19 Preguntas de Práctica de Informes de incidentes y métricas con Respuestas

1. 1. Un analista redacta el registro del incidente. La evidencia es una entrada del proxy que muestra 1.8 GB enviados desde una estación a un host externo desconocido sobre TLS, y un registro de endpoint que muestra que una utilidad de compresión se ejecutó allí minutos antes. No existe inventario del contenido del archivo comprimido. ¿Cómo debe constar esto en el registro?

   • A.Registrar la transferencia del proxy y el proceso de compresión como evidencia observada, y anotar la probable exfiltración de datos como valoración, con su confianza y la evidencia que falta.✓ Respuesta
   • B.Registrar la transferencia como exfiltración confirmada de datos del recurso compartido, ya que 1.8 GB de tráfico TLS hacia un host desconocido tras ejecutarse el compresor no admite otra lectura.
   • C.Registrar únicamente las dos entradas de registro y dejar toda interpretación fuera del expediente escrito, porque una redacción analítica podría ser cuestionada por la parte contraria en un litigio.
   • D.Registrar el hecho como probable falso positivo hasta recuperar el contenido del archivo comprimido, y omitir el detalle de la transferencia para no alarmar a la dirección con algo no probado.

   Un registro de incidente solo es defendible después si el lector distingue lo medido de lo concluido. El recuento de bytes del proxy y el proceso de compresión son observaciones; 'hubo exfiltración' es una inferencia y debe constar como valoración con un nivel de confianza y con la evidencia que la confirmaría o la refutaría. Borrar la hipótesis deja sin rumbo a los respondedores, y afirmarla como hecho es lo que se derrumba bajo escrutinio.

   Ref. QB-HZ4RQAFuente: CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — post-incident reporting (after action report): separating observed fact from analytic judgementReportar un problema con esta pregunta

2. 2. Durante la contención actuaron tres respondedores: uno bloqueó una dirección externa en el perímetro, otro deshabilitó una cuenta de usuario y otro retiró un portátil de la red. El ticket solo dice 'host contenido, cuenta atendida, tráfico bloqueado'. ¿Cuál es la corrección MÁS importante al registro?

   • A.Escribir cada acción como una entrada propia, indicando quién la ejecutó, la hora exacta en que surtió efecto y el sistema en el que se aplicó.✓ Respuesta
   • B.Añadir la categoría de herramienta y la sintaxis de la regla del bloqueo perimetral, para que otro analista reproduzca ese mismo filtro después.
   • C.Adjuntar la calificación de severidad y la estimación de impacto al negocio, para que la entrada coincida con lo que dirá el resumen ejecutivo.
   • D.Sustituir la redacción por los números de paso del manual de respuesta ejecutados, ya que el manual ya define quién es dueño de cada paso.

   Un registro de respuesta debe responder 'quién hizo qué, en qué sistema y cuándo', porque las propias acciones de contención alteran la evidencia y el entorno. Sin actor y marca de tiempo por acción, nadie puede reconstruir la cronología, demostrar que un cambio estaba autorizado ni distinguir la actividad del atacante de la de un respondedor. La sintaxis, la severidad y los números de paso son contexto útil, pero no establecen responsabilidad ni secuencia.

   Ref. QB-2HAWABFuente: CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — post-incident reporting (after action report): documented actions taken, with time and actorReportar un problema con esta pregunta

3. 3. El equipo informa que la intrusión se limitó a dos servidores y que no hay evidencia de movimiento lateral. El registro de autenticación está centralizado para los servidores, pero cerca de un tercio de las estaciones de trabajo no envía telemetría de endpoint. ¿Cómo debe redactarse la sección de alcance?

   • A.Indicar el alcance confirmado como definitivo, ya que una búsqueda exhaustiva en todos los registros centralizados no mostró actividad más allá de los dos servidores.
   • B.Indicar que el alcance no puede establecerse de ninguna forma mientras exista cualquier hueco de telemetría, y dejar la sección abierta hasta desplegar la cobertura que falta.
   • C.Indicar el alcance confirmado y precisar que la ausencia de movimiento lateral solo se afirma para los activos que envían telemetría, nombrando el segmento sin cobertura.✓ Respuesta
   • D.Indicar el alcance confirmado y añadir que las estaciones sin cobertura se presumen limpias, porque ningún usuario de ese segmento reportó comportamiento inusual.

   'No hay evidencia de X' vale tanto como la visibilidad que lo respalda, así que el alcance debe llevar el límite de lo que pudo buscarse. Nombrar el tercio sin cobertura convierte una afirmación excesiva en un hallazgo acotado y además documenta un hueco real sobre el que actuará la revisión. Presumir limpias las estaciones sin telemetría porque nadie se quejó es una suposición disfrazada de conclusión, y negarse a fijar alcance oculta información que los interesados necesitan.

   Ref. QB-JZF3WBFuente: CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — post-incident reporting: documented scope and residual uncertaintyReportar un problema con esta pregunta

4. 4. Seis horas dentro de una intrusión en curso, el líder de respuesta contesta preguntas individuales de gerentes, legal y dos directivos según llegan, y cada respuesta difiere algo a medida que surgen hallazgos. ¿Qué cambio debe hacerse en la comunicación?

   • A.Derivar todas las preguntas al equipo legal para una respuesta autorizada, de modo que un solo revisor controle cada declaración antes de que alguien la oiga.
   • B.Responder a cada solicitante en cuanto surja cualquier hallazgo nuevo, para que ningún interesado maneje información atrasada ni siquiera unos minutos.
   • C.Pasar a una actualización programada a intervalo fijo, emitida por un único coordinador designado, que separe los hallazgos confirmados de las hipótesis de trabajo.✓ Respuesta
   • D.Suspender las actualizaciones a los interesados hasta verificar la contención y emitir después un único relato completo, sin exponer nada provisional ante la dirección.

   Un flujo de hallazgos crudos es peor que una cadencia más lenta, porque las lecturas iniciales cambian y unos interesados con versiones distintas empiezan a decidir sobre hechos contradictorios. Un informe de situación a intervalo fijo desde un único coordinador da a todos la misma imagen al mismo tiempo y obliga a marcar lo confirmado frente a lo supuesto. El silencio hasta el cierre priva a la dirección de lo que necesita para decidir durante el incidente.

   Ref. QB-3HN8GCFuente: CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — communication plan (stakeholder identification; communication channels)Reportar un problema con esta pregunta

5. 5. Se redacta un resumen ejecutivo para un consejo que no leerá nada más sobre el incidente. La investigación continúa y la causa raíz aún no está confirmada. ¿Qué contenido es el MÁS apropiado?

   • A.Una descripción sencilla de lo ocurrido, el impacto conocido hasta ahora, el estado actual, la decisión que se solicita y qué conclusiones siguen siendo provisionales.✓ Respuesta
   • B.Una cronología de cada acción del analista hasta el momento con los indicadores recuperados en cada host, para que el consejo vea la profundidad del trabajo.
   • C.Una exposición de la causa raíz confirmada y del plan de remediación, escrita sin matices, porque una sesión ante un consejo no debe sonar indecisa.
   • D.Una correspondencia entre las técnicas observadas del atacante y un marco público, junto con la lógica de detección para captar una repetición.

   Un resumen ejecutivo existe para que quien solo lea esa página pueda decidir algo, así que se organiza en torno al impacto, el estado, la petición y la confianza de cada afirmación. Presentar una causa no confirmada como hecho cerrado es lo que destruye la credibilidad cuando el hallazgo cambia, y las listas de indicadores, las cronologías por host y los mapeos a marcos son anexos técnicos que este público no usará. Decir con claridad qué es provisional es lo que hace creíble el resto.

   Ref. QB-KZTD3DFuente: CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — executive summaryReportar un problema con esta pregunta

6. 6. Una intrusión está en curso y se sabe que el adversario posee credenciales válidas del proveedor de identidad corporativo, que también da acceso al correo y a la plataforma de chat. El equipo debe coordinarse varias horas más. ¿Qué debe hacer?

   • A.Coordinarse en un canal acordado de antemano y ajeno a los sistemas de identidad y correo afectados, y registrar en el caso por qué se eligió.✓ Respuesta
   • B.Seguir en el chat corporativo pero abrir un canal privado limitado a los respondedores, para que la conversación no la vea ningún otro empleado.
   • C.Seguir en el correo corporativo cifrando el hilo del incidente, de modo que el contenido siga ilegible aunque se acceda al propio buzón.
   • D.Trasladar la coordinación a cuentas personales de mensajería móvil elegidas por cada respondedor, para que ningún servicio corporativo la transporte.

   Mientras el intruso tiene identidad en las plataformas donde el equipo hablaría, esas plataformas forman parte del entorno comprometido: el adversario puede leer el plan, ver cuándo se programa la contención y adaptarse. Un canal fuera de banda acordado antes del incidente preserva la confidencialidad y queda documentado como decisión deliberada, mientras que las cuentas personales improvisadas dejan la coordinación sin registro y fuera de toda retención o retención legal. Cifrar un hilo en un buzón que el atacante abre no ayuda.

   Ref. QB-4HZJNDFuente: CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — operational security awareness (communication channels)Reportar un problema con esta pregunta

7. 7. Un analista confirma que un servidor de finanzas tiene una sesión interactiva desde una dirección externa a la empresa y un servicio desconocido instalado. El plan de la organización indica que esto cumple sus criterios de incidente. ¿Qué debe hacer PRIMERO el analista?

   • A.Avisar directamente al equipo legal y al enlace regulatorio, porque una intrusión en un sistema financiero genera una obligación de reportar al exterior.
   • B.Iniciar la contención desconectando el cable de red del servidor, porque cada minuto extra de acceso del atacante amplía el daño que habrá que reparar.
   • C.Declarar el incidente según los criterios del plan y avisar al responsable de respuesta, lo que inicia el proceso documentado y autoriza las acciones siguientes.✓ Respuesta
   • D.Capturar una imagen de memoria y la lista de procesos en ejecución, porque la evidencia volátil de esa sesión desaparece en cuanto algo cambie en el host.

   Detectar un evento y declarar un incidente son actos distintos: la declaración es la decisión documentada de que se cumplen los criterios del plan, y es la que inicia el reloj, activa al equipo de respuesta y el plan de comunicación, y da al analista autoridad para acciones disruptivas. Adquirir evidencia y contener son pasos correctos, pero antes de la declaración son cambios no autorizados en un sistema que ya es evidencia, y la notificación externa la deciden la dirección y el área legal.

   Ref. QB-MZ6R8EFuente: CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — incident declaration and escalationReportar un problema con esta pregunta

8. 8. Un gerente de operaciones de seguridad reporta la proporción de alertas cerradas por flujos automatizados sin intervención de un analista. ¿Qué indica legítimamente esta medida y cómo puede inducir a error?

   • A.Indica con qué rapidez responde la operación ante intrusiones, y sube de forma engañosa cuando los analistas empiezan a tardar más en cada investigación.
   • B.Indica cuánto trabajo rutinario absorbe la automatización, y sube de forma engañosa cuando los flujos cierran solos clases de alerta cuya lógica nunca se validó.✓ Respuesta
   • C.Indica la exactitud de las reglas de detección en uso, y baja de forma engañosa cada vez que el equipo escribe reglas nuevas que generan más alertas.
   • D.Indica la proporción de verdaderos positivos en la cola, y baja de forma engañosa cuando una fuente de registro ruidosa se retira por completo.

   Es una medida de carga de trabajo: dice qué fracción de la cola nunca necesitó a una persona, lo que justifica la automatización y libera tiempo de análisis para investigar. No dice nada sobre si esos cierres fueron correctos, así que sube igual de rápido cuando un flujo elimina detecciones reales en silencio que cuando descarta ruido genuino; por eso debe leerse junto a la tasa de verdaderos positivos y una revisión muestral de los cierres.

   Ref. QB-VGH8F5Fuente: CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — metrics and KPIs (alert volume, true-positive rate) read together rather than aloneReportar un problema con esta pregunta

9. 9. Un analista del turno nocturno debe entregar una intrusión en curso al turno de día. ¿Cuál es la MEJOR práctica de traspaso?

   • A.Un resumen enviado por correo al gerente que informará al turno entrante, sin dejar en el registro notas provisionales que luego resulten erróneas.
   • B.Un recorrido verbal en el puesto sobre lo ocurrido durante la noche, para que el analista entrante pregunte y retome el trabajo de inmediato.
   • C.Un mensaje al analista entrante con los identificadores de todas las alertas implicadas, dejando la reconstrucción de los hechos a una nueva lectura de la consola.
   • D.Un traspaso escrito en el registro del caso: severidad actual, acciones con su resultado, pendientes con responsable, próximos pasos y aprobaciones en curso.✓ Respuesta

   El traspaso existe para que una operación 24x7 no pierda contexto en el cambio de turno: el analista entrante debe saber el estado, qué se intentó y con qué resultado, qué sigue abierto y de quién es, y qué aprobaciones están en curso; si no, se duplica trabajo y se cae un paso de contención. Escrito en el registro del caso es auditable y no depende de la persona, algo que no logran el traspaso solo verbal ni la lista de identificadores, y las notas provisionales son parte de la cronología.

   Ref. QB-DZPD26Fuente: CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — shift/incident handoverReportar un problema con esta pregunta

10. 10. Se está programando una revisión posterior al incidente. La anterior produjo un documento que nadie ejecutó, y el personal evitó la franqueza porque después se sancionó a un analista. ¿Qué enfoque es el MÁS probable para producir cambios?

    • A.Restringir la asistencia a los respondedores veteranos y al gerente, para que la conversación sea franca y los hallazgos no se distorsionen.
    • B.Pedir a cada participante que documente por escrito los errores que cometió en esta respuesta, para que la responsabilidad sea explícita y nadie los repita.
    • C.Examinar el proceso de respuesta en lugar del desempeño individual y salir con acciones priorizadas, cada una con responsable y fecha de cumplimiento.✓ Respuesta
    • D.Limitar la sesión a una reconstrucción factual de la cronología y enviar las conclusiones a la dirección para que decida qué debería cambiar.

    Una revisión de lecciones aprendidas solo cambia algo si la gente dice qué falló de verdad y el resultado es trabajo que alguien está obligado a hacer. Centrarse en el proceso preserva la franqueza, porque quien espera culpa describe los hechos de forma selectiva; asignar responsable y fecha convierte una observación en algo rastreable hasta su cierre. Excluir a los respondedores junior aparta a quienes vieron la alerta primero, y entregar una cronología sin acciones a la dirección es como murió el documento anterior.

    Ref. QB-AA7HWNFuente: CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — post-incident reporting (lessons learned)Reportar un problema con esta pregunta

11. 11. La revisión establece tres cosas: no existía listas de permitidos de aplicaciones en los servidores afectados; la puerta de correo analizó el adjunto y lo dejó pasar; y el agente de endpoint generó una alerta correcta que quedó sin triaje en una cola saturada casi un día. ¿Cómo se clasifican, en orden?

    • A.Un control ausente, un control mal configurado por el administrador, y un control que falló porque el agente no generó alerta.
    • B.Una brecha de control aceptada por el negocio, un control que funcionó según su diseño, y un control desactivado por el atacante.
    • C.Un control ausente, un control que operó y no lo detectó, y un control que funcionó pero cuya salida nunca fue atendida.✓ Respuesta
    • D.Tres síntomas de una misma causa raíz, todos resueltos al sustituir el agente de endpoint por un producto que bloquea al detectar.

    Estas tres fallas exigen acciones correctivas distintas, y por eso importa la clasificación: un control nunca desplegado requiere implementarlo, un control que operó y no detectó requiere ajuste u otro método de detección, y un control que emitió una alerta correcta que nadie leyó requiere arreglar la capacidad de triaje y la calidad de las alertas. Comprar otro producto no cambia la cola que se tragó la alerta, y el agente sí generó alerta, así que llamarlo fallo de detección desvía la remediación.

    Ref. QB-SSZBBNFuente: CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — post-incident reporting (root cause analysis, lessons learned)Reportar un problema con esta pregunta

12. 12. Las notas de la revisión dicen 'la comunicación fue deficiente' y 'deberíamos mejorar la supervisión'. Un gerente pide convertir cada lección en algo rastreable. ¿Qué elemento está correctamente formulado?

    • A.El centro de operaciones ampliará la supervisión del segmento de servidores afectado en cuanto se apruebe el presupuesto de recolección adicional.
    • B.El ingeniero de detección añadirá y probará una regla para la técnica observada, con un revisor designado y fecha de entrega en el próximo ciclo.✓ Respuesta
    • C.El equipo mejorará la coordinación durante los incidentes con reuniones de sincronización más frecuentes y compartiendo información antes entre las áreas.
    • D.Todos los analistas leerán el informe posterior a la acción y confirmarán al gerente que comprenden qué salió mal durante el esfuerzo de respuesta.

    Una lección se vuelve mejora solo cuando nombra un responsable único, un entregable concreto, una verificación y una fecha, de modo que luego pueda demostrarse si se hizo o no. 'Mejorar la coordinación' y 'ampliar la supervisión' expresan una intención sin dueño, sin prueba y sin plazo, y la segunda además queda detrás de una aprobación que puede no llegar; que todos confirmen haber leído el informe no modifica ningún control.

    Ref. QB-9AU6RMFuente: CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — post-incident reporting (lessons learned; recommendations with owners)Reportar un problema con esta pregunta

13. 13. Tras una intrusión iniciada por phishing, se aprueba el informe posterior a la acción. ¿Qué producto de la revisión reduce más directamente la probabilidad de que la misma actividad vuelva a tener éxito sin ser detectada?

    • A.Una regla de detección ya probada para la técnica observada, junto con las actualizaciones del manual y del procedimiento que indican cómo tratarla.✓ Respuesta
    • B.Un asiento del incidente en el registro de riesgos con su calificación de riesgo residual, para revisarlo en el siguiente comité trimestral de gobierno.
    • C.Un mensaje a toda la empresa que describa el correo de phishing y recuerde al personal reportar mensajes sospechosos con el botón de reporte.
    • D.Una capa adicional de filtrado de correo, para que la clase de adjunto que llegó en este incidente quede bloqueada antes de la entrega.

    La pregunta trata de que una repetición pase inadvertida, y el único producto que cierra un hueco de detección es diseñar y probar una regla para el comportamiento observado y documentar cómo debe responder el siguiente analista. El registro de riesgos anota la exposición sin cambiar la detección, la concienciación reduce el clic pero no el fallo de detección, y un filtro nuevo atiende la entrega de una clase de adjunto dejando la misma técnica sin vigilancia.

    Ref. QB-RSNZ5MFuente: CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — post-incident reporting outputs feeding detection and documentation updatesReportar un problema con esta pregunta

14. 14. Tras un incidente el equipo produce: (1) el hallazgo de que un servicio expuesto a internet sin parchear permitió el acceso inicial; (2) la decisión de cambiar el umbral de escalado porque falló la vía de guardia; (3) un documento con la cronología, el alcance, las acciones y las recomendaciones. ¿Qué correspondencia es correcta?

    • A.1 es remediación, 2 es el informe posterior a la acción y 3 es análisis de causa raíz.
    • B.1 es análisis de causa raíz, 2 es una lección aprendida y 3 es el informe posterior a la acción.✓ Respuesta
    • C.1 es una lección aprendida, 2 es análisis de causa raíz y 3 es el informe posterior a la acción.
    • D.1 es el informe posterior a la acción, 2 es remediación y 3 es una lección aprendida.

    El análisis de causa raíz responde por qué el incidente fue posible, y un servicio expuesto sin parchear es precisamente ese fallo subyacente. Una lección aprendida es un cambio en la forma de responder del equipo, así que modificar el umbral de escalado tras fallar la vía de guardia pertenece ahí. El informe posterior a la acción es el registro formal que recoge ambas cosas junto con la cronología, el alcance y las acciones; reinstalar o parchear es remediación, no un informe.

    Ref. QB-CAW69RFuente: CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — post-incident reporting (after action report, lessons learned, root cause analysis)Reportar un problema con esta pregunta

15. 15. Un gerente quiere una medida que responda '¿cuánto tiempo operó el intruso antes de que lo supiéramos?' y otra que responda 'una vez enterados, ¿cuánto tardamos en actuar para detenerlo?'. ¿Qué par, en ese orden?

    • A.Tiempo medio de remediación y después tiempo medio de respuesta.
    • B.Tiempo medio de detección y después tiempo medio de respuesta.✓ Respuesta
    • C.Tiempo medio de detección y después tiempo medio de cierre.
    • D.Tiempo medio de respuesta y después tiempo medio de detección.

    El tiempo medio de detección (mean time to detect) mide la latencia entre que ocurre el evento y que la operación lo sabe, y es la cifra que acota cuánto tiempo actuó el adversario sin ser visto. El tiempo medio de respuesta mide desde ese momento hasta la acción efectiva contra la amenaza. El tiempo medio de cierre abarca todo el ciclo del caso hasta la documentación y el cierre formal, así que no sirve para ninguna de las dos preguntas.

    Ref. QB-USQZNQFuente: CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — metrics and KPIs (mean time to detect, mean time to respond)Reportar un problema con esta pregunta

16. 16. Un host fue reinstalado y devuelto a servicio el mismo día, el servicio vulnerable se parcheó en todo el parque más tarde esa semana, y el caso se cerró formalmente con su documentación la semana siguiente. ¿A qué métrica alimenta cada uno de esos dos últimos hitos, en orden?

    • A.Tiempo medio de cierre y después tiempo medio de remediación.
    • B.Tiempo medio de remediación y después tiempo medio de respuesta.
    • C.Tiempo medio de respuesta y después tiempo medio de remediación.
    • D.Tiempo medio de remediación y después tiempo medio de cierre.✓ Respuesta

    La remediación es el punto en que se elimina la causa subyacente, así que parchear el servicio vulnerable en todo el parque detiene el reloj del tiempo medio de remediación; reinstalar un host restauró el servicio pero dejó la causa intacta. El cierre formal con la documentación terminada es el fin del ciclo del caso y alimenta el tiempo medio de cierre, que suele ser el intervalo más largo porque incluye el trabajo de reporte posterior a la corrección técnica.

    Ref. QB-BAJU3QFuente: CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — metrics and KPIs (mean time to remediate, mean time to close)Reportar un problema con esta pregunta

17. 17. Un CISO debe pedir al consejo financiar telemetría en segmentos que la operación hoy no puede ver. ¿Qué presentación es la MÁS probable para respaldar esa decisión?

    • A.El número total de alertas atendidas el trimestre pasado, el crecimiento anual del volumen en cola y la plantilla necesaria para sostener ese ritmo.
    • B.La proporción de activos críticos cuyos registros llegan a la plataforma, la tendencia del tiempo de detección y qué habrían mostrado los segmentos sin cobertura.✓ Respuesta
    • C.La lista de técnicas que la operación puede detectar hoy, asignadas a un marco público de adversarios, con el hueco de cobertura marcado por táctica.
    • D.El recuento de incidentes declarados el año pasado con su severidad, junto con el número de vulnerabilidades remediadas en ese mismo periodo.

    Una decisión de inversión depende de cuánto cuesta el hueco, así que el argumento debe unir la proporción de activos críticos realmente vigilados con la consecuencia del punto ciego y con la tendencia que la inversión pretende mover. Un mapa de cobertura de técnicas es el artefacto interno adecuado, pero pide al consejo juzgar tácticas que no puede evaluar, mientras que los totales de alertas, el cálculo de plantilla y los recuentos de incidentes describen actividad sin mostrar qué sigue invisible.

    Ref. QB-TSCPGPFuente: CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — metrics and KPIs reported to stakeholders; executive summary framing for decision-makersReportar un problema con esta pregunta

18. 18. El tiempo medio de respuesta ha mejorado en cada uno de los últimos tres periodos de reporte, pero luego se supo que dos intrusiones se habían cerrado antes como falsos positivos. ¿Cuál es la explicación MÁS probable y qué lo revelaría?

    • A.La automatización contiene más rápido que los analistas, lo que acorta el reloj; leerlo junto al tiempo medio de cierre confirma que los flujos funcionan.
    • B.La plantilla de analistas creció más rápido que el volumen de alertas, lo que acorta el reloj; leerlo junto a alertas por analista confirma que la mejora es real.
    • C.Las reglas de detección son más precisas, lo que acorta el reloj; leerlo junto a la tasa de falsos positivos confirma que el ajuste es el responsable.
    • D.Las alertas ambiguas se cierran sin validar, lo que acorta el reloj; leerlo junto a la tasa de verdaderos positivos y una revisión de calidad de los cierres lo revela.✓ Respuesta

    Cualquier métrica de tiempo puede mejorarse bajando el estándar para dar un caso por terminado, así que una operación que despacha alertas difíciles como falsos positivos reportará respuestas más rápidas mientras pierde intrusiones. Por eso una métrica temporal nunca se reporta sola: combinarla con la fidelidad de detección y una revisión muestral de cómo se decidieron los cierres distingue la velocidad real del derrumbe de calidad. Las otras lecturas son causas plausibles de mejora real, pero ninguna explica intrusiones cerradas como falsos positivos.

    Ref. QB-6AS68HFuente: CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — metrics and KPIs (mean time to respond, true-positive rate) interpreted togetherReportar un problema con esta pregunta

19. 19. El área legal advierte que este incidente activará una obligación de notificar fuera de la empresa. Nada cambia en la respuesta técnica. ¿Qué cambia respecto a la documentación del equipo?

    • A.Las notas de trabajo provisionales deberían borrarse del caso al quedar superadas, para que el registro final no contenga afirmaciones que resultaron falsas.
    • B.Los analistas deberían redactar ellos mismos el texto de la notificación mientras los detalles están frescos y enviarlo tras verificar la contención técnica.
    • C.El registro del caso debería restringirse al responsable del incidente, y los demás guardar sus observaciones en notas personales hasta que el caso cierre.
    • D.Los hechos, las horas, los actores y las decisiones deben capturarse al ocurrir y conservarse bajo revisión legal, para que la notificación se apoye en el registro.✓ Respuesta

    Cuando aplica un deber de notificación externa, el registro del caso deja de ser un producto interno y se convierte en la base probatoria de declaraciones que la organización deberá sostener, así que capturar en el momento los hechos, las horas, los actores y las decisiones y conservarlos bajo revisión legal es lo que hace defendible la notificación. Borrar notas superadas destruye la traza de auditoría que justifica el registro, los analistas no redactan ni emiten notificaciones externas, y dispersar observaciones en notas personales las deja fuera de toda conservación.

    Ref. QB-NSKZMGFuente: CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — communication plan (legal team, regulatory reporting agencies) and incident documentationReportar un problema con esta pregunta

Preguntas de práctica basadas en los objetivos del examen CompTIA CySA+. Este sitio no está afiliado ni respaldado por CompTIA, y estas no son preguntas reales del examen. CompTIA renueva este examen periódicamente, mantiene dos versiones en paralelo durante la transición y fija la duración, el estándar de aprobación y los requisitos — confirma los objetivos vigentes y el código de examen activo con CompTIA antes de inscribirte. El examen real también incluye preguntas basadas en desempeño que un banco de opción múltiple no puede reproducir, así que combínalo con práctica real. Objetivos oficiales del CySA+ →