22 Preguntas de Práctica de Respuesta a incidentes, activos y pruebas con Respuestas

1. 1. Un comité de seguridad pregunta por qué el plan de respuesta a incidentes debe aprobarse y distribuirse cuando nada va mal, en lugar de armarse al detectarse un ataque. ¿Cuál explicación es la MEJOR?

   • A.Los reguladores exigen un plan archivado, así que el documento sirve para satisfacer auditorías más que para guiar.
   • B.Las decisiones sobre funciones, autoridad y notificación se toman con calma y el equipo ejecuta sin improvisar.✓ Respuesta
   • C.Un plan redactado de antemano elimina la necesidad de herramientas de detección, porque el procedimiento ya detecta.
   • D.Redactar el plan por anticipado transfiere la responsabilidad legal de la brecha a los proveedores allí nombrados.

   El plan es un producto de la fase de preparación: la autoridad, la clasificación de gravedad y los deberes de notificación se resuelven cuando aún se puede pensar con calma. Durante el incidente el equipo ejecuta un procedimiento acordado en vez de inventarlo bajo presión, y por eso un plan escrito después de la detección pierde casi todo su valor.

   Ref. QB-XNFS6EFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Operations and Incident Response — understand Incident Response; NIST SP 800-61, Preparation phaseReportar un problema con esta pregunta

2. 2. Un analista recién contratado lee por primera vez el plan de respuesta a incidentes de la organización. ¿Qué conjunto de contenidos es el MÁS característico de ese documento?

   • A.Modelos de hardware y software aprobados, registros de compra, fin de garantía y calendarios de depreciación de activos
   • B.Orden de recuperación de las funciones del negocio, tiempo máximo tolerable de inactividad y contratos de sitio alterno
   • C.Funciones y autoridad definidas, criterios de clasificación de incidentes, rutas de escalado y listas de contacto vigentes✓ Respuesta
   • D.Reglas de firewall, configuraciones de routers, asignación de direcciones y los tickets que autorizaron cada cambio

   El plan de respuesta a incidentes es procedimental: indica quién actúa y con qué autoridad, cómo se clasifica la gravedad de un evento, cómo escala y a quién contactar a cualquier hora. El orden de recuperación, el tiempo máximo tolerable y los contratos de sitio alterno son contenido de continuidad y recuperación, y los registros de inventario o de red son documentos aparte que el plan puede citar pero no incluir.

   Ref. QB-F6NXREFuente: NIST SP 800-61, incident response policy and plan elements; ISC2 Certified in Cybersecurity Exam Outline, Security Operations and Incident Response — understand Incident ResponseReportar un problema con esta pregunta

3. 3. Una empresa mediana está constituyendo un equipo de respuesta a incidentes de seguridad informática (CSIRT). ¿Qué afirmación describe MEJOR cómo debe integrarse?

   • A.Se limita a ingenieros de seguridad veteranos, porque incluir áreas no técnicas retrasa la respuesta técnica.
   • B.Se terceriza por completo a la aseguradora cibernética, cuyos peritos dirigen la contención y hablan por la empresa.
   • C.Se convoca recién al declararse el incidente, con quien esté libre en la mesa de ayuda y en el área afectada.
   • D.Se integra de forma multifuncional: seguridad y TI con dirección, asesoría legal, recursos humanos y comunicación.✓ Respuesta

   Los incidentes obligan a decisiones que los ingenieros de seguridad no tienen autoridad para tomar: notificar a un regulador, tratar a un empleado implicado, qué decir a los clientes o si acudir a la policía. Por eso el equipo se constituye de antemano como un cuerpo multifuncional, con dirección, asesoría legal, recursos humanos y comunicación junto a los técnicos.

