la certificación CISSP destaca como la insignia de los expertos en seguridad de sistemas de información. Esta guía rápida proporciona una hoja de ruta estratégica para prepararte y enfrentar con confianza el examen CISSP en 2024. Desde los dominios clave hasta las mejores prácticas de estudio, exploraremos cómo superar este desafío y alcanzar la prestigiosa certificación CISSP.

Ha tomado una decisión inteligente al aspirar a CISSP como su próxima certificación, pero el gran volumen de materiales de estudio de CISSP puede resultar intimidante. Las guías de estudio del CISSP también pueden resultar abrumadoras. Además, el examen CISSP es largo y necesita un breve resumen que le ayude a recordar cómo unir todos los conceptos del examen.

La buena noticia es que ha venido al lugar correcto: esta hoja de referencia de CISSP es el breve resumen que necesita. Hemos elaborado una hoja de ruta con las mejores ideas para ayudarle a afrontar esta desafiante certificación. Destaca los conceptos que son la base de los demás conceptos.

¿Te gustaría enterarte de cuando lanzamos descuentos al Máximo o Nuevos Cursos?

¿Qué es la Certificación CISSP?

Profesional certificado en seguridad de sistemas de información – Certified Information Systems Security Professional  ( CISSP ) es una certificación de seguridad de la información muy solicitada desarrollada por (ISC) 2 , una abreviatura de la organización sin fines de lucro “Consorcio Internacional de Certificación de Seguridad de Sistemas de Información”.

Para obtener la certificación CISSP, debe:

  1. Aprobar el examen CISSP para convertirse en Asociado;
  2. Presentar la documentación requerida que demuestre que tiene experiencia laboral acumulada remunerada a tiempo completo de cinco años, o cuatro años más prueba de haber obtenido un título terciario de cuatro años o una credencial aprobada (ISC) 2 ; y
  3. Obtenga el respaldo de un miembro de (ISC) 2 .

Encuentre los detalles sobre los requisitos de experiencia laboral de CISSP aquí .

El siguiente diagrama ilustra los ocho dominios del Cuerpo Común de Conocimientos (CBK) de CISSP. 

A continuación se ofrece una descripción general de los dos formatos de examen CISSP disponibles:

FORMATO DE EXAMENDINÁMICA; PRUEBAS ADAPTATIVAS COMPUTARIZADAS (CAT)LINEAL; FORMA FIJA
Idioma(s) disponible(s)✔ Inglés✔ Francés
✔ Alemán
✔ Brasileño
✔ Portugués
✔ Español (moderno)
✔ Japonés
✔ Chino simplificado
✔ Coreano
Duración (horas)3–46
Numero de preguntas125-175250
¿Puedo cambiar las respuestas a preguntas anteriores?No

La nota aprobatoria es 700 sobre 1000 y solo puede realizar el examen en una computadora a través de Pearson VUE. El examen consta de preguntas de opción múltiple (cuatro opciones, una respuesta correcta) y basadas en escenarios. Como CISSP es un examen largo, los candidatos pueden tomar descansos pero no recibirán compensación en forma de tiempo adicional de examen.
Recuerde recoger la Guía definitiva y el Plan de acción del examen CISSP de (ISC) 2 .

Seguridad y gestión de riesgos

Este dominio es la base para todos los demás dominios y cubre la mitigación de riesgos fundamentales, cuestiones legales y regulatorias, ética profesional y conceptos de seguridad en un contexto organizacional.

