Cómo responder a una pregunta del CISSP, paso a paso

Una pregunta del CISSP se aborda en cuatro pasos: leer la petición real antes que las opciones, identificar la decisión que se pide y a quién le corresponde, respetar al pie de la letra los criterios explícitos del enunciado y no añadir ninguna hipótesis. Estos pasos se han reconstruido a partir de 138 preguntas de práctica compartidas por candidatos entre 2023 y 2026 y, sobre todo, de las justificaciones que las acompañan: opiniones de candidatos, nunca correcciones oficiales de ISC2, y aquí no se reproduce ningún enunciado.

¿Por dónde empezar a leer una pregunta del CISSP?

Por el final. Una de las consignas más repetidas de los testimonios consiste en leer primero la última frase del enunciado —la que lleva la petición real— antes de leer el escenario y antes de mirar las opciones. Un escenario de diez líneas sobre una entidad financiera, su segmentación de red y su auditoría reciente no suele ser más que decorado; la pregunta cabe en las últimas quince palabras.

Esta lectura invertida está formalizada en un método en cuatro fases que circula ampliamente: leer la última frase, descartar, analizar las dos opciones restantes, decidir. Va acompañado de un imperativo de lentitud:

«READ each question S L O W L Y and at least TWICE — a single word often gives away the answer or eliminates two choices.»

«Lee cada pregunta D E S P A C I O y al menos DOS VECES: una sola palabra revela a menudo la respuesta o elimina dos opciones.»

Los testimonios de los candidatos contienen un caso de manual sobre esa palabra única. Una pregunta plantea dónde encontrar la información publicada por un actor malicioso organizado; el reflejo empuja hacia los canales habituales de inteligencia de amenazas, mientras que la preposición lo cambia todo: lo que el propio autor de un ataque publica no se encuentra donde los defensores publican sus análisis. La dificultad no era el conocimiento, era la lectura.

Una tercera fórmula completa el cuadro: «Read like a lawyer», lee como un jurista. Cada palabra del enunciado puede usarse en tu contra. Pertenece al tríptico «think like a manager, understand like a technician, read like a lawyer», que es, ese sí, la fórmula más repetida de los testimonios.

¿Cómo identificar la decisión que realmente se pide?

Una vez aislada la petición, queda calificarla antes de mirar las opciones. El esquema más elaborado de los testimonios cabe en cuatro preguntas que uno se plantea a sí mismo:

«Identify the decision before looking at the answers: Who owns this decision? What phase am I in — governance, design, implementation, operation, response? What objective is being optimised — risk reduction, continuity, compliance, safety, cost? What authority does the actor actually have?»

«Identifica la decisión antes de mirar las respuestas: ¿a quién pertenece esta decisión? ¿En qué fase estoy: gobierno, diseño, implantación, operación, respuesta? ¿Qué objetivo se está optimizando: reducción del riesgo, continuidad, cumplimiento, seguridad de las personas, coste? ¿De qué autoridad dispone realmente el actor?»

La fase es el filtro más rentable. Un analista que comprueba si una alerta es un verdadero positivo antes de actuar sigue estando en detección, no en respuesta; una organización que evalúa sus obligaciones legales de notificación lo hace en la fase de informe, cuando los hechos ya están establecidos. En ambos casos, la opción elegida por error describe una fase contigua y perfectamente correcta, en el momento equivocado.

El verbo de la petición fija el objetivo. Una pregunta que pide evitar una exposición no espera la misma familia de respuestas que una pregunta que pide reducirla: en un caso gana la minimización de datos, en el otro la monitorización o el control técnico.

¿Qué peso tiene el rol indicado en el enunciado?

Es el refinamiento más sólido de los testimonios, y el que resuelve más ambigüedades:

«The role given in the question is your cue. CISO or senior leadership → think governance. Architect or engineer → think technical and operational. That single filter resolved a lot of ambiguous questions for me.»

«El rol que da la pregunta es tu pista. CISO o alta dirección → piensa en gobierno. Arquitecto o ingeniero → piensa en lo técnico y lo operativo. Ese único filtro me resolvió muchas preguntas ambiguas.»

Cuando no se indica ningún rol, la posición por defecto que adoptan los testimonios es la de asesor de riesgos. Pero cuando sí se da un rol, prevalece sobre cualquier reflejo, incluidas las prioridades que uno cree absolutas. Caso llamativo de los testimonios: un incidente deja fuera de servicio un equipo vital en un centro que acoge a personas vulnerables, y el enunciado designa a quien responde como miembro del equipo de respuesta a incidentes. El reflejo de «la vida humana primero» empuja hacia la evacuación, pero evacuar no es la decisión de ese equipo, corresponde al personal sanitario. La prioridad de las personas no queda suspendida; es la autoridad del personaje la que no la cubre.

Este filtro explica también por qué el mantra «think like a manager» perdió terreno después de 2024: funciona cuando el rol es directivo y produce respuestas falsas en caso contrario. Dos participantes que se presentan como redactores de preguntas para ISC2 van más lejos y desmienten el concepto mismo; sus afirmaciones, y las reservas que exigen unas identidades meramente declaradas, se examinan en el debate sobre el mantra. Para la lectura que nos ocupa aquí, la enseñanza cabe en una línea: el rol escrito en el enunciado se lee, no se adivina.

¿Qué criterios explícitos no hay que ignorar nunca?

Todos. Un criterio escrito en el enunciado prevalece sobre cualquier heurística, incluida la preferencia espontánea por la solución más segura. Los testimonios de los candidatos lo convierten en una regla seca:

«You cannot just ignore explicitly stated key criteria like "lowest cost".»

