Examen Auditor

Nombre: ____________________________

Identificación: ___________________

Cargo:

Fecha: __________________________

____________________________

1. La Auditoría de Tercera parte es: a) b) c) d) e)

Una auditoría interna Una auditoría por un cliente o por un comprador Una auditoría por un organismo independiente debidamente acreditado. Todas las anteriores Ninguna de las Anteriores.

2. Esta norma internacional específica todos los requisitos para establecer, implementar, operar, hacer seguimiento, revisar, mantener y mejorar un Sistema de gestión de la información: a) b) c) d) e)

ISO/IEC 27000:2016 ISO/IEC 27001:2013 ISO/IEC 27006:2015 Ninguna de las anteriores Todas las anteriores

3. El uso sistemático de la información para identificar las fuentes y estimar el riesgo, se denomina: a) b) c) d) e)

Aceptación del riesgo Análisis de riesgos Evaluación del riesgo Gestión del riesgo Ninguna de las Anteriores.

4. El documento que describe los objetivos de control, los controles pertinentes y aplicables para el SGSI de la organización, se denomina: a) b) c) d) e)

Política del SGSI Declaración de aplicabilidad Inventario de activos Todas las Anteriores Ninguna de las Anteriores.

5. Si en la auditoría, el auditado manifiesta que existe exclusión en un requisito de la norma, el auditor debe: a) Solicitar evidencia de la exclusión manifestada, donde se corrobore que los riesgos asociados han sido aceptados apropiadamente por las personas responsables. b) Concluir que existen exclusiones en el SGSI c) Continuar la auditoria y pasar por alto este punto d) Todas las anteriores e) Ninguna de las anteriores. 6. La organización debe asegurar que todo el personal al que se le asignen responsabilidades definidas en el SGSI sea competente para realizar las tareas exigidas, mediante: a) El establecimiento de funciones y responsabilidades de la seguridad de la información b) Brindando los recursos suficientes para establecer, implementar, operar, hacer seguimiento, revisar, mantener y mejorar un SGSI. c) La determinación de las competencias necesarias para el personal que ejecute el trabajo que afecta el SGSI d) Ninguna de las anteriores e) Todas las anteriores. 7. El plan de auditoria debe contemplar en su contenido todos los siguientes elementos: a) Fecha de auditoria, nombre de la empresa auditada, auditor(es), observador(es), objetivo de la auditoria, alcance, no conformidades identificadas en ejercicios anteriores, ubicación de los auditados, normas de seguridad necesarias y horario designado para entrevistas. b) Fecha de auditoria, nombre de la empresa auditada, auditor(es), observador(es), objetivo de la auditoria, alcance, ubicación de los auditados, normas de seguridad necesarias y horario designado para entrevistas c) Fecha de auditoria, nombre de la empresa auditada, auditor(es), observador(es), representante legal de la organización o gerente, objetivo de la auditoria, alcance, ubicación de los auditados, normas de seguridad necesarias y horario designado para entrevistas d) Fecha de auditoria, nombre de la empresa auditada, auditor(es), observador(es), objetivo de la auditoria, alcance, ubicación de los auditados, normas de seguridad necesarias, horario designado para entrevistas y soporte de la asignación de recursos asignados para el ejercicio.

8. Indique el numeral o numerales de la Norma que son aplicables a la Siguiente expresión: “La organización debe implementar el plan de tratamiento de riesgos de seguridad de la información”. Esto está indicado en el numeral__________8.3______ 9. Indique el numeral o numerales de la Norma que son aplicables a la siguiente expresión: “La organización debe definir y aplicar un proceso de tratamiento de riesgos de la seguridad de la información para:”. Esto está indicado en el numeral ____6.1.2_______________ 10. Según la Norma “La organización debe determinar la necesidad de comunicaciones internas y externas pertinentes al sistema de gestión de seguridad de la información.”. Esto está indicado en el numeral ______7.4_____________ 11. Si en el ejercicio de una auditoria evidencia la falta de tres elementos a considerar en el registro de la revisión gerencial y el auditado argumenta no haberlos tenido en cuenta. Clasifique y redacte el hallazgo. a) b) c) d)

No Conformidad Mayor No conformidad Menor Observación No es un hallazgo de auditoria

Redacte el hallazgo: No se evidencia dentro de la revisión gerencial realizada, la identificación de los elementos de XXXXXX; de acuerdo con lo establecido en el numeral 9.3 de la Norma ISO/IEC 27001:2013 12. Si en el ejercicio de etapa dos de una auditoria luego de evidenciar una no conformidad al siguiente día los auditados presentan evidencias con las que podrían cerrar la no conformidad la acción a tomar es: a) b) c) d)

Eliminar la no conformidad evidenciada de la lista de chequeo Comunicarse con el auditor líder Realizar un acta firmada por el auditado donde se elimina la no conformidad Mantener la no conformidad y reportarla en el informe para el posterior cierre por el auditado.

13. Si en el ejercicio de la auditoria se evidencia que se excluyó el control A.6.2.1 Política para dispositivos móviles pero en el transcurso de la misma, se identifica el acceso a redes y repositorios de la organización a través de smartphones y tablets de los responsables del proceso comercial y de compras. Establezca la acción a seguir. a) b) c) d)

No Conformidad Mayor No conformidad Menor Observación No es un hallazgo de auditoria

Redacte el hallazgo:

14. Si en el ejercicio de una auditoria evidencia que los roles oficial de seguridad y director de continuidad especifican competencias que no son cumplidas mediante soportes por los titulares. Establezca la acción a seguir. a) b) c) d)

No Conformidad Mayor No conformidad Menor Observación No es un hallazgo de auditoria

Redacte el hallazgo:

15. Si en el ejercicio de una auditoria evidencia que la organización no cuenta con un control de acceso electrónico en la puerta principal de acceso a sus instalaciones. Establezca la acción a seguir. a) b) c) d)

No Conformidad Mayor No conformidad Menor Observación No es un hallazgo de auditoria

Redacte el hallazgo: