseña de la cuenta que tiene los privilegios.
   • D.El correo y la navegación no llevan privilegios, así que un ataque ahí daña poco.✓ Respuesta

   Separar el trabajo privilegiado del rutinario aplica el mínimo privilegio en el tiempo: la cuenta expuesta a adjuntos, contenido web y aplicaciones cotidianas no tiene derechos administrativos, de modo que el malware o una sesión robada solo hereda permisos comunes. Los derechos elevados se usan únicamente en la cuenta aparte y solo cuando hacen falta.

   Ref. QB-HT44G7Fuente: ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — 'Principle of least privilege'Reportar un problema con esta pregunta

8. 8. Una empleada asciende de auxiliar de cuentas por pagar a supervisora de finanzas. ¿Qué actividad del ciclo de vida de la identidad exige principalmente este cambio?

   • A.Definir el rol de nuevo, porque los permisos de supervisora aún no existían antes.
   • B.Desaprovisionar por completo y volver a registrarla luego como identidad nueva.
   • C.Revisar su acceso y retirar los permisos del rol anterior al conceder los nuevos.✓ Respuesta
   • D.Aprovisionar solamente, sumando los permisos de supervisora a los que ya tiene.

   Un ascenso o traslado es el evento de 'movilidad', que se atiende en la etapa de revisión del ciclo de vida. Los permisos del rol anterior deben retirarse al mismo tiempo que se conceden los nuevos; superponer accesos nuevos sobre los antiguos es justamente como se acumula la escalada silenciosa de privilegios.

   Ref. QB-9BSK9GFuente: ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Review'Reportar un problema con esta pregunta

9. 9. ¿Cuál de estas situaciones describe de manera típica la acumulación indebida de privilegios?

   • A.Una empleada comparte su contraseña con un colega, que luego trabaja en su nombre.
   • B.Una empleada recibe una cuenta de administrador permanente el primer día por su cargo.
   • C.Un atacante aprovecha una falla del servicio y obtiene derechos nunca asignados a la cuenta.
   • D.Una empleada que cambió dos veces de área conserva los accesos de cada puesto anterior.✓ Respuesta

   La acumulación indebida de privilegios es la suma gradual de permisos a medida que una persona pasa por distintos roles, proyectos y departamentos sin que se retire nunca el acceso antiguo. Es un fallo de la etapa de revisión del ciclo de vida, no un ataque ni una decisión de aprovisionamiento.

   Ref. QB-RTKEPFFuente: ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Review'Reportar un problema con esta pregunta

10. 10. Una auditoría detecta que empleados antiguos conservan permisos de puestos que dejaron hace años. ¿Qué medida corrige realmente ese hallazgo?

    • A.Revisiones periódicas de acceso en las que cada permiso se confirma, ajusta o revoca.✓ Respuesta
    • B.Autenticación multifactor en todas las cuentas para que no sirvan claves robadas.
    • C.Caducidad de contraseña más corta, obligando a todo el personal a cambiarla cada mes.
    • D.Cierre de sesión automático en las aplicaciones tras un periodo sin actividad.

    Solo la revisión y la retirada corrigen la acumulación de privilegios, porque el problema son los permisos en sí. Una autenticación más fuerte verifica quién inicia sesión, pero no limita lo que esa persona ya verificada puede hacer dentro, así que la autenticación multifactor y las reglas de contraseñas dejan intacto el acceso sobrante.

    Ref. QB-KXH8VRFuente: ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Review'Reportar un problema con esta pregunta

11. 11. En una revisión de accesos de usuarios, ¿quién está en mejor posición para juzgar si un empleado aún necesita cierto permiso?

    • A.La propia empleada, que está más cerca del trabajo y sabe qué abre cada día.
    • B.El técnico de mesa de ayuda que creó la cuenta y otorgó originalmente esos accesos.
    • C.El dueño del dato o del sistema, o el jefe directo, que conoce la necesidad del negocio.✓ Respuesta
    • D.El auditor interno, cuya independencia le permite aprobar permisos para el negocio.

