ISO/IEC 27001 Lead Auditor

Diez preguntas de muestra del examen

Una de cada dominio de competencia, tal como salen en el simulador.

1. Principios y conceptos fundamentales del SGSI

   En Harwell Logistics, el equipo de contabilidad cambió los datos bancarios de un proveedor tras recibir un correo electrónico que parecía proceder del director financiero del proveedor. La investigación muestra que el mensaje llegó exactamente tal como se redactó, pero que se envió desde un dominio de apariencia similar controlado por un estafador. ¿Qué propiedad de seguridad de la información no lograron asegurar los controles del correo electrónico?

   1. Disponibilidad, la propiedad de ser accesible y utilizable a demanda por una entidad autorizada, como un usuario o un proceso.
   2. Integridad, la propiedad de exactitud y completitud, que protege la información y otros activos frente a cambios no autorizados.
   3. Confidencialidad, la propiedad de que la información no se pone a disposición ni se divulga a personas, entidades o procesos no autorizados.
   4. Autenticidad, la propiedad de que una entidad es lo que afirma ser, como una cuenta de usuario o una organización asociada.

2. SGSI y requisitos de ISO/IEC 27001

   Al prepararse para la certificación, una organización comunica al auditor que excluirá la cláusula 8.2, realizar evaluaciones de riesgos de seguridad de la información a intervalos planificados, porque sus controles del Anexo A ya cubren sus riesgos. ¿Cómo debería responder el auditor a esta exclusión prevista?

   1. Aceptar la exclusión a condición de que la Declaración de Aplicabilidad registre una justificación para ella.
   2. Aceptar la exclusión si la declaración de alcance registra una justificación para ella.
   3. Rechazar la exclusión y auditar el requisito en su totalidad, como el resto del cuerpo de la norma.
   4. Rechazar la exclusión por ahora y reconsiderarla cuando ningún riesgo identificado dependa de lo que suprimiría.

3. Conceptos y principios fundamentales de auditoría

   Una aseguradora que opera en tres países pide al auditor de certificación que confirme, durante la auditoría de su SGSI, que cumple la ley de protección de datos de cada país. ¿Cómo debería tratar el auditor esta petición?

   1. Explicar que la auditoría muestrea evidencia de que la aseguradora ha identificado y cumple los requisitos legales aplicables en cada uno de los tres países.
   2. Aceptar añadir la petición a los objetivos de la auditoría si un experto técnico en derecho de protección de datos se une al equipo y cubre cada país.
   3. Explicar que el cumplimiento legal lo confirma la autoridad de control de cada país, mientras que la auditoría comprueba los requisitos y los controles de ISO/IEC 27001.
   4. Pedir al responsable del programa de auditoría que amplíe el tiempo de auditoría para comprobar y confirmar in situ el cumplimiento de la ley de cada país.

4. Realización de una auditoría ISO/IEC 27001

   En Norhaven Foods, el responsable de TI entrega al auditor una hoja de cálculo que él mismo elaboró, en la que consta que las 40 cuentas privilegiadas se revisaron y confirmaron en junio. Siguiendo el plan de auditoría, el auditor ha cotejado una muestra de 10 de las 40 entradas con las aprobaciones de la revisión y con los registros de acceso del sistema, y las 10 concuerdan. ¿Cómo debería tratarla ahora el auditor?

   1. Comprobar igualmente las 30 cuentas restantes.
   2. Obtener una declaración de completitud firmada por el responsable de TI.
   3. Apoyarse en la hoja de cálculo para la revisión de junio.
   4. Hacer que se repita la revisión de junio en presencia del auditor.

