[{ "origin" : "KyMAN", "sources" : [], "title" : "Específico - Tema 28 - ENS - Variables", "group" : "kyman_examen_t28", "group_variables" : { "auditoria_utiles" : ["list", [ "los criterios", "los métodos de trabajo", "la conducta", "la normalización nacional", "la normalización internacional" ]], "auditoria_elementos" : ["list", [ "los criterios medológicos utilizados", "el alcance", "el objetivo", "los datos de las conclusiones", "los hechos para las conclusiones", "las observaciones de las conclusiones" ]], "audotoria_deficiencias_altas" : ["list", [ "el tratamiento de informaciones", "la prestación de servicios", "la total operación del sistema" ]], "ccn_cert_superior" : ["list", [ "las capacidades de respuesta a cincidencias de seguridad que pueda tener cada administración pública", "la función de coordinación a nivel internacional", "la función de coordinación a nivel nacional" ]], "operador_incidencia_defensa" : ["list", [ "analizar si pudiera haber impacto {mix:o,en el funcionamiento del Ministerio de Defensa|en la operatividad de las Fuerzas Armadas}", "poner en conocimiento de la incidencia a su CSIRT de referencia" ]], "ccn_cert_post_incidente" : ["list", [ "determinar técnicamente el riesgo de reconexión de los sistemas afectados", "indicar los procedimeintos a seguir para la reconexión de sistemas afectados", "indicar las salvaguardas a implementar para la reconexión de sistemas afectados" ]], "reconexiones_condiciones" : ["list", [ "la normativa que regula la continuidad de los sistemas de información implicados en la seguridad pública", "la normativa que regule la continuidad de los sistemas de información militares implicados en la Defensa Nacional que requieran la participación del {ESPDEF_CERT}", "la necesidad de un informe de superficie de exposición del {CCN_CERT} cara un riesgo asumible" ]], "ccn_cert_servicios" : ["list", [ "{mix:y,soporte|coordinación} para {mix:y,el tratamiento de vulnerabilidades|la resolución de incidentes de seguriguridad}{rand:| que tengan las entidades del ámbito de aplicación del {ens}}", "{mix:y,investigación|divulgación} de las mejores prácticas sobre seguridad de la información{rand:| entre todos los miembros de las entidades del sector público}", "formación destinada al personal del sector público especialista en el campo de la seguridad de las tecnologías de la información", "información sobre {mix:y,vulneravilidades|alertas|avisos} de nuevas amenazas a los sistemas de información" ]], "ccn_cert_accesos" : ["list", [ "recabar informes", "recabar registros de auditoría", "recabar configuraciones de los sistemas afectados", "cualquier información que se considere relevante", "soportes informáticos que se estimen necesarios para la investigación del incidente de los sistemas afectados" ]] }, "queries" : [] }, { "origin" : "KyMAN", "sources" : [], "title" : "Específico - Tema 28 - ENS", "group" : "kyman_examen_t28_b", "queries" : [] }, { "origin" : "KyMAN", "sources" : [], "title" : "Específico - Tema 28 - ENS - Normativas", "group" : "kyman_examen_t28", "queries" : [{ "question" : "¿En base a cuáles de las siguientes opciones se realizará la auditoría que verifique el cumplimiento de los requerimientos del {ens} según el Apartado 2 del Artículo 31 del Capítulo {ens_civ} del mismo {RD}?", "rights" : ["{Select:1-2,y,a la categoría del sistema|al perfil de cumplimiento específico}."] }, { "question" : "¿En cuales de las siguientes opciones se dispone los criterios para la realización de una auditoría que verifique el cumplimiento de los requerimientos del {ens} según el Apartado 2 del Artículo 31 del