    Las decisiones de recertificación corresponden a quien entiende la justificación de negocio del acceso, normalmente el dueño del dato o del sistema o el jefe directo. La mesa de ayuda solo ejecuta cambios, el auditor prueba el control en lugar de asumirlo, y que el propio usuario se autocertifique es un control débil porque tiene un incentivo para conservarlo todo.

    Ref. QB-4FQDFSFuente: ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Review'Reportar un problema con esta pregunta

12. 12. Seis meses después de terminar el contrato de una consultora externa, su cuenta de dominio sigue habilitada y no consta ningún jefe ni responsable. ¿Cómo se describe mejor y por qué importa?

    • A.Cuenta huérfana; ya no queda dueño que note o cuestione su uso continuado.✓ Respuesta
    • B.Cuenta inactiva; deja de ser un riesgo en cuanto la contraseña caduca sola.
    • C.Cuenta de servicio; una cuenta sin persona nombrada debe perdurar así.
    • D.Cuenta privilegiada; toda cuenta que sobrevive a su dueño es administrativa.

    Una cuenta huérfana es una cuenta activa sin dueño válido, que suele quedar atrás cuando alguien se marcha. Es peligrosa justamente porque nadie la vigila: las credenciales pueden reutilizarse o adivinarse y su actividad no puede contrastarse con ninguna persona legítima, por lo que las auditorías periódicas deben localizarlas.

    Ref. QB-JX6WPQFuente: ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Review' and 'Deprovision'Reportar un problema con esta pregunta

13. 13. Una empleada renuncia. Seguridad quiere cortar su acceso de inmediato, mientras que el área legal necesita el contenido de su buzón para un asunto pendiente. ¿Cuál es el manejo correcto?

    • A.Borrar la cuenta de inmediato; la plataforma de correo guarda el buzón por su cuenta.
    • B.Deshabilitar la cuenta de inmediato y borrarla después según el plazo de retención.✓ Respuesta
    • C.Dejar la cuenta habilitada y cambiar la clave para que los peritos entren en ella.
    • D.Convertir la cuenta en un buzón compartido al que entre todo su antiguo equipo.

    Deshabilitar detiene la autenticación de inmediato y conserva el objeto de la cuenta, y con él el rastro de auditoría, la propiedad del buzón y de los archivos y las claves de cifrado ligadas a esa identidad. Borrarla destruye esa evidencia y puede dejar datos cifrados sin dueño, así que solo se hace después, conforme a la política de retención.

    Ref. QB-3FC3ARFuente: ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Deprovision'Reportar un problema con esta pregunta

14. 14. Un jefe despedirá a una empleada en una reunión fijada para las 10:00. ¿Cuándo debe revocarse el acceso de la empleada?

    • A.Al terminar la jornada, para que ella pueda cerrar la entrega de sus archivos.
    • B.Al comenzar la reunión o justo antes, coordinado por RR. HH. y seguridad.✓ Respuesta
    • C.Dentro de dos semanas, cuando la próxima revisión llegue a su departamento.
    • D.Tras la entrevista de salida y la devolución del portátil y la credencial.

    En un despido, la revocación se coordina con RR. HH. y se sincroniza con la notificación, porque el intervalo entre enterarse del despido y perder el acceso es justamente cuando ocurren el sabotaje o el robo de datos. Una renuncia con preaviso admite un calendario más suave, pero un despido no.

    Ref. QB-NX8W7UFuente: ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Deprovision'Reportar un problema con esta pregunta

15. 15. La cuenta de directorio de una desarrolladora que se marcha quedó deshabilitada en su último día. ¿Qué paso restante se olvida más a menudo y es el más importante?

    • A.Revocar sus claves de API, sus tokens de acceso y sus sesiones federadas en la nube.✓ Respuesta
    • B.Quitar su ficha del directorio impreso para que dejen de escribirle sus colegas.
    • C.Archivar su historial de chat para que el equipo pueda buscarlo más adelante.
    • D.Borrar su perfil local para poder reasignar el portátil a otra persona.

