SEGURIDAD

INFORMATICA
 Pregunta 001

A la hora de establecer una buena Seguridad Informática en la empresa, ¿qué dos elementos
son los más importantes y en qué orden?

I Las recomendaciones de una auditoria detallada.

II La Política de Seguridad establecida por la Dirección.
III La existencia de unos profesionales de seguridad cualificados.
IV El uso de productos de software de seguridad.
V Unos estándares y normas de seguridad completos y detallados.

Respuesta:

a) IyV
b) I y III
c) II y III
d) V y IV
e) V y III

Todos los elementos expuestos anteriormente son muy importantes para conseguir una buena Seguridad
Informática en la empresa, pero si nos tememos que decidir por los dos más importantes, creo que es
básica la política de seguridad establecida por la Dirección y la existencia de unos profesionales de
seguridad adecuados.
La Dirección de la empresa debe decidir qué es lo que quiere hacer con respecto a seguridad, marcar las
directrices a seguir.
Posteriormente, si existen unos profesionales cualificados y especializados en seguridad, serán ellos los
que hagan que las directrices de la Dirección se cumplan.
El resto de los elementos vendrán solos si estos dos aspectos primeros se cumplen.

Pregunta 002

¿Qué sistema de autenticación es mejor?

I Una password muy larga.

II Una password generada y manejada por un sistema de “single sign-on”.
III Una password cifrada.
IV Una password de un solo uso.
V Una password biométrica.

Respuesta:

a) III y IV
b) II y IV
c) I y III
d) I y II
e) Todas

Actualmente, creo los sistemas de autenticación más seguros son las passwords cifradas y las de un solo
uso, puesto que los biométricos todavía son costosos y poco extendidos.
 Pregunta 003

¿Qué sistema garantizaría mejor una extinción de incendios?

I Detección iónica.
II Detección térmica.
III Detección por succión.
IV Rociadores de agua tubería húmeda (sin preacción).
V Rociadores de agua de tubería seca (con preacción).

Respuesta:

a) IyV
b) II y V
c) III y V
d) I y IV
e) II y IV

Un buen sistema de detección de incendios es la detección iónica, pero actualmente los detectores por
aspiración son más modernos y precisos.
En cuanto a la extinción de incendios, el mejor método son los rociadores de agua, para las salas de
ordenador son más convenientes los rociadores de agua con tubería seca (con preacción).

Pregunta 004

Como se garantiza mejor la dedicación humana a los asuntos de seguridad Informática.

I Mediante auditorías de actuación.

II Incluyendo tareas de Seguridad Informática en la descripción del puesto.
III Con salarios competitivos y otras gableas.
IV Estableciendo objetivos individuales anuales de Seguridad Informática.
V Mediante sanciones por incumplimiento.

Respuesta:

a) IyV
b) II y IV
c) II y III
d) IV y V
e) Todas

Lo más importante es incluir tareas de seguridad en la descripción del puesto, las tareas de seguridad
deben estar perfectamente definidas, así como las personas que las deben realizar.
También es muy importante establecer objetivos individuales.
En cuanto a las sanciones por incumplimiento, no soy muy partidario de ellas, y los salarios competitivos
es un tema de política de la Dirección, se podría supeditar una parte variable del salario al cumplimiento
de objetivos anuales.
 Pregunta 005

El riesgo de capturas de radiaciones electromagnéticas se puede reducir por medio de:

I Adquisición de equipos con baja emisión.

II La tecnología TEMPEST.
III La inclusión de los equipos dentro de una jaula de Faraday.
IV El apantallado del edificio.
V El cifrado de la información mostrada en pantalla.

Respuesta:

a) IyV
b) II y IV
c) II y III
d) IV y V
e) Todas

La tecnología TEMPEST consiste en el blindaje y apantallamiento de los componentes susceptibles de ser

capturadas sus radiaciones electromagnéticas (teclado, monitores etc. ).
Con este blindaje y apantallamiento conseguimos la creación de una jaula de Faraday alrededor de los
equipos, con lo que evitamos la captura de radiaciones.

Pregunta 006

El proceso de autorización de acceso lógico de un usuario a un activo de información:

I Está basado en el identificador/cuenta de usuario.

II Está basado en la correcta password de acceso.
III Está basado en el grupo de usuarios al que pertenece el usuario.
IV Está basado en las reglas dadas por el propietario del activo.
V Está basado en un Sistema de Control de Accesos Lógicos.

Respuesta:

a) IyV
b) II y IV
c) IV
d) II, IV y V
e) Todas

La autorización de acceso para un usuario concreto a un activo de información siempre está basado en las
reglas/normas dadas por el propietario del activo.
El propietario debe ser quien diga, quien, como y cuando accede a sus datos.
 Pregunta 007

Los programas/dispositivos de análisis de datos transmitidos por la red (SNIFFERS) pueden

capturar identificadores de usuario y cuentas asociadas.
Este riesgo se elimina con:

I Cambios frecuentes de la password.

II Passwords de una sola vez.
III Conexión directa a la red.
IV Cifrado de la password entre el terminal y la red.
V Sistemas de single-signon.

Respuesta:

a) IyV
b) II y IV
c) IV
d) II, IV y V
e) Todas

El cambio frecuente de password no sirve puesto que por mucho que se cambie, la password puede ser
capturada.
El riesgo de que nos capturen la password por la red se elimina utilizando passwords de una sola vez y
enviando por la red una password cifrada, para que no pueda ser entendida.

Pregunta 008

Con vistas a recuperar la información en caso de desastre, la copia de seguridad de activos

de información y su posterior volcado deben ser:

I Copia física, volcado lógico.

II Copia lógica, volcado lógico.
III Copia física, volcado físico.
IV Transferencia electrónica de ida y vuelta.
V Copia selectiva, volcado selectivo.

Respuesta:

a) II
b) III
c) I
d) V
e) IV

Para un caso de desastre, lo mejor y lo más rápido sería una copia física y un recuperado físico.
Se copian los discos en bloque y se recupera igual, no se hacen volcados selectivos ni recuperaciones
selectivas.
Con este sistema obtendríamos una recuperación de toda la instalación en un misma momento. Situación
a partir de la cual podríamos comenzar a dar servicio, luego los distintos departamentos podrían recuperar
selectivamente en caso de que lo necesiten.
 Pregunta 009

La rotura de password se dificulta:

I Cambiando la password frecuentemente.

II Con password de una sola vez.
III Con sistemas de single-signon.
IV Con Passwords cifradas.
V Aumentando la longitud de la password.

Respuesta:

a) I
b) II y IV
c) IV
d) II, IV y V
e) Todas

Lo mejor es transmitir la password cifrada, o usar las passwords de una sola vez, que en caso de ser
capturada carece de utilidad puesto que cambia cada minuto.

Pregunta 010

El Administrador de Seguridad:

I Establece las Normas de Seguridad.

II Analiza diariamente las anomalías de acceso.
III Coordina los aspectos de Seguridad Informática con otras áreas de la Compañía.
IV Controla que los requerimientos de copias de seguridad se ajustan a las normas.
V Mantiene operativo el Plan de Recuperación.

Respuesta:

a) IyV
b) II y IV
c) IV
d) II, IV y V
e) Todas

El Administrador de Seguridad, ni establece las normas de seguridad, ni coordinalos aspectos de

seguridad con otras áreas de la Compañía.
Entre sus funciones esta el analizar diariamente las anomalías de acceso, controlar que los requerimientos
de las copias de seguridad se ajustan a lo establecido y debe mantener operativo el plan de recuperación.
 Pregunta 011

Qué Es lo más difícil de prevenir en un sistema de Back-up:

I La pérdida de un fichero.
II El valor de los activos de información.
III La bomba lógica o el virus.
IV La bomba física.
V La pérdida de todos los ficheros.

Respuesta:

a) IyV
b) II y IV
c) III
d) II, IV y V
e) Todas

Lo más difícil es prevenir que alguien introduzca un virus o una bomba lógica.
Puede que en el momento que tengamos necesidad recuperar de un Back-up el virus ya estuviera, con lo
que tendríamos que recurrir a un Back-up anterior, con el riesgo de obtener una recuperación muy antigua
o tener la primera copia también contaminada.

Pregunta 012

El sistema cortafuegos (firewall) se coloca:

I Entre nuestro servidor y la red local.

II Entre cualquier nodo de nuestra red y una red externa.
III En cada uno de nuestros servidores de proceso.
IV Formando parte de los procesadores de comunicaciones.
V En cualquier sitio, pues analiza todo el tráfico de comunicaciones.

Respuesta:

a) I
b) II
c) III
d) IV
e) V

Cualquier conexión entre la red externa y nuestra red debería estar controlada por un firewall, para evitar
la posible entrada de usuarios no deseados.
 Pregunta 013

Cual de los siguientes extintores es más nocivo para la salud en un ambiente hermético si se
produjera un escape total durante cinco y no pudiéramos salir

I Halon 1301.
II Halon 1211.
III CO2.
IV Agua nebulizada.
V Agua de manguera.

Respuesta:

a) IyV
b) III
c) II
d) II, IV y V
e) Todas

Los dos extintores por Halon son nocivos para la salud, pero es el Halon 1211 el más peligroso por
contener una molécula de cloro, incluso está prohibido su uso.

Pregunta 014

Ordena (de mayor a menor) los atacantes siguientes, por los daños que pueden causar:

I Hacker.
II Cracker.
III Insider.
IV Terrorista.
V Espía industrial.

Respuesta:

a) I, II, III, IV y V
b) III, IV, V, II y I
c) IV, V, III, II y I
d) V, III, II, IV y I
e) I, III, IV, V y II

El que más daño puede causar sin ninguna duda es el terrorista, puesto que puede causar daños humanos,
seguido del espía industrial que causa serios daños a la organización, después están el insider, el cracker y
el hacker
 Pregunta 015

La importancia de las medidas de protección física depende de:

I El presupuesto asignado a la Seguridad.

II El valor de los activos de información.
III La irremplazabilidad inmediata de las infraestructuras.
IV El valor del servidor de procesos y el hardware asociado.
V La criticidad de las aplicaciones.

Respuesta:

a) IyV
b) II y IV
c) IV
d) II, IV y V
e) Todas

Las medidas de protección física deben ser más grandes cuanto más valor tengan los activos de
información del CPD.
La criticidad de las aplicaciones y el alto valor del hardware usado en el CPD hacen que las medidas de
protección física sean importantísimas.

Pregunta 016

La bomba lógica:

I Es un medio de causar daños que no beneficia al autor.

II Es una forma de proteger el software contra uso sin licencia.
III Es la forma de actuar de un virus.
IV Es fácil de detectar antes de que actúe, mediante revisión de los programas.
V Es fácil de corregir, así como los daños que produzca en caso de actuar.

Respuesta:

a) I, II y III
b) II, III y IV
c) III, IV y V
d) I, II y V
e) I, IV y V

Una bomba lógica es un virus que no produce beneficios a su autor, se activa al producirse unas
condiciones fijas o aleatorias.
Es de muy difícil prevención y suele causar daños muy graves.
 Pregunta 017

El Orden correcto, de mayor a menor, de distribución geográfica de la gestión de la

protección es:

I Campus.
II Servidor.
III Activo.
IV Aplicación.
V Campo de datos.

Respuesta:

a) I, V, IV, III, II
b) I, II, IV, III, V
c) IV, I, II, V, III
d) I, IV, II, III, V
e) I, II, III, IV, V

De mayor a menor está el campus, el cual puede tener varios servidores, en los cuales corren distintas
aplicaciones que usas distintos activos de información, y por último está el campo de datos.

Pregunta 018

De las siguientes, cuáles son las afirmaciones correctas:

I El propietario establece la forma y medios de proteger sus activos.

II El propietario establece las reglas de acceso a sus archivos.
III El propietario tiene que dar el máximo permiso de acceso al depositario.
IV El depositario puede conceder permisos de acceso pero informando al propietario.
V El depositario podría actuar exactamente igual que el propietario.

Respuesta:

a) I, II y III
b) Todas
c) Todas menos IV
d) Todas menos V
e) II, III y V

El propietario no establece la forma ni los medios para proteger sus activos, ni el depositario debería
poder conceder permisos, lo debería hacer el propietario.
El propietario establece las reglas de acceso y da el máximo permiso de acceso al depositario, con lo cual
el depositario podría actuar exactamente igual que el propietario.
 Pregunta 019

El Administrador de Seguridad, en caso de detectar un intento de violación de acceso a un

activo de información lo pondrá inmediatamente en conocimiento de:

I Su jefe.
II El jefe del transgresor.
III El propietario del activo de información.
IV El jefe de seguridad de la Compañía.
V El departamento de personal.

Respuesta:

a) Todas
b) I y II
c) III
d) III y IV
e) III, IV y V

El propietario del activo de información es el que debe ser informado de los intentos de violación a sus
activos, y creo que debe ser él el que decida notificarlo a las personas que crea conveniente, o dar los
derechos de acceso correspondientes.

Pregunta 020

Los programas detectores de virus, se dan cuenta de que ha aparecido un virus:

I Por la identificación de cabecera que todo virus tiene.

II Porque intentan acceder a ficheros protegidos por el usuario.
III Porque intentan borrar ficheros.
IV Porque el código del programa contiene caracteres que lo identifican como virus.
V Porque intentan acceder a zonas normalmente no usadas por el usuario.

Respuesta:

a) I y II
b) III y IV
c) IV y V
d) II y V
e) Todas

Los virus se pueden detectar por su firma, puesto que cada virus conocido tiene un conjunto de caracteres
específicos, o por su comportamiento, puesto que intentan acceder a zonas ocultas o reservadas.
 Pregunta 021

Cuáles de las siguientes afirmaciones son verdaderas:

I Un Caballo de Troya es un virus.

II Un virus es un Caballo de Troya.
III Una bomba lógica es un virus.
IV Un virus es una bomba lógica.
V Un virus es una bomba lógica en un Caballo de Troya.

Respuesta:

a) I, II y V
b) II, IV y V
c) IV y V
d) II, III y IV
e) Todas

Creemos que todas las afirmaciones son correctas.

Un virus es una combinación de Caballo de Troya y bomba lógica, una bomba lógica es un Caballo de
Troya que no produce beneficios a su autor.
Un Caballo de Troya es un virus, rutinas o código camuflado en los programas para producir resultados
distintos a los esperados.

Pregunta 022

Cual de las siguientes es la mejor y más escueta afirmación de lo que es un virus:

I Un Caballo de Troya es un virus.

II Un virus es un Caballo de Troya.
III Una bomba lógica es un virus.
IV Un virus es una bomba lógica.
V Un virus es una bomba lógica en un Caballo de Troya.

Respuesta:

a) I
b) II
c) III
d) IV
e) V

Un virus es una combinación de Caballo de Troya y bomba lógica.

Se introduce en los programas y puede causar daños muy graves, activándose inmediatamente o cuando
se den ciertas condiciones.
 Pregunta 023

Cuales de las siguientes afirmaciones son verdaderas respecto a un SAI (Sistema de

Alimentación Ininterrumpida):

I El SAI está pensado para suplir la falta de energía mientras falte la principal.
II El SAI no tiene ninguna función mientras hay energía principal.
III El SAI debe estar dimensionado para suplir totalmente la falta de energía principal.
IV El SAI sirve para proteger a los equipos ante microcortes de energía.
V El SAI estabiliza la corriente.

Respuesta:

a) IV y V
b) II y III
c) III y IV
d) I, II y III
e) I y III

El objetivo de un SAI es proteger a los equipos de pequeños cortes de energía, no está pensado para suplir
durante mucho tiempo la falta de energía, ni tiene que estar dimensionado para suplir totalmente la falta
de energía.
Para un corte prolongado de energía lo mejor sería tener un suministrador alternativo de energía.

Pregunta 024

La introducción de una bomba lógica en un programa de producción es posible cuando:

I Las modificaciones a un programa no están soportadas por un pedido formal.

II El pase de un programa desde el entorno de desarrollo al entorno de producción no está
controlado por un grupo responsable de ese pase.
III No existe un control de proyectos o no se revisa el tiempo dedicado a la creación o
modificación de programas.
IV No existen verificaciones/auditorías aleatorias de las modificaciones efectuadas, contra
la versión anterior del programa.
V No hay forma de determinar la fecha de introducción de cada instrucción del programa.

Respuesta:

a) IyV
b) II y IV
c) IV
d) II, IV y V
e) Todas

Las modificaciones a los programas deberían estar soportadas por un pedido formal del usuario, de esta
manera podríamos llevar un control de los cambios, de quien los realiza, en que fecha y quien los solicita.
También es verdad que debería existir alguien que valide el pase de programas o de aplicaciones del
entorno de test a producción.
El Jefe de Proyecto debería controlar el tiempo dedicado a la creación y modificación de los programas, y
también debería revisar aleatoriamente el código, para asegurarse de que cumple unas normas de calidad.
Con todos estos controles, el introducir una Bomba Lógica en el entorno de producción es más difícil.
 Pregunta 025

Un propietario ha comprobado (y es cierto) que alguien ha accedido a un activo de

información al que solamente él tiene acceso. El potente sistema de seguridad al que está
declarado el activo no ha detectado ningún intento de acceso o violación en los últimos tres
meses. ¿Quién ha podido ser? :

I El Administrador del sistema operativo.