Capítulo {ens_civ} del mismo {RD}?", "rights" : ["{Select:1-2,y,en lo dispuesto en el Anexo {select:1-2,y,{ens_ai}|{ens_aiii}}|En la Instrucción Técnica de Seguridad de Auditoría de la Seguridad de los Sistemas de Información}."] }, { "question" : "¿Cuáles de la siguientes opciones se utilizará para la realización de una auditoría que verifique el cumplimiento de los requerimientos del {ens} según el Apartado 3 del Artículo 31 del Capítulo {ens_civ} del mismo {RD}?", "rights" : ["{Select:1-5,y,list:auditoria_utiles}."] }, { "question" : "¿Qué deberá dictaminar la auditoría que verifique el cumplimiento de los requerimientos del {ens} según el Apartado 4 del Artículo 31 del Capítulo {ens_civ} del mismo {RD}?", "rights" : ["El grado de cumplimiento del {RD} identificando los hallazgos de {mix:y,cumplimiento|incumplimiento} detectados."] }, { "question" : "¿Cuáles de las siguientes opciones deberá incluir el informe de auditoría que verifique el cumplimiento de los requerimientos del {ens} según el Apartado 4 del Artículo 31 del Capítulo {ens_civ} del mismo {RD}?", "rights" : ["{Select:1-6,y,auditoria_elementos}."] }, { "question" : "En caso de deficiencias de eventual gravedad en un sistema de categoría alta según el Apartado 6 del Artículo 31 del Capítulo {ens_civ} del {ens}. ¿Cuáles de las siguientes opciones estará habilitado para suspender temporalemente el responsable del sistema mientras no se establezcan las adecuadas medidas de {mix:o,subsanación|mitigación}?", "rights" : ["{Select:list:audotoria_deficiencias_altas}."] }, { "question" : "¿En qué casos, un responsable de sistema puede suspender temporalmente {rand:list:audotoria_deficiencias_altas} según el Apartado 6 del Artículo 31 del Capítulo {ens_civ} del {ens}?", "rights" : ["Cuando la categoría del sistema sea Alta y sufra una eventual gravedad de deficiencias encontradas mientras éstos no se {mix:o,subsanen|mitiguen}."] }, { "question" : "¿Cómo elaborará la Comisión Sectorial de Administración Electrónica un perfil general del estado de la seguridad en las entidades titulares de los sistemas de información comprendidos en el ámbito de aplicación del Artículo 2 del Capítulo {ens_ci} del {ens} según el Apartado 1 del Artículo 32 del Capítulo {ens_civ} del mismo {RD}?", "rights" : ["Recogiendo la información relacionada con el estado de las principales variables de la seguridad en los sistemas de información a los que se refiere el mismo {RD}."] }, { "question" : "Cara la información que recogerá la Comisión Sectorial de Administración Electrónica. ¿De cuáles de las siguientes opciones se encarga el {CCN} según el Apartado 2 del Artículo 32 del Capítulo {ens_civ} del {ens}?", "rights" : ["{Select:1-4,y,de la recogida|de la consolidación|del tratamiento|de la explotación}}."] }, { "question" : "¿Cuáles de las siguientes opciones son herramientas que usarán las autoridades competentes para impulsar las medidas oportunas para facilitar la mejora continua del estado de la seguridad según el Apartado 3 del Artículo 32 del Capítulo {ens_civ} del {ens}?", "rights" : ["{Select:1-2,y,cuadros de mando|indicadores que contribuyan a la toma de decisines}."] }, { "question" : "¿Cuáles de los siguientes elementos se prioriza sobre la articulación de respuesta {CCN_CERT}, según el Apartado 1 del Artículo 33 del Capítulo {ens_civ} del {ens}?", "rights" : ["{Select:1-3,y,list:ccn_cert_superior}."] }, { "question" : "¿Qué condiciona las notificaciones sobre incidentes de seguridad al {CCN} por parte de las entidades del sector público según el Apartado 2 del Artículo 33 del Capítulo {ens_civ} del {ens}?", "rights" : [ "Que tengan un impacto significativo en la seguridad de los sistemas de información concernidos.", "Que vaya sin perjuicio de lo estipulado en el Apartado 4 del Artículo 19 del {rdl_12_2000}." ] }, { "question" : "¿Qué deberán de hacer las entidades del sector público cara el {CCN} tras un incidente que tenga un impacto significativo de la seguridad de los sistemas de información concernidos según el Apartado 2 del Artículo 33 del Capítulo {ens_civ} del {ens}?", "rights" : ["Notificarlo al {CCN}."] }, { "question" : "¿Sobre qué se apoya las notificaciones de incidencias que tengan un impacto significativo en la seguridad de los sistemas de información concernidos según el Apartado 2 del Artículo 33 del Capítulo {ens_civ} del {ens}?", "rights" : ["Ha de ir de acuerdo con la correspondiente Instrucción Técnica de Seguridad."] }, { "question" : "¿Qué sucede cuando un operador esencial que haya sido designado como crítico sufra un incidente, según el Apartado 3 del Artículo 33 del Capítulo {ens_civ} del {ens}?", "rights" : ["Los {CSIRT} de referencia se coordinarán con el Ministerio del Interior{rand:|, a través de su Oficina de Coordinación de Ciberseguridad}{rand:| siguiendo lo previsto en el Apartado 2 del Artículo 11 del {rdl_12_2018}}."] }, { "question" : "¿Sobre qué elemento se coordinarán los {CSIRT} de referencia con el Ministerio del Interior cuando un operador esencial que haya sido designado como crítico sufra un incidente, según el Apartado 3 del Artículo 33 del Capítulo {ens_civ} del {ens}?", "rights" : ["A través de su Oficina de Coordinación de Ciberseguridad."] }, { "question" : "¿Cuáles de las siguientes opciones deberá hacer un operador con incidencia en la Defensa Nacional que sufra un incidente según el Apartado 4 del Artículo 33 del Capítulo {ens_civ} del {ens}?", "rights" : ["Select:1-2,y,list:operador_incidencia_defensa}."] }, { "question" : "¿Cuáles de las siguientes opciones deberá de hacer el CSIRT de referencia de un operador con incidencia en la Defensa Nacional que sufra un incidente según el Apartado 4 del Artículo 33 del Capítulo {ens_civ} del {ens}?", "rights" : ["Informar{rand:| de la evolución de la gestión del incidente} al {ESPDEF_CERT}{rand:|, a tráves de los canales establecidos}."] }, { "question" : "¿Cuáles de las siguientes opciones son referentes al {ESPDEF_CERT} cara un operador con incidencia en la Defensa Nacional que sufra un incidente según el Apartado 4 del Artículo 33 del Capítulo {ens_civ} del {ens}?", "rights" : [ "Ser informado de la evolución de la gestión del incidente.", "Poder colaborar en la supervisión con la autoridad competente." ] }, { "question" : "¿Sobre qué materias coordinará a nivel nacional el {CCN} a los {CSIRT} según el Apartado 5 del Artículo 33 del Capítulo {ens_civ} del {ens}?", "rights" : ["{Select:1-2,y,en seguridad de las redes|sistemas de información} del sector público."] }, { "question" : "¿Cuál es el objetivo del {CCN_CERT} según el Apartado 6 del Artículo 33 del Capítulo {ens_civ} del {ens} cara {rand:list:ccn_cert_post_incidente}, entre otras acciones sobre un incidente de seguridad?", "rights" : ["Reducir el impacto{rand:|, en la medida de lo posible,} para evitar que vuelvan a darse las circunstancias que lo propiciaron."] }, { "question" : "¿Cuál es la misión de la Secretaría General de Administración Digital cara la reconexión de los {select:1-2,y,medios|servicios} que estuvieron bajo una incidencia de seguridad, según el Apartado 6 del Artículo 33 del Capítulo {ens_civ} del {ens}?", "rights" : ["Autorizar su reconexión."] }, { "question" : "¿Qué