Tema 20 Gestión de Sistemas e Informática: riesgos
Equipo de Testuga5 min de lectura
En resumen: El tema 20 de Gestión de Sistemas e Informática se titula «Análisis y gestión de riesgos» y se centra en cómo identificar, valorar y priorizar los riesgos de los sistemas de información, además de las herramientas que se usan para ello. Aporta 6 preguntas al banco (0,9 %) y las convocatorias recientes preguntan sobre todo por marcos como NIST SP 800-30, metodologías como MAGERIT o ISO/IEC 27005 y herramientas del CCN.
El tema 20 de Gestión de Sistemas e Informática lleva por epígrafe oficial «Análisis y gestión de riesgos de los sistemas de información. Herramientas.» y pertenece al Bloque 2. Tecnología básica. Aquí no se trata de memorizar leyes, sino de manejar el vocabulario del análisis de riesgos y saber distinguir qué metodología o herramienta hace cada cosa.
¿Qué entra en el tema de análisis y gestión de riesgos?
El epígrafe oficial es corto, pero da mucho juego. Por lo que han preguntado las convocatorias, conviene dominar:
- Marcos de referencia: NIST SP 800-30, ISO/IEC 27005:2022 y MAGERIT.
- Enfoques de análisis: cualitativo frente a cuantitativo, y cómo se priorizan los riesgos.
- Herramientas GRC (Governance, Risk and Compliance) y su papel en la gestión.
- Herramientas del CCN para la gobernanza de la ciberseguridad.
Fíjate en que el enunciado habla de «análisis y gestión», dos fases distintas: primero valoras el riesgo y después decides cómo tratarlo. Las preguntas suelen jugar con esa terminología.
¿Cuánto pesa este tema en el examen?
El tema aporta 6 preguntas al banco, un 0,9 % del total. Es un peso pequeño, pero constante: ha caído en varias convocatorias. Reparto por años (suma de todas las convocatorias de ese año, sin contar repetidas):
| Año | Preguntas |
|---|---|
| 2019 | 2 |
| 2022 | 1 |
| 2024 | 1 |
| 2025 | 2 |
Ten en cuenta que esa cifra no es lo que trae un examen concreto: es el acumulado del banco por año. Aun así, ver que aparece en 2019, 2022, 2024 y 2025 confirma que es un tema recurrente y que no conviene dejarlo sin mirar.
Preguntas oficiales comentadas
Estas son tres preguntas reales del banco, con la respuesta correcta y por qué las otras opciones despistan.
Mapa de calor en el análisis cualitativo (2025)
Preguntan qué función cumple un Mapa de Calor (Heat Map) en el análisis cualitativo de riesgos, en el contexto de NIST SP 800-30 y herramientas GRC. La correcta es la b): visualizar la priorización de los riesgos mediante una matriz que cruza probabilidad de ocurrencia e impacto potencial.
Las otras opciones despistan porque mezclan conceptos técnicos que suenan bien pero no tienen que ver: la a) habla de temperatura física de CPDs y SNMP (algo que encaja con el tema de redes, no con riesgos); la c) mete el MTBF, una métrica de fiabilidad de activos; y la d) describe un inventario automático de activos por escaneo de puertos. Ninguna responde a «mapa de calor».
Qué NO es una metodología de gestión de riesgos (2025)
Piden señalar cuál NO es una metodología o normativa de gestión de riesgos de seguridad de la información. La respuesta es la b), UNE-EN 12464-1:2022. Las otras tres sí lo son: MAGERIT, ISO/IEC 27005:2022 y NIST SP 800-30.
El truco está en que la opción incorrecta es una norma UNE-EN, con un formato muy parecido al de las demás. Si tienes claras las tres referencias de riesgos, descartas la que sobra.
La herramienta del CCN para gobernanza (2024)
Preguntan cuál es la herramienta del CCN para la gobernanza de la ciberseguridad que permite evaluar regularmente el estado de la seguridad de los sistemas TIC de las entidades y organismos. La correcta es INES (opción c).
Las otras opciones (ATENEA, CLARA y CARLA) son nombres de herramientas que suenan igual de plausibles. Es un ejemplo típico de pregunta en la que hay que recordar el nombre exacto, porque las cuatro podrían pasar por herramientas reales.
Qué normas hay que llevar al día
Las preguntas de ejemplo citan tres referencias que conviene reconocer por su nombre oficial:
- NIST SP 800-30, el marco de gestión de riesgos del NIST.
- ISO/IEC 27005:2022, la norma de gestión de riesgos de seguridad de la información.
- MAGERIT, la metodología de análisis y gestión de riesgos de la Administración.
No hace falta memorizar su contenido artículo por artículo: lo que preguntan es identificarlas y saber para qué sirve cada una. Si quieres reforzar la parte de normativa relacionada, puedes repasar el tema 7 sobre protección de datos y el tema 6 sobre firma electrónica.
Preguntas frecuentes
¿Qué estudia el tema 20 de Gestión de Sistemas e Informática?
El análisis y la gestión de riesgos de los sistemas de información y las herramientas asociadas, según el epígrafe oficial. Incluye marcos como NIST SP 800-30, ISO/IEC 27005 y MAGERIT, y herramientas del CCN.
¿Cuántas preguntas aporta este tema al banco?
Aporta 6 preguntas, un 0,9 % del banco. Han aparecido en 2019 (2), 2022 (1), 2024 (1) y 2025 (2), sin contar repetidas.
¿Qué diferencia hay entre análisis y gestión de riesgos?
El análisis valora el riesgo (probabilidad e impacto); la gestión decide cómo tratarlo. El mapa de calor es una herramienta del análisis cualitativo que cruza esas dos variables para priorizar.
¿Qué herramientas del CCN pueden preguntar?
En el banco aparece INES como herramienta del CCN para la gobernanza de la ciberseguridad, que permite evaluar el estado de seguridad de los sistemas TIC. Las opciones ATENEA, CLARA y CARLA se usan como distractores.
Siguiente paso
Con el epígrafe claro y las preguntas comentadas, lo que renta es practicar. Haz el test del tema 20 con preguntas oficiales y, si quieres ver el conjunto, entra en los tests gratis con preguntas oficiales de Gestión de Sistemas e Informática. Antes de planificar, revisa el calendario de convocatorias y fechas de examen.
¿Preparas Gestión de Sistemas e Informática?
Practica con preguntas de los exámenes oficiales, con su respuesta de la plantilla y la explicación. Sin registrarte para empezar.
Hacer un test gratis