II El Administrador de seguridad.
III El Analista/Programador que hizo la aplicación.
IV El Jefe de explotación.
V El Auditor interno.

Respuesta:

a) I
b) II
c) III
d) IV
e) V

Si no existen los controles de la pregunta anterior, es muy probable que pudiera ser una Bomba lógica
introducida por el programador cuando se hizo la aplicación.
También podría ser una prueba controlada realizada por un auditor en una auditoría de seguridad.

Pregunta 026

A las 11,00 horas un compañero llega y me dice cual es la password que tengo para acceder
a una base de datos protegida por un potente sistema de seguridad. He cambiado la
password a las 9,00 horas, estando sólo en mi despacho.
¿Qué función desempeña el compañero? :

I Administrador del sistema operativo.

II Administrador de seguridad.
III Administrador de red.
IV Administrador de bases de datos.
V Analista de tráfico de red.

Respuesta:

a) I
b) II
c) III
d) IV
e) V

Una de las funciones del Administrador de Seguridad es mantener actualizados los usuarios y restaurar las
passwords de acceso a cada aplicación, luego el compañero podría ser el Administrador de Seguridad.
 Pregunta 027

¿En que momento hay que incluir los aspectos de seguridad en una aplicación? :

I Durante la fase de pruebas de programas.

II Durante la fase de programación antes de desarrollar los programas.
III Durante la fase de diseño funcional antes de cualquier otra cosa.
IV Durante la revisión de calidad antes de su pase a producción.
V Una vez que ha rodado en producción un tiempo razonable.

Respuesta:

a) IV
b) II
c) V
d) III
e) I

Lo ideal sería durante el diseño funcional de la aplicación ir pensando en que sistema de seguridad vamos
a usar y como manejarlo.
Pero la realidad es que los controles de seguridad se suelen introducir una vez que la aplicación está
terminada y antes de su pase a producción.
También depende de la confidencialidad de los datos que maneje la aplicación.

Pregunta 028

Tras presentar el análisis de riesgos, la Dirección decide no acometer alguna de las medidas
propuestas. ¿Cuál sería la forma más profesional de terminar el trabajo? :

I Aceptando la decisión de la Dirección sin más.

II Proponiendo nuevas medidas mejoradas.
III Dejando constancia escrita de la decisión y sus causas.
IV Eliminando los riesgos para los cuales no se acometerán medidas.
V Dejando constancia del desacuerdo con tal negativa.

Respuesta:

a) II
b) III
c) I
d) IV
e) V

Independientemente de que estemos de acuerdo o en desacuerdo con la decisión, la decisión de la

Dirección es la que vale y la debemos acatar.
Lo más profesional, y lo que se suele hacer, es reflejar la decisión tomada y sus causas en el acta de la
reunión.
 Pregunta 029

Las piezas esenciales de un Plan de Recuperación son:

I La relación de aplicaciones críticas.

II El centro de proceso de datos alternativo en donde proseguir trabajando.
III Los inventarios de equipos críticos.
IV Las copias de seguridad de las cuales partir.
V Los equipos de recuperación.

Respuesta:

a) I, III y V
b) II, IV y V
c) II y IV
d) I, II y IV
e) Todas

Todos los elementos que se enumeran anteriormente son piezas esenciales en un plan de recuperación.

Pregunta 030

La principal ventaja de un centro de proceso de datos alternativo, de tipo “caliente” es:

I Su coste.
II La ejecución de pruebas y simulaciones.
III La cantidad de esfuerzo dedicado a la preparación de las pruebas.
IV El aumento/disminución de configuración según cambien nuestras necesidades.
V La disponibilidad de varias alternativas en el mercado.

Respuesta:

a) II
b) IV
c) V
d) I
e) III

La principal ventaja que nos da un centro de proceso de datos alternativo de tipo “caliente” es la
posibilidad de poder realizar pruebas y simulaciones.
 Pregunta 031

La principal desventaja de un centro de proceso de datos alternativo de tipo “frío” es:

I Su coste.
II La ejecución de pruebas y simulaciones.
III La cantidad de esfuerzo dedicado a la preparación de las pruebas.
IV El aumento/disminución de configuración según cambien nuestras necesidades.
V La disponibilidad de varias alternativas en el mercado.

Respuesta:

a) II
b) IV
c) V
d) I
e) III

Lo que en un centro “caliente” es la principal ventaja, en un centro “fío” es la principal desventaja.

El principal inconveniente de un centro de proceso de datos alternativo de tipo “frío” es la imposibilidad
de poder realizar pruebas y simulaciones.

Pregunta 032

En un sistema cifrado de clave pública, el mensaje:

I Se cifra con la clave pública del emisor y se descifra con la clave secreta del receptor.
II Se cifra con la clave pública del receptor y se descifra con la clave pública del emisor.
III Se cifra con la clave pública del receptor y se descifra con la clave pública del receptor.
IV Se cifra con la clave secreta del emisor y se descifra con la clave secreta del receptor.
V Se cifra con la clave secreta del emisor y se descifra con la clave pública del receptor.

Respuesta:

a) II
b) V
c) I
d) III
e) IV

Los sistemas de cifrado de clave pública usan una clave para cifrar y otra para descifrar.
El emisor cifra el mensaje con una clave secreta y la clave pública del receptor.
El receptor descifra el mensaje con su clave secreta y la clave pública del emisor.
 Pregunta 033

La importancia de las medidas de protección física depende de:

I El presupuesto asignado a la Seguridad.

II El valor de los activos de información.
III La irremplazabilidad inmediata de las infraestructuras.
IV El valor del servidor de procesos y el hardware asociado.
V La criticidad de las aplicaciones.

Respuesta:

a) IyV
b) II y IV
c) IV
d) II, IV y V
e) Todas

Esta pregunta es igual que la pregunta 15;

Las medidas de protección física deben ser más grandes cuanto más valor tengan los activos de
información del CPD.
La criticidad de las aplicaciones y el alto valor del hardware usado en el CPD hacen que las medidas de
protección física sean importantísimas.

Pregunta 034

La Auditoría de Seguridad Física debe revisar los sistemas y procedimientos de seguridad

usados en:

I Centro de proceso de datos principal.

II Centro de impresión y distribución.
III Centro de comunicaciones principal.
IV Centro de proceso de datos alternativo.
V Cámaras de seguridad.

Respuesta:

a) IyV
b) II y IV
c) IV
d) II, IV y V
e) Todas

En una auditoría de seguridad física creo que se deberían revisar todos los sistemas y procedimientos de
seguridad usados en los centros citados anteriormente.
Para que la auditoría sea completa debería revisar todos los centros.
 Pregunta 035

La Auditoría del plan de recuperación debe revisar los sistemas y procedimientos de

seguridad usados en:

I Centro de proceso de datos.

II Centro de impresión y distribución.
III Centro de comunicaciones principal.
IV Centro de proceso de datos alternativo.
V Cámaras de seguridad.

Respuesta:

a) IyV
b) II y IV
c) III y IV
d) IV y V
e) Todas

Un Plan de Recuperación debe revisar todos los sistemas y procedimientos citados anteriormente.
El CPD actual y el alternativo al que acudir en caso de desastre, los centros de comunicaciones, las
cámaras de seguridad donde se encuentran los Back-up etc...

Pregunta 036

En el contrato de suministro de un centro de proceso de datos alternativo, cuáles de los

elementos siguientes hay que amarrar mejor:

I El coste del servicio.

II Las reglas de concurrencia en caso de emergencia real.
III El número de horas anuales dedicadas a pruebas.
IV El plazo en el cual estará disponible el centro.
V Los servicios extra o complementarios y su coste.

Respuesta:

a) IyV
b) II y IV
c) IV
d) II, IV y V
e) Todas

El contrato de suministro de un CPD alternativo es muy importante y todos los términos importantes
deben estar muy claros, para que en caso de necesidad de uso no tengamos sorpresas desagradables.
Todos los elementos enumerados anteriormente son muy importantes a la hora de contratar un CPD
alternativo y habría que amarrarlos bien.
 Pregunta 037

En el contrato de suministro de un centro de proceso de datos alternativo, cuáles de los

elementos siguientes hay que amarrar mejor:

I La forma de comunicar el desastre y comienzo de uso del servicio.

II Los costes de aumento y disminución de configuración.
III El número de horas diarias en el que se podrá permanecer en el centro.
IV El periodo mínimo y máximo (días) en el que se podrá permanecer en el centro.
V La cancelación del servicio y sus penalizaciones.

Respuesta:

a) II y V
b) III y IV
c) IV
d) I, IV y V
e) Todas

Exactamente igual que en la pregunta anterior, todos estos aspectos son importantes a la hora de contratar
un CPD alternativo

Pregunta 038

Cuáles de los siguientes objetivos no forman parte de un plan de emergencia:

I Cumplir la normativa de seguridad vigente.

II Establecer las bases para auditorias eficaces de las medidas de emergencia.
III El reemplazo inmediato de las infraestructuras perdidas.
IV Evitar las causas de las emergencias.
V Identificar áreas peligrosas y sus carencias.

Respuesta:

a) IyV
b) II y IV
c) IV y V
d) II y III
e) I y III

Dentro de un Plan de Emergencia, lo más importante es el reemplazo en el menor tiempo posible de las
infraestructuras perdidas, para volver a dar el servicio requerido. También nos servirá para identificar las
áreas peligrosas o las áreas más débiles.
Un Plan de Emergencia no debe servir para establecer las bases de futuras auditorías, y aunque debemos
intentar evitar las causas de las emergencias, existen muchas, las cuales no se pueden evitar.
 Pregunta 039

La eficacia de un buen plan y sistemas de seguridad depende de:

I La calidad de los medios y sistemas de seguridad.

II La política de seguridad de la Dirección cristalizada en normas.
III La actitud del personal conseguida mediante adecuados programas entretenimiento y
sensibilización.
IV El presupuesto asignado a seguridad.
V La profesionalidad de departamento de seguridad.

Respuesta:

a) IyV
b) II, III y IV
c) V
d) II, IV y V
e) Todas

La Dirección General debe decidir y plasmar en normas cual va a ser la política de seguridad que quiere
seguir la Empresa, el presupuesto para Seguridad debe estar acorde con la importancia que la Dirección
de a la Seguridad, esto indudablemente repercutirá en los medios y la calidad de la Seguridad.
También es muy importante que el personal de la empresa este concienciado, comparta y asuma la
importancia de la política de Seguridad en la empresa.

Pregunta 040

De los siguientes programas, cuales son los que más garantizan la eficacia del sistema de
seguridad:

I Entrenamiento.
II Mantenimiento.
III Pruebas.
IV Auditoría.
V Sensibilización.

Respuesta:

a) IyV
b) II y IV
c) IV
d) III y IV
e) II y III

Todos los programas son realmente importantes para mantener y garantizar la eficacia de sistema de
seguridad, pero quizá el más completo sea el plan de auditoría, puesto que asegura que los procedimientos
de seguridad son manejados, entendidos, mantenidos y probados conforma a las normas.
El plan de auditoría supervisa y asegura que el resto de planes funcionan correctamente.
 Pregunta 041

Para mantener una adecuada separación de funciones ¿cuál de las siguientes no debería ser
realizada por el personal de operaciones? :

I Corrección de programas.
II Obtención de copias de seguridad.
III Ejecución de trabajos planificados.
IV Modificación de ficheros de producción al detectar errores en proceso.
V Distribución de informes.

Respuesta:

a) I y IV
b) II y III
c) IV y V
d) II, IV y V
e) Todas

El personal de operaciones debe realizar sus funciones entre las cuales están; obtener las copias de
seguridad, ejecutar los trabajos planificados o la distribución de informes, pero no deben ni corregir
código de los programas, ni modificar los ficheros de producción.

Pregunta 042

Cuál de las siguientes sería la cláusula menos significativa en un contrato de servicios

externos de informática (outsourcing):

I Propiedad de los programas y ficheros.

II Mantenimiento de la confidencialidad.
III Anulación del contrato.
IV Descripción de hardware a suministrar.
V Gestión de la seguridad.

Respuesta:

a) I
b) II
c) III
d) IV
e) V

La cláusula menos significativa, tal vez sería la de determinar el hardware a suministrar, este apartado no
es muy importante, sin embargo el resto de los apartados; la propiedad de los programas, la
confidencialidad, la seguridad etc. son aspectos muy importantes.
 Pregunta 043

El método más eficaz para reducir la exposición a la interceptación de datos transmitidos

por un sistema de telecomunicaciones es:

I Utilización de la rellamada (recalling).

II Cifrado de los datos.
III Utilización de líneas dedicadas.
IV Utilización de líneas alquiladas.
V Autenticación de mensajes.

Respuesta:

a) I
b) II
c) III
d) IV
e) V

Lo mejor para reducir el riesgo de captura de nuestros datos mientras viajan por la red, es el cifrado de la
información, puesto que por cualquier otro método de los antes mencionados, la línea puede ser pinchada
y capturada la información.

Pregunta 044

¿Cuál de las siguientes la técnica que permite capturar identificadores de usuarios y

password que pasan por la red? :

I Cifrado.
II Zapping.
III Scavenging.
IV Sniffing.
V Wiretapping.

Respuesta:

a) I
b) IV
c) V
d) II
e) III

El sniffing consiste en olfatear/rastrear los datos que pasan por la red, intentando capturar
users/passwords
 Pregunta 045

La responsabilidad de definir la política de seguridad informática de la empresa corresponde

a:

I Director de Seguridad Informática.

II Director de Informática.
III Director General.
IV Director de Seguridad.
V Administrador de Seguridad Informática.

Respuesta:

a) V
b) I
c) IV
d) III
e) II

Definir la política de seguridad, decidir por donde quiere ir la empresa en seguridad es una
responsabilidad que corresponde a la Dirección General.

Pregunta 046

La responsabilidad de implantar y hacer cumplir la política de seguridad informática de la

empresa corresponde a:

I Director de Seguridad Informática.

II Director de Informática.
III Director General.
IV Director de Seguridad.
V Administrador de Seguridad Informática.

Respuesta:

a) V
b) I
c) IV
d) III
e) II

El implantar y hacer cumplir las medidas de seguridad informática que la empresa ha decidido son
funciones que corresponden al Director de Seguridad Informática
 Pregunta 047

La responsabilidad de aplicar la política de seguridad informática de la empresa corresponde

a:

I Director de Seguridad Informática.

II Director de Informática.
III Director General.
IV Director de Seguridad.
V Administrador de Seguridad Informática.

Respuesta:

a) V
b) I
c) IV
d) III
e) II

El Administrador de Seguridad Informática es el responsable de aplicar las normas que la Dirección de

Seguridad Informática ha decidido implantar en l aempresa.

Pregunta 048

La eliminación o prohibición de uso de los datos personales especialmente protegidos por la

LORTAD, en ficheros informáticos, es responsabilidad de:

I El Administrador de Seguridad.
II El Director General.
III El Director de Seguridad.
IV El Director de Informática.
V El Propietario del fichero.

Respuesta:

a) I
b) III
c) IV
d) II
e) V

El propietario del fichero, del activo de información, es el responsable del uso de dichos activos. Es él
quien decide quien, como y cuando utiliza dichos datos, luego es el responsable de la eliminación o
prohibición de uso de los datos personales contenidos en sus ficheros.
 Pregunta 049

En caso de urgencia ¿se pueden efectuar pruebas con datos reales conteniendo información
confidencial? :

I Nunca.
II Sí, con la aprobación del jefe inmediato.
III Sí, con la aprobación del Director de Informática.
IV Sí, con la aprobación del responsable de seguridad.
V Sí, con la aprobación del propietario del activo o activos.

Respuesta:

a) V
b) II
c) IV
d) I
e) III

Aunque es un tema sumamente delicado, siempre que el propietario o propietarios de los datos estén de
acuerdo, pienso que se podrían realizar las pruebas necesarias.

Pregunta 050

¿Puede un Auditor modificar, o intentar modificar datos de algún fichero de producción, con
objeto de comprobar las medidas de seguridad? :

I Sí, el auditor interno de la compañía.

II No, cualquier auditor externo.
III Sí, cualquier auditor en una prueba controlada autorizada por el Jefe de Seguridad.
IV Sí, notificando posteriormente los resultados de la prueba al propietario.
V Nunca, bajo ninguna circunstancia.

Respuesta:

a) III
b) II
c) I
d) IV
e) V

La misión del auditor es certificar que los sistemas y procedimientos de seguridad funcionan conforme a
las normas.
Para verificar dichos sistemas, es muy probable que intente realizar pruebas de acceso y modificación,
estas pruebas deberían ser siempre avisadas con anterioridad y concertadas con el propietario/s de los
activos de información y también deberían ser autorizadas y supervisadas por el responsable de Seguridad
informática.