DORA Lead Manager

Diez preguntas de muestra del examen

Una de cada dominio de competencia, tal como salen en el simulador.

1. Dominio 1: Principios y conceptos fundamentales

   Una sociedad financiera española externaliza su plataforma bancaria central a un proveedor canadiense. ¿Qué evidencia permite fijar primero el alcance de DORA?

   1. El informe de aseguramiento del proveedor, con periodo, alcance, exclusiones, muestra, pruebas y excepciones de los controles del centro que alojará la plataforma.
   2. La matriz contractual, con obligaciones operativas y responsables de escalado de ambas organizaciones.
   3. El mapa que relaciona la función regulada con la plataforma, los servicios tecnológicos y sus dependencias internas y externas.
   4. El análisis jurídico sobre localización, acceso y transferencias internacionales de los datos tratados.

2. Dominio 2: Preparación y planificación de la implementación

   Tras adquirir una empresa tecnológica, el programa DORA conserva el alcance histórico y no analiza el motor antifraude incorporado. ¿Qué secuencia mantendría el defecto?

   1. Confirmar funciones, flujos, datos y dependencias con negocio y tecnología antes de actualizar el alcance y el plan.
   2. Identificar cambios de criticidad y responsabilidades y someter las discrepancias a una decisión documentada.
   3. Redefinir el alcance copiando el inventario adquirido y dejar la confirmación de flujos y propietarios para la revisión anual.
   4. Probar una muestra del mapa integrado con los propietarios de las funciones antes de utilizarlo para priorizar controles.

3. Dominio 3: Gestión del riesgo TIC y gestión de incidentes

   El inventario de riesgo TIC contiene la aplicación de crédito, pero omite el servicio de identidad compartido. ¿Qué corrección seguiría siendo insuficiente?

   1. Crear una ficha del servicio de identidad con propietario técnico, pero mantenerlo desconectado de las funciones y aplicaciones que dependen de él.
   2. Relacionar identidad, aplicaciones y funciones, documentar la propagación de fallos y validar con negocio cómo cambian impacto, concentración y prioridades de recuperación.
   3. Añadir proveedores, datos e interfaces necesarios para operar la identidad y validar la cadena con sus responsables.
   4. Usar incidentes y pruebas para contrastar el mapa sin limitarlo a dependencias que ya hayan fallado.

4. Dominio 4: Pruebas de resiliencia y riesgos de terceros

   El programa prueba cada aplicación por separado, pero nunca la cadena completa de pago. ¿Qué justificación mantendría la insuficiencia?

   1. Mapear la cadena y seleccionar un escenario que observe interfaces, datos, terceros y decisiones de extremo a extremo.
   2. Conservar pruebas unitarias donde aporten evidencia y añadir criterios sobre el resultado de negocio conjunto.
   3. Ejercitar fallos compartidos y competencia por recursos que no aparecen cuando cada aplicación se prueba sola.
   4. Sumar los informes satisfactorios de las aplicaciones y considerarlos equivalentes a una prueba completa de la cadena.

5. Dominio 5: Formación, auditoría y mejora continua

   El programa de formación ofrece el mismo módulo anual a todos los trabajadores. ¿Qué mejora lo haría más pertinente?

   1. Adaptar contenidos y ejercicios a las responsabilidades y exposiciones de cada función y medir el comportamiento en ejercicios representativos.
   2. Mantener un módulo común idéntico y considerar que la homogeneidad garantiza por sí sola la pertinencia para cada puesto.
   3. Aplicar el mismo cuestionario y umbral a toda la plantilla como única medida de competencia.
   4. Diseñar formación avanzada solo para ciberseguridad y utilizar su resultado como indicador de competencia de toda la organización.

6. Dominio 1: Principios y conceptos fundamentales

   La entidad revisa cómo aplicar proporcionalidad a la diligencia de dos servicios con criticidad distinta. ¿Qué criterio debe rechazarse?

   1. Aplicar una base común y aumentar profundidad y frecuencia cuando la función, la sustituibilidad o la concentración eleven la exposición.
   2. Documentar por qué cada diferencia de alcance conserva la capacidad de evaluar y seguir el riesgo del proveedor.
   3. Calibrar ambos servicios únicamente por importe contractual, porque el mayor gasto determina siempre la mayor criticidad operativa.
   4. Revisar la intensidad cuando cambien dependencias, incidentes o condiciones de salida, aunque el valor del contrato permanezca estable.

7. Dominio 2: Preparación y planificación de la implementación

   El responsable de DORA ha consultado a los equipos de sistemas y de cumplimiento, pero no a las áreas de negocio que definen los niveles de servicio. ¿Qué actuación corrige primero la carencia de representación en la consulta?

   1. Contar cuántas funciones de soporte estuvieron representadas y aumentar el número total de participantes.
   2. Aceptar la valoración del área de sistemas como sustituto de la decisión de los responsables de negocio.
   3. Implantar una herramienta colaborativa común antes de solicitar cualquier validación adicional.
   4. Incorporar a los responsables de negocio que conocen los impactos y pueden validar tolerancias y prioridades del servicio.

8. Dominio 3: Gestión del riesgo TIC y gestión de incidentes

   Una medida reduce la probabilidad de fallo, pero alarga la recuperación más allá de la tolerancia de negocio. ¿Qué razonamiento debe rechazarse?

   1. Comparar la reducción de probabilidad con el deterioro de recuperación y valorar el riesgo global frente a los objetivos de negocio.
   2. Explorar controles alternativos o compensatorios que mantengan el beneficio sin incumplir la tolerancia.
   3. Elevar la brecha con impactos, opciones y evidencia al nivel autorizado si no puede eliminarse.
   4. Aprobar la medida porque la menor probabilidad compensa automáticamente cualquier tiempo de recuperación adicional.

9. Dominio 4: Pruebas de resiliencia y riesgos de terceros

   Una vulnerabilidad crítica está compensada temporalmente por una regla de filtrado. ¿Qué conclusión de cierre excede la evidencia disponible?

   1. La regla bloqueó el escenario probado; por tanto, la vulnerabilidad puede cerrarse de forma definitiva y retirarse su seguimiento.
   2. La compensación puede mantenerse bajo vigilancia mientras una corrección definitiva conserva responsable, plazo y criterio de éxito.
   3. El resultado del filtro puede registrarse como evidencia parcial, limitado al tráfico y a las condiciones que se ejercitaron.
   4. Cualquier aceptación temporal debe indicar autoridad, vigencia, riesgo residual y hechos que obliguen a revisarla antes.

10. Dominio 5: Formación, auditoría y mejora continua

    Las revisiones de proveedores se realizan sin criterios ni conservación de las decisiones. ¿Qué formulación de auditoría debe rechazarse?

    1. Prescribir en el hallazgo una herramienta concreta y cerrar cuando se instale, sin analizar la causa ni la eficacia esperada.
    2. Identificar requisito, evidencia y desviación y explicar el riesgo sin sustituir al responsable en la elección de la corrección.
    3. Delimitar muestra y periodo y conservar los hechos que permiten reproducir la constatación.
    4. Comprobar después si la acción elegida corrige la causa y produce el resultado requerido en el alcance afectado.

Responda estas mismas diez preguntas en el simulador y vea la explicación de cada opción, también de las incorrectas. Se abre sin registro →

Sobre el examen oficial: el formato, la duración y el número de preguntas los fija el organismo que certifica y pueden cambiar, así que conviene confirmarlos en su documentación antes de presentarse. Este material entrena la norma, no el examen de un organismo concreto, de modo que sirve igual si se certifica con otro.