Quiz
Aseg
Create a free account to finish this quiz
Save your progress and see your final score.
Already have an account? Sign in
Questions in this quiz (60)
1A principios de la segunda mitad del siglo XX la informática se convierte en una herramienta muy importante para la auditoría financiera. En este ámbito, marque la verdadera:
- ALa auditoría informática es sinónima de la auditoría financiera con el ordenador.
- BLa auditoría con el ordenador, como apoyo al auditor financiero, no es auditoría informática.
- CLa auditoría informática es la realización de auditorías de cualquier tipo con un ordenador.
- DEl auditor financiero y el auditor informático no colaboran entre sí.
2En los años 60, el auditor informático:
- ANo se le tiene en cuenta para ninguna actividad.
- BEs un analista financiero que aprende de las arquitecturas de sistemas de la época y realiza él mismo las auditorías.
- CEs inicialmente un analista programador que forma parte de los mainframes que audita.
- DEs inicialmente un analista programador independiente que presta ayuda al auditor financiero.
3¿Cuál de las siguientes afirmaciones no es cierta?
- AUna función del auditor informático puede ser realizar revisiones del control interno de una empresa.
- BUna función del auditor informático puede ser revisar aspectos legales directamente relacionados con la tecnología.
- CUna función del auditor informático puede ser revisar el balance contable de una empresa.
- DUna función del auditor informático puede ser revisar la instalación de un producto software de acuerdo a unas especificaciones.
4El Gobierno de TI se puede definir como:
- AEl alineamiento estratégico de las TI con la organización de tal forma que se consigue el máximo valor de negocio por medio del desarrollo y mantenimiento de un control y responsabilidad efectivas, gestión de la eficiencia y la eficacia.
- BEl alineamiento estratégico de las TI con la organización de tal forma que se consigue el máximo valor de negocio por medio del desarrollo y mantenimiento de un control y responsabilidad efectivas, gestión de la eficiencia y la eficacia, así como la gestión de riesgos de TI.
- CConsiste en liderar y definir las estructuras y procesos organizativos que aseguran que las Tecnologías de la Información y Comunicaciones (TIC) de la empresa soportan y difunden la estrategia y los objetivos de la organización, manteniéndose de forma autónoma al comité de dirección y gerencia.
- DNinguna de las anteriores.
5Es función del gobierno de TI:
- AGestión de eficacia y eficiencia así como gestión de riesgos, entre otros.
- BPolíticas y procedimientos, gestión de riesgos entre otros.
- CExclusivamente gestión de eficacia y eficiencia.
- DControl y responsabilidad así como gestión de riesgos entre otros.
6¿Cuál de las siguientes afirmaciones es cierta?
- AEl plan estratégico de la empresa se tiene que corresponder con el plan informático de TI. El primero se diseña en función del segundo.
- BLas organizaciones con consideración a las TI, tienen menor retorno de inversión que aquellas que no lo consideran ante los mismos objetivos estratégicos, de tal forma que con la madurez tecnológica se llegue a un estado de mayor retorno.
- CEl plan informático de TI no se tiene que corresponder con el plan estratégico de la empresa.
- DNinguna afirmación es cierta.
7El rol de la Auditoría en el Gobierno de TI consiste en:
- AImplantar prácticas a la alta dirección, con el fin de mejorar la calidad y efectividad de las iniciativas del gobierno de TI implantadas y asegura el cumplimiento de las iniciativas de gobierno de TI.
- BAsumir responsabilidades de Dirección detectando necesidades e
implantándolas como función de control interno dentro del departamento de TI. - CRealizar evaluaciones y únicamente asegurar el cumplimiento de las iniciativas de gobierno de TI.
- DRecomendar prácticas a la alta dirección, con el fin de mejorar la calidad y efectividad de las iniciativas del gobierno de TI implantadas y asegura el cumplimiento de las iniciativas de gobierno de TI.
8El Comité de informática:
- ASe encarga de hacer de interfaz entre los usuarios y los informáticos. Está compuesto por expertos en una materia y conocen muy bien el negocio/modelo de datos que manejan.
- BDiseña el plan estratégico de la compañía.
- CElabora el Plan Director de Informática, que se corresponde con el Plan Estratégico. Puede ser a un año o a dos.
- DNinguna de las anteriores.
9Señala la correcta en relación a objetivos y funciones del auditor informático:
- AParticipar en las revisiones e implantaciones durante y después del diseño, realización, implantación y explotación de aplicaciones informáticas.
- BRevisar y analizar los controles implantados en los sistemas de información para verificar su adecuación de acuerdo a las directrices de la Dirección, requisitos legales, protección de confidencialidad y cobertura ante errores y fraudes.
- CRevisar, analizar y en su caso corregir indicando acciones a realizar, el nivel de eficacia, utilidad, fiabilidad y seguridad de los equipos y sistemas informáticos en general.
- DRevisar y analizar los controles implantados en los sistemas de información para verificar su adecuación de acuerdo a las directrices de la Dirección, estableciendo y dirigiendo las desviaciones detectadas aplicando acciones de mejora.
10El CII (Control Interno Informático) se diferencia del auditor informático en:
- ANo tiene cobertura sobre todos los componentes del sistema de información de la organización.
- BSon personal interno o externo.
- CRealizan un análisis del control interno informático diariamente.
- DInforman a la Dirección General en tiempo real.
11Los controles son:
- AAcciones y mecanismos definidos por el auditor para prevenir o reducir el impacto de los eventos no deseados que ponen en riesgo a los activos de una organización.
- BDe muchos tipos. Los más habituales son los detectivos, correctivos y
preventivos. Permiten al auditor centrarse en otras actividades cuando los encuentra implantados. - CAcciones y mecanismos definidos para prevenir o reducir el impacto de los eventos no deseados que ponen en riesgo a los activos de una organización.
- DAcciones y mecanismo definidos que protegen a las organizaciones solo ante posibles pérdidas en el desarrollo normal de las actividades.
12El CII (Control Interno Informático) garantiza:
- AQue las auditorías que se realicen, tengan un 95 % de éxito y no se detecten debilidades y deficiencias importantes.
- BQue todas las actividades de sistemas de información sean realizadas cumpliendo los procedimientos, estándares y normas fijados por la Dirección de la Organización y/o Dirección de Informática.
- CQue todas las actividades de sistemas de información sean realizadas cumpliendo los procedimientos, estándares y normas fijados por la Dirección de la Organización y/o Dirección de Informática, así como los requisitos legales. Su establecimiento evita la realización de auditorías internas y externas.
- DQue todas las actividades de sistemas de información sean realizadas cumpliendo los procedimientos, estándares y normas fijados por la Dirección de la Organización y/o Dirección de Informática, así como los requisitos legales.
13En relación a la clasificación de controles internos, según su naturaleza podemos afirmar que:
- ASon normalmente Detectivos, Correctivos y Preventivos. En ocasiones se incluyen los controles alternativos.
- BVoluntarios, obligatorios, manuales y automáticos.
- CVoluntarios, obligatorios, manuales, automáticos, preventivos, detectivos y correctivos.
- DControles generales, de aplicación, de área y legales.
14En relación a la clasificación de controles internos, según su naturaleza podemos afirmar que:
- ALos controles Detectivos actúan sobre la causa de los riesgos con el fin de disminuir su probabilidad de ocurrencia.
- BLos controles Preventivos se diseñan para descubrir un evento, irregularidad o resultado no previsto, alertan sobre la presencia de riesgos y permiten tomar medidas inmediatas, pudiendo ser manuales o automáticos.
- CLas opciones a y b son correctas.
- DLas opciones a y b son incorrectas.
15Los Controles Generales se clasifican en:
- AControles de Organización y Operación, Controles de Tratamiento de Datos, así como Controles de Hardware y Software de Sistemas.
- BControles de Entrada de datos, Controles de Tratamiento de datos y Controles de Salida de datos.
- CControles de Organización y Operación, Controles de Desarrollo de Sistemas y Documentación, así como Controles de Hardware y Software de Sistemas.
- DNinguna de las anteriores es cierta.
16En relación al Control General/Controles de Organización y Operación–Separación de Entornos, habitualmente:
- ALos usuarios deben realizar Sign-off antes de su liberalización y paso a Producción.
- BEn el entorno de Testing solo se realizan pruebas de Caja Blanca porque en Desarrollo ya se han realizado de Caja Negra.
- CLos casos de prueba planificados en el entorno de Testing solo se realizan pruebas integradas.
- DLas pruebas realizadas en el entorno de Desarrollo deben contener datos reales.
17Dentro de Controles Generales, podemos afirmar que NO son Controles de Organización y Operación:
- ASeguridad Lógica y Física, controles de procesamiento y Control de Presupuestos.
- BProcedimientos, separación de entornos y estándares y nomenclatura.
- CSeguridad Lógica y Física, controles de procesamiento y segregación de funciones.
- DMetodologías de SDLC, controles de edición y verificación y seguridad Lógica y Física.
18En relación al Control General/Controles de Organización y Operación–Separación de Entornos, habitualmente:
- ADeberían existir al menos tres entornos (reales o virtuales) que podrían ser Desarrollo, Testing y Explotación.
- BExisten dos entornos, Desarrollo /Testing y Explotación.
- CDeberían existir tres entornos siempre reales, que serían Desarrollo, Testing y Explotación.
- DSiempre tienen que existir cuatro entornos. Desarrollo, Testing, Paralelo y Explotación.
19En relación al Control General/Controles de Organización y Operación–Segregación de Funciones, se entiende como aquel en el que:
- AUna misma persona no puede realizar funciones determinadas en un mismo entorno.
- BUna misma persona no puede realizar funciones determinadas en un entorno y en otro.
- CLas opciones a y b son ciertas.
- DLas opciones a y b son falsas.
20En relación al Control General/Controles de Hardware y Software de Sistemas–Seguridad Lógica y Física:
- ALos controles preservan las tres dimensiones de la información. Confidencialidad, Disponibilidad y Seguridad.
- BLos controles preservan las tres dimensiones de la información. Fiabilidad, Disponibilidad y Confidencialidad.
- CLos controles preservan dos de las tres dimensiones de la información. Integridad, Disponibilidad y Confidencialidad.
- DNinguna de las anteriores es cierta.
21En relación a las metodologías de auditoría, podemos afirmar que:
- ARealmente solo existe una y es basada en Riesgos o Risk Oriented Approach.
- BCada firma (empresa) de auditoría puede desarrollar la suya propia, siendo la más difundida la basada en riesgos EDR (ROA).
- CLa basada en cuestionarios o checklist es utilizada por auditores con experiencia pues se la envían por correo electrónico al cliente para que la complete.
- DNinguna de las anteriores.
22Realizar auditorías informáticas con metodologías evita:
- ARapidez y uniformidad.
- BObjetividad en los criterios.
- CDependencia de quién lo realiza y como lo realiza.
- DConsistencia y rigor.
23Exclusivamente sobre las pruebas de cumplimiento, podemos afirmar que:
- AA) Nunca son suficientes. Se utilizan para probar parcialmente y verificar el cumplimiento momentáneo de una técnica de control / controles y reúne evidencias de auditoría para indicar si un control funciona de forma efectiva y logra sus objetivos.
- BB) diseño de las pruebas de cumplimiento, cuyo fin es el de reunir evidencias de un funcionamiento efectivo de los controles internos, ha de tener en cuenta si se ejecutaron los procedimientos previstos, se ejecutaron adecuadamente y si fueron ejecutados por alguien que cumple con los requisitos de segregación de funciones.
- CC) Se utilizan cuando las pruebas sustantivas no han satisfecho los objetivos del auditor y permiten comprobar la fiabilidad y consistencia de los controles existentes e identificar la magnitud y el impacto de errores e incidencias.
- DD) La opciones b y c son correctas.
24Exclusivamente sobre las pruebas de cumplimiento, podemos afirmar que:
- AReúne evidencias para indicar si un control está implantado, funciona de forma efectiva y logra sus objetivos.
- BNo se utilizan para probar y verificar el cumplimiento de un control.
- CSolo se utilizan cuando las pruebas sustantivas no han satisfecho los objetivos del auditor.
- DPermiten comprobar la fiabilidad y consistencia de los controles existentes e identificar la magnitud y el impacto de errores e incidencias.
25El EDR es una metodología de auditorías de sistemas de información basada en:
- AAmenazas.
- BVulnerabilidades.
- CRiesgos.
- DImpactos.
26Los elementos principales de un EDR simplificado o checklist son:
- APrueba de cumplimiento, SI, NO, N/A, comentario u observaciones del auditor.
- BPregunta/Prueba, SI, NO, N/A, comentario u observaciones del auditor.
- CPrueba sustantiva, SI, NO, N/A, comentario u observaciones del auditor.
- DRiesgo, objetivo de control, control, prueba de cumplimiento, prueba sustantiva.
27Una auditoría sorpresiva:
- ALa recopilación no se realiza in situ.
- BPreviamente se ha enviado una carta que informas que en algún momento se realizará una auditoría.
- CDebe contemplar los pasos habituales de cualquier auditoría, con la salvedad de que la información se recopila in situ.
- DSiempre se envía un memorandum.
28El informe de auditoría:
- ANo admite discusión, pues debe ser aclarado todo durante la propia auditoría.
- BAntes del informe final, se distribuye un borrador al que se pueden alegar aspectos que el auditado no esté de acuerdo.
- CEl informe final de auditoría también puede ser discutido con las personas auditadas y siempre tiene un apartado principal para la dirección de los controles que se recomienda modificar.
- DA menudo existe un apartado con juicios de valor y un glosario con los nombres y marcas de los productos.
29Las pruebas sustantivas:
- ASe realizan cuando la prueba de cumplimiento realizada no cumple la expectativa o crea duda razonable del funcionamiento del control revisado al auditor.
- BSe realizan siempre.
- CSon optativas. Se realizan si le apetece al auditor.
- DNinguna de las anteriores es cierta.
30El informe de auditoría se dirige:
- AEn su versión preliminar, a la alta dirección para que evalúe oficiosamente las debilidades detectadas.
- BA toda la organización, incluidas las áreas no auditadas pues en definitiva deben estar informados por formar parte de la empresa.
- CExclusivamente a los técnicos de sistemas, pues su carácter técnico hace que solo tenga valor para ellos.
- DDe forma preliminar a las partes auditadas, y en su forma final a la Alta Dirección y a las partes auditadas.
31Un test de intrusión es:
- ASolo análisis de vulnerabilidades.
- BUn tipo de Hacking ético.
- CHabitualmente de caja blanca y caja negra.
- DNo es un PenTest.
32¿Qué 3 fases habitualmente se utilizan en una auditoría técnica de seguridad (test
de intrusión)?- ALa recopilación de información del sistema a auditar y análisis de vulnerabilidades, explotación/ataque de las vulnerabilidades detectadas,
realización de informe técnico y ejecutivo. - BLa recopilación de información del sistema a auditar, explotación/ataque de las vulnerabilidades detectadas, nunca se realiza informe.
- CExplotación/ataque de las vulnerabilidades detectadas y realización de informe técnico.
- DLa recopilación de información del sistema a auditar y realización de informe
técnico y ejecutivo.
- ALa recopilación de información del sistema a auditar y análisis de vulnerabilidades, explotación/ataque de las vulnerabilidades detectadas,
33Las pruebas de fuerza bruta se basan en:
- ASolo en la utilización de ficheros con palabras en diferentes idiomas para averiguar por ensayo/error los usuarios y/o password en las pantallas de login.
- BUtilización de todas las combinaciones posibles con un set de caracteres definido y una longitud.
- CLo que se denominan Rainbow Tables.
- DNinguna es cierta.
34¿Qué es el sniffing de paquetes de red?:
- AEs la técnica para inyectar paquetes en redes inalámbricas.
- BEs la técnica pasiva que permite la captura de datos (paquetes de datos) que se distribuyen en una red.
- CEs la técnica por la que se intercepta y modifica la información en una red.
- DEs la técnica por la que consigues el control de administración en las máquinas servidoras.
35Con la herramienta NMAP:
- AHacemos uso de los Google Dorks.
- BEntre otras muchas funciones, obtenemos los servicios/puertos abiertos en una red local.
- CObtenemos las claves de cifrado en Wifi.
- DNinguna de las anteriores.
36Con la herramienta BRUTUS:
- AHacemos uso de los Google Dorks.
- BEntre otras muchas funciones, obtenemos los servicios/puertos abiertos en una red local.
- CAutomatiza los ataques de fuerza bruta y ataque basado en diccionario.
- DNinguna de las anteriores.
37La herramienta CAIN:
- AEstá diseñada para ataques de fuerza bruta.
- BEstá diseñada para realizar ARP Poisoning.
- CEstá diseñada para realizar sniffing de los paquetes de red.
- DTodas las anteriores son ciertas.
38Los test de intrusión de caja negra son:
- AInternet y dispositivos móviles.
- BSistemas y redes.
- CCódigo fuente en preproducción.
- DNinguna de las anteriores.
39Los test de intrusión de caja blanca son:
- AInternet y dispositivos móviles.
- BSistemas y redes.
- CCódigo fuente en preproducción.
- DNinguna de las anteriores.
40La recopilación de información se realiza
- AEn todas las fases.
- BEn la Fase 3.
- CEn la Fase 2
- DEn la Fase 1
41¿Por qué sucede en algunos casos el llamado Directory Listing?
- AComo consecuencia del uso de herramientas de sniffing de red.
- BComo resultado de la utilización de inyección de paquetes en redes wifi.
- CComo resultado de una inadecuada configuración y parametrización de un servidor web o servidor FTP.
- DComo consecuencia del uso del cifrado WPA.
42La herramienta OWASP DirBuster:
- AEs una herramienta diseñada para obtener por fuerza bruta o diccionario los nombres de directorios y archivos en servidores web.
- BEs una herramienta para obtener las claves WPA2 de un router inalámbrico.
- CPermite realizar sniffing de red.
- DEstá diseñada para realizar ARP Poisoning.
43Con el fichero robots.txt conseguimos:
- AAveriguar parte de la estructura de carpetas de una web.
- BActualmente no se utiliza. Fue un fichero muy utilizado entre 1997 y 2001.
- CEsté bien o mal estructurado el fichero, los buscadores tipo google, bing, etc.
nunca indexarán los path a carpetas que contenga el fichero. - DQue el servidor web aplique reglas de seguridad sobre esas carpetas.
44Los informes de auditorías técnicas de seguridad:
- AIncluyen como anexo el informe ejecutivo.
- BNunca describen con detalle técnico las fases de la auditoría de seguridad que
realizan. - CNo necesitan definir el objetivo y el alcance de la auditoría.
- DNinguna de las anteriores.
45Para evitar inyecciones de SQL (SQL injection–SQLi) se recomienda:
- AUtilizar frameworks de desarrollo seguro muy sofisticados y de alto coste
económico. - BUtilizar, entre otras recomendaciones, validación de parámetros en frontend y en backend (cliente web por ejemplo y en procedimientos almacenados de SQL en servidor dde BBDD).
- CConfigurar adecuadamente el fichero robots.txt.
- DNinguna de las anteriores.
- AUtilizar frameworks de desarrollo seguro muy sofisticados y de alto coste
46¿Quién propone anualmente el Top Ten de riesgos en desarrollo de aplicaciones?
- AISACA.
- BNIST.
- COWASP.
- DNinguna de las anteriores.
47Principalmente, si sobre una aplicación se puede realizar SQL Injection se debe a:
- AMala configuración de robots.txt.
- BMala configuración de Subversion.
- CNo se han tomado al menos medidas de validación de datos de entrada en cliente y en servidor.
- DMala configuración del servidor de aplicaciones.
48Principalmente, si en un portal web somos capaces de ver su estructura de directorios,
esto se debe a:- ANo se realiza en javascript validación de datos de entrada.
