Evaluacion Final – Modulo 6

¡Estimados alumnos! Bienvenidos a esta evaluación. Como su Instructor de Seguridad de la Información, mi objetivo es que no solo memoricen listas, sino que comprendan la aplicación práctica de los controles de la norma ISO/IEC 27002:2013.

Recuerden que esta versión de la norma se organiza en 14 dominios, 35 objetivos de control y 114 controles.

A continuación, encontrarán 5 situaciones prácticas o dilemas. Deben identificar qué control o principio de la ISO/IEC 27002:2013 es el más relevante para resolver el problema o mitigar el riesgo.

Evaluación de Aplicación Práctica de ISO/IEC 27002:2013

Situación 1: El Dilema del Inventario Clandestino

Una auditoría interna revela que varias tabletas propiedad de la empresa se utilizan fuera de las instalaciones sin haber sido registradas formalmente por el departamento de TI. Dentro del Dominio 8 (Gestión de Activos), ¿qué control específico se ha incumplido, impidiendo la trazabilidad del activo?

Situación 2: La Amenaza Invisible

El departamento de Operaciones detecta una campaña masiva de phishing que infecta varios equipos con malware.
¿Qué control preciso dentro del Dominio 12 (Seguridad en la Operativa) guía la respuesta y prevención técnica frente a esta amenaza?

Situación 3: El Contraste Criptográfico

El Dominio 10 (Cifrado) contiene solo dos controles. El control 10.1.1 requiere que la organización establezca una política clara sobre el uso de controles criptográficos.
Si ya se decidió usar cifrado de extremo a extremo, ¿cuál es el control complementario (10.1.2) que garantiza que esta solución de seguridad se mantenga funcional y efectiva a largo plazo?

Situación 4: La Diferencia entre Política y Cumplimiento

El Dominio 5 se centra en las Políticas de Seguridad (5.1.1).
Por otro lado, el Dominio 18 aborda el Cumplimiento. Si el equipo legal advierte que su organización está violando una nueva ley de privacidad de datos personales, ¿qué control del Dominio 18 debe activarse inmediatamente para rectificar la situación y evitar sanciones?

Situación 5: El Olvido en la Salida de Activos

Un técnico de hardware es autorizado a llevarse un servidor defectuoso (que contiene discos duros) fuera de las instalaciones para su reparación por parte de un tercero.
Si no se sigue el proceso adecuado de documentación y autorización, se incumple el control 11.2.5.
¿Qué otro control, asociado al manejo de soportes (Dominio 8), debería haberse aplicado de forma rigurosa antes de permitir que el activo saliera de las dependencias de la empresa?