5. Preparación de una auditoría ISO/IEC 27001

   Caso práctico 1 - Linmoor Regional Hospital (5 preguntas) Linmoor Regional Hospital emplea a 1900 personas en dos sedes: el hospital principal y una clínica ambulatoria en Ashby Cross. Su SGSI abarca el sistema de historia clínica electrónica (HCE), el sistema de información del laboratorio y las operaciones de TI que los sustentan. Un organismo de certificación está realizando la auditoría de etapa 2 durante tres días, con la líder del equipo auditor Nadia Osei, el auditor Tom Rinaldi y un experto técnico en sistemas clínicos. La etapa 1, celebrada cuatro semanas antes, identificó la HCE como el sistema del que más depende la atención a los pacientes y registró un área de preocupación: aún no se había realizado ninguna prueba de restauración de las copias de seguridad. Hechos recogidos durante la etapa 2: el equipo de TI presenta un registro de prueba de restauración fechado la semana pasada y firmado por el administrador de copias de seguridad; el procedimiento de acceso exige que las cuentas de la HCE de las personas que dejan la organización se deshabiliten en un plazo de 24 horas, pero en una muestra de 25 bajas de los últimos seis meses, 7 cuentas seguían activas y 3 de ellas, pertenecientes a antiguos contratistas, se habían utilizado después de su salida; el contrato con el proveedor del sistema de información del laboratorio, que le otorga acceso remoto de administrador, no contiene ningún requisito de seguridad de la información. Pregunta 1 de 5: ¿Cómo debería haber orientado la materialidad la asignación del tiempo de auditoría al planificar esta auditoría de etapa 2?

   1. Ponderando el tiempo de la etapa 2 por igual entre cada uno de los controles del Anexo A y cada una de las sedes, ya que la etapa 2 debe confirmar cada control aplicable de la Declaración de Aplicabilidad.
   2. Dedicando más tiempo a las áreas que en la etapa 1 se encontraron documentadas y aprobadas, puesto que la etapa 2 prueba la eficacia allí donde el diseño está confirmado.
   3. Ponderando el tiempo de la etapa 2 hacia el acceso a la HCE y la copia de seguridad, pues la etapa 1 halló que la atención al paciente depende más de la HCE.
   4. Dedicando más tiempo a la clínica ambulatoria, puesto que la sede que menos se examinó durante la etapa 1 necesita más entrevistas y más comprobaciones in situ.

6. Cierre de una auditoría ISO/IEC 27001

   Caso práctico 1 - Linmoor Regional Hospital (5 preguntas) Linmoor Regional Hospital emplea a 1900 personas en dos sedes: el hospital principal y una clínica ambulatoria en Ashby Cross. Su SGSI abarca el sistema de historia clínica electrónica (HCE), el sistema de información del laboratorio y las operaciones de TI que los sustentan. Un organismo de certificación está realizando la auditoría de etapa 2 durante tres días, con la líder del equipo auditor Nadia Osei, el auditor Tom Rinaldi y un experto técnico en sistemas clínicos. La etapa 1, celebrada cuatro semanas antes, identificó la HCE como el sistema del que más depende la atención a los pacientes y registró un área de preocupación: aún no se había realizado ninguna prueba de restauración de las copias de seguridad. Hechos recogidos durante la etapa 2: el equipo de TI presenta un registro de prueba de restauración fechado la semana pasada y firmado por el administrador de copias de seguridad; el procedimiento de acceso exige que las cuentas de la HCE de las personas que dejan la organización se deshabiliten en un plazo de 24 horas, pero en una muestra de 25 bajas de los últimos seis meses, 7 cuentas seguían activas y 3 de ellas, pertenecientes a antiguos contratistas, se habían utilizado después de su salida; el contrato con el proveedor del sistema de información del laboratorio, que le otorga acceso remoto de administrador, no contiene ningún requisito de seguridad de la información. Pregunta 5 de 5: Supongamos que el equipo auditor califica el hallazgo sobre las cuentas de la HCE de las bajas como una no conformidad mayor, y que la etapa 2 termina el 14 de marzo. Linmoor responde que la corrección, un enlace automatizado entre el sistema de recursos humanos y la HCE, no puede estar implantada antes del 30 de septiembre. ¿Cómo debería gestionarse esto en lo que respecta a la recomendación?

   1. Verificar la corrección en una visita de seguimiento en octubre, luego recomendar la certificación.
   2. Recomendar la certificación sobre el plan fechado y luego verificar la corrección en la vigilancia.
   3. Llevar a cabo otra auditoría de etapa 2 una vez implantada la corrección, y solo entonces recomendar.
   4. Recalificar el hallazgo como menor y luego verificar la corrección en la primera vigilancia.