CONCEPTOELABORACIÓN
CIAConfidencialidad, Integridad, Disponibilidad
DADDivulgación, alteración, destrucción
IAAAIdentificación y Autenticación, Autorización y Responsabilidad
Privilegios mínimosAcceso mínimo necesario
Necesito saberDatos suficientes para hacer su trabajo
No repudioNo se puede negar haber hecho algo.
PCI-DSSEstándar de seguridad de datos de la industria de tarjetas de pago
OCTAVEEvaluación de amenazas, activos y vulnerabilidades operativamente críticas
FRAPProceso de análisis de riesgos facilitado
COBITObjetivos de control para tecnologías de la información y relacionadas
COSOComité de Organizaciones Patrocinadoras
ITILBiblioteca de infraestructura de tecnología de la información
ISMSSistema de gestión de seguridad de la información.
ISOOrganización Internacional de Normalización
IECComisión Electrotécnica Internacional
Serie ISO/IEC 27000Estándares internacionales sobre cómo desarrollar y mantener un SGSI desarrollado por ISO e IEC
Defensa en profundidad/Defensa en capas/Defensa cebollaMúltiples controles de seguridad superpuestos para proteger los activos
Responsabilidad¿Quién debe rendir cuentas? Los ejecutivos de nivel C (alto liderazgo/gerencia) son en última instancia responsables
Cuidado necesarioImplementación de prácticas de seguridad y parches
Ayuda para la memoria: hacer lo correcto
Debida diligenciaComprobación de vulnerabilidades
Ayuda de memoria: detectar
NegligenciaLo contrario del debido cuidado, sin el cual usted puede ser responsable
GDPRReglamento General de Protección de Datos
Pruebas admisibles ante el tribunal• Relevante
• Completo
• Suficiente/creíble
• Confiable/preciso
HIPAALey de Responsabilidad y Portabilidad del Seguro de Salud
ECPALey de Privacidad de las Comunicaciones Electrónicas
LEY PATRIOTA DE EE.UU.Legislación de 2001 que amplía el seguimiento electrónico de las fuerzas del orden.
CFAALey de Abuso y Fraude Informático: Título 18, Sección 1030 para el procesamiento de delitos informáticos
GLBALey Gramm-Leach-Bliley
SOXLey Sarbanes-Oxley (2002)
Red team, blue team, purple team, etc.(Consulte el gráfico a continuación)

¿Qué significan términos como “equipo rojo” y “equipo azul” en las pruebas de penetración?

Los colores primarios rojo, azul y amarillo se refieren a atacantes, defensores y constructores de un sistema, respectivamente. Los colores secundarios son combinaciones de estos roles. Por ejemplo, los miembros del equipo morado tienen funciones duales de ataque y defensa. El equipo blanco supervisa el hack.

Seguridad de activos

Los conceptos clave que involucran datos e información están aquí.

CONCEPTOELABORACIÓN
Los datos en reposoEn el almacenamiento de la computadora
Datos en uso/procesamientoEn la RAM a la que se accede
Datos en tránsito/movimientoViajar por cables o transmitir de forma inalámbrica
DRMGestión de derechos digitales
CASBAgente de seguridad de acceso a la nube
DLPPrevención de pérdida de datos
Destrucción suavePreservar el hardware de almacenamiento
Destrucción física totalDestruir el hardware de almacenamiento

Arquitectura e Ingeniería de Seguridad

Aquí nos centramos en los métodos más importantes para proteger nuestros activos. 

Arquitectura y diseño seguros

Un sistema/red informático bien diseñado puede disuadir muchos ataques.

CONCEPTOELABORACIÓN
marco de zachman• Qué/datos, Cómo/función, Dónde/red, Quién/personas, Cuándo/tiempo y Por qué/motivación
• Planificador, Propietario, Diseñador, Constructor, Implementador y Trabajador
TOGAFEl marco de arquitectura de grupo abierto
DoDAFMarco de arquitectura del Departamento de Defensa
MODAFMarco arquitectónico del Ministerio de Defensa
SABSAArquitectura de seguridad empresarial aplicada de Sherwood
El libro rojoInterpretación de red confiable (TNI); parte de una serie de arcoiris
El libro naranjaLos criterios de evaluación de sistemas informáticos confiables (TCSEC); parte de una serie de arcoiris
Hipervisor tipo 1Metal desnudo o nativo
Hipervisor tipo 2Máquina virtual tipo aplicación en el sistema operativo
IaaSInfraestructura como un servicio
PaaSPlataforma como servicio
SaaSSoftware como servicio

Criptografía

“Un sistema criptográfico debe ser seguro incluso si todo lo relacionado con el sistema, excepto la clave, es de conocimiento público”.—Auguste Kerckhoffs, criptógrafo

CONCEPTOELABORACIÓN
cifrado simétricoTransmisión:
• Bloque RC4
:
• DES
• Blowfish
• 3DES
Consideraciones:
• longitud de la clave
• tamaño del bloque
• número de rondas
cifrado asimétricoEjemplos:
• Intercambio de claves Diffie-Hellman
• RSA
• Criptografía de curva elíptica
HashingProceso unidireccional y determinista de transformar una cadena de caracteres en otra.
SaltingCaracteres añadidos a una cadena (por ejemplo, contraseña) antes del hash
esteganografíaOcultar datos dentro de otros datos
CuánticoExplotar la mecánica cuántica
Post-cuánticoSeguro contra el criptoanálisis por computadora cuántica
Ataque de fuerza brutaProbar combinaciones de caracteres
Variante: rociar (probar la misma contraseña en diferentes cuentas)
Ataque de diccionarioUsar listas de contraseñas probables
Rainbow tablesUsar hashes de contraseña precalculados
Key stretchingMétodo que fortalece las contraseñas débiles

Seguridad física

Una medida de seguridad física determinada puede clasificarse en una o más de las siguientes categorías.

TIPO DE CONTROLELABORACIÓN
PreventivoPara prevenir ataques, p. ej. vallas altas, puertas cerradas, bolardos
detectivOPara detectar ataques, por ejemplo, CCTV, alarmas
DisuasorioPara obstruir un ataque, por ejemplo, vallas, guardias de seguridad, perros, luces, señales de advertencia.
compensandoPara compensar otros controles, por ejemplo, cerraduras, alarmas, sensores, amortiguadores en el centro de datos.
AdministrativoCumplimiento, políticas, procedimientos, formación del personal, etc.

Seguridad de comunicaciones y redes

Aquí, cubrimos conceptos de redes y comunicaciones que merecen revisión y cómo proteger dichos canales.

CONCEPTOELABORACIÓN
simplexcomunicación unidireccional
Half-duplexEnviar/recibir uno a la vez solamente
Full-duplexEnviar/recibir simultáneamente
Banda baseUn canal, envía una señal a la vez
Ejemplo: Ethernet
Banda anchaMúltiples canales, envía/recibe muchas señales a la vez
modelo OSIInterconexión de sistemas abiertos:
1. Físico
2. Enlace de datos
3. Red
4. Transporte
5. Sesión
6. Presentación
7. Aplicación

Ayuda para la memoria: Please Do Not Throw Sausage Pizza Away – Por favor, no tire la pizza de salchicha =)
ARPprotocolo de resolucion de DIRECCION
NATTraducción de Direcciones de Red
PATTraducción de direcciones de puertos
DHCPprotocolo de configuración huésped dinámico
PANAProtocolo para llevar autenticación para acceso a la red
SLIPProtocolo de Internet de línea serie
DMZZona desmilitarizada (subred apantallada):
• Red externa
• Enrutador externo
• Red perimetral
• Enrutador interno
• Red interna

Obtenga más información sobre puertos y protocolos con nuestra: Guía Rápida de Puertos y Protocolos

Gestión de identidades y accesos (IAM)

Este dominio comprende controles lógicos y físicos, servicios relacionados con la identidad y ataques de control de acceso.

CONCEPTOELABORACIÓN
2FAAutenticación de dos factores
FRRTasa de falso rechazo
FARTasa de aceptación falsa
CER/EER Tasa de error cruzado/tasa de error igual
IDaaSIdentidad como servicio
KerberosProtocolo de autenticación basado en tickets
SESAMESistema europeo seguro para aplicaciones en un entorno de múltiples proveedores
RADIUSServicio de usuario de acceso telefónico de autenticación remota
TACACSControlador de acceso al terminal Sistema de control de acceso
XTACACSTACACS con procesos separados de autenticación, autorización y auditoría
TACACS+XTACACS más 2FA
DiameterComo RADIUS y TACACS+ con más flexibilidad
PAPProtocolo de autenticación de contraseña
CHAPProtocolo de autenticación por desafío mutuo

Evaluación y pruebas de seguridad

Las pruebas de penetración (petesting) entran dentro de este dominio que, al ser mucho más amplio, abarca pruebas de estrés técnicas y reportes de vulnerabilidades a miembros no técnicos de la organización.

CONCEPTOELABORACIÓN
Pruebas estáticasProbar pasivamente el código pero no ejecutarlo
Pruebas dinámicasCódigo de prueba durante la ejecución
Fuzzing (prueba de fuzz)Ingrese caracteres aleatorios y espere resultados falsos
Pruebas de penetración (pentesting)Explotar activamente las vulnerabilidades
Caja negra/gris/blancaPentesting cero/parcial/de conocimientos extensivos
SOCControles de organización de servicios: 1, 2 y 3

Operaciones de seguridad

Este dominio enfatiza los aspectos de seguridad de la información en gestión, prevención, recuperación y análisis forense digital.

CONCEPTOELABORACIÓN
BCPPlan de negocios continuo
BIAAnálisis de Impacto del Negocio
COOPContinuidad de operaciones
DRPPlan de recuperación en un desastre
MTBFTiempo medio entre fallos
MTTFTiempo medio hasta el fracaso
MTTRTiempo estimado o promedio para reparar
RTOObjetivo de tiempo de recuperación
RPOObjetivo del punto de recuperación
SIEMInformación de seguridad y gestión de eventos.
NDAAcuerdo de no divulgación
PAMCuenta privilegiada/Gestión de acceso
UEBAAnálisis del comportamiento de usuarios y entidades
Database ShadowingCopias exactas en tiempo real de bases de datos/archivos en otra ubicación
Electronic Vaulting (E-vaulting)Realice copias de seguridad remotas a ciertos intervalos o cuando los archivos cambien
Registro remotoEnvía archivos de registro de transacciones a una ubicación remota, no los archivos en sí
Formas de minimizar las amenazas internas• Mínimo privilegio
• Necesidad de saber
• Separación de funciones
• Rotación de trabajo
• Vacaciones obligatorias
Forense digitalProceso:
• Identificación
• Preservación
• Recolección
• Examen
• Análisis
• Presentación en Tribunal
• Decisión judicial
• Prueba real
• Integridad de la evidencia
• Cadena de custodia (para acreditar la integridad de los datos)
○ ¿Quién los manejó?
○ ¿Cuándo lo manejaron?
○ ¿Qué hicieron con él?
○ ¿Dónde lo manejaron?
Datos forenses basados ​​en disco• Espacio asignado
• Espacio no asignado
• Espacio disponible
• Bloques/clústeres/sectores defectuosos

* Este paso es solo para entornos laborales del mundo real. Está fuera del plan de estudios del examen CISSP, pero en la práctica, cuanto más equipa una organización a su equipo para incidentes de seguridad, mejor maneja los problemas y más rápido se recupera de ellos.

Seguridad del desarrollo de software

La incorporación de controles de seguridad en aplicaciones de software es una nueva práctica recomendada en ciberseguridad, y un CISSP necesita saber cómo proteger el software durante su desarrollo.

CONCEPTOELABORACIÓN
SDSSeguridad definida por software
EULAAcuerdo de licencia de usuario final
SDLCCiclo de vida del desarrollo de software:
• Planificación
• Definición
• Diseño
• Construcción
• Pruebas
• Implementación
CI/CDIntegración continua/Continuo [Entrega/Implementación/Desarrollo]
DevOpsCooperación entre desarrollo, operaciones y garantía de calidad.
DevSecOpsDevOps más seguridad
Metodologías de desarrollo de software• Cascada
• Sashimi
• Ágil
• Scrum
• Programación extrema (XP)
• Espiral
• Desarrollo rápido de aplicaciones (RAD)
• Creación de prototipos
ORBEAgente de solicitud de objetos
CORBAArquitectura de agente de solicitud de objetos comunes
ACID modelAtomicidad, consistencia, aislamiento y durabilidad
OWASPProyecto abierto de seguridad de aplicaciones web; identifica las principales vulnerabilidades
CSRF/XSRFFalsificación de solicitudes entre sitios
XSSSecuencias de comandos entre sitios
TOC/TOUHora de verificación/hora de uso
SOAROrquestación, automatización y respuesta de seguridad
Experto en SistemasSistema informático que emula la capacidad de toma de decisiones humana
ANNRedes neuronales artificiales
GPProgramación genética

Preguntas frecuentes

¿Puedo aprobar el examen CISSP en tres meses?