«No puedes limitarte a ignorar criterios clave enunciados de forma explícita como “el coste más bajo”.»

El ejemplo de origen merece ser trasladado. Imagina una pasarela de filtrado, en una empresa de logística, que se reinicia con regularidad y queda indisponible unos veinte minutos cada vez; el enunciado pide mantener la disponibilidad al coste más bajo y precisa que otros controles cubren el mismo flujo. Las opciones más robustas —redundancia, conmutación automática— satisfacen la disponibilidad pero incumplen el segundo criterio, escrito negro sobre blanco. Se han fijado dos criterios: la respuesta debe satisfacer ambos.

Las palabras que cambian la respuesta son pocas y aparecen constantemente: BEST, MOST, FIRST, NEXT, LEAST, PRIMARY, PREVENT, MINIMUM. Los testimonios de los candidatos sobre estas preguntas añaden una novena, especialmente discriminante: una pregunta sobre quién es «ultimately» responsable no busca quién ejecuta, sino quién no puede delegar. Y «minimum» descalifica cualquier opción que lo proteja todo sin distinción.

El reverso también cuenta: el coste permanece de fondo incluso cuando no se menciona. «Best ≠ most secure»: la mejor respuesta no es la más segura.

¿Qué suposiciones hay que prohibirse por completo?

Todas. Es el error más documentado de los testimonios y la causa directa de la mayoría de los desacuerdos entre un candidato y un solucionario. La regla cabe en una frase:

«If the question didn’t say it, it didn’t happen.»

«Si la pregunta no lo ha dicho, no ha ocurrido.»

Su variante mnemotécnica es más dura: «Think like a pedantic auditor», piensa como un auditor quisquilloso. Ni el presupuesto que imaginas ajustado, ni el nivel de servicio que nunca se mencionó, ni la arquitectura que completas mentalmente existen.

Los casos de los testimonios son instructivos porque todos son de buena fe. Un candidato discute un solucionario sobre la migración de servidores a un alojamiento externo: había supuesto que los servidores ya estaban allí, algo que el enunciado no decía. Otro descarta, en una pregunta de recuperación ante desastres, la opción más económica pese a que el enunciado daba el objetivo de recuperación: fue un nivel de servicio nunca mencionado el que alimentó la objeción. En ambos casos el conocimiento estaba ahí; fue la información añadida la que produjo la respuesta equivocada.

El contramantra que surgió de los testimonios a finales de 2024 se llama simplemente Just Answer The Question, y apunta exactamente a esa deriva: buscar una intención oculta equivale a añadir al texto lo que no contiene. Su formulación más citada, y la forma en que destronó al mantra directivo, se recogen en nuestro artículo sobre el debate.

La hipótesis añadida es, por cierto, uno de los errores de preparación más tenaces, porque se refuerza a medida que se gana experiencia profesional: figura en buen lugar entre los errores que hay que evitar al estudiar.

¿Hay que responder según la experiencia de campo o según el CBK?

Según el CBK, cada vez que ambos divergen, y divergen a menudo. Un enunciado pregunta cómo impedir que un atacante que ha comprometido la cuenta de uso diario de un administrador obtenga privilegios elevados: la elevación controlada figura entre las opciones, pero la solución moderna que la protege —la autenticación multifactor— no se ofrece, y la respuesta esperada consiste en separar estrictamente los privilegios de la cuenta de trabajo. Todos los comentaristas del hilo reconocen que es una mala práctica en producción y concluyen que hay que responder a la preocupación tal y como está formulada.

El mismo mecanismo se repite en otros casos: un candidato objeta que, ante un incidente grave, en la vida real se avisa a las autoridades casi de inmediato; la lógica del CBK sitúa esa evaluación en una fase posterior y se impone.

Lo contrario es igual de cierto, y es el matiz que más a menudo se les escapa a los candidatos: el CBK no es antitécnico. Una pregunta que plantea un acceso remoto por línea de comandos a un equipo de red espera una respuesta técnica precisa, no una política. La fórmula que zanja el asunto:

«Thinking like a manager doesn’t mean you should discard technical answers.»

«Pensar como un manager no significa que haya que descartar las respuestas técnicas.»

Por eso el repaso útil no consiste en memorizar respuestas correctas, sino en saber enunciar por qué cada opción incorrecta es falsa, la práctica que Cybridia ha sistematizado: para cada una de sus 4.298 preguntas, la explicación detalla por qué los distractores son falsos. Es también la razón por la que un porcentaje de simulacro informa mal del nivel real, como explica nuestra referencia sobre las puntuaciones de los simulacros.

¿Qué hacer cuando la pregunta parece mal redactada?

Ocurre, incluso en obras de prestigio. Los testimonios de los candidatos documentan una pregunta sobre los intercambios de un protocolo de asignación de direcciones cuya respuesta oficial se considera mayoritariamente una errata de edición, nunca corregida de una edición a otra. Otra se declara imposible de responder: sin indicación de rol, las cuatro opciones son defendibles.

La conducta recomendada cabe en tres pasos. Tratar cada pregunta «en su propio vacío», sin buscar coherencia con otra pregunta de la misma serie. Elegir la opción menos mala según los términos exactos del enunciado. Y pasar a la siguiente: el verdadero peligro de una mala pregunta no es el punto perdido, sino la duda que instala para el resto de la prueba. Este mecanismo es el mismo que se describe en la sensación de estar suspendiendo durante el examen, y se combate de la misma manera: cerrando cada pregunta al pasar a la siguiente.

Queda saber descartar las opciones. De eso trata la eliminación de los distractores, y cuando dos solucionarios serios se contradicen, el arbitraje entre bancos de preguntas.