19 Preguntas de Práctica de Informes y comunicación de vulnerabilidades con Respuestas

1. 1. Hay que redactar un hallazgo ya validado para el equipo propietario de WEB-PUB-04, un servidor de informes expuesto a Internet con una versión obsoleta del web server que un exploit funcional alcanzó durante las pruebas. ¿Qué conjunto de elementos hace que el hallazgo sea accionable para ese equipo?

   • A.El identificador del plugin del escáner, su salida en bruto, la hora de inicio del escaneo y el perfil de credenciales usado.
   • B.El apetito de riesgo de la unidad, el control del marco asociado, el ciclo de auditoría afectado y el estado de cumplimiento.
   • C.El host y el servicio afectados, la condición hallada, lo que demostró la prueba, la corrección recomendada y la consecuencia de no actuar.✓ Respuesta
   • D.El identificador de catálogo, la puntuación numérica de severidad, el enlace al aviso del fabricante y los hosts similares.

   Un hallazgo es accionable cuando indica al equipo propietario qué está afectado, cuál es la condición, qué demuestra realmente la evidencia, qué cambiar y qué ocurre si nada cambia. Los metadatos del escáner, los números de catálogo y las correspondencias con marcos pueden acompañar al hallazgo, pero no dicen qué acción tomar ni por qué importa.

   Ref. QB-5XWTQJFuente: CompTIA CySA+ CS0-004 Objective 4.1 — vulnerability management reporting and communication (affected hosts, recommendations and remediation, impact)Reportar un problema con esta pregunta

2. 2. Un analista envía por correo una exportación bruta de 400 páginas del escáner a un equipo de aplicaciones y no se remedia nada; el equipo responde que no puede usar el archivo. ¿Qué distingue MÁS a un informe de vulnerabilidades de esa exportación?

   • A.Un informe adjunta el texto completo del plugin de cada hallazgo para que el equipo receptor no consulte nunca el escáner.
   • B.Un informe valida y deduplica los hallazgos, los agrupa por responsable y activo, e indica la acción y la prioridad de cada grupo.✓ Respuesta
   • C.Un informe convierte la exportación en una hoja de cálculo, ordena las filas por severidad y las colorea para que las peores aparezcan primero.
   • D.Un informe adjunta la configuración del escaneo, el perfil de credenciales y la fecha del feed de plugins para reproducir cada resultado.

   Una exportación bruta es evidencia, no un informe: no está validada, se repite entre hosts y no está dirigida a nadie. El trabajo de reporte consiste en validar, deduplicar, asignar un responsable e indicar prioridad y acción, que es lo que convierte los datos en algo que un equipo puede planificar.

   Ref. QB-PEFBGMFuente: CompTIA CySA+ CS0-004 Objective 4.1 — vulnerability report content and stakeholder-focused communicationReportar un problema con esta pregunta

3. 3. Un comité de riesgos dispone de quince minutos para tratar un fallo expuesto a Internet en la ruta de pagos que afecta a 40 hosts; la corrección exige una ventana de mantenimiento que detiene la liquidación durante dos horas. ¿Qué contenido se ajusta MEJOR a ese público?

   • A.Una lista host por host con versiones de parche objetivo, ventanas de mantenimiento propuestas e ingeniero asignado a cada uno.
   • B.Una correspondencia control por control del fallo con el marco y el hallazgo de auditoría que generaría cada control sin cubrir.
   • C.La exposición del negocio, la decisión del comité sobre la pausa de la liquidación, el coste y el riesgo de posponerla.✓ Respuesta
   • D.Los identificadores CVE, las versiones afectadas y la salida del escáner que detectó el fallo en cada uno de los 40 hosts.

   A un público directivo se le pide decidir, financiar o aceptar algo, de modo que el informe debe llevar impacto, opciones, coste y riesgo residual. Los identificadores, las listas de hosts y las correspondencias de controles son contenido correcto para el propietario, el ingeniero y el auditor, y por eso resultan tentadores y aun así son incorrectos aquí.

   Ref. QB-6X96WKFuente: CompTIA CySA+ CS0-004 Objective 4.1 — stakeholder identification and communication; executive summary contentReportar un problema con esta pregunta

4. 4. Ese mismo fallo de la ruta de pagos debe redactarse ahora como ticket de remediación para el equipo de plataforma que gestiona los 40 hosts. ¿Qué contenido se ajusta MEJOR a ese público?

   • A.Los indicadores de compromiso y las consultas de registro que el centro de operaciones usaría para detectar explotación.
   • B.El impacto financiero estimado, el apetito de riesgo de la organización y el comité que decidirá si se financia el trabajo.
   • C.La tendencia trimestral de hallazgos críticos abiertos en la división, junto con la comparación con divisiones similares.
   • D.Los hosts exactos, la versión a instalar, la ventana de cambio acordada, el responsable y cómo se verifica la corrección.✓ Respuesta

   El equipo propietario tiene que cambiar algo, así que la comunicación debe decir qué hosts, qué versión, en qué ventana, bajo qué responsable y cómo se comprueba el resultado. El encuadre financiero es del comité, las tendencias de la dirección y el contenido de detección del centro de operaciones: cada uno es el artefacto correcto dirigido al lector equivocado.

   Ref. QB-QETNNNFuente: CompTIA CySA+ CS0-004 Objective 4.1 — action plans and audience-appropriate communication to asset ownersReportar un problema con esta pregunta

5. 5. Durante un año un analista ha etiquetado casi todos los hallazgos como «crítico, remediar de inmediato», incluidos los de hosts aislados sin exploit conocido. Los responsables ya ignoran las etiquetas. ¿Qué descripción del coste de esa práctica es la MÁS exacta?

   • A.La severidad dejó de transmitir información, así que los responsables posponen todo por igual y lo urgente ya no tiene prioridad.✓ Respuesta
   • B.El informe quedó más defendible, porque calificar cada hallazgo con la severidad máxima nunca subestima el riesgo real.
   • C.Los responsables remediarán más rápido, porque una cola uniformemente urgente elimina la discusión sobre qué va primero.
   • D.Las calificaciones siguen siendo exactas, porque la severidad es el juicio del analista y el responsable debe aceptarla.

   La severidad sirve solo porque discrimina entre hallazgos; inflarla elimina esa discriminación y la cola vuelve a depender del criterio del responsable. Lo que está en juego es la credibilidad del analista: si las etiquetas dejan de predecir la urgencia real, el responsable tampoco tratará como urgente la siguiente.

   Ref. QB-7XMG3NFuente: CompTIA CySA+ CS0-004 Objective 4.1 — risk communication and analyst credibility; severity must reflect validated exposure and exploitabilityReportar un problema con esta pregunta

6. 6. Un informe mensual de vulnerabilidades siempre ha mostrado una sola cifra: los hallazgos abiertos el último día del mes. La dirección dice que no puede saber si la exposición está disminuyendo. ¿Qué añadido responde MEJOR a esa pregunta?

   • A.Una clasificación actualizada de los diez hallazgos abiertos más graves, con la puntuación numérica de severidad de cada uno.
   • B.Los hallazgos abiertos frente a los cerrados cada mes, más el tiempo que llevan abiertos, para que se vea la dirección.✓ Respuesta
   • C.El número de escaneos ejecutados cada mes y la cantidad de plugins del feed del escáner, para mostrar el esfuerzo invertido.
   • D.El recuento de hallazgos abiertos por unidad de negocio, para identificar y nombrar a las unidades con los mayores totales.

   Una cifra única de fin de mes es una instantánea y no muestra dirección: el mismo total puede ocultar un equipo que no cierra nada o uno que cierra al ritmo de las nuevas entradas. Comparar entradas con cierres y leer cuánto persisten los hallazgos abiertos es lo que indica a la dirección si la exposición realmente se reduce.

   Ref. QB-RE6ZTPFuente: CompTIA CySA+ CS0-004 Objective 4.1 — trend analysis and vulnerability metrics (open versus closed, aging, recurrence)Reportar un problema con esta pregunta

7. 7. Durante cuatro trimestres seguidos, la misma configuración insegura de un servicio se ha remediado en servidores de producción y ha reaparecido en servidores construidos después de la corrección. ¿Qué lectura está mejor sustentada y qué debería recomendar el informe?

   • A.El defecto está en la imagen de compilación y en el proceso de cambio; el informe debe recomendar corregir su origen.✓ Respuesta
   • B.La remediación nunca se ejecutó realmente, así que el informe debe escalar el incumplimiento del responsable a la dirección.
   • C.El escáner está reportando un falso positivo, así que el informe debe registrar el ítem como excepción aprobada.
   • D.La reaparición aquí es rotación normal, así que el informe debe reemitir los mismos tickets y seguir midiendo el tiempo.

   La reaparición en hosts nuevos tras una corrección verificada apunta aguas arriba: a la imagen base, la plantilla de aprovisionamiento o el proceso de cambio que reintroduce la debilidad. Ante ese patrón, el informe periódico debe recomendar corregir el origen en lugar de reemitir eternamente los mismos tickets por host.

   Ref. QB-8XYT8PFuente: CompTIA CySA+ CS0-004 Objective 4.1 — recurrence as a reported metric; configuration management as a remediation recommendationReportar un problema con esta pregunta

8. 8. Un informe desglosa los hallazgos abiertos por antigüedad. La mayoría de los graves llevan abiertos más de 180 días, mientras que los de severidad baja se cierran en una semana, y el total de hallazgos abiertos no ha cambiado. ¿Qué indica MÁS probablemente ese perfil?

   • A.Las calificaciones altas están infladas, así que la escala de severidad debe recalibrarse antes del próximo informe.
   • B.El escaneo se ejecuta con demasiada frecuencia; reducir su cadencia dejaría cerrar los hallazgos más antiguos ya abiertos.
   • C.El esfuerzo se dirige a las correcciones más fáciles, así que la antigüedad, y no el total, debe guiar la discusión.✓ Respuesta
   • D.El programa está sano, porque la tasa de cierre es alta y la mayoría de los tickets se cierran en una sola semana.

   La antigüedad leída junto con la severidad revela a dónde va el trabajo: un buen recuento de cierres formado solo por ítems de severidad baja deja la exposición peligrosa intacta durante meses. Por eso el informe periódico debe presentar la distribución de antigüedad por severidad y no un total único.

   Ref. QB-SEHBZQFuente: CompTIA CySA+ CS0-004 Objective 4.1 — vulnerability aging and time-to-remediate reporting broken out by severityReportar un problema con esta pregunta

9. 9. Un informe trimestral encabeza con «98 % de los hallazgos remediados dentro de la ventana acordada». Una nota al pie indica que el escaneo alcanzó el 61 % de los activos conocidos y que la red de una filial adquirida nunca se ha escaneado. ¿Qué debe ir al principio del informe?

   • A.Los fallos de credenciales del escáner, porque la cobertura autenticada es un asunto de configuración.
   • B.El desglose por severidad de los hallazgos remediados, porque muestra dónde se invirtió el esfuerzo.
   • C.La tasa de remediación, porque es el resultado del que responde el programa y su tendencia es favorable.
   • D.La brecha de cobertura, porque un patrimonio sin escanear hace que la cifra de remediación describa solo lo medido.✓ Respuesta

   Un porcentaje de remediación es una razón sobre los hallazgos descubiertos, así que nada dice de los activos nunca examinados; la red sin escanear es la incógnita mayor y debe ir delante del lector, no en una nota al pie. Informar la cobertura junto al resultado evita que la cifra principal se lea como garantía de todo el patrimonio.

   Ref. QB-9XB6EQFuente: CompTIA CySA+ CS0-004 Objective 4.1 — scan coverage and asset inventory reported alongside remediation metricsReportar un problema con esta pregunta

10. 10. Un dispositivo clínico no puede ser parcheado por el cliente y el negocio decide mantenerlo en servicio. El analista debe presentarlo como una aceptación de riesgo en el informe de vulnerabilidades. ¿Qué debe contener el registro para que la aceptación sea válida?

    • A.La calificación de severidad, la criticidad del activo y la confirmación de que el riesgo no alcanza el umbral.
    • B.La declaración del fabricante de que no hay parche y el número de ticket que muestra la salida de la cola.
    • C.El riesgo aceptado, el responsable con autoridad para aceptarlo, las medidas vigentes y una fecha de revisión.✓ Respuesta
    • D.La recomendación del analista, la evidencia del escáner y la nota escrita de que seguridad cerró el hallazgo como aceptado.

    La aceptación es una decisión del negocio, así que el informe debe hacer visible la decisión: qué se acepta, quién lo acepta y con qué autoridad, qué medidas compensatorias lo reducen y cuándo se revisará. Sin un responsable nombrado y una fecha de revisión no hay aceptación, solo un hallazgo sin remediar que dejó de seguirse.

    Ref. QB-JQPXAXFuente: CompTIA CySA+ CS0-004 Objective 4.1 — risk acceptance and communication of risk-management decisions to stakeholdersReportar un problema con esta pregunta

11. 11. Un equipo de desarrollo quiere seguir ejecutando una versión de base de datos sin soporte durante dos ciclos de lanzamiento más, algo que el estándar de endurecimiento prohíbe. ¿Cómo debe comunicarse y registrarse esa desviación?

    • A.Como un hallazgo cerrado, con una supresión en el escáner para que el host deje de aparecer en los informes siguientes.
    • B.Como una excepción con plazo que nombra al aprobador, los controles compensatorios, la fecha de caducidad y el riesgo residual.✓ Respuesta
    • C.Como un acuerdo informal entre el analista y el equipo, que se revisa cuando se ejecute el siguiente escaneo trimestral.
    • D.Como una revisión del estándar de endurecimiento, ya que el estándar debe describir lo que el entorno de producción ejecuta hoy.

    Una desviación de la política solo es defendible si alguien con autoridad la aprobó por un periodo declarado, con controles compensatorios y un riesgo residual conocido, de modo que caduque por defecto en vez de volverse permanente en silencio. Reescribir el estándar para ajustarlo a la realidad elimina el control, y suprimir el hallazgo lo oculta del informe que debía seguirlo.

    Ref. QB-38V4WXFuente: CompTIA CySA+ CS0-004 Objective 4.1 — exceptions, compensating controls and documented deviations in vulnerability reportingReportar un problema con esta pregunta

12. 12. Un hallazgo crítico expuesto a Internet ha superado dos veces su fecha de remediación acordada. El propietario del sistema acusa recibo de los correos pero no programa ningún trabajo. ¿Cuál es el siguiente paso correcto para el analista?

    • A.Publicar el hallazgo en un canal de toda la empresa para que la visibilidad y la presión de los pares lo obliguen a programarlo.
    • B.Escalar por la vía documentada a la dirección del responsable y a la función de riesgos, con el registro de intentos.✓ Respuesta
    • C.Aplicar el parche en la próxima ventana de mantenimiento, ya que seguridad asume en última instancia el riesgo del activo.
    • D.Cerrar el ítem como riesgo aceptado por el negocio, ya que la inacción continuada del responsable equivale a aceptarlo.

    El escalado es una vía definida, no una improvisación: el analista eleva la exposición sin atender a la dirección del responsable y a la función de riesgos, con evidencia de qué se comunicó y cuándo. Difundirlo, parchear el sistema de otro o tomar el silencio por aceptación esquivan al decisor que responde.

    Ref. QB-KQ2AGYFuente: CompTIA CySA+ CS0-004 Objective 4.1 — escalation paths and action-plan governance when remediation stallsReportar un problema con esta pregunta

13. 13. Un propietario de sistema rechaza un hallazgo y afirma que el build number instalado no coincide con la versión que el escáner dice detectar. El analista considera que la detección es sólida. ¿Cómo debe gestionar el analista el desacuerdo?

    • A.Aceptar la declaración de versión del responsable, cerrar el ítem como falso positivo y anotarlo en el informe.
    • B.Dejar el hallazgo tal como está y listar al equipo como incumplidor hasta que entregue documentación del fabricante.
    • C.Repetir la prueba en el host junto con el responsable, mostrar la evidencia del resultado y registrar la conclusión corregida.✓ Respuesta
    • D.Escalar de inmediato al director del responsable, porque discutir un resultado del escáner busca evitar el trabajo.

    Un hallazgo en disputa se resuelve con evidencia y de forma conjunta, y el resultado se documenta en cualquier caso, porque tanto un hallazgo confirmado como un falso positivo real son registros útiles. Escalar primero, o ceder solo por la palabra del responsable, cambia la evidencia por una postura y daña la relación de trabajo que el analista necesita.

    Ref. QB-488F3ZFuente: CompTIA CySA+ CS0-004 Objective 4.1 — communication with asset owners; validation outcomes (true positive, false positive) recorded in the reportReportar un problema con esta pregunta

14. 14. Un socio de integración escribe directamente al analista pidiendo todos los detalles de un fallo sin remediar en la interfaz compartida, antes de que la organización haya acordado qué divulgar. ¿Qué debe hacer el analista?

    • A.Rechazar todo contacto posterior y borrar la solicitud, porque hablar de un hallazgo abierto genera responsabilidad.
    • B.Derivar la solicitud a asesoría legal y al responsable de comunicación, y compartir solo lo que libere el proceso aprobado.✓ Respuesta
    • C.Publicar primero un resumen en el blog de la empresa, para que los clientes se enteren del fallo por la organización.
    • D.Enviar al socio la salida del escáner correspondiente, ya que su integración está afectada y necesita el detalle técnico.

    Los detalles de un fallo sin remediar son información explotable con consecuencias contractuales y legales, así que la decisión de divulgar corresponde a asesoría legal y al responsable de comunicación, no al analista a título individual. Rechazar todo contacto también es incorrecto: la solicitud es legítima y debe atenderse por el canal aprobado, no ignorarse ni responderse unilateralmente.

    Ref. QB-MQDMNZFuente: CompTIA CySA+ CS0-004 Objective 4.1 / 4.2 — stakeholder identification; external communication routed through legal and communicationsReportar un problema con esta pregunta

15. 15. Un evaluador externo pide evidencia de que el entorno de datos de titulares de tarjeta cumplió su obligación de escaneo externo en el periodo anterior. El analista tiene la exportación del escaneo interno autenticado de anoche. ¿Qué artefacto necesita el evaluador?

    • A.El panel ejecutivo que muestra el porcentaje de remediación del trimestre frente a las metas internas.
    • B.La exportación del escaneo interno autenticado de la misma subred, que detecta más problemas que uno externo.
    • C.El plan de acción con cada hallazgo abierto, su responsable, su fecha límite y los controles compensatorios.
    • D.El registro de un escaneo externo aprobado y superado, conservado como atestación de ese periodo.✓ Respuesta

    Una exportación de escaneo es evidencia técnica que la organización produjo para sí misma, mientras que una obligación de cumplimiento se satisface con la evaluación indicada, realizada del modo indicado y conservada para el periodo en cuestión. Un escaneo interno más exhaustivo no la sustituye, porque la obligación trata del método y del registro prescritos, no de qué herramienta encuentra más.

    Ref. QB-58KS82Fuente: CompTIA CySA+ CS0-004 Objective 4.1 — compliance reports and attestation of findings versus technical scan reportsReportar un problema con esta pregunta

16. 16. Un dispositivo de seguridad gestionado presenta un fallo grave del sistema operativo. El contrato del fabricante establece que el soporte queda anulado si el cliente aplica por su cuenta parches del sistema operativo. ¿Qué debe recomendar el informe?

    • A.Un control compensatorio y una excepción documentada con plazo, mientras la corrección real se gestiona con el fabricante.✓ Respuesta
    • B.Aceptar el riesgo sin ninguna acción adicional, porque el contrato elimina toda capacidad de remediar el fallo.
    • C.Retirar el hallazgo del informe, porque un dispositivo que la organización no puede parchear queda fuera del alcance.
    • D.Aplicar el parche de inmediato desde la administración local, porque un fallo grave pesa más que un contrato de soporte.

    Una restricción contractual o del fabricante es un inhibidor reconocido de la remediación, y un inhibidor cambia cómo se trata el riesgo, no si se informa. La respuesta reportable es un control compensatorio que reduzca la exposición ahora, una excepción documentada con caducidad y presión sobre el fabricante para que entregue la corrección soportada.

    Ref. QB-NQRXT2Fuente: CompTIA CySA+ CS0-004 Objective 4.1 — inhibitors to remediation (proprietary systems, contractual constraints) and compensating controlsReportar un problema con esta pregunta

17. 17. En una misma semana llegan tres peticiones: un auditor externo quiere pruebas de que se cumplió un control exigido, una directora quiere ver si la postura de su división mejoró en cuatro trimestres y un equipo de servidores quiere saber qué cambiar este mes. ¿Qué conjunto de artefactos corresponde a las tres peticiones, en ese orden?

    • A.Un informe de cumplimiento, un cuadro de riesgo y un plan de acción con responsables y fechas.✓ Respuesta
    • B.Un cuadro de riesgo, una exportación bruta del escaneo y un resumen ejecutivo de los hallazgos abiertos.
    • C.Una exportación bruta del escaneo, un plan de acción y un informe de cumplimiento con los controles fallidos.
    • D.Un resumen ejecutivo, un informe de cumplimiento y una exportación bruta del escaneo de los hosts afectados.

    Cada artefacto tiene un propósito: un informe de cumplimiento atesta el estado control por control ante un tercero, un cuadro de riesgo agrega la postura en el tiempo para una unidad de negocio y un plan de acción dice al equipo qué cambiar, quién responde y para cuándo. Entregar al auditor una exportación de escaneo, o a la directora una lista de hosts, es el error clásico de artefacto correcto con propósito equivocado.

    Ref. QB-68X4E3Fuente: CompTIA CySA+ CS0-004 Objective 4.1 — report types: compliance reports, risk scores/scorecards, action plans, executive summariesReportar un problema con esta pregunta

18. 18. Una fila del plan de acción dice: «Actualizar el servicio de autenticación en tres hosts expuestos a Internet. Responsable: equipo de plataforma. Fecha: fin del próximo trimestre». El fallo figura en un catálogo público de vulnerabilidades explotadas activamente. ¿Cuál es el defecto MÁS importante de esa fila?

    • A.No se nombra a una persona responsable, no se indica una dependencia y no hay escalado si la fecha se incumple.✓ Respuesta
    • B.No se registra la puntuación numérica de severidad, así que no se puede confirmar la calificación del hallazgo.
    • C.No se asigna ningún control del marco al fallo, así que la traza de auditoría de la remediación queda incompleta.
    • D.No se indica el identificador del plugin del escáner, así que el responsable no puede reproducir la detección.

    Un plan de acción existe para que el trabajo ocurra, así que cada fila necesita una persona que responda por él, los requisitos previos de los que depende y qué sucede si pasa la fecha; un nombre de equipo y un fin de trimestre no dan a nadie motivo para actuar esta semana. Las otras omisiones son huecos documentales que no impiden programar la actualización.

    Ref. QB-PQ4AZ3Fuente: CompTIA CySA+ CS0-004 Objective 4.1 — action plan elements: owner, dependency, escalation, and due date tied to exposureReportar un problema con esta pregunta

19. 19. Un analista pide a un asistente de IA interno que redacte el informe narrativo mensual de vulnerabilidades. El borrador afirma que dos hosts fueron remediados y cita un CVE que no aparece en ningún resultado de escaneo. ¿Qué debe ocurrir antes de distribuir el informe?

    • A.El borrador se pega en un modelo público para una segunda opinión, porque dos modelos rara vez fallan igual.
    • B.El borrador sale con una nota de que fue generado por máquina, para que el lector pondere los hallazgos.
    • C.Se reentrena al asistente con los hosts en disputa para que los próximos informes no repitan el error.
    • D.El analista verifica cada afirmación contra los datos de escaneo oficiales y sigue siendo responsable de lo publicado.✓ Respuesta

    Un borrador generado puede afirmar remediaciones que nunca ocurrieron e inventar identificadores, así que cada afirmación debe conciliarse con los datos oficiales de escaneo y tickets antes de publicar, con una persona nombrada que responda por el resultado. Etiquetar el borrador traslada la comprobación al lector, y pegar detalle de vulnerabilidades en un modelo externo expone además datos sensibles.

    Ref. QB-78AFK4Fuente: CompTIA CySA+ CS0-004 Objective 4.1 / 4.2 — AI-assisted documentation with human verification; AI risks (hallucination, data exposure) in reportingReportar un problema con esta pregunta

Preguntas de práctica basadas en los objetivos del examen CompTIA CySA+. Este sitio no está afiliado ni respaldado por CompTIA, y estas no son preguntas reales del examen. CompTIA renueva este examen periódicamente, mantiene dos versiones en paralelo durante la transición y fija la duración, el estándar de aprobación y los requisitos — confirma los objetivos vigentes y el código de examen activo con CompTIA antes de inscribirte. El examen real también incluye preguntas basadas en desempeño que un banco de opción múltiple no puede reproducir, así que combínalo con práctica real. Objetivos oficiales del CySA+ →