Sí, dependiendo de tu nivel de experiencia. Si es nuevo en las certificaciones (ISC) 2 , espere que su preparación dure tres meses o más. Si tiene experiencia práctica, eso puede afectar el tiempo que necesita. Siendo un profesional de seguridad de TI experimentado (más de 10 años), es más probable que lo apruebe con menos tiempo de estudio.

¿Es difícil el examen CISSP?

Absolutamente. Este examen es desafiante y abarca mucho material. Aún así, es un rito de iniciación importante para aquellos que aspiran a ingresar a la gerencia media o superior para implementar políticas de seguridad de la información.

¿Cuál es la tasa de aprobación de CISSP?

(ISC) 2 no proporciona información sobre la tasa de aprobación a los proveedores de capacitación de CISSP. Nuestro consejo es prepararse bien, hacer lo mejor que pueda y tener un plan sólido para retomar CISSP en caso de reprobar (un plan de estudio que programe su tiempo, tome un descanso y vuelva a intentarlo).

¿Por qué la gente fracasa en CISSP?

CISSP requiere que usted responda como si fuera un gerente y asesor de riesgos en un lugar de trabajo ideal que prioriza la seguridad de la información en lugar de como un ejecutivo o un técnico práctico en un escenario del mundo real. Los abogados suelen sobresalir en CISSP porque no interpretan sus suposiciones en las preguntas.

¿Puede un principiante tomar CISSP?

Sí. Los principiantes pueden realizar el examen si se han preparado para la pronunciada curva de aprendizaje y proceden a cumplir con todos los requisitos de acreditación en los próximos seis años. Se convertirán en asociados de (ISC) 2 , pero solo podrán anunciarse como CISSP después de acumular los años requeridos de experiencia laboral que se describen aquí .

¿CISSP aumenta el salario?

Sí, lo hace. En enero de 2023, ZipRecruiter y PayScale estiman que los CISSP en los Estados Unidos tienen ganancias anuales de $130,185 y $123,000, respectivamente. Esta página (ISC) 2 tiene más información sobre los salarios de CISSP.

¿Cuántas veces puedes fallarle a CISSP?

(ISC) 2 aquí.

¿Es CISSP como una maestría?

Curiosamente, sí, gracias a su rigor y a las amplias bases de conocimiento que cubre. Aquí hay un comunicado de prensa de (ISC) 2 con una explicación detallada.

Conclusión

Al cerrar esta Guía Rápida para el examen de CISSP 2024, hemos trazado un camino sólido hacia el éxito en la seguridad de sistemas de información. Desde el análisis de riesgos hasta la gestión de la seguridad, hemos abordado los temas esenciales para la certificación CISSP. Con una preparación sólida y un enfoque estratégico, los profesionales pueden estar seguros de que están listos para enfrentar y superar los rigores de este examen crucial.

Esperamos que esta hoja de referencia para el examen CISSP proporcione una visión general del programa de estudios de CISSP, acelere su viaje en materia de seguridad cibernética y le ayude a realizar sus ambiciones profesionales. Le deseamos todo lo mejor en su examen CISSP y más allá.

La Certificación EJPT v2 (Ethical Junior Penetration Tester)

Si estas buscando una certificación para iniciarte podes optar por EJPT v2: La Certificación EJPT v2 es Un Camino hacia la Maestría en Pentesting Web.

La Certificación EJPT v2 (Ethical Junior Penetration Tester) emerge como un faro para aquellos que buscan dominar el arte del hacking ético y la seguridad informática. ¿Te atreves a explorar las profundidades del Pentesting Web? La Certificación EJPT v2 es tu pasaporte a un mundo de seguridad digital.

Si quires aprender todo lo necesario y de forma práctica para aprobar el examen te recomendamos iniciar por este curso: Prepara la Certificación EJPT v2. La primera Certificación para ser un Hacker es la EJPT, te enseñamos todo lo que necesitas saber para pasar el examen.

Asegura tu lugar en la vanguardia de la seguridad digital con esta certificación de élite. La Certificación EJPT v2 no solo te certifica; te empodera para ser un líder en el dinámico campo del Pentesting Web. ¡Prepárate para desbloquear un mundo de posibilidades en ciberseguridad!

Si quires aprender todo lo necesario y de forma práctica para aprobar el examen te recomendamos iniciar por este curso: Prepara la Certificación EJPT v2 La primera Certificación para ser un Hacker es la EJPT, te enseñamos todo lo que necesitas saber para pasar el examen.

Prepara la Certificación EJPT v2, con practica del Examen

La primera Certificación para ser un Hacker es la EJPT, te enseñamos todo lo que necesitas saber para pasar el examen.

La certificación eLearnSecurity Junior Penetration Tester (eJPT v2) es una excelente opción para aquellos que buscan adentrarse en el mundo de la ciberseguridad y, específicamente, en el campo de las pruebas de penetración. Rendir la certificación eJPT v2 ofrece varios beneficios para los profesionales y aquellos que buscan ingresar al campo:

Beneficios para los profesionales

  1. Desarrollo de habilidades prácticas: A diferencia de otras certificaciones, la eJPT v2 se enfoca en proporcionar una experiencia práctica y práctica en pruebas de penetración. Los estudiantes trabajan en escenarios del mundo real y adquieren habilidades valiosas en la identificación y explotación de vulnerabilidades en sistemas y redes.
  2. Reconocimiento en la industria: La certificación eJPT v2 es reconocida y respetada en la industria de la ciberseguridad. La obtención de esta certificación demuestra a empleadores y colegas que posees las habilidades y el conocimiento necesarios para llevar a cabo pruebas de penetración de manera efectiva y ética.
  3. Base sólida: La eJPT v2 proporciona una base sólida en pruebas de penetración y ciberseguridad, lo que facilita la transición a certificaciones más avanzadas en el futuro, como la eCPPT (Certified Professional Penetration Tester) y la OSCP (Offensive Security Certified Professional).
  4. Crecimiento profesional: La demanda de profesionales de ciberseguridad y, en particular, de probadores de penetración es alta en todo el mundo. Obtener la certificación eJPT v2 puede abrir oportunidades de empleo, permitiendo a los profesionales avanzar en sus carreras y aumentar su potencial de ingresos.
  5. Aprendizaje a tu propio ritmo: La eJPT v2 se ofrece a través de un modelo de aprendizaje en línea que permite a los estudiantes avanzar a su propio ritmo y adaptar el proceso de aprendizaje a sus necesidades y horarios personales.

En resumen, rendir la certificación eJPT v2 es una excelente manera de desarrollar habilidades prácticas en pruebas de penetración, obtener reconocimiento en la industria y establecer una base sólida para futuras certificaciones y oportunidades profesionales en el campo de la ciberseguridad.

Lo que aprenderás

  • Aprenderás sobre la definición de pentesting
  • Conocerás la metodología que debes seguir para un pentesting exitoso
  • Aprenderás diferentes formas de usar herramientas de testeo
  • Conocerás sobre la certificación de EJPT
  • Pondrás en practica tus conocimientos mediante maquinas virtuales
  • Aprenderás definiciones para poder realizar la prueba de EJPT
  • Realizaras ataques de fuerza bruta y las diferentes formas de aplicarlas
  • Conocerás las definición de un informe y como hacerlo correctamente
  • Aprenderás a crear un informe para tu pentesting
  • Conocerás definiciones de redes y sus protocolos

Yo soy Álvaro Chirou, tengo más de 20 Años de experiencia trabajando en Tecnología, eh dado disertaciones en eventos internacionales como OWASP, tengo más de 500.000 estudiantes en Udemy y 100 formaciones profesionales impartidas en la misma.

Y junto a mi compañero Walter Coto donde con él hemos dado formaciones profesionales en conjunto también en la plataforma de Udemy, que tiene más de 400.000 estudiantes.

También con Kevin Garcia, con 100.000 Estudiantes en Udemy hoy les traemos esta oportunidad de que lleves a la práctica tus conocimientos en Programación para que puedas agregarlo a tu Portafolio y así, aumentar tus probabilidades de conseguir el empleo que buscas.

Tendrás acceso de por vida al curso, recibirás actualizaciones y respuestas a tus preguntas a través de la plataforma de Udemy.

Empieza a aprender ya mismo!

¿Te gustaría enterarte de cuando lanzamos descuentos al Máximo o Nuevos Cursos?