EBIOS Risk Manager

Diez preguntas de muestra del examen

Una de cada dominio de competencia, tal como salen en el simulador.

1. Dominio 2 - Marco de gestión del riesgo

   El director general de un organismo considera que un cortafuegos y un antivirus bastan y que ningún proceso de gestión de riesgos es útil. ¿Qué argumento extraído de EBIOS RM permite mostrarle los límites de este razonamiento?

   1. Estas dos herramientas deben confrontarse primero con la verosimilitud de los eventos temidos, estimada en el taller 1 con las áreas de negocio, para ajustar su configuración a los retos del organismo
   2. Un cortafuegos y un antivirus corresponden al enfoque por escenarios, mientras que el enfoque por conformidad sirve para tratar los ataques dirigidos o sofisticados contra el organismo
   3. Antes de controlar su exposición, el organismo necesita saber qué es lo que puede causarle un perjuicio, lo que supone inventariar los eventos temidos y medir sus impactos
   4. La base de seguridad de estas herramientas se determina en el taller 5 a partir de los escenarios de riesgo seleccionados; cada medida debe justificarse con un escenario

2. Dominio 1 - Principios y conceptos fundamentales

   En la reunión de lanzamiento, una jefa de proyecto propone llevar a cabo el ciclo estratégico y el ciclo operativo como dos análisis independientes. ¿Cómo se articulan estos ciclos en EBIOS RM?

   1. El ciclo estratégico abarca los talleres 1 a 3 y el ciclo operativo los talleres 4 y 5; sus duraciones las fija la dirección en el taller 5
   2. El ciclo operativo revisa el conjunto del estudio y el ciclo estratégico actualiza los escenarios estratégicos; sus duraciones se definen en el taller 1
   3. El ciclo estratégico revisa los escenarios estratégicos y el ciclo operativo la base de seguridad; sus duraciones las fija el método en tres años y un año
   4. El ciclo estratégico revisa el conjunto del estudio y el ciclo operativo actualiza los escenarios operativos; sus duraciones se definen en el taller 1

3. Dominio 3 - Apreciación del riesgo

   Una consultora quiere evaluar las partes del ecosistema según su carácter externo y excluir por principio todas las relaciones internas. Según EBIOS RM, ¿qué criterio hace que un elemento entre en el ecosistema que debe evaluarse, antes de cualquier estimación de su nivel de peligrosidad?

   1. La motivación, los recursos y la actividad que se le atribuyen, sea interno o externo a la organización
   2. El vector de ataque pertinente que constituye, debido a su acceso privilegiado o a su vulnerabilidad
   3. El soporte que aporta a los valores de negocio, sea de naturaleza digital, física u organizativa
   4. La pertinencia de su interacción con el objeto de estudio, sea interno o externo a la organización afectada

4. Dominio 2 - Marco de gestión del riesgo

   Un RSSI valora en G3 la gravedad de un evento temido, mientras que un responsable de negocio la valora en G1. El RSSI invoca daños técnicos. ¿Qué definición de la gravedad debe guiar la discusión según EBIOS RM?

   1. La probabilidad de que el evento se produzca, teniendo en cuenta las medidas existentes y las vulnerabilidades de los activos de soporte afectados
   2. La intensidad de las consecuencias perjudiciales del evento sobre los valores de negocio y las misiones de la organización
   3. La combinación de la frecuencia observada del evento y del número de activos de soporte afectados cuando se materializa
   4. La suma de los costes directos e indirectos de restauración del conjunto de los activos de soporte afectados

5. Dominio 1 - Principios y conceptos fundamentales

   Durante una formación, una participante sostiene que el método EBIOS Risk Manager consta de 4 talleres, mientras que otro participante afirma que tiene 6. ¿Cuál es el número exacto de talleres y en qué orden se suceden?

   1. 6 talleres: Introducción, Encuadre, Fuentes de riesgo, Escenarios estratégicos, Escenarios operativos y Tratamiento, que cubren todo el proceso, incluida la sensibilización inicial
   2. 5 talleres: Encuadre y base de seguridad, Fuentes de riesgo, Escenarios estratégicos, Escenarios operativos y Tratamiento del riesgo, que forman un proceso iterativo
   3. 3 talleres: Análisis del contexto, Apreciación de los riesgos y Tratamiento de los riesgos, según el ciclo clásico de la norma ISO 27005 para la gestión de riesgos
   4. 4 talleres: Encuadre, Fuentes de riesgo, Escenarios de ataque y Tratamiento del riesgo, que permiten un análisis secuencial del riesgo desde la identificación hasta el tratamiento

6. Dominio 3 - Apreciación del riesgo

   Un estudio utiliza el modelo ilustrativo que divide la exposición por la fiabilidad cibernética, con valoraciones positivas comparables. ¿Qué combinación indica con mayor claridad un nivel de peligrosidad elevado?

   1. Una exposición baja con una fiabilidad alta: pocas posibilidades de acceso frente a una protección sólida
   2. Una exposición alta con una fiabilidad alta: numerosas posibilidades de acceso frente a una protección sólida
   3. Una exposición alta con una fiabilidad baja: numerosas posibilidades de acceso frente a una protección insuficiente
   4. Una exposición baja con una fiabilidad baja: pocas posibilidades de acceso frente a una protección insuficiente

7. Dominio 2 - Marco de gestión del riesgo

   Un consultor propone utilizar EBIOS RM para analizar los riesgos físicos y ambientales además de los ciberataques. ¿Mediante qué componente del método se abordan los riesgos ligados a eventos accidentales o ambientales?

   1. El enfoque por conformidad, que determina en el taller 1 la base de seguridad que cubre los riesgos corrientes del objeto de estudio
   2. El enfoque por escenarios, que identifica en los talleres 3 y 4 los riesgos avanzados y los ataques especialmente dirigidos
   3. El ciclo operativo, que vuelve sobre los escenarios operativos a la luz de los incidentes de seguridad ocurridos
   4. La cartografía del ecosistema, que sitúa en el taller 3 las partes interesadas según su nivel de peligrosidad

8. Dominio 1 - Principios y conceptos fundamentales

   ¿Qué desarrollo del acrónimo EBIOS y qué descripción de su origen son correctos?

   1. Expression des Besoins et Identification des Objectifs de Sécurité: método creado por la ANSSI en su fundación y reformulado después por la Agencia con el nombre de Risk Manager
   2. Expression des Besoins et Inventaire des Objectifs de Sécurité: método creado por el Club EBIOS y publicado después por la ANSSI con el nombre de Risk Manager
   3. Expression des Besoins et Identification des Objectifs de Sécurité: método francés anterior a la ANSSI, convertido después en Risk Manager por impulso de la Agencia
   4. Étude des Besoins et Identification des Objectifs de Sécurité: método francés derivado de la norma ISO/IEC 27005 y adaptado después por la ANSSI con el nombre de Risk Manager

9. Dominio 3 - Apreciación del riesgo

   Al término de la estimación de la peligrosidad, ORVALYS decide imponer nuevos requisitos contractuales de seguridad a su editor de software SaaS Cargonis. ¿Con qué condición puede reestimarse a la baja el nivel de peligrosidad de Cargonis para el resto del análisis?

   1. Siempre que la medida se aplique efectivamente antes de continuar el análisis; de lo contrario, no tiene efecto inmediato
   2. En cuanto la medida se inscribe en el plan de tratamiento del riesgo, con un responsable y un plazo, pues su efecto se considera entonces adquirido
   3. En cuanto la dirección ha validado el principio de la medida, pues esta decisión basta para modificar la valoración de la parte interesada
   4. Únicamente en el próximo ciclo estratégico, pues no se permite ninguna reestimación de la peligrosidad durante el estudio

10. Dominio 2 - Marco de gestión del riesgo

    Una auditora ISO 27001 constata que el inventario de activos del organismo no distingue los «activos primarios» de los «activos de soporte» de la norma ISO. La RSSI le explica que EBIOS RM define estos conceptos a su manera. ¿Cuál es la definición de un activo de soporte en EBIOS RM?

    1. Un componente importante para la organización en el cumplimiento de su misión, que puede ser un servicio, una función de soporte o una información
    2. Un elemento en interacción directa o indirecta con el objeto de estudio, que puede ser una persona, un sistema de información o una organización
    3. Un elemento considerado muy susceptible de ser atacado por una fuente de riesgo para alcanzar su objetivo, tal como aparece en los escenarios operativos
    4. Un componente del sistema de información sobre el que descansan uno o varios valores de negocio, que puede ser de naturaleza digital, física u organizativa

Responda estas mismas diez preguntas en el simulador y vea la explicación de cada opción, también de las incorrectas. Se abre sin registro →

Sobre el examen oficial: el formato, la duración y el número de preguntas los fija el organismo que certifica y pueden cambiar, así que conviene confirmarlos en su documentación antes de presentarse. Este material entrena la norma, no el examen de un organismo concreto, de modo que sirve igual si se certifica con otro.