   Ref. QB-YNT4CFFuente: NIST SP 800-61, incident response team structure; ISC2 Certified in Cybersecurity Exam Outline, Security Operations and Incident Response — understand Incident ResponseReportar un problema con esta pregunta

4. 4. Durante una intrusión confirmada, tres gerentes llaman cada uno a un directivo distinto con datos contradictorios y un empleado publica detalles antes de que se verifiquen los hechos. ¿Qué elemento del plan de respuesta a incidentes faltaba con MAYOR claridad?

   • A.Un procedimiento técnico de contención más estricto que describa cómo aislar los equipos afectados de la red productiva
   • B.Un calendario de retención que fije cuánto tiempo se conservan las pruebas del incidente y los registros correlacionados
   • C.Un canal definido de comunicación y escalado que indique a quién se avisa, en qué orden y quién habla en público✓ Respuesta
   • D.Un acuerdo de sitio alterno que especifique adónde se trasladan las operaciones si la sede principal queda inutilizable

   El plan debe definir una sola cadena de reporte y escalado y nombrar el único rol autorizado a hablar con clientes, reguladores y prensa. Sin eso, los directivos reciben versiones contradictorias, información no verificada llega al público y la organización puede incumplir sus propios deberes de notificación mientras aún se establecen los hechos.

   Ref. QB-C6KX8BFuente: NIST SP 800-61, incident communications, coordination and reportingReportar un problema con esta pregunta

5. 5. ¿Qué secuencia ordena correctamente las fases de la respuesta a incidentes según la guía estándar de manejo de incidentes?

   • A.Detección y análisis, preparación, recuperación, contención, erradicación, lecciones aprendidas
   • B.Detección y análisis, contención, preparación, recuperación, erradicación, lecciones aprendidas
   • C.Preparación, contención, detección y análisis, lecciones aprendidas, erradicación, recuperación
   • D.Preparación, detección y análisis, contención, erradicación, recuperación, lecciones aprendidas✓ Respuesta

   El orden sigue la lógica del trabajo: la preparación ocurre antes de todo, un evento debe detectarse y analizarse antes de contenerse, la contención frena la propagación antes de que la erradicación quite la causa, la recuperación devuelve el servicio y las lecciones aprendidas cierran el ciclo alimentando de nuevo la preparación.

   Ref. QB-VNR4UBFuente: NIST SP 800-61, incident response life cycleReportar un problema con esta pregunta

6. 6. Se confirma que una estación de trabajo está infectada con malware que se propaga a los recursos compartidos. Un administrador junior propone formatearla de inmediato y reconstruirla desde una imagen estándar. ¿Cuál es la MEJOR respuesta y por qué?

   • A.Dejar el equipo conectado y vigilarlo hasta que la reunión de lecciones aprendidas decida si conviene reconstruirlo.
   • B.Formatear de inmediato como se propone: eliminar rápido el malware es lo prioritario y la evidencia se recupera luego.
   • C.Aislar primero el equipo de la red: la contención frena la propagación y conserva la evidencia que un borrado destruye.✓ Respuesta
   • D.Restaurar primero los recursos compartidos: recuperar los datos pesa más que cualquier acción sobre el equipo infectado.

   La contención siempre precede a la erradicación. Desconectar el equipo impide que el malware alcance otros sistemas y conserva memoria, registros y la muestra; formatear primero es erradicar demasiado pronto y destruye justamente la evidencia necesaria para determinar el alcance, la causa raíz y si hubo robo de datos.

   Ref. QB-D6X9ECFuente: NIST SP 800-61, Containment, Eradication and Recovery — containment strategy and evidence preservationReportar un problema con esta pregunta

7. 7. El malware fue eliminado de todos los sistemas afectados y la vulnerabilidad explotada ya está parcheada. El equipo restaura ahora los datos desde respaldos confiables, valida cada sistema y lo vigila antes de devolverlo al servicio normal. ¿Qué fase describe esto?

   • A.Contención, porque limitar el daño es justo lo que busca devolver el servicio a los usuarios
   • B.Recuperación, porque los sistemas vuelven a operar y se validan tras eliminar la amenaza✓ Respuesta
   • C.Erradicación, porque quitar la amenaza no concluye hasta reemplazar los datos afectados
   • D.Detección y análisis, porque validar los sistemas restaurados determina el alcance real

   La erradicación terminó al eliminar el malware y cerrar la vulnerabilidad. Restaurar desde respaldos confiables, confirmar que los sistemas funcionan bien y vigilarlos por señales de reinfección antes de que vuelvan a atender tráfico productivo es el trabajo propio de la fase de recuperación.

   Ref. QB-WN4FZCFuente: NIST SP 800-61, RecoveryReportar un problema con esta pregunta

8. 8. La revisión posterior al incidente es la fase que más se omite, por lo general porque el equipo está agotado y la dirección da el asunto por cerrado cuando vuelve el servicio. ¿Qué se pierde de forma MÁS directa al omitirla?

   • A.La causa raíz queda sin atender y ni el plan ni los controles se actualizan, así que el mismo incidente se repite.✓ Respuesta
   • B.La evidencia reunida durante el incidente se destruye de forma automática, ya que la revisión autoriza conservarla.
   • C.La organización pierde la capacidad de detectar la próxima intrusión, porque el monitoreo se detiene sin la revisión.
   • D.La notificación regulatoria nunca se envía, porque el plazo legal empieza a correr recién al cerrarse la revisión.

   La fase de lecciones aprendidas es el único paso que convierte un incidente en mejora: establece la causa raíz e impulsa la actualización del plan, los controles y las reglas de detección. Al omitirla, el servicio se restablece sobre la misma debilidad y la organización queda expuesta a repetir el incidente idéntico.

   Ref. QB-A6V9W8Fuente: NIST SP 800-61, Post-Incident Activity (lessons learned)Reportar un problema con esta pregunta

9. 9. Un gerente compara dos formas de validar el plan de respuesta a incidentes: un ejercicio de mesa y una prueba de interrupción total. ¿Qué afirmación describe MEJOR la diferencia?

   • A.El ejercicio de mesa recorre las decisiones en discusión; la prueba de interrupción total detiene sistemas reales.✓ Respuesta
   • B.El ejercicio de mesa lo dirigen solo auditores externos; la prueba de interrupción total la corre el equipo interno.
   • C.El ejercicio de mesa prueba el hardware de respaldo con carga; la de interrupción total solo revisa documentos.
   • D.El ejercicio de mesa es obligatorio cada año por ley federal; la de interrupción total queda a discreción del área.

   El ejercicio de mesa es discusivo: los participantes recorren un escenario para probar funciones, decisiones y escalado sin tocar ningún sistema productivo, lo que lo hace barato y de bajo riesgo. La prueba de interrupción total detiene de verdad las operaciones y conmuta a la capacidad de recuperación: máxima fidelidad y máximo riesgo para el negocio.

   Ref. QB-TN2FG9Fuente: NIST SP 800-84, Guide to Test, Training and Exercise Programs — tabletop exercises versus functional and full-scale testingReportar un problema con esta pregunta

10. 10. Un huracán inunda el centro de datos principal de una empresa. ¿Qué afirmación relaciona correctamente el plan de respuesta a incidentes, el de continuidad del negocio y el de recuperación ante desastres con sus propósitos?

    • A.La continuidad atiende el evento en curso, la recuperación ante desastres sostiene lo crítico y la respuesta restaura.
    • B.La respuesta a incidentes atiende el evento en curso, la continuidad sostiene lo crítico y la recuperación restaura.✓ Respuesta
    • C.La respuesta a incidentes atiende el evento en curso, la recuperación sostiene lo crítico y la continuidad restaura.
    • D.La recuperación ante desastres atiende el evento en curso, la respuesta sostiene lo crítico y la continuidad restaura.

    Los tres planes son secuenciales en su propósito: la respuesta a incidentes gestiona el evento mientras ocurre, la continuidad mantiene funcionando lo crítico mientras dura la interrupción y la recuperación ante desastres reconstruye lo dañado y devuelve la operación a la normalidad. La continuidad y la recuperación pertenecen al dominio de gobernanza del temario, no a respuesta a incidentes.

    Ref. QB-HA5AAAFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Operations and Incident Response — understand Incident Response, and Security Governance — understand redundancy (business continuity and disaster recovery)Reportar un problema con esta pregunta

11. 11. Una nueva gerente de seguridad descubre que nadie sabe cuántos servidores, portátiles y suscripciones de nube tiene la empresa. Ya funcionan el análisis de vulnerabilidades, los parches y las revisiones de acceso. ¿Qué debe hacerse PRIMERO y por qué?

    • A.Levantar un inventario completo de activos, porque los controles solo se aplican a lo que la organización sabe que tiene.✓ Respuesta
    • B.Aumentar la frecuencia de análisis, porque escanear más seguido terminará enumerando todo lo que merece protegerse.
    • C.Cifrar el almacenamiento de todos los equipos, porque proteger los datos vuelve irrelevante el conteo de los activos.
    • D.Comprar más suscripciones de nube, porque centralizar las compras importa más que registrar lo que ya está en uso.

    El inventario es el control previo a todo, porque cualquier otro control se aplica sobre una lista de activos conocidos. Escanear más seguido solo cubre los rangos y cuentas ya conocidos, así que un servidor no registrado o una suscripción de nube sin gestión seguirá sin analizarse, sin parchear y sin revisarse por buena que sea la herramienta.

    Ref. QB-ZSX4Q9Fuente: ISC2 Certified in Cybersecurity Exam Outline, Security Operations and Incident Response — understand asset protection; CIS Critical Security Controls, inventory and control of enterprise assetsReportar un problema con esta pregunta

12. 12. Se recogen portátiles que llegaron al fin de su vida útil para que un reciclador los retire, y sus medios de almacenamiento ya fueron saneados. ¿Qué paso completa MEJOR el ciclo de vida del activo?

    • A.Reasignar el identificador a un portátil de reemplazo para que el conteo del inventario y los reportes no cambien.
    • B.Mantener activo el registro durante la depreciación para que finanzas siga informando el equipo como activo en uso.
    • C.Eliminar la entrada apenas el equipo sale del edificio, dado que el hardware retirado no requiere más seguimiento.
    • D.Registrar la baja, retirar la entrada del inventario de activos y revocar las licencias y credenciales del equipo.✓ Respuesta

    La baja es la etapa final del ciclo de vida y no termina al borrar los medios. Hay que retirar la entrada del inventario con un registro fechado de disposición y revocar certificados, licencias y cuentas de máquina ligadas al equipo; de lo contrario las credenciales siguen siendo válidas y la organización protege activos que ya no posee.

    Ref. QB-GASX49Fuente: ISC2 Certified in Cybersecurity Exam Outline, Security Operations and Incident Response — understand asset protection; NIST SP 800-88, Guidelines for Media Sanitization (disposal documentation)Reportar un problema con esta pregunta

13. 13. Un área depende de una aplicación cuyo proveedor anunció el fin del soporte. El software hoy sigue funcionando bien. ¿Qué afirmación describe MEJOR el riesgo de seguridad que esto genera?

    • A.Las vulnerabilidades que se descubran ya no tendrán parche, así que la exposición crece aunque nada cambie ahí.✓ Respuesta
    • B.El software dejará de ejecutarse en la fecha anunciada, así que el riesgo es una caída y no un asunto de seguridad.
    • C.El riesgo se transfiere al proveedor por el contrato de soporte, así que la exposición residual propia es casi nula.
    • D.Las vulnerabilidades existentes se eliminan al terminar el soporte y solo exponen los errores de configuración nuevos.

    El fin del soporte significa que el proveedor no emitirá más correcciones de seguridad. El código no cambia, pero el conjunto de debilidades públicamente conocidas y ya nunca parcheadas crece con el tiempo, así que el riesgo sube de forma sostenida hasta reemplazar el sistema o aislarlo con controles compensatorios como segmentación y acceso restringido.

    Ref. QB-YSKSH8Fuente: ISC2 Certified in Cybersecurity Exam Outline, Security Operations and Incident Response — understand asset protection (end-of-life and unsupported assets)Reportar un problema con esta pregunta

14. 14. Como parte de la gestión de configuración, un equipo publica un estándar de compilación endurecido que todo servidor nuevo debe cumplir antes de pasar a producción. ¿Qué es ese estándar y qué aporta?

    • A.Un plan de retorno: el procedimiento aprobado para devolver el sistema al servicio tras un cambio fallido.
    • B.Un análisis de impacto: la jerarquía de funciones que decide qué servidores se reconstruyen primero tras una caída.
    • C.Un registro de activos: el asiento formal de propiedad del hardware usado para asignar custodios y contratos.
    • D.Un estándar de línea base: la configuración segura aprobada con la que se construye y contra la que se audita.✓ Respuesta

    Una línea base es la configuración segura aprobada para una clase de sistema, derivada normalmente de un referente de endurecimiento reconocido. Da a la gestión de configuración un estado conocido y correcto: los equipos se construyen a partir de ella y las auditorías comparan el sistema en operación contra ella, que es como se detecta la desviación.

    Ref. QB-FAEMX7Fuente: NIST SP 800-128, Guide for Security-Focused Configuration Management — secure configuration baselinesReportar un problema con esta pregunta

15. 15. Un auditor pide al equipo distinguir la gestión de configuración de la gestión de cambios. ¿Qué afirmación es correcta?

    • A.La gestión de configuración se aplica solo a equipos de red; la de cambios solo al código fuente de las aplicaciones.
    • B.La gestión de configuración rige cómo se autorizan las alteraciones; la de cambios rige el estado aprobado del sistema.
    • C.La gestión de configuración rige el estado aprobado del sistema; la de cambios rige cómo se autorizan las alteraciones.✓ Respuesta
    • D.La gestión de configuración se ejecuta tras el despliegue; la de cambios solo durante la compra inicial del sistema.

    La gestión de configuración trata del estado: identificar elementos, definir la línea base aprobada y verificar que los sistemas sigan coincidiendo con ella. La gestión de cambios trata del proceso: cómo se solicita, evalúa, aprueba, prueba, programa y registra una alteración antes de permitir que ese estado cambie.

    Ref. QB-XS8FC7Fuente: NIST SP 800-128, configuration management and change control processesReportar un problema con esta pregunta

16. 16. Un administrador abre un puerto del firewall a las 2 a. m. para resolver una caída y nunca registra el ticket. El puerto queda abierto meses y luego lo usa un atacante. ¿Qué afirmación describe MEJOR esta situación?

    • A.El cambio sin documentar ya es un incidente de seguridad, porque alteró la línea base aprobada sin revisión ni registro.✓ Respuesta
    • B.El cambio fue solo un error de configuración y se vuelve incidente únicamente cuando el atacante llega a explotarlo.
    • C.El cambio fue aceptable porque resolvió una caída, y el trabajo de emergencia queda exento de documentarse luego.
    • D.El cambio corresponde a gestión de capacidad y no a seguridad, ya que abrir un puerto es una decisión de rendimiento.

    Una alteración hecha fuera del proceso de cambios es una desviación no autorizada de la línea base aprobada y ya constituye por sí misma un incidente de seguridad, la explote alguien o no, porque la organización deja de saber cuál es su propia configuración. Los cambios de emergencia pueden aprobarse por vía rápida, pero igual deben documentarse y revisarse después.

    Ref. QB-EA3AS6Fuente: NIST SP 800-128, unauthorized change as a security-relevant event; ISC2 Certified in Cybersecurity Exam Outline, Security Operations and Incident ResponseReportar un problema con esta pregunta

17. 17. Una organización realiza un ejercicio en el que un grupo ataca, otro defiende y una tercera función hace que ambos compartan hallazgos durante el ejercicio para mejorar la detección. ¿Qué descripción es correcta?

    • A.El rojo defiende, el azul ataca y el morado colabora llevando los hallazgos ofensivos hacia la detección.
    • B.El rojo ataca, el azul defiende y el morado es la colaboración que lleva los hallazgos ofensivos a la detección.✓ Respuesta
    • C.El rojo ataca, el azul defiende y el morado es un segundo equipo ofensivo que ataca fuera del alcance del rojo.
    • D.El rojo ataca, el azul revisa documentos y el morado es el árbitro externo que puntúa el ejercicio y reporta.

    El rojo es el lado ofensivo que simula al adversario y el azul es el defensivo que detecta y responde. El morado no es un tercer equipo atacante: es la función colaborativa que cruza en tiempo real las técnicas del rojo con la telemetría del azul para identificar y cerrar brechas de detección mientras el ejercicio aún transcurre.

    Ref. QB-WSV476Fuente: ISC2 Certified in Cybersecurity Exam Outline, Security Operations and Incident Response — understand security testing (red, blue and purple teaming)Reportar un problema con esta pregunta

18. 18. La dirección pregunta por qué un análisis trimestral de vulnerabilidades no elimina la necesidad de una prueba de penetración periódica. ¿Qué distinción es correcta?

    • A.El análisis explota las debilidades para probar el impacto; la prueba de penetración solo lista fallas ya publicadas.
    • B.El análisis identifica y reporta debilidades conocidas; la prueba de penetración las explota y demuestra el impacto.✓ Respuesta
    • C.El análisis revisa el código fuente sin ejecutar el software; la prueba de penetración solo revisa la app en ejecución.
    • D.El análisis exige autorización escrita y alcance; la prueba de penetración procede sin aprobación como rutina interna.

    El análisis de vulnerabilidades es automático y amplio: compara los sistemas con un catálogo de debilidades conocidas e informa lo que podría existir, por lo que sus hallazgos aún deben validarse frente a falsos positivos. La prueba de penetración es experta y acotada: intenta explotación controlada y encadenamiento para mostrar hasta dónde llegaría un atacante real, algo que un escáner nunca demuestra.

    Ref. QB-NAJMYEFuente: NIST SP 800-115, Technical Guide to Information Security Testing and Assessment — vulnerability scanning versus penetration testingReportar un problema con esta pregunta

19. 19. Un equipo de seguridad de aplicaciones ya ejecuta análisis estático en cada confirmación de código. ¿Qué tipo de falla es MÁS probable que encuentre una prueba dinámica de la aplicación en ejecución y que el análisis estático pase por alto?

    • A.Una credencial fija incorporada al repositorio y dejada en un archivo de configuración dentro del paquete.
    • B.El uso inseguro de una función de copia de cadenas escrita en el código fuente propio de la aplicación.
    • C.Fallas de ejecución y despliegue: un servidor mal configurado, una sesión rota o una ruta de prueba expuesta.✓ Respuesta
    • D.Una rama lógica que ningún llamador invoca y que por lo tanto nunca se alcanza cuando el programa corre.

    El análisis estático lee código que no se ejecuta, así que ve defectos a nivel de fuente pero no cómo se despliega el software ni cómo se comporta al correr. La prueba dinámica ejercita la aplicación viva desde fuera y por eso revela configuración errónea del servidor, fallas de sesión y autenticación, y rutas que solo existen en el entorno desplegado.

    Ref. QB-5TCFDEFuente: NIST SP 800-115, static analysis versus dynamic application testingReportar un problema con esta pregunta

20. 20. Antes de escribir código para una nueva función de pagos, los arquitectos se reúnen para enumerar cómo un atacante podría suplantar identidades, alterar datos o elevar privilegios, y elegir una contramedida para cada caso. ¿Qué actividad es esta?

    • A.Prueba de penetración: un ataque autorizado al sistema terminado para probar qué debilidades son explotables.
    • B.Modelado de amenazas: un análisis estructurado en la etapa de diseño que identifica amenazas y sus controles.✓ Respuesta
    • C.Análisis de vulnerabilidades: una comparación automática del sistema desplegado contra fallas ya publicadas.
    • D.Revisión posterior al incidente: un análisis estructurado que establece la causa raíz y mejora los controles.

    El modelado de amenazas es proactivo y ocurre en la etapa de diseño: el equipo recorre el diseño frente a categorías como suplantación, alteración, repudio, divulgación de información, denegación de servicio y elevación de privilegios, y elige una contramedida para cada una. Corregir una falla de diseño sobre el papel es mucho más barato que hallarla al probar código ya entregado.

    Ref. QB-JNV6TYFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Operations and Incident Response — understand security testing; STRIDE threat categoriesReportar un problema con esta pregunta

21. 21. Durante una evaluación física autorizada, un evaluador cruza una puerta con control de credencial justo detrás de un empleado que nunca lo advierte. En un segundo intento, otro empleado lo ve, acepta su historia de la credencial olvidada y le sostiene la puerta. ¿Cuáles son las dos técnicas, en ese orden?

    • A.Acceso por seguimiento (tailgating) y luego acceso consentido (piggybacking), porque nadie lo notó y luego lo ayudaron.✓ Respuesta
    • B.Acceso consentido (piggybacking) y luego acceso por seguimiento (tailgating), porque nadie lo notó y luego ayudaron.
    • C.Espionaje visual (shoulder surfing) y luego pretexto (pretexting), porque ambas entradas dependieron de observar.
    • D.Suplantación de identidad y luego cebo (baiting), porque el evaluador asumió un rol falso y usó la curiosidad ajena.

    Ambas técnicas son entrada no autorizada detrás de una persona autorizada, y lo que las separa es el consentimiento. El acceso por seguimiento ocurre sin que el empleado lo sepa, mientras que el acceso consentido implica que el empleado deja pasar a sabiendas, casi siempre tras una historia creíble; por eso la capacitación y los vestíbulos o torniquetes son la contramedida habitual.

    Ref. QB-363CDZFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Operations and Incident Response — understand security testing (physical and social-engineering testing)Reportar un problema con esta pregunta

22. 22. Se pide a un equipo de seguridad probar si los empleados entregan credenciales ante un correo de phishing simulado y si los evaluadores pueden llegar en persona a la sala de servidores. ¿Qué debe ocurrir PRIMERO?

    • A.Avisar a cada empleado las fechas exactas para que nadie resulte engañado por los mensajes simulados de la campaña.
    • B.Comprar una plataforma comercial de phishing para que los mensajes simulados igualen a los ataques reales de hoy.
    • C.Informar a la policía local para que la parte física de la evaluación se trate como un simulacro policial aprobado.
    • D.Obtener autorización escrita que defina alcance, objetivos, fechas y reglas de enfrentamiento antes de toda prueba.✓ Respuesta

    Antes de cualquier intento de ingeniería social o entrada física debe existir una autorización firmada con alcance, lista de objetivos, ventana de tiempo y reglas de enfrentamiento definidos. Sin ella la actividad no se distingue de un ataque real, los evaluadores carecen de protección legal y el equipo de respuesta no puede saber si se trata de un ejercicio o de una intrusión genuina.

    Ref. QB-HNHUMXFuente: NIST SP 800-115, rules of engagement and written authorization prior to assessmentReportar un problema con esta pregunta

Preguntas de práctica basadas en el temario del ISC2 Certified in Cybersecurity (CC). Este sitio no está afiliado ni respaldado por ISC2, y estas no son preguntas reales del examen. ISC2 revisa periódicamente los dominios y sus pesos y fija la duración, el estándar de aprobación y los requisitos — confirma el temario y las condiciones vigentes con ISC2 antes de inscribirte. Temario oficial del CC →