22 Preguntas de Práctica de Principios de seguridad y tipos de controles con Respuestas

1. 1. Un contratista envía por correo a un buzón personal una hoja de cálculo con domicilios y números de identificación de empleados, donde queda sin protección. El contenido del archivo no se modificó y el sistema de RR. HH. siguió en línea. ¿Qué pilar de la tríada CIA se vulneró principalmente?

   • A.Integridad, porque los registros salieron del sistema que debía controlarlos
   • B.Confidencialidad, porque personas no autorizadas ya pueden leer los registros✓ Respuesta
   • C.Disponibilidad, porque RR. HH. ya no posee en exclusiva los registros
   • D.No repudio, porque el remitente podría negar haber transmitido los registros

   La confidencialidad es la propiedad de que la información se divulgue solo a partes autorizadas, de modo que llevar registros personales a un buzón sin control la vulnera aunque nada se editara ni se cayera el servicio. La integridad se refiere a la modificación no autorizada y la disponibilidad al acceso oportuno de usuarios autorizados; aquí ninguna se vio afectada.

   Ref. QB-NYNRC9Fuente: ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity concepts (confidentiality)Reportar un problema con esta pregunta

2. 2. Un atacante introduce en silencio transacciones mal etiquetadas en los datos con que se reentrena el modelo antifraude de un banco, de modo que el modelo empieza a aprobar cierto tipo de pagos fraudulentos. Los datos de entrenamiento siguen siendo legibles y el servicio de puntuación sigue en línea. ¿Qué pilar se ve afectado principalmente?

   • A.Confidencialidad, porque el atacante interactuó con los datos de entrenamiento
   • B.Integridad, porque los datos que alimentan el modelo se alteraron sin autorización✓ Respuesta
   • C.Disponibilidad, porque el modelo ya no cumple la función para la que se creó
   • D.Privacidad, porque las transacciones de clientes se usaron de un modo imprevisto

   La integridad abarca la modificación no autorizada o indebida de los datos, incluidos los datos de los que aprende un sistema de IA. Envenenar el conjunto de reentrenamiento cambia lo que el modelo produce sin divulgar nada ni dejar el servicio fuera de línea, así que es un fallo de integridad y no de confidencialidad ni de disponibilidad.

   Ref. QB-5GGKS8Fuente: ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity concepts (integrity)Reportar un problema con esta pregunta

3. 3. Una inundación corta el suministro eléctrico de un centro de distribución. La base de datos de pedidos está intacta y nada se divulgó ni se modificó, pero el personal no puede acceder a la aplicación durante dos días. ¿Qué pilar falló, descrito correctamente?

   • A.No repudio, que trata de que un actor no pueda negar la acción que realizó
   • B.Integridad, que trata de que los registros se mantengan exactos y coherentes
   • C.Confidencialidad, que trata de limitar la divulgación a las partes autorizadas
   • D.Disponibilidad, que trata del acceso oportuno y fiable de usuarios autorizados✓ Respuesta

   La disponibilidad significa que los usuarios autorizados obtienen acceso oportuno y fiable a los sistemas y datos. Un corte de energía que deja los datos intactos pero inaccesibles durante dos días es un fallo puro de disponibilidad; las otras tres propiedades describen divulgación, modificación y negación, y ninguna ocurrió aquí.

   Ref. QB-MYAE78Fuente: ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity concepts (availability)Reportar un problema con esta pregunta

4. 4. Un hospital marca su lista de correo de donantes para protección reforzada porque su publicación avergonzaría a los donantes, y marca su sistema de gestión de camas para protección reforzada porque una caída detendría los ingresos. ¿Cómo se corresponden ambos juicios con los términos de seguridad?

   • A.La lista es un juicio de criticidad y el sistema de camas, de sensibilidad
   • B.La lista es un juicio de sensibilidad y el sistema de camas, de criticidad✓ Respuesta
   • C.Ambos son juicios de criticidad, pues ambos generan requisitos de protección
   • D.Ambos son juicios de sensibilidad, pues aluden al daño para la organización

   La sensibilidad mide el daño que causaría la divulgación, lo que es una cuestión de confidencialidad, mientras que la criticidad mide el daño que causaría que el recurso no estuviera disponible. La lista de donantes se juzga por el daño de divulgación y el sistema de camas por el daño de la interrupción; el examen intercambia ambas etiquetas a propósito.

   Ref. QB-8GJKACFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity concepts (confidentiality and availability)Reportar un problema con esta pregunta

5. 5. En un quiosco, una usuaria escribe un nombre de usuario, toca un token de hardware, recibe acceso de lectura a una carpeta compartida y cada archivo que abre queda anotado en un registro ligado a su cuenta. En orden, ¿cuáles son esos cuatro pasos?

   • A.Autenticación, identificación, registro de auditoría, autorización
   • B.Identificación, autenticación, autorización, registro de auditoría✓ Respuesta
   • C.Autorización, identificación, autenticación, registro de auditoría
   • D.Identificación, autorización, autenticación, registro de auditoría

   La secuencia empieza siempre por la identificación, en la que el sujeto solo declara una identidad, seguida de la autenticación que prueba esa declaración, la autorización que decide qué operaciones se permiten y el registro de auditoría que anota las acciones bajo esa identidad. Cada paso depende del anterior, por eso el orden no se puede alterar.

   Ref. QB-QYCEQBFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity concepts (authentication, authorization, accounting)Reportar un problema con esta pregunta

6. 6. Un analista nuevo dice: «El sistema lo autenticó, así que puede abrir la carpeta de nóminas». ¿Por qué ese razonamiento es incorrecto?

   • A.La autenticación prueba quién es y qué puede abrir, salvo si hay registro activo
   • B.La autorización ocurre antes de la autenticación, así que ya estaba decidido
   • C.La autenticación solo prueba quién es; la autorización decide qué puede abrir✓ Respuesta
   • D.La autenticación y la autorización son un único paso cuando se exige MFA

   La autenticación solo establece que la identidad presentada es auténtica. Una decisión de autorización independiente, basada en la política y en los permisos asignados a esa identidad, determina qué recursos pueden usarse realmente, de modo que iniciar sesión con éxito nunca equivale por sí solo al permiso de abrir una carpeta.

   Ref. QB-7G795BFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity concepts (authentication versus authorization)Reportar un problema con esta pregunta

7. 7. Un auditor pregunta qué propiedad permite a la organización reconstruir, después de los hechos, qué cuenta realizó exactamente cada cambio privilegiado. ¿Qué elemento de AAA aporta esto?

   • A.Autenticación, que confirma la credencial presentada al iniciar la sesión
   • B.Autorización, que fija el conjunto de operaciones permitidas a la cuenta
   • C.Identificación, que es la afirmación de identidad que la cuenta declara
   • D.Registro de auditoría, que anota las acciones y las liga a una identidad✓ Respuesta

   El registro de auditoría, a veces llamado rendición de cuentas, es el elemento de AAA que anota lo que se hizo y vincula cada acción registrada con la identidad que la ejecutó. Sin ese vínculo, la organización puede probar que alguien inició sesión pero no atribuir un cambio concreto a una cuenta concreta.

   Ref. QB-PYZ3JAFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity concepts (accounting)Reportar un problema con esta pregunta

8. 8. Un inicio de sesión exige una contraseña y luego la aprobación de un aviso en el teléfono registrado del usuario. Un colega sostiene que esto es solo verificación en dos pasos y no multifactor real. ¿Quién tiene razón y por qué?

   • A.Es multifactor: el teléfono es un factor de posesión distinto de la clave✓ Respuesta
   • B.Es solo doble paso: el aviso del teléfono es una variante de algo sabido
   • C.Es solo doble paso: ambas comprobaciones las hace el mismo servicio
   • D.Es multifactor únicamente si el segundo paso pasa a usar huella o rostro

   La autenticación multifactor exige factores de tipos distintos. Una contraseña es algo que se sabe y un teléfono registrado que aprueba el aviso es algo que se tiene, así que las dos comprobaciones pertenecen a categorías diferentes; que un mismo servicio ejecute ambas no altera los tipos de factor implicados.

   Ref. QB-AG99NEFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity concepts (authentication factors)Reportar un problema con esta pregunta

9. 9. Un técnico de campo inicia sesión con el lector de huellas del portátil y con un código de un solo uso de un llavero generador. ¿Qué tipos de factor se están usando?

   • A.Algo que se es y algún lugar donde se está
   • B.Algo que se sabe y algo que se es
   • C.Algo que se tiene y algo que se sabe
   • D.Algo que se es y algo que se tiene✓ Respuesta

   La huella dactilar es un factor de inherencia, algo que se es, mientras que el llavero que genera un código de un solo uso es un factor de posesión, algo que se tiene. Aquí no se recuerda ningún secreto de memoria, así que el factor de conocimiento no interviene en absoluto.

   Ref. QB-SY343EFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity concepts (authentication factors)Reportar un problema con esta pregunta

10. 10. Se hacen tres afirmaciones sobre una misma orden de compra firmada: (i) no se alteró en tránsito; (ii) provino realmente del proveedor indicado; (iii) el proveedor no podrá negar después haberla enviado. ¿Qué términos corresponden a (i), (ii) y (iii) en ese orden?

    • A.Integridad, autenticidad, no repudio✓ Respuesta
    • B.No repudio, integridad, autenticidad
    • C.Integridad, no repudio, autenticidad
    • D.Autenticidad, integridad, no repudio

    La integridad responde a si el mensaje se modificó, la autenticidad a si la fuente es genuina y el no repudio a si el actor puede negar de forma creíble haber actuado. Son tres propiedades distintas, aunque una sola firma digital pueda aportar las tres a la vez.

    Ref. QB-KY2653Fuente: ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity concepts (integrity, non-repudiation)Reportar un problema con esta pregunta

11. 11. Una oficina de subvenciones debe poder demostrar después que un solicitante concreto presentó un formulario presupuestario concreto, y resistir la negativa de ese solicitante. ¿Qué combinación aporta MEJOR el no repudio?

    • A.Una clave secreta compartida por ambas partes para calcular un resumen
    • B.Un hash del formulario guardado junto a él en la misma biblioteca
    • C.Una firma digital hecha con la clave privada del solicitante, más registros✓ Respuesta
    • D.Un canal cifrado que protege el formulario mientras se está subiendo

    El no repudio exige una prueba que solo una parte haya podido producir, por lo que la firma debe hacerse con una clave que solo controle el solicitante y acompañarse de registros que liguen el envío a esa identidad. Un secreto compartido no sirve porque cualquiera de los dos titulares pudo generar el valor, y el cifrado en tránsito no dice nada sobre quién envió el formulario.

    Ref. QB-4G8BQ3Fuente: ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity concepts (non-repudiation)Reportar un problema con esta pregunta

12. 12. Un minorista mantiene los historiales de compra cifrados y restringidos a un equipo reducido, pero vende esos historiales a anunciantes sin avisar a los clientes ni ofrecerles opción alguna. ¿Qué afirmación describe MEJOR la situación?

    • A.Se mantiene la confidencialidad, pero no se respeta la privacidad del cliente✓ Respuesta
    • B.Ambas se cumplen, pues la privacidad es confidencialidad de datos personales
    • C.Se mantiene la privacidad, pero fallaron los controles de confidencialidad
    • D.Ninguna aplica, porque la privacidad solo cubre datos que no están cifrados

    La confidencialidad es un objetivo de control, mantener los datos lejos de partes no autorizadas, y el cifrado y los límites de acceso lo cumplen. La privacidad es el derecho de la persona a controlar cómo se recopila, usa y divulga su información personal, y vender los historiales sin aviso ni opción vulnera ese derecho aunque nadie no autorizado haya entrado.

    Ref. QB-PRNFYUFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity concepts (privacy)Reportar un problema con esta pregunta

13. 13. Una empresa imparte formación trimestral de concienciación en seguridad sobre phishing e higiene de contraseñas, y RR. HH. lleva el control de asistencia. Según las tres categorías de controles, ¿cómo se clasifica?

    • A.Administrativo, porque rige cómo se espera que actúen las personas en el trabajo✓ Respuesta
    • B.Físico, porque RR. HH. registra la asistencia presencial a las sesiones
    • C.Ninguno de los tres, porque la formación informa pero no obliga a nada
    • D.Técnico, porque la materia que se enseña es de naturaleza técnica

    Los controles administrativos, también llamados de gestión, son los de personas y procesos: políticas, procedimientos, verificación de antecedentes y formación. La materia impartida es irrelevante para la clasificación; lo decisivo es que el control actúa dirigiendo la conducta humana y no mediante hardware, software o una barrera física.

    Ref. QB-3GVYH2Fuente: ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity controls (administrative controls)Reportar un problema con esta pregunta

14. 14. Un mostrador de recepción con personal comprueba las credenciales en la única entrada de una planta de servidores, y su presencia visible también desanima a quien pretenda colarse. En el eje de categoría y en el de función, ¿qué es esto?

    • A.De categoría física; de función correctiva y de recuperación
    • B.De categoría física; de función disuasoria y detectiva✓ Respuesta
    • C.De categoría administrativa; de función disuasoria y directiva
    • D.De categoría técnica; de función preventiva y compensatoria

    Un guardia o un mostrador atendido protege la instalación misma, lo que lo convierte en un control físico. Funcionalmente disuade, porque una presencia humana visible desalienta el intento antes de que empiece, y detecta, porque la persona observa y reporta lo que ocurre; por eso el examen empareja ambas funciones.

    Ref. QB-NRA5TTFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity controls (physical controls)Reportar un problema con esta pregunta

15. 15. Se configura cifrado de disco completo en todos los portátiles para que un ladrón que se lleve un equipo no pueda leer lo almacenado en él. ¿Cómo se clasifica este control en ambos ejes?

    • A.De categoría técnica y función detectiva
    • B.De categoría técnica y función preventiva✓ Respuesta
    • C.De categoría física y función preventiva
    • D.De categoría administrativa y función correctiva

    El cifrado se implementa en software o hardware, lo que lo convierte en un control técnico, también llamado lógico. Actúa antes de que pueda producirse cualquier pérdida de confidencialidad, porque los datos robados son ilegibles desde el principio, y un control que impide el daño por adelantado es preventivo, no detectivo ni correctivo.

    Ref. QB-69GADUFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity controls (technical controls)Reportar un problema con esta pregunta

16. 16. Un control exigido no puede implantarse en un sistema heredado, así que la organización despliega otra salvaguarda que logra una protección comparable y documenta la decisión. ¿Cómo se llama esa salvaguarda alternativa?

    • A.Un control compensatorio, que sustituye a uno que no resulta viable✓ Respuesta
    • B.Un control correctivo, que restablece la operación tras el incidente
    • C.Un control disuasorio, que desanima a quien piense en atacar
    • D.Un control directivo, que indica al personal la conducta esperada

    Un control compensatorio es un sustituto deliberado que se despliega cuando el control primario exigido no es viable, y debe ofrecer una protección equivalente a la del control que reemplaza, con la justificación documentada y aprobada. Lo define esa relación de sustitución, no el momento del incidente en que actúa.

    Ref. QB-MRXSMSFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity controls (compensating controls)Reportar un problema con esta pregunta

17. 17. Las copias de seguridad nocturnas se escriben en una sede aparte para poder restaurar una base de datos dañada. En el eje funcional, ¿qué par describe MEJOR lo que hace una copia de seguridad?

    • A.Preventiva y disuasoria, pues impide que la pérdida llegue a producirse
    • B.Detectiva y directiva, pues revela la pérdida en el momento en que ocurre
    • C.Correctiva y de recuperación, pues actúa después de la pérdida✓ Respuesta
    • D.Preventiva y compensatoria, pues sustituye al tiempo de servicio continuo

    Una copia de seguridad no impide el evento dañino ni lo revela mientras ocurre; todo su valor aparece después, cuando la copia se usa para corregir el daño y recuperar los datos. Las funciones se clasifican según el momento en que el control actúa respecto del incidente, y la copia actúa después.

    Ref. QB-595Y7TFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity controls (control functions)Reportar un problema con esta pregunta

18. 18. Un gerente propone retirar todos los lectores de credenciales y los guardias de la sala de datos porque los servidores ya usan cifrado, autenticación fuerte y registro detallado. ¿Cuál es la MEJOR objeción?

    • A.Los controles técnicos pierden validez si el local carece de los físicos
    • B.Los controles técnicos deben aprobarlos el mismo comité que los físicos
    • C.Los controles físicos son la única categoría que el regulador exige
    • D.Los controles técnicos no impiden que alguien retire o dañe un servidor✓ Respuesta

    Las tres categorías cubren vías de ataque distintas y se complementan en lugar de sustituirse: el cifrado y el registro no hacen nada frente a quien entra y se lleva un servidor, corta un cable o manipula el hardware. Superponer controles técnicos, administrativos y físicos es precisamente lo que significa la defensa en profundidad.

    Ref. QB-QYFGT7Fuente: ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity controls (defense in depth)Reportar un problema con esta pregunta

19. 19. Un sistema de credenciales consta de lectores de tarjeta y cerraduras, un servidor que evalúa y registra cada paso de tarjeta, y una política escrita sobre emisión y revocación de tarjetas. ¿Cómo debe clasificarlo el candidato?

    • A.Se clasifica solo como físico, pues busca impedir la entrada a la sala
    • B.Se clasifica solo como técnico, pues el software decide si abre la puerta
    • C.Se clasifica en las tres categorías: física, técnica y administrativa✓ Respuesta
    • D.Se clasifica solo como administrativo, pues lo rige una política escrita

    Una sola salvaguarda suele descomponerse en partes que caen en categorías distintas: los lectores y cerraduras son físicos, el software que evalúa y registra es técnico, y las reglas de emisión y revocación son administrativas. El examen pide clasificar el componente descrito, no el propósito general del sistema.

    Ref. QB-8GNND8Fuente: ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity controls (technical, administrative and physical controls)Reportar un problema con esta pregunta

20. 20. Una empresa de logística contrata un ciberseguro que cubre los costes de notificación de brechas y los honorarios legales. El consejo pregunta qué cambia realmente la póliza respecto de las obligaciones de la empresa. ¿Cuál es la respuesta correcta?

    • A.Equivale a aceptar el riesgo, pues la firma sigue operando igual que antes
    • B.Transfiere a la aseguradora la rendición de cuentas junto con el coste
    • C.Equivale a evitar el riesgo, pues la firma ya no tiene esa exposición
    • D.Transfiere el impacto económico; la rendición de cuentas sigue en la firma✓ Respuesta

    Contratar un seguro es transferencia del riesgo, y lo que pasa al tercero es el impacto económico de la pérdida. La responsabilidad legal y la rendición de cuentas por proteger los datos siguen en la organización y no pueden externalizarse, que es la distinción que más suelen errar los candidatos.

    Ref. QB-MPZMMSFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand risk management concepts (risk treatment: transference)Reportar un problema con esta pregunta

21. 21. Un documento de fortalecimiento termina con la frase «se anima a los equipos a aplicar estos ajustes cuando sea práctico». Un analista nuevo lo trata como vinculante para todos los equipos. ¿Cuál es la corrección adecuada?

    • A.La redacción la convierte en norma: obliga a todos los equipos sin excepción
    • B.La redacción la convierte en procedimiento: obliga a quien lo ejecuta
    • C.La redacción la convierte en guía: se recomienda, no se exige✓ Respuesta
    • D.La redacción la convierte en política: obliga a toda la organización

    En la jerarquía documental de gobernanza, las políticas, normas y procedimientos son obligatorios, mientras que las guías son consejos recomendados y discrecionales. La frase «se anima ... cuando sea práctico» delata que el documento es una guía, y tomar una guía como vinculante es uno de los errores más frecuentes en esta jerarquía.

    Ref. QB-47UF2SFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand governance concepts (policies, standards, procedures)Reportar un problema con esta pregunta

22. 22. Antes de firmar con un proveedor de nube, una responsable de seguridad estudia los informes de controles del proveedor y hace preguntas detalladas; después configura el cifrado y revisa los accesos cada mes. ¿Qué términos describen ambas actividades, en ese orden?

    • A.La investigación es diligencia debida; la configuración, cuidado debido✓ Respuesta
    • B.Ambas son diligencia debida, pues las dos consisten en investigar
    • C.Ambas son cuidado debido, pues las dos son actuaciones razonables
    • D.La investigación es cuidado debido; la configuración, diligencia debida

    La diligencia debida es el trabajo investigador de averiguar qué es lo correcto y verificarlo de forma continua, mientras que el cuidado debido es actuar de manera razonable y prudente con ese conocimiento, el estándar de la persona prudente. Primero viene la investigación y después la acción protectora, así que son secuenciales y no intercambiables.

    Ref. QB-KPNAFRFuente: ISC2 Certified in Cybersecurity Exam Outline, Security Principles — Maintain professional and ethical conduct (due care and due diligence)Reportar un problema con esta pregunta

Preguntas de práctica basadas en el temario del ISC2 Certified in Cybersecurity (CC). Este sitio no está afiliado ni respaldado por ISC2, y estas no son preguntas reales del examen. ISC2 revisa periódicamente los dominios y sus pesos y fija la duración, el estándar de aprobación y los requisitos — confirma el temario y las condiciones vigentes con ISC2 antes de inscribirte. Temario oficial del CC →