    El desaprovisionamiento debe cubrir todas las vías de entrada a la organización, no solo el inicio de sesión en la red. Tokens, claves de API, certificados, perfiles de VPN, cuentas en la nube y de SaaS y credenciales físicas pueden seguir funcionando tras deshabilitar la cuenta de directorio, y además debe cambiarse cualquier credencial compartida o privilegiada que la persona conociera.

    Ref. QB-6FE3TUFuente: ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Deprovision'Reportar un problema con esta pregunta

16. 16. ¿En qué se diferencia el tratamiento de un despido conflictivo del de una renuncia amistosa con preaviso?

    • A.El acceso se corta solo cuando la persona ha devuelto todo el equipo de la empresa.
    • B.El acceso se corta al notificar el despido, no de forma gradual durante el preaviso.✓ Respuesta
    • C.El acceso se mantiene más tiempo para que los peritos observen qué hace la persona.
    • D.El acceso se trata igual, porque el tipo de salida es asunto de RR. HH., no de seguridad.

    Ambas salidas terminan en un desaprovisionamiento completo, pero el momento cambia según el riesgo. Quien se marcha de forma cooperativa puede conservar un acceso limitado mientras entrega su trabajo, mientras que en un despido el acceso se retira al notificar, porque alguien que sabe que lo están despidiendo tiene motivo y oportunidad para dañar o llevarse datos.

    Ref. QB-MXVJ2TFuente: ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Deprovision'Reportar un problema con esta pregunta

17. 17. Una organización implanta el inicio de sesión único en sus aplicaciones de negocio. ¿Qué descripción del resultado es correcta?

    • A.Los usuarios se autentican una vez para muchas aplicaciones y ese inicio es crítico.✓ Respuesta
    • B.Los usuarios conservan una clave por aplicación, pero todas caducan el mismo día.
    • C.Los usuarios quedan autorizados en todas las aplicaciones si una sola los admite.
    • D.Los usuarios se autentican dos veces por aplicación y por eso esto cumple con MFA.

    El inicio de sesión único permite autenticarse una vez y llegar a muchas aplicaciones, lo que reduce la fatiga de contraseñas del usuario y da al administrador un único punto donde cortar el acceso cuando alguien se va. El costo es la concentración del riesgo: un solo inicio comprometido alcanza todo, por eso se combina con autenticación multifactor. La autenticación sigue siendo distinta de la autorización.

    Ref. QB-5F3RMTFuente: ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Frameworks and tools'Reportar un problema con esta pregunta

18. 18. Una universidad permite que investigadores de instituciones asociadas accedan a su portal de biblioteca con credenciales emitidas por su propia institución. ¿Cómo se llama este esquema?

    • A.Federación: la confianza entre organizaciones traslada la identidad al otro lado.✓ Respuesta
    • B.Delegación: un usuario presta los derechos de su cuenta a un colega.
    • C.Aprovisionamiento: el portal crea una cuenta local propia para cada investigador.
    • D.Escalada: a una sesión ya existente se le concede un nivel de privilegio mayor.

    La federación extiende la identidad más allá de las fronteras organizativas o de confianza: la institución de origen actúa como proveedor de identidad y afirma quién es el investigador, mientras que el portal, como parte confiante, acepta esa afirmación en lugar de mantener una cuenta propia para esa persona. Así el portal se ahorra toda la carga de aprovisionar y desaprovisionar.

    Ref. QB-K6ZWH3Fuente: ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Frameworks and tools'Reportar un problema con esta pregunta

19. 19. Una organización quiere que las cuentas de sus aplicaciones en la nube se creen, actualicen y eliminen automáticamente cuando el personal entra, cambia de puesto o se va. ¿Qué estándar está pensado para eso?

    • A.Kerberos, que emite tiques para que un cliente pruebe su identidad ante los servicios.
    • B.SAML, que transporta aserciones de autenticación para dar fe de la sesión del navegador.
    • C.LDAP, que se consulta cuando una aplicación busca la entrada de un usuario en el directorio.
    • D.SCIM, que transporta registros de identidad entre sistemas y sincroniza las cuentas.✓ Respuesta

    SCIM es el estándar de aprovisionamiento: mueve registros de usuario entre una fuente de identidad y las aplicaciones destino, de modo que las altas, los cambios y las bajas se propagan sin trabajo manual. SAML transporta aserciones de autenticación para el inicio de sesión único, que es otra tarea; puede existir un inicio federado mientras la aplicación destino sigue sin tener cuenta para ese usuario.

    Ref. QB-4P6454Fuente: ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Frameworks and tools'Reportar un problema con esta pregunta

20. 20. Una firma quiere guardar las credenciales administrativas en una bóveda, prestarlas solo cuando hagan falta y grabar cada sesión administrativa. ¿Qué categoría de herramienta ofrece esto?

    • A.Gobierno de identidades: ejecuta las campañas que recertifican permisos de usuarios.
    • B.Gestión de acceso privilegiado: guarda credenciales de administrador y limita su uso.✓ Respuesta
    • C.Servicios de directorio: almacenan los objetos de usuario y los grupos de la empresa.
    • D.Inicio de sesión único: pasa una sesión ya autenticada a muchas aplicaciones.

    La gestión de acceso privilegiado existe para las cuentas capaces de causar más daño: guarda sus credenciales en bóveda, las entrega justo a tiempo por una ventana acotada y graba la sesión para poder revisarla después. Como son las cuentas de mayor riesgo, también se recertifican con más frecuencia que las de usuarios comunes.

    Ref. QB-XTG24UFuente: ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Frameworks and tools'Reportar un problema con esta pregunta

21. 21. ¿Qué función describe mejor las herramientas de gobierno y administración de identidades?

    • A.Automatiza solicitudes de acceso, flujos de alta, cambio y baja, y recertificaciones.✓ Respuesta
    • B.Inspecciona paquetes en el borde de la red y descarta el tráfico que viola las reglas.
    • C.Guarda copias reversibles de las contraseñas para que la mesa de ayuda las recupere.
    • D.Registra las pulsaciones de las sesiones de administrador para reproducir los comandos.

    El gobierno y administración de identidades es la capa de políticas y flujos que cubre todo el ciclo de vida: se encarga de la minería y definición de roles, de las solicitudes y aprobaciones de acceso, de automatizar altas, cambios y bajas, y de las campañas de recertificación que sacan a la luz la acumulación de privilegios y las cuentas huérfanas. La inspección de paquetes y la grabación de sesiones pertenecen a otras categorías de control.

    Ref. QB-EBBVGTFuente: ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Frameworks and tools'Reportar un problema con esta pregunta

22. 22. Un proyecto de ciencia de datos terminó, pero la cuenta de automatización que su agente de IA usaba para leer bases de datos de producción sigue habilitada con los mismos permisos. ¿Qué exige la gestión del ciclo de vida de la identidad?

    • A.Renombrar la cuenta pero dejarla activa para que otro proyecto reutilice sus permisos.
    • B.Desaprovisionar la cuenta al cerrar el proyecto, igual que con un empleado que se va.✓ Respuesta
    • C.Mantener la cuenta activa, porque las identidades no humanas quedan fuera de revisión.
    • D.Entregar la credencial al equipo de plataforma para que asuma la propiedad de ella.

    Las cuentas de servicio, los bots y los agentes de IA recorren el mismo ciclo de vida que las personas: un rol definido, un aprovisionamiento con identidad única y un responsable humano designado, su inclusión en las revisiones de acceso y el desaprovisionamiento cuando la carga de trabajo se retira. Si se deja habilitada, esa cuenta es una identidad huérfana con acceso permanente a producción y sin nadie que la vigile.

    Ref. QB-WT5QWSFuente: ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, applied to non-human (service and AI) identitiesReportar un problema con esta pregunta

Preguntas de práctica basadas en el temario del ISC2 Certified in Cybersecurity (CC). Este sitio no está afiliado ni respaldado por ISC2, y estas no son preguntas reales del examen. ISC2 revisa periódicamente los dominios y sus pesos y fija la duración, el estándar de aprobación y los requisitos — confirma el temario y las condiciones vigentes con ISC2 antes de inscribirte. Temario oficial del CC →