es el INCIBE-CERT?", "rights" : ["El centro de respuesta a incidentes de seguridad de referencia para {mix:y,los ciudadanos|las entidades de derecho privado} en España."] }, { "question" : "¿Qué ha de hacer el {INCIBE_CERT} tras tener una notificación de un incidente de seguridad según el Apartado 7 del Artículo 33 del Capítulo {ens_civ} del {ens}?", "rights" : ["Poner inmediatamente en conocimiento del {CCN_CERT}."] }, { "question" : "¿De dónde proviene la información sobre {select:1-3,y,vulnerabilidades|alertas|avisos} de nuevas amenazas a los sistemas de información que proporciona el {CCN_CERT} según el Apartado 1 del Artículo 34 del Capítulo {ens_civ} del {ens}?", "rights" : ["De diversas fuentes."] }, { "question" : "¿Qué ha de desarrollar el {CCN} para que las entidades del sector público puedan desarrollar sus propias capacidaqdes de respuesta a incidentes de seguridad según el Apartado 2 del Artículo 34 del Capítulo {ens_civ} del {ens}?", "rights" : ["Un programa que ofrezca {mix:y,la información|la formación|las recomendaciones|las herramientas} necesarias."] }] }, { "origin" : "KyMAN", "sources" : [], "title" : "Específico - Tema 28 - ENS - Sí y no", "group" : "kyman_examen_t28", "queries" : [{ "question" : "¿Se puede extender el periodo de realización de una auditoría que verifique el cumplimiento de los requerimientos del {ens} según el Apartado 1 del Artículo 31 del Capítulo {ens_civ} del mismo {RD}?", "rights" : ["Sí, por impedimentos de causa mayor no imputables a {mix:o,la entidad titualr del sistema|los sistemas de información concernidos}."], "brothers_are_wrongs" : true }] }, { "origin" : "KyMAN", "sources" : [], "title" : "Específico - Tema 28 - ENS - Conjuntos", "group" : "kyman_examen_t28", "queries" : [{ "question" : "¿Cuáles de las siguientes opciones ha de contener el programa del {CCN} para que las entidades del sector público puedan desarrollar sus propias capacidaqdes de respuesta a incidentes de seguridad según el Apartado 2 del Artículo 34 del Capítulo {ens_civ} del {ens}?", "rights" : ["{Select:1-4,y,la información|la formación|las recomendaciones|las herramientas} necesarias."], "brothers_are_wrongs" : true }, { "question" : "¿Cuáles de la siguientes opciones son condiciones que debe contemplar la autorización de reconexión de la Secretaría General de Administración Digital de los {select:1-2,y,medios|servicios} que estuvieron bajo una incidencia de seguridad, según el Apartado 6 del Artículo 33 del Capítulo {ens_civ} del {ens}?", "rights" : ["{Select:1-3,y,list:reconexiones_condiciones}."], "brothers_are_wrongs" : true }, { "question" : "¿En cuáles de los siguientes casos participará la Intervención General de la Administración del Estado en la autorización de reconexión de los {select:1-2,y,medios|servicios} que estuvieron bajo una incidencia de seguridad, según el Apartado 6 del Artículo 33 del Capítulo {ens_civ} del {ens}?", "rights" : ["Cuándo {select:1-2,y,un medio|un servicio} común en el incidente tenga ámbito de responsabilidad en la Intervención General de la Administración del Estado."], "brothers_are_wrongs" : true }, { "question" : "¿Cuáles de las siguientes opciones son condiciones que regulan la notificación de incidentes de seguridad al {INCIBE-CERT} según el Apartado 7 del Artículo 33 del Capítulo {ens_civ} del {ens}?", "rights" : [ "Las competencias de las organizciones del sector privado que presten servicios al sector público afectadas.", "Lo previsto en los Artículos 9, 10, y 11 del {rd_43_2021}." ], "brothers_are_wrongs" : true }, { "question" : "¿Cuáles de las siguientes opciones son servicios que presta el {CCN_CERT} según el Apartado 1 del Artículo 34 del Capítulo {ens_civ} del {ens}?", "rights" : ["{Select:1-4,y,list:ccn_cert_servicios}."], "brothers_are_wrongs" : true }, { "question" : "¿Cuáles de las siguientes opciones son objetivo de la formación que proporciona el {CCN_CERT} según el Apartado 1 del Artículo 34 del Capítulo {ens_civ} del {ens}?", "rights" : ["{Select:1-2,y,actualizar conocimientos|lograr la {select:1-2,y,sensibilización|mejora de sus capacidades} para la {select:1-3,y,prevención|detección|gestión} de incidentes}."], "brothers_are_wrongs" : true }, { "question" : "¿Cuáles de las siguientes opciones son elementos que nos ofrecen los {CCN_STIC} según el Apartado 1 del Artículo 34 del Capítulo {ens_civ} del {ens}?", "rights" : ["{Select:1-5,y,normas|instrucciones|guías|recomendaciones|mejores prácticas} para aplicar el {ens}."], "brothers_are_wrongs" : true }, { "question" : "¿Cuáles de las siguientes opciones son fines de los {CCN_STIC} según el Apartado 1 del Artículo 34 del Capítulo {ens_civ} del {ens}?", "rights" : ["Garantizar la seguridad de los sistemas de información del ámbito de aplicación de este {RD}."], "brothers_are_wrongs" : true }, { "question" : "¿Cuáles de las siguientes opciones podrá hacer el {CCN_CERT} según el Apartado 1 del Artículo 34 del Capítulo {ens_civ} del {ens}?", "rights" : ["{Select:1-5,y,list:ccn_cert_accesos}."], "brothers_are_wrongs" : true }, { "question" : "¿Cuáles de las siguientes opciones le condiciona al {CCN_CERT} el poder {rand:list:ccn_cert_accesos} según el Apartado 1 del Artículo 34 del Capítulo {ens_civ} del {ens}?", "rights" : [ "Lo dispuesto en la normativa de protección de datos que resulte de aplicación.", "La posible confidencialidad de los datos de carácter {select:1-2,o,institucional|organizativo}." ], "brothers_are_wrongs" : true }] }, { "origin" : "KyMAN", "sources" : [], "title" : "Específico - Tema 28 - ENS - Órganos", "group" : "kyman_examen_t28", "queries" : [] }, { "origin" : "KyMAN", "sources" : [], "title" : "Específico - Tema 28 - ENS - Tiempos", "group" : "kyman_examen_t28", "queries" : [{ "question" : "¿Cada cuánto tiempo ha de gestionarse una auditoría que verifique el cumplimiento de los requerimientos del {ens} según el Apartado 1 del Artículo 31 del Capítulo {ens_civ} del mismo {RD}?", "rights" : [ "{Cap:{rand:|al menos, }una} cada dos años.", "Cada vez que se produzcan modificaciones sustanciales en los sistemas de información que puedan repercutir en las medidas de seguridad requeridas." ], "brothers_are_wrongs" : true }, { "question" : "¿Desde cuándo se produce el conteo de los 2 años para la realización de una auditoría que verifique el cumplimiento de los requerimientos del {ens} según el Apartado 1 del Artículo 31 del Capítulo {ens_civ} del mismo {RD}?", "rights" : ["A partir de su última realización, independientemente de que ésta halla sido {select:1-2,o,extraordinaria|extendida}."], "brothers_are_wrongs" : true }, { "question" : "¿Cuál es el tiempo máximo de extensión del periodo de realización de una auditoría que verifique el cumplimiento de los requerimientos del {ens} según el Apartado 1 del Artículo 31 del Capítulo {ens_civ} del mismo {RD}?", "rights" : ["3 meses."], "brothers_are_wrongs" : true }, { "question" : "¿Cuál es el tiempo que puede demorar el {CCN_CERT} en proporcionar su servicio {select:1-2,y,de apoyo técnico|de coordinación} ante una notificación de un incidente de seguridad según el Apartado 1 del Artículo 34 del Capítulo {ens_civ} del {ens}?", "rights" : ["El mínimo posible."], "brothers_are_wrongs" : true }] }]