22 Preguntas de Práctica de Riesgo, jerarquía documental y ética con Respuestas

1. 1. Al servidor de historiales de un hospital le faltan varios parches de seguridad del fabricante. Se sabe que un grupo de ransomware rastrea internet buscando precisamente esas versiones sin parchear. En el vocabulario estándar de riesgo, ¿cómo deben clasificarse los parches faltantes?

   • A.La amenaza, porque el software sin parches es lo que realmente causa el daño
   • B.La vulnerabilidad, porque es una debilidad que un agente externo puede explotar✓ Respuesta
   • C.El vector de amenaza, porque es la ruta por la que entra el grupo criminal
   • D.El riesgo, porque la exposición aumenta cada día que los parches siguen sin instalarse

   Una vulnerabilidad es una debilidad o brecha en un activo o control que una amenaza puede explotar. El grupo de ransomware es la amenaza externa y la intrusión que podría producirse es el riesgo; los parches no aplicados son la carencia misma, es decir, la vulnerabilidad.

   Ref. QB-NHECPAFuente: ISC2 CC Exam Outline, Security Principles — understand risk management concepts (threat, vulnerability, risk)Reportar un problema con esta pregunta

2. 2. Una organización no tiene personal, instalaciones ni operaciones a cientos de kilómetros de ninguna costa, pero su borrador de registro de riesgos incluye la marejada ciclónica como amenaza. Según los conceptos de riesgo del nivel CC, ¿cuál es el riesgo de esa organización ante una marejada?

   • A.Moderado, porque toda amenaza que se pueda nombrar conlleva un riesgo de base
   • B.Prácticamente nulo, porque una amenaza sin vulnerabilidad correspondiente no genera riesgo✓ Respuesta
   • C.Alto, porque el impacto por sí solo fija la calificación cuando la amenaza es destructiva
   • D.Indefinido, porque ningún riesgo se califica hasta que un método cuantitativo le asigne valor

   El riesgo solo existe donde se cruzan una amenaza y una vulnerabilidad correspondiente. Una organización del interior no tiene exposición sobre la que la marejada pueda actuar, así que la amenaza existe en el mundo pero no genera riesgo aquí; nombrar una amenaza no crea riesgo por sí solo.

   Ref. QB-52974AFuente: ISC2 CC Exam Outline, Security Principles — understand risk management concepts (risk as the intersection of threat and vulnerability)Reportar un problema con esta pregunta

3. 3. Un analista de riesgos registra un escenario así: «poco probable que ocurra, pero paralizaría la producción durante tres semanas». ¿Qué dos factores de riesgo acaba de describir?

   • A.«Poco probable» es el impacto y «tres semanas de paro» es la probabilidad
   • B.«Poco probable» es el riesgo residual y «tres semanas de paro» el inherente
   • C.«Poco probable» es la probabilidad y «tres semanas de paro» es el impacto✓ Respuesta
   • D.«Poco probable» es la tolerancia al riesgo y «tres semanas de paro» el apetito

   La probabilidad es la posibilidad de que el riesgo se materialice y el impacto es la magnitud de la consecuencia si ocurre. El riesgo se evalúa en función de ambos, por lo que un suceso raro de consecuencias graves aún puede merecer tratamiento.

   Ref. QB-MH32H9Fuente: ISC2 CC Exam Outline, Security Principles — understand risk management concepts (likelihood and impact)Reportar un problema con esta pregunta

4. 4. Un gerente de seguridad recién contratado pone en marcha el primer programa formal de gestión de riesgos de la organización. ¿Qué actividad corresponde al inicio del ciclo de vida de gestión de riesgos?

   • A.Asignar calificaciones de probabilidad e impacto a cada escenario
   • B.Seleccionar los controles que reducirán las exposiciones más graves
   • C.Contratar un seguro cibernético que cubra las pérdidas remanentes
   • D.Identificar e inventariar los activos de los que depende la organización✓ Respuesta

   El ciclo de vida empieza por la identificación, y una organización no puede proteger, calificar ni asegurar lo que no ha catalogado antes. El inventario de activos establece qué tiene valor, insumo del que dependen las etapas posteriores de evaluación y tratamiento.

   Ref. QB-42WUW8Fuente: ISC2 CC Exam Outline, Security Principles — understand risk management concepts (risk management lifecycle)Reportar un problema con esta pregunta

5. 5. Un equipo ya identificó sus activos, amenazas y vulnerabilidades y clasificó cada escenario por probabilidad e impacto. Según el ciclo de vida de gestión de riesgos, ¿qué corresponde hacer A CONTINUACIÓN?

   • A.Cerrar el registro de riesgos, porque una evaluación terminada concluye el ciclo
   • B.Decidir cómo se tratará cada riesgo: evitarlo, mitigarlo, transferirlo o aceptarlo✓ Respuesta
   • C.Reiniciar la identificación, porque el panorama de amenazas cambia sin cesar
   • D.Avisar a los reguladores, porque todo riesgo evaluado debe divulgarse al exterior

   El ciclo transcurre así: identificar, evaluar, tratar y luego monitorear. Los resultados priorizados son el insumo de la decisión de tratamiento, y el monitoreo viene después como actividad continua sin sustituirlo, de modo que el registro clasificado no es un punto final.

   Ref. QB-KHQPB8Fuente: ISC2 CC Exam Outline, Security Principles — understand risk management concepts (risk management processes)Reportar un problema con esta pregunta

6. 6. Antes de existir salvaguardas, un escenario de pérdida de datos se calificó como alto. Tras implantar cifrado, revisiones de acceso y monitoreo, la exposición que queda se califica como baja. ¿Cómo se llama esa exposición restante y qué debe hacerse con ella?

   • A.Riesgo inherente, que debe reducirse a cero antes de poner el sistema en servicio
   • B.Riesgo residual, que debe quedar dentro de la tolerancia y ser aceptado por la dirección✓ Respuesta
   • C.Riesgo transferido, que ahora corresponde a los proveedores de esas herramientas
   • D.Riesgo evitado, que ya no necesita responsable porque los controles borraron la amenaza

   El riesgo inherente es la exposición previa a los controles; lo que sobrevive a ellos es el riesgo residual. Ningún conjunto de controles lleva el riesgo a cero, así que el residual debe situarse dentro de la tolerancia declarada y ser aceptado formalmente por la dirección, dueña de esa decisión.

   Ref. QB-32JHR7Fuente: ISC2 CC Exam Outline, Security Principles — understand risk management concepts (inherent risk, residual risk, risk acceptance)Reportar un problema con esta pregunta

7. 7. Un minorista evalúa una función de fidelización que exigiría almacenar los números de pasaporte de los clientes. La dirección concluye que la exposición no puede situarse dentro de la tolerancia y cancela la función antes de iniciar el desarrollo. ¿Qué tratamiento del riesgo es este?

   • A.Mitigación, porque cancelar el proyecto reduce la probabilidad de una fuga de datos
   • B.Aceptación, porque la dirección decide convivir con la exposición existente
   • C.Transferencia, porque abandonar la función traslada la exposición a otros
   • D.Evitación, porque nunca se emprende la actividad que generaría la exposición✓ Respuesta

   Evitar significa no iniciar, o suspender, la actividad para que el riesgo no pueda surgir. Mitigar mantendría la función añadiéndole controles, mientras que aquí la exposición se elimina suprimiendo su causa en lugar de reducirla.

   Ref. QB-JHCC67Fuente: ISC2 CC Exam Outline, Security Principles — understand risk management concepts (risk treatment: avoidance)Reportar un problema con esta pregunta

8. 8. Un fabricante contrata una póliza de ciberseguro que cubre los costos de respuesta a una brecha y las pérdidas por interrupción del negocio. ¿Qué enunciado describe MEJOR lo que logra la póliza?

   • A.Elimina el riesgo por completo, porque un tercero ha asumido ya todas las consecuencias
   • B.Evita el riesgo, porque las actividades aseguradas ya no requieren controles propios
   • C.Transfiere gran parte del impacto financiero, pero la responsabilidad sigue en la empresa✓ Respuesta
   • D.Documenta la aceptación del riesgo, porque pagar una prima es decidir absorber las pérdidas

   La transferencia traslada las consecuencias financieras a un tercero, pero no traslada el riesgo en sí. El daño reputacional, la exposición regulatoria y la responsabilidad última de proteger los datos siguen en la organización, así que los controles continúan siendo necesarios.

   Ref. QB-A22VXFFuente: ISC2 CC Exam Outline, Security Principles — understand risk management concepts (risk treatment: transference/sharing)Reportar un problema con esta pregunta

9. 9. Una herramienta heredada de informes tiene un fallo de bajo impacto. La dirección compara el costo de remediación con la pérdida esperada, ve que remediar cuesta más, documenta la decisión con un responsable y una fecha de revisión, y no hace nada más. ¿Qué tratamiento es este?

   • A.Aceptación, porque es una decisión documentada y aprobada de absorber la exposición✓ Respuesta
   • B.Negligencia, porque dejar un fallo conocido sin corregir siempre incumple el deber de cuidado
   • C.Mitigación, porque nombrar un responsable y una fecha reduce la probabilidad
   • D.Transferencia, porque el responsable nombrado asume ahora la pérdida en persona

   La aceptación es una decisión deliberada, documentada y aprobada por la dirección de absorber un riesgo que está dentro de la tolerancia, normalmente porque el control costaría más que la pérdida esperada. Ignorar sin más un fallo no es aceptación, porque nadie ha ponderado ni asumido esa decisión.

   Ref. QB-SHUPCFFuente: ISC2 CC Exam Outline, Security Principles — understand risk management concepts (risk treatment: acceptance)Reportar un problema con esta pregunta

10. 10. Una empresa no puede dejar de aceptar pagos en línea ni contratar un seguro para esa exposición, pero sí puede añadir autenticación multifactor, tokenización y monitoreo continuo en la ruta de pago. ¿Qué tratamiento del riesgo se está aplicando?

    • A.Evitación, ya que los nuevos controles eliminan las condiciones del ataque
    • B.Transferencia, ya que la tecnología de terceros traslada la pérdida
    • C.Aceptación, ya que el negocio continúa sabiendo que aún caben pérdidas
    • D.Mitigación, ya que se añaden controles para bajar la probabilidad y el impacto✓ Respuesta

    La mitigación, también llamada reducción, mantiene la actividad en marcha y aplica controles que bajan la probabilidad, el impacto o ambos. Se distingue de la evitación porque el proceso de negocio continúa, y de la transferencia porque ningún tercero asume la consecuencia financiera.

    Ref. QB-6H544QFuente: ISC2 CC Exam Outline, Security Principles — understand risk management concepts (risk treatment: mitigation)Reportar un problema con esta pregunta

11. 11. Un equipo de riesgos califica cada escenario como bajo, medio o alto según el criterio de los jefes de área reunidos en un taller y luego traza los resultados en un mapa de calor. ¿Qué enfoque es este y cuál es su principal limitación?

    • A.Cualitativo, y no arroja cifras monetarias para comparar costo y beneficio✓ Respuesta
    • B.Cuantitativo, y deja de lado el criterio experto en favor del recuento de incidentes
    • C.Cuantitativo, y exige datos de pérdidas que casi ninguna organización posee
    • D.Cualitativo, y solo puede aplicarse a daños reputacionales u otros intangibles

    La evaluación cualitativa usa calificaciones subjetivas y descriptivas basadas en el criterio experto y suele mostrarse en una matriz o mapa de calor. Como no produce valores monetarios, no sustenta directamente un análisis de costo-beneficio, que es lo que aporta la evaluación cuantitativa.

    Ref. QB-PZA9PQFuente: ISC2 CC Exam Outline, Security Principles — understand risk management concepts (qualitative and quantitative risk assessment)Reportar un problema con esta pregunta

12. 12. Un analista de seguridad documenta un riesgo residual alto en una aplicación nueva y recomienda no ponerla en producción; el patrocinador del proyecto quiere lanzarla igualmente. Según la gobernanza de riesgos estándar, ¿quién es el responsable último de aceptar ese riesgo?

    • A.El analista de seguridad, que entiende mejor que nadie la exposición técnica
    • B.Los administradores del sistema, que operan la aplicación y fijan su configuración
    • C.El equipo de auditoría interna, que verifica la suficiencia de los controles
    • D.La alta dirección, que es dueña de los objetivos por los que se asume el riesgo✓ Respuesta

    El apetito y la tolerancia al riesgo los fija la alta dirección junto con el consejo, y ese mismo nivel es dueño de la decisión de aceptar el riesgo residual, porque le pertenecen los objetivos de negocio por los que se corre el riesgo. Los profesionales asesoran e implementan, pero no aceptan riesgos en nombre de la organización.

    Ref. QB-5HSRWNFuente: ISC2 CC Exam Outline, Security Principles — understand risk management concepts (risk tolerance and risk acceptance by senior management)Reportar un problema con esta pregunta

13. 13. El responsable de cumplimiento de un comercio enumera cuatro obligaciones que el negocio debe satisfacer. ¿Cuál de ellas es una norma sectorial contractual y no una ley ni un reglamento gubernamental?

    • A.La Norma de Seguridad de Datos del sector de tarjetas de pago, exigida por contrato✓ Respuesta
    • B.El Reglamento General de Protección de Datos de la UE, aplicado por autoridades
    • C.La Regla de Seguridad de HIPAA de EE. UU., aplicada por un departamento federal
    • D.Una ley estatal de notificación de brechas, aplicada por el fiscal general

    Una ley o un reglamento los impone un gobierno y los aplica el Estado, mientras que la norma del sector de tarjetas la imponen las marcas mediante contrato y se hace cumplir con multas y la pérdida del derecho a procesar pagos. Incumplirla es una infracción contractual, no legal.

    Ref. QB-NZXWGPFuente: ISC2 CC Exam Outline, Security Principles — understand governance concepts (regulations and laws vs. standards)Reportar un problema con esta pregunta

14. 14. Un fabricante privado de Estados Unidos adopta el Marco de Ciberseguridad del NIST para organizar su programa de seguridad. ¿Qué carácter tiene ese marco para esta empresa?

    • A.Una obligación de tratado internacional, acordada entre los Estados firmantes
    • B.Un reglamento federal vinculante, porque lo que publica el NIST tiene fuerza de ley
    • C.Un marco voluntario que la empresa eligió seguir, salvo que un contrato lo exija✓ Respuesta
    • D.Una norma sectorial exigible, porque los auditores multan a quien se aparte de ella

    Los marcos y guías son material de referencia que la organización elige adoptar; la orientación del NIST es obligatoria para las agencias federales de EE. UU. pero voluntaria para la industria privada, salvo que un contrato, un regulador o un cliente la incorpore. Adoptarlo es una decisión de gestión, no un deber legal.

    Ref. QB-8HURESFuente: ISC2 CC Exam Outline, Security Principles — understand governance concepts (frameworks and guidelines)Reportar un problema con esta pregunta

15. 15. Entre los tipos de documento de una jerarquía de gobernanza de seguridad, ¿cuál es orientativo y no obligatorio?

    • A.Las normas, que sugieren tecnologías que los equipos pueden sustituir a su criterio
    • B.Las guías, que ofrecen prácticas recomendadas y dejan espacio al juicio profesional✓ Respuesta
    • C.Los procedimientos, que proponen un orden de pasos que el personal puede reordenar
    • D.Las políticas, que expresan aspiraciones de la dirección sin obligar a nadie a nada

    Las guías son el único nivel discrecional de la jerarquía: sugieren buenas prácticas y admiten criterio propio. Las políticas, las normas y los procedimientos obligan a quienes alcanzan, por lo que tratar una norma o un procedimiento como opcional constituye un incumplimiento.

    Ref. QB-RZZWZSFuente: ISC2 CC Exam Outline, Security Principles — understand governance concepts (policies, standards, procedures, guidelines)Reportar un problema con esta pregunta

16. 16. Un documento de gobernanza contiene esta frase: «Todos los portátiles de la empresa deben usar cifrado de disco completo con AES-256». ¿A qué tipo de documento pertenece esa frase?

    • A.Una política, porque es la declaración de alto nivel de lo que valora la dirección
    • B.Un procedimiento, porque indica al administrador cómo cifrar cada equipo paso a paso
    • C.Una norma, porque fija el requisito específico y medible que ejecuta la política✓ Respuesta
    • D.Una guía, porque recomienda un algoritmo fuerte que conviene preferir siempre que se pueda

    Una política dice qué y por qué en términos neutros respecto a la tecnología; una norma dice qué exactamente, fijando el requisito uniforme y medible que implementa la política. Como la frase es obligatoria y nombra una tecnología precisa sin dar pasos, se trata de una norma.

    Ref. QB-7HGE9RFuente: ISC2 CC Exam Outline, Security Principles — understand governance concepts (policies, standards, procedures)Reportar un problema con esta pregunta

17. 17. ¿Qué le da a la política de seguridad de una organización su autoridad sobre los empleados?

    • A.La revisión técnica del equipo de ingeniería, que confirma que es viable
    • B.La aprobación de la alta dirección, que dirige el negocio y responde por él✓ Respuesta
    • C.La firma de los empleados durante la capacitación anual de concienciación
    • D.La certificación de un auditor externo, que confirma que sigue la práctica

    La gobernanza se ejerce de arriba abajo: una política obliga porque la alta dirección que dirige la organización la emite y la respalda. La revisión técnica, la opinión de auditoría y la firma de los empleados pueden apoyarla, pero ninguna le confiere autoridad.

    Ref. QB-QZNKURFuente: ISC2 CC Exam Outline, Security Principles — understand governance concepts (policy issued and approved by senior management)Reportar un problema con esta pregunta

18. 18. Una empresa contrata a una firma externa para evaluar los controles de seguridad de un proveedor crítico y emitir un informe; después financia e impone las medidas correctivas que el informe recomienda. ¿Qué términos describen ambas actividades, en ese orden?

    • A.Negligencia y luego deber de cuidado, porque contratar a otros delega la culpa
    • B.Deber de cuidado y luego diligencia debida, porque actuar precede a verificar
    • C.Diligencia debida y luego deber de cuidado, porque conocer precede a actuar✓ Respuesta
    • D.Diligencia debida y luego negligencia, porque seguir un informe ajeno es imprudente

    La diligencia debida es el conocer: investigar, evaluar y entender qué debe hacerse. El deber de cuidado es el hacer: actuar sobre ese conocimiento como lo haría una persona razonable, financiando, aplicando y exigiendo las medidas. El conocimiento precede necesariamente a la acción informada.

    Ref. QB-AHJESUFuente: ISC2 CC Exam Outline, Security Principles — Maintain professional and ethical conduct (due care and due diligence)Reportar un problema con esta pregunta

19. 19. Una empresa sufre una brecha aunque había evaluado el riesgo, financiado controles razonables y documentado sus decisiones. ¿Con qué criterio se juzga su cumplimiento del deber de cuidado?

    • A.Contra el resultado obtenido, pues cualquier ataque exitoso prueba que faltó cuidado
    • B.Contra el mercado, pues el deber exige comprar los productos más avanzados
    • C.Contra un certificado de auditoría, pues solo él acredita el deber de cuidado
    • D.Contra la regla de la persona prudente, es decir, la conducta de un par razonable✓ Respuesta

    El deber de cuidado se mide por la regla de la persona prudente: ¿habría actuado igual una persona razonable y prudente en el mismo puesto y con la misma información? Como la regla juzga la calidad de la decisión y no el resultado, sufrir una brecha no equivale automáticamente a negligencia.

    Ref. QB-TZQKCVFuente: ISC2 CC Exam Outline, Security Principles — Maintain professional and ethical conduct (due care, prudent person standard)Reportar un problema con esta pregunta

20. 20. Un profesional certificado descubre que el producto de un cliente tiene un fallo que podría poner en peligro al público. El cliente le indica que no diga nada para proteger su reputación. Según el Código de Ética de ISC2, ¿qué deber prevalece y por qué?

    • A.El deber de proteger a la sociedad, porque los cánones se aplican en su orden✓ Respuesta
    • B.El deber hacia el cliente, porque al principal se le debe la obligación más fuerte
    • C.El deber hacia la profesión, porque divulgarlo avergonzaría a los colegas
    • D.La preferencia del profesional, porque los cuatro cánones pesan igual

    Los cuatro cánones están ordenados y, cuando entran en conflicto, rige el de número menor. Por eso el Canon I, proteger a la sociedad, el bien común y la confianza pública, prevalece sobre el Canon III, el deber de servicio diligente a los principales, como el empleador o el cliente.

    Ref. QB-KFT9B7Fuente: ISC2 Code of Ethics, Canons I and III (canons applied in order of precedence)Reportar un problema con esta pregunta

21. 21. El Código de Ética de ISC2 enuncia cuatro cánones en un orden fijo. ¿Cuál es el SEGUNDO canon?

    • A.«Actuar honorable, honesta, justa, responsable y legalmente.»✓ Respuesta
    • B.«Promover y proteger la profesión.»
    • C.«Prestar servicio diligente y competente a los principales.»
    • D.«Proteger a la sociedad, el bien común, la confianza pública necesaria y la infraestructura.»

    Los cánones son: proteger a la sociedad y la infraestructura; actuar honorable, honesta, justa, responsable y legalmente; prestar servicio diligente y competente a los principales; y promover y proteger la profesión. El orden importa porque determina qué deber prevalece ante un conflicto.

    Ref. QB-3YM4R6Fuente: ISC2 Code of Ethics, Canon IIReportar un problema con esta pregunta

22. 22. ISC2 mantiene un Código de Ética y además publica un Código de Conducta Profesional aparte. ¿Qué enunciado describe correctamente la relación entre ambos?

    • A.El de ética es obligatorio para los certificados; el de conducta solo orienta✓ Respuesta
    • B.Ambos son obligatorios y violar cualquiera puede costar la certificación
    • C.El de ética obliga solo a empleados y el de conducta a los contratistas
    • D.El código de conducta sustituyó al de ética, así que los cánones ya no obligan

    Adherirse al Código de Ética es condición para mantener una certificación de ISC2, y una infracción puede sancionarse incluso con la revocación. El Código de Conducta Profesional se apoya en él como orientación no vinculante dirigida a los profesionales de ciberseguridad en general; ni sustituye a los cuatro cánones ni sirve de base a la certificación.

    Ref. QB-JFFX56Fuente: ISC2 Code of Ethics (adherence required of all members) and the ISC2 Code of Professional Conduct (supplemental, non-mandatory guidance)Reportar un problema con esta pregunta

Preguntas de práctica basadas en el temario del ISC2 Certified in Cybersecurity (CC). Este sitio no está afiliado ni respaldado por ISC2, y estas no son preguntas reales del examen. ISC2 revisa periódicamente los dominios y sus pesos y fija la duración, el estándar de aprobación y los requisitos — confirma el temario y las condiciones vigentes con ISC2 antes de inscribirte. Temario oficial del CC →