Test del tema 21: Auditoría informática

Auditoría Informática: objetivos, alcance y metodología. Técnicas y herramientas. Normas y estándares. Auditoría del ENS y de protección de datos. Auditoría de seguridad física.

Las 5 preguntas que más han caído en los exámenes, de las 6 oficiales del tema.

1. Pregunta 1 · Examen de 2025

   Según la Guía CCN-STIC 804 (ENS. Guía de implantación), el conjunto de procedimientos operativos de seguridad [ORG.3] debe cubrir un determinado porcentaje de las actividades rutinarias, así como aquellas tareas que se realizan con poca frecuencia, pero exigen seguir unos pasos determinados muy precisos. Dicho porcentaje será de, al menos:

   1. A)El 60 % de las actividades rutinarias.
   2. B)El 90 % de las actividades rutinarias.
   3. C)El 80 % de las actividades rutinarias.
   4. D)El 70 % de las actividades rutinarias.
   Ver la respuesta

   Respuesta correcta: C) El 80 % de las actividades rutinarias., según la plantilla definitiva del INAP.

2. Pregunta 2 · Examen de 2025

   ¿Cuál de los siguientes requisitos deben cumplir los Órganos de Auditoría Técnica del ENS del Sector Público?

   1. A)El OAT del Sector Público debe tener una experiencia demostrable de, al menos, cuatro años en la realización de forma regular de auditorías, evaluaciones o inspecciones relacionadas con sistemas de información y su seguridad.
   2. B)El OAT del Sector Público debe asegurarse de que su organización y personal involucrado mantiene las preceptivas condiciones de imparcialidad e independencia respecto de la entidad auditada, de conformidad con lo exigido en la ITS de Auditoría, en la ITS de Conformidad con el ENS y la ISO/IEC 17035, evitando los conflictos de intereses.
   3. C)El OAT del Sector Público debe tener una experiencia demostrable de, al menos, cinco años en la realización de forma regular de auditorías, evaluaciones o inspecciones relacionadas con sistemas de información y su seguridad.
   4. D)El OAT del Sector Público debe asegurarse de que su organización y personal involucrado mantiene las preceptivas condiciones de imparcialidad e independencia respecto de la entidad auditada, de conformidad con lo exigido en la ITS de Auditoría, en la ITS de Conformidad con el ENS y la ISO/IEC 17065, evitando los conflictos de intereses.
   Ver la respuesta

   Respuesta correcta: D) El OAT del Sector Público debe asegurarse de que su organización y personal involucrado mantiene las preceptivas condiciones de imparcialidad e independencia respecto de la entidad auditada, de conformidad con lo exigido en la ITS de Auditoría, en la ITS de Conformidad con el ENS y la ISO/IEC 17065, evitando los conflictos de intereses., según la plantilla definitiva del INAP.

3. Pregunta 3 · Examen de 2025

   De acuerdo con la medida [op.exp.5.3] del Esquema Nacional de Seguridad, las pruebas en preproducción, en el caso de que sea posible realizarlas:

   1. A)Se efectuarán en equipos equivalentes a los de producción, al menos en los aspectos específicos del cambio.
   2. B)Se ejecutarán en entornos virtualizados.
   3. C)No serán necesarias si los cambios han sido aprobados por el responsable de seguridad.
   4. D)Se ejecutarán en horarios de baja demanda.
   Ver la respuesta

   Respuesta correcta: A) Se efectuarán en equipos equivalentes a los de producción, al menos en los aspectos específicos del cambio., según la plantilla definitiva del INAP.

4. Pregunta 4 · Examen de 2024

   Según el artículo 31.1 del Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (ENS), indique la afirmación correcta en relación al tiempo en el que un sistema de información debe ser objeto de una auditoría regular ordinaria que verifique el cumplimiento de los requerimientos del ENS:

   1. A)Al menos cada año si el sistema es considerado de categoría Alta y cada 2 años si el sistema es considerado de categoría Media o Baja.
   2. B)Al menos cada 3 años, siempre que no se produzcan modificaciones sustanciales en los sistemas de información.
   3. C)Al menos cada 2 años.
   4. D)Al menos cada 2 años si el sistema es considerado de categoría Baja, cada año si el sistema es considerado de categoría Media, y cada 6 meses si el sistema es considerado de categoría Alta, siempre que no se produzcan modificaciones sustanciales en los sistemas de información.
   Ver la respuesta

   Respuesta correcta: C) Al menos cada 2 años., según la plantilla definitiva del INAP.

   «Los sistemas de información comprendidos en el ámbito de aplicación de este real decreto serán objeto de una auditoría regular ordinaria, al menos cada dos años, que verifique el cumplimiento de los requerimientos del ENS.»

5. Pregunta 5 · Examen de 2022

   Según el artículo 31 del Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (ENS), los sistemas de información comprendidos en el ámbito de aplicación de este real decreto serán objeto de una auditoría regular ordinaria que verifique el cumplimiento de los requerimientos del ENS:

   1. A)Al menos cada dieciocho meses, pudiendo extenderse durante seis meses adicionales cuando concurran impedimentos de fuerza mayor no imputables a la entidad titular del sistema o sistemas de información concernidos.
   2. B)Al menos cada dos años, sin posibilidad de extensión.
   3. C)Al menos cada dos años, pudiendo extenderse durante tres meses cuando concurran impedimentos de fuerza mayor no imputables a la entidad titular del sistema o sistemas de información concernidos.
   4. D)Al menos cada doce meses, pudiendo extenderse en periodos de seis meses, hasta un máximo de treinta y seis cuando concurran impedimentos de fuerza mayor no imputables a la entidad titular del sistema o sistemas de información concernidos.
   Ver la respuesta

   Respuesta correcta: C) Al menos cada dos años, pudiendo extenderse durante tres meses cuando concurran impedimentos de fuerza mayor no imputables a la entidad titular del sistema o sistemas de información concernidos., según la plantilla definitiva del INAP.

   «El plazo de dos años señalado en los párrafos anteriores podrá extenderse durante tres meses cuando concurran impedimentos de fuerza mayor no imputables a la entidad titular del sistema o sistemas de información concernidos.»

Qué entra en el tema y cómo se ha preguntado: Tema 21 Gestión de Sistemas e Informática: auditoría informática