Cómo eliminar las respuestas incorrectas en las preguntas del CISSP

Dos opciones de cada cuatro se descartan a menudo desde la primera lectura: un absoluto, un término inventado, o una respuesta que corresponde a una fase distinta de la que se pide. La tipología que sigue se ha reconstruido a partir de 138 preguntas de práctica compartidas por candidatos entre 2023 y 2026 y de las justificaciones dadas para descartar cada opción: opiniones de candidatos, nunca correcciones oficiales de ISC2, y aquí no se reproduce ningún enunciado.

¿Cómo eliminar dos respuestas en una sola lectura?

Buscando defectos de forma antes de juzgar el fondo. Tres señales bastan a menudo para descartar la mitad de las opciones, y ninguna exige un conocimiento profundo del dominio.

La primera es el absoluto. Una opción que contiene all, always o never es casi siempre falsa: los testimonios hacen de ello una regla de descarte de primera criba. La razón es conceptual: la seguridad gestiona el riesgo, no lo elimina. Toda opción que promete una garantía total, una cobertura exhaustiva o una prohibición sin excepciones choca con ese principio, y la mayoría de las afirmaciones universales sobre sistemas reales se refutan con un contraejemplo. Una pregunta que plantea los requisitos mínimos de protección de un canal de comunicación elimina así de forma mecánica la opción que propone cifrarlo todo sin distinción.

Esta regla va acompañada de dos precauciones. Sirve para descartar rápido, nunca para designar la buena respuesta: una opción absoluta eliminada no dice nada de las otras tres. Y admite excepciones legítimas que los propios testimonios de los candidatos señalan: ciertas obligaciones, sobre todo éticas y legales, no admiten matices en efecto, y una opción que las enuncia en términos absolutos es entonces exacta.

La segunda es el término que no existe. Los testimonios de los candidatos documentan una opción construida sobre una expresión muy próxima a un principio fundamental pero imposible de encontrar en el CBK: suena bien y no está vinculada a nada.

La tercera es la fase equivocada. Una opción que describe la notificación cuando la pregunta trata de la contención, o la respuesta cuando la pregunta trata de la detección, es correcta en sí y falsa aquí. Es además el único uso del célebre mantra directivo que los testimonios de los candidatos siguen validando:

«I coach my study group that "think like a manager" is a way to eliminate 2 out of the 4 answer choices.»

«Le enseño a mi grupo de estudio que “pensar como un manager” es una forma de eliminar 2 respuestas de las 4.»

Una cuarta señal se anula a sí misma: aplicar un parche del fabricante a una vulnerabilidad que el fabricante desconoce, o detectar por firma un ataque que no la tiene.

¿Cuáles son los distractores más frecuentes?

Los testimonios de los candidatos revelan una decena de familias recurrentes. Se reconocen enseguida una vez que se les pone nombre.

Familia	Cómo se presenta	Cómo descartarla
El término inventado	Una expresión próxima a un principio conocido, ausente del CBK	Comprobar que el término exacto figura en alguna fuente
El absoluto	all, always, never	Confrontarlo con «mínimo», «proporcionado», «sin incumplir los plazos»
La buena práctica que no viene al caso	Una afirmación cierta que no trata el riesgo enunciado	Reformular el riesgo y comprobar que lo aborda
La fase equivocada	Detección cuando se pide la respuesta, informe cuando se pide la contención	Nombrar la fase antes de leer las opciones
Lo ajeno al perímetro del rol	Una acción que no corresponde al personaje del enunciado	Comprobar la autoridad real del rol
El criterio incumplido	Técnicamente superior, pero contraria a una restricción escrita	Releer cada criterio explícito
El reflejo de categoría	«Primero la política», «primero la vida humana», «escalar»	Comprobar que la pregunta pide ese nivel de decisión
La opción imposible	Corregir lo incorregible, detectar lo indetectable	Probar la viabilidad en el escenario escrito
El duplicado de categoría	Dos controles del mismo tipo presentados como complementarios	Contar las categorías realmente distintas
La englobante hueca	El fin general en lugar del mecanismo pedido	Distinguir objetivo y medio

Una familia merece una palabra más, la más elegante: lo ajeno al perímetro del rol. Una pregunta sitúa a quien responde en posición de profesional de la seguridad ante una solicitud de acceso a un documento clasificado por encima del nivel del solicitante. Dos opciones son técnicamente realizables —reclasificar el documento, elevar el nivel de acceso— y ambas son falsas, porque ninguna de las dos corresponde a ese rol. El distractor no evalúa el control de acceso, evalúa las responsabilidades.

¿Cómo detectar una opción que responde a otra pregunta?

Reformulando la petición en una frase corta y confrontando después cada opción solo con esa frase. Las opciones que responden a otra cosa suelen ser las más seductoras, porque son ciertas.

Ejemplo nítido de los testimonios, sobre un envío de datos sensibles a un socio externo: el riesgo escrito en el enunciado es la interceptación durante la transferencia. Una opción propone reforzar la clasificación y el etiquetado —excelente práctica, sin efecto sobre la interceptación, y ya adquirida puesto que el enunciado califica los datos como sensibles—. Otra propone proteger el almacenamiento: buena respuesta a otra pregunta. Solo una trata el tránsito.

La misma trampa aparece en el verbo. Una pregunta que plantea cómo evitar una exposición no reclama las mismas opciones que una pregunta que plantea cómo reducirla: la monitorización y la formación reducen, solo la minimización de datos evita.

La prueba rápida consiste en releer la última frase del enunciado insertando en ella la opción: si la frase obtenida es cierta pero ya no habla del problema planteado, la opción es un distractor.

¿Qué hacer cuando quedan dos respuestas defendibles?

Es la situación normal, no la excepción. Es también donde se juega el tiempo, puesto que estos arbitrajes consumen la mayor parte de los minutos disponibles; véase la gestión del tiempo en el examen.

Comprobar primero que no se incumple ningún criterio explícito. Es el desempate más fiable y el que más a menudo se pasa por alto: coste más bajo, requisito mínimo, mantenimiento de los plazos, ausencia de costes recurrentes. Una opción superior en el fondo pero contraria a un criterio escrito es falsa.

Aplicar después dos pruebas de proyección. La primera es la inversión: formula la opción en negativo y pregúntate si seguirías eligiéndola. En una pregunta sobre la selección de un emplazamiento de alojamiento, invertir la opción «nivel de riesgo aceptable» basta para demostrar que ese criterio gobierna a todos los demás. La segunda es la exclusividad:

«Assume the other good answers will never be done — what if this is the only action taken?»

«Supón que las demás respuestas buenas no se van a aplicar nunca: ¿y si esta fuera la única acción emprendida?»

Recurrir por último, y solo por último, a los desempates heredados del razonamiento de gestión —jerarquía de prioridades, orden personas, procesos, tecnología—, de los que nuestro artículo sobre la mentalidad de manager da la formulación completa y las frecuencias registradas. Estas reglas no son verdades, son árbitros: solo se activan cuando las dos opciones restantes satisfacen por igual todos los criterios del enunciado, algo poco frecuente.

¿La respuesta más englobante es siempre la buena?

No, y es el punto más importante de este artículo. La regla circula en los testimonios de los candidatos bajo una forma seductora:

«If answer A looks right but answer A is a step in Answer C, choose answer C.»

«Si la respuesta A parece correcta pero A no es más que un paso de la respuesta C, elige C.»

Funciona realmente en un supuesto preciso: cuando la opción amplia contiene a la opción estrecha sin añadir nada falso. Los testimonios de los candidatos dan un ejemplo sobre las cuentas de servicio, donde la opción «retirar los derechos innecesarios» engloba a la opción «desactivar el inicio de sesión interactivo», ya que esta última no es más que un derecho entre otros.

Pero la misma regla produce errores en al menos tres configuraciones, y están documentadas.

Falla cuando una sola palabra de la opción amplia la vuelve falsa. En una pregunta que explica por qué una organización espera antes de desplegar parches, la opción más englobante invoca la reducción del impacto de negocio, un objetivo que contiene a todos los demás. Pero menciona el impacto de la instalación, y esperar no cambia nada en ese impacto: la ventana de mantenimiento es la misma. Lo que se gana esperando es que los defectos del parche se descubran en otro sitio.

Falla cuando la pregunta pide un mecanismo y no un objetivo: en una pregunta sobre la reducción del riesgo asociado al software descargado, la opción más general se considera correcta pero insuficientemente específica frente a la que describe el mecanismo de evaluación esperado.

Falla, por último, cuando la opción englobante describe algo distinto de lo que parece describir. En una pregunta sobre la definición del gobierno de la seguridad, repetida tres veces en los testimonios, la opción que habla de alineamiento con los objetivos de negocio parece la más amplia, y es justamente la que los solucionarios descartan, porque describe un marco documentado.

¿Cómo probar una opción antes de validarla?

Con una lista de comprobación corta, aplicada únicamente a la opción finalista. Bastan cinco verificaciones, y cada una lleva unos segundos: ¿cada palabra de la opción es exacta, sabiendo que un solo término falso basta para invalidarla? ¿Supone la opción algo que no está en el enunciado: presupuesto, nivel de servicio, arquitectura implícita? ¿Corresponde a la autoridad del personaje? ¿Respeta todos los criterios explícitos, incluido el segundo, el que se olvida? ¿Trata el problema enunciado y no un problema parecido?

Es el ejercicio de repaso que recomiendan los testimonios de los candidatos, y el que Cybridia ha sistematizado: para cada una de sus 4.298 preguntas, la explicación indica por qué cada respuesta incorrecta es falsa. Saber enunciar las tres razones para descartar es el único indicador de progreso que validan los testimonios de los candidatos, mucho más que un porcentaje, cuyo poder predictivo limitado recuerda nuestra referencia sobre las puntuaciones de los simulacros. El criterio para elegir un material se deriva directamente de ahí: un banco que no explica sus soluciones no sirve de nada, y es el baremo aplicado en nuestra comparativa de recursos CISSP.

¿Por qué dos enunciados gemelos pueden tener respuestas opuestas?

Porque el criterio discriminante ha cambiado, a menudo en una sola palabra. Los candidatos que descubren estos pares concluyen al principio que hay una incoherencia en los bancos de preguntas; rara vez es el caso.

El par más claro tiene que ver con el consumo de ancho de banda. En un primer escenario, la saturación se produce fuera del horario laboral, en una empresa de servicios, y quien responde es el responsable de seguridad: la respuesta esperada es una política de uso acompañada de monitorización, porque todavía nada demuestra qué tráfico es el causante y ensanchar la tubería premiaría el despilfarro. En un segundo escenario, la saturación se produce en horas punta en un centro donde la interrupción de los sistemas afecta a la seguridad de las personas: la respuesta esperada es el aumento de capacidad. Dos criterios discriminantes distintos: el momento y lo que está en juego.

Un segundo par, extraído del mismo capítulo de una misma obra, enfrenta dos preguntas de control de acceso físico. En una, un código confidencial añadido a la tarjeta se considera insuficiente para garantizar la identidad del portador, porque la pregunta exige explícitamente la mejor garantía de identidad. En la otra, esa misma combinación se acepta, porque la pregunta añade una restricción de ausencia de costes recurrentes que elimina cualquier solución basada en personal. Los dos solucionarios son coherentes: solo difieren los criterios.

La lección vale como conclusión. Los testimonios de los candidatos la formulan a propósito de un ejemplo muy distinto —una pregunta de gestión de flota móvil donde el reflejo directivo empujaba hacia una solución de administración de terminales que, en sí misma, no cifra nada—:

«Why are you "thinking like a manager"? Just. Answer. The. Question.»

«¿Por qué estás “pensando como un manager”? Simplemente. Responde. A. La. Pregunta.»

De ahí la consigna final: tratar cada pregunta en su propio vacío, sin buscar coherencia con la anterior. Para la lectura del enunciado que precede a este descarte, véase el método de respuesta; y cuando son los propios solucionarios los que divergen, véase el arbitraje entre bancos de preguntas.