- BUna mala configuración del servidor web que permite esta acción.
- CUna mala configuración en la subversión (control de versiones).
- DNinguna de las anteriores.
49En webs tipo www.netcraft.com, la información que nos muestra:
- AEs la misma que en el fichero robots.txt.
- BEs la misma que obtenemos al realizar un ataque de fuerza bruta en una web.
- CInformación acerca del cifrado de WPA.
- DEs similar a los servicios whois de Internet.
50El cifrado WEP para redes wifi:
- AEs el más débil. Debe aplicarse al menos WPA2.
- BEs el más robusto, incluso más que WPA2.
- CEs idéntico a WPA.
- DNinguna de las anteriores.
51¿Cuál es la base que aportan los estándares ISO a la Gestión de las TICs?
- ATerminología técnica.
- BLa aplicación de mejora continua con el ciclo de Demming/PDCA.
- CIndicadores y métricas.
- DNinguna de las anteriores.
52¿Cuáles son los elementos fundamentales en el PDCA?
- AGestión de incidentes.
- BAnálisis de riesgos.
- CFormación.
- DObjetivos orientados al negocio, formación y concienciación, auditorías internas y revisión por dirección, acciones preventivas y correctivas.
53¿Un sistema de Gestión en las TICs, qué estándares utiliza usualmente?
- AMotor (PDCA)–Conocimiento (Buenas prácticas-Controles TICs).
- BMoto–Conocimiento–Autenticación.
- CMotor–Conocimiento–Testing
- DNinguna de las anteriores.
54Indicar en los sistemas de gestión en las TICs en ISO que tipos de auditoría hay:
- ATest de intrusión y análisis de vulnerabilidades.
- BAuditoría interna y auditoría externa de certificación.
- CAuditoría bienal, auditoría interna y test de intrusión.
- DNinguna de las anteriores.
55El sistema de Gestión de la Seguridad de la Información–SGSI. ¿Cuál tiene PDCA?
- ALa ISO 27001 y la ISO 27002.
- BSolo la ISO 27002.
- CLa ISO 27001.
- DNinguna de las anteriores.
56¿Cuáles son los 3 pilares en que se fundamenta el SGSI?
- APrivacidad, integridad y disponibilidad.
- BIntegridad, confidencialidad y continuidad.
- CConfidencialidad, Integridad y Disponibilidad.
- DConfidencialidad, Integridad y No repudio.
57¿En el análisis de riesgos en SGSI se consideran, en primer nivel?
- ASolo los activos hardware.
- BProcesos de negocio/Servicios de TI.
- CSolo los activos software y las personas.
- DBases de datos.
58¿Cuál de las siguientes no es un área o capítulo de la ISO/IEC 27002?
- AGestión de la continuidad del negocio.
- BCumplimiento.
- CClasificación y control de activos.
- DPlan estratégico de la seguridad.
59¿Cuál de las siguientes afirmaciones es incorrecta?
- AEl análisis de riesgos es la piedra angular del SGSI.
- BLa organización debe determinar los controles a aplicar en la declaración de
aplicabilidad. - CEl anexo A del estándar ISO/IEC 27001 enumera 133 controles organizados en
11 áreas, cada una de las cuales cubre algunos de los 39 objetivos de control. - DLa organización solo podrá certificar su SGSI si implementa los 133 controles
del estándar.
60¿Cuál de las siguientes afirmaciones es incorrecta?
- ALa revisión por la dirección permitirá realinear los esfuerzos de implantación
del SGSI para asegurar su eficiencia y eficacia. - BLa mejora continua del SGSI se desempeña por cualquiera de los recursos de la organización.
- CLa revisión de la dirección debe realizarse a intervalos planificados y como
mínimo 1 vez al año. - DNinguna de las anteriores.
- ALa revisión por la dirección permitirá realinear los esfuerzos de implantación
Information
- Description
- master Temas2Sem Quiz on Aseg, created by Amalfi Novelo on 13/11/2020.
- Author
- Amalfi Novelo
- Language
- Español
- Views
- 6
- Tags
- Rating
- No ratings yet Rate this quiz