Cuando dos solucionarios del CISSP se contradicen, ¿quién tiene razón?

Cuando dos soluciones se contradicen, la causa es casi siempre una de estas tres: ediciones distintas, fuentes doctrinales distintas o una errata real; el CBK, en cambio, es estable. El desacuerdo forma parte del paisaje: de las 138 preguntas de práctica compartidas por candidatos entre 2023 y 2026 y revisadas para este informe, 13 dejan a la comunidad dividida de forma duