ISO/IEC 27001 Lead Implementer

Diez preguntas de muestra del examen

Una de cada dominio de competencia, tal como salen en el simulador.

1. D1 Principios y conceptos fundamentales del SGSI

   En la terminología ISO, ¿cómo se deben clasificar un procedimiento de auditoría y los informes de auditoría que genera?

   1. El procedimiento de auditoría es un documento y los informes que genera son registros
   2. El procedimiento de auditoría es un registro y los informes de auditoría son documentos que lo respaldan
   3. Ambos son registros, porque ambos los produce el proceso de auditoría
   4. Ambos son documentos, ya que un registro es un subtipo de documento

2. D2 Requisitos del SGSI

   Según el material del curso, ¿en qué consiste una buena arquitectura de seguridad?

   1. Una jerarquía de políticas, políticas específicas del tema y procedimientos aprobados por la alta dirección y revisados a intervalos planificados por el responsable del SGSI
   2. Un inventario de activos de información con un propietario asignado a cada uno de ellos
   3. Un calendario de pruebas técnicas, pruebas de penetración y análisis de vulnerabilidades que cubra todos los sistemas que la organización opera en producción
   4. Un conjunto de servicios de seguridad que garantizan la seguridad de múltiples procesos, sistemas y aplicaciones

3. D3 Planificación de la implementación de un SGSI

   Durante la planificación de un SGSI, un consultor dice al cliente que hay que adoptar todas las buenas prácticas contenidas en las guías ISO que utiliza la metodología para obtener la certificación. ¿Cómo se debe valorar esta afirmación?

   1. Es errónea, porque una buena práctica es una recomendación y no un requisito, y cada organización es libre de usarla como referencia
   2. Es correcta, ya que las buenas prácticas de las guías ISO se convierten en requisitos obligatorios en cuanto la organización decide buscar la certificación
   3. Es correcta, porque las buenas prácticas están reconocidas de forma general por los especialistas y por tanto vinculan a toda organización que aplique la metodología
   4. Es errónea solo para las organizaciones pequeñas, que pueden omitir las buenas prácticas que superan sus recursos

4. D4 Implementación de un SGSI

   Un implementador está definiendo el encabezado de la plantilla de documentos del SGSI. ¿Qué par de opciones recomienda el material?

   1. Identificar al autor y al órgano de aprobación por el nombre personal de las personas afectadas y usar el formato DD/MM/AA para todas las fechas que aparezcan en el documento y en su nombre de archivo
   2. Identificar al autor y al órgano de aprobación por su rol y no por su nombre, y usar el formato AAAA-MM-DD para las fechas, de modo que los archivos se ordenen por fecha y sean fáciles de buscar
   3. Omitir cualquier atribución de autoría y fechar cada versión por el número de días transcurridos desde que se estableció el SGSI, de modo que ningún nombre quede vinculado al documento
   4. Identificar únicamente al consultor externo que revisó el documento y fecharlo con el número de semana del calendario

5. D5 Seguimiento y medición del SGSI

   ¿Cómo se define una no conformidad?

   1. Una interrupción temporal de los servicios provocada por actividades de mantenimiento programadas que se planificaron y se comunicaron a los usuarios con antelación
   2. El incumplimiento de un requisito, ya sea un requisito de una norma, de una política interna, de una ley o de un contrato
   3. Un fallo a la hora de comunicarse eficazmente con las partes interesadas de la organización sobre la seguridad de la información que se le confía
   4. Cualquier desviación respecto de las buenas prácticas que el auditado se niegue a aceptar durante la reunión de cierre de una auditoría interna o de certificación

6. D6 Mejora continua del SGSI

   Durante la reunión de planificación anual, el responsable del SGSI de una empresa de logística enumera los factores de cambio a los que se debe hacer seguimiento continuamente para que el SGSI se mantenga actualizado. ¿Cuál de los siguientes elementos NO figura en esa lista?

   1. Cambios tecnológicos
   2. Cambios externos
   3. Revisiones de producto
   4. Cambios organizativos

7. D7 Preparación de la auditoría de certificación del SGSI

   Una autoridad nacional acredita a los organismos de certificación que operan en su país y tiene que poder demostrar que es competente y fiable a la hora de ofrecer servicios de acreditación. ¿Con qué norma debe cumplir para demostrarlo?

   1. ISO/IEC 17021-1, porque es la norma que rige a los organismos que prestan servicios de auditoría y certificación de sistemas de gestión
   2. ISO/IEC 17065, porque se aplica a los organismos que certifican productos, procesos y servicios ofrecidos al público
   3. ISO/IEC 17011, porque establece los requisitos generales para los organismos que evalúan y acreditan a los organismos de certificación
   4. ISO/IEC 17024, porque se aplica a la certificación de personas frente a un esquema de certificación definido

8. D1 Principios y conceptos fundamentales del SGSI

   Una organización quiere saber exactamente a qué está obligada para poder declarar la conformidad con una norma de sistemas de gestión de seguridad de la información. ¿Qué afirmación describe correctamente lo que aporta ISO/IEC 27001?

   1. Especifica los requisitos para establecer, implementar, mantener y mejorar continuamente un SGSI, y para evaluar y tratar los riesgos de seguridad de la información
   2. Aporta la visión general del SGSI junto con los términos y definiciones que se usan en toda la familia
   3. Aporta un conjunto de referencia de controles genéricos acompañado de una guía de implementación
   4. Aporta directrices para gestionar el riesgo de seguridad de la información en cualquier organización

9. D2 Requisitos del SGSI

   ¿Por qué recomienda el material que los empleados que tienen responsabilidades importantes de seguridad de la información participen en la redacción, la revisión y la validación del contenido de los procedimientos y las políticas de seguridad de la información?

   1. Porque ISO/IEC 27001 exige de forma explícita que esos empleados redacten y aprueben la información documentada del sistema de gestión
   2. Porque los motiva a contribuir a la implementación de los controles
   3. Porque ahorra tiempo y recursos al reducir el número de ciclos de revisión por los que tienen que pasar los documentos
   4. Porque transfiere la propiedad del riesgo residual del propietario del riesgo a las personas que redactaron el procedimiento

10. D3 Planificación de la implementación de un SGSI

    ¿En qué se diferencian las definiciones de política y de directriz?

    1. Una política es información no obligatoria que conduce a una solución conforme, mientras que una directriz expresa las intenciones y la dirección de una organización
    2. Una política es un tipo de directriz que proporciona orientación sobre distintos temas, y ambas son igualmente opcionales para la organización
    3. Los dos términos son intercambiables dentro del conjunto documental del SGSI, ya que ambos describen simplemente cómo se debería hacer algo
    4. Una política expresa las intenciones y la dirección de una organización tal como las expresa formalmente su alta dirección, mientras que una directriz es información no obligatoria que conduce a una solución conforme para el requisito relacionado

Responda estas mismas diez preguntas en el simulador y vea la explicación de cada opción, también de las incorrectas. Se abre sin registro →

Sobre el examen oficial: el formato, la duración y el número de preguntas los fija el organismo que certifica y pueden cambiar, así que conviene confirmarlos en su documentación antes de presentarse. Este material entrena la norma, no el examen de un organismo concreto, de modo que sirve igual si se certifica con otro.