7. Gestión de un programa de auditoría ISO/IEC 27001

   El responsable del programa de auditoría de un organismo de certificación está dotando de personal la auditoría de recertificación de FabriTech en tres sedes. El director general de FabriTech pide elegir él mismo al líder del equipo auditor, y sugiere que el líder escoja después a los otros dos auditores. ¿Cómo debería formarse el equipo?

   1. FabriTech nombra al líder, y el responsable del programa de auditoría designa a los demás tras consultar con el líder.
   2. FabriTech nombra al líder, y el líder designa después a los demás miembros del equipo.
   3. El responsable del programa de auditoría designa al líder y, tras consultarle, a los demás miembros.
   4. El responsable del programa de auditoría designa al líder, y este designa después a los otros miembros del equipo.

8. Principios y conceptos fundamentales del SGSI

   Mientras audita la cláusula 4.2 en una compañía regional de aguas, el auditor observa que el responsable del SGSI ha eliminado a la autoridad nacional de protección de datos del registro de partes interesadas, con el argumento de que la compañía no tiene ningún contrato con ella. La autoridad no trata ninguna información de la compañía y no ha planteado ninguna queja ni preocupación sobre ella, pero puede investigar a la compañía y multarla por infracciones de la ley de protección de datos. ¿En qué parte de la definición de parte interesada debería apoyar el auditor el lugar de la autoridad en el registro?

   1. En que resulta afectada por una decisión o actividad de la compañía.
   2. En que se percibe a sí misma como afectada por una decisión o actividad de la compañía.
   3. En su poder de afectar a una decisión o actividad de la compañía.
   4. En la decisión de la compañía de abordar sus requisitos a través del SGSI.

9. SGSI y requisitos de ISO/IEC 27001

   Durante una auditoría de vigilancia, un auditor redacta un borrador de no conformidad porque la organización protege sus copias de seguridad con un método que difiere de la guía de implementación de ISO/IEC 27002:2022 para el control 8.13, aunque las copias de seguridad siguen la política documentada de copias de seguridad de la organización y sus pruebas de restauración tienen éxito. ¿Qué falla en este borrador?

   1. Cita ISO/IEC 27002 como criterio, cuando la no conformidad debería formularse y calificarse frente al control 8.13 del Anexo A de ISO/IEC 27001.
   2. Se plantea en la vigilancia, cuando las desviaciones respecto de la guía de ISO/IEC 27002 se califican en la recertificación, momento en que se reevalúan todo el sistema y sus controles.
   3. Trata la guía de ISO/IEC 27002 como un requisito, cuando la conformidad se juzga frente a ISO/IEC 27001 y frente a la propia política de copias de seguridad de la organización.
   4. Le falta la opinión del propietario del riesgo, cuando una desviación de la guía de ISO/IEC 27002 se califica una vez que este ha evaluado y aceptado su efecto.

10. Conceptos y principios fundamentales de auditoría

    La base de reglas del cortafuegos debe revisarse cada semana. El auditor ha examinado doce revisiones firmadas repartidas a lo largo del periodo auditado y ha comprobado la fecha y el revisor de cada una. En una de esas semanas, hace siete meses, la exportación de la base de reglas adjunta a la revisión muestra tres reglas de entrada nuevas que la revisión firmada no menciona. Preguntado al respecto, el revisor dijo que las tres reglas se habían autorizado esa semana a través del centro de servicios, y que por eso su revisión no las recogía. La herramienta del centro de servicios conserva los tickets cerrados durante 90 días; las actas semanales del comité asesor de cambios, que recogen cada cambio autorizado del cortafuegos, se conservan durante tres años. ¿Qué debería hacer el auditor a continuación respecto de la revisión de esa semana?

    1. Obtener la explicación del revisor como declaración escrita firmada.
    2. Buscar las tres reglas en las actas del comité para esa semana.
    3. Rastrear las tres reglas hasta sus tickets del centro de servicios.
    4. Rehacer la revisión de esa semana con la exportación adjunta.

Responda estas mismas diez preguntas en el simulador y vea la explicación de cada opción, también de las incorrectas. Se abre sin registro →

Sobre el examen oficial: el formato, la duración y el número de preguntas los fija el organismo que certifica y pueden cambiar, así que conviene confirmarlos en su documentación antes de presentarse. Este material entrena la norma, no el examen de un organismo concreto, de modo que sirve igual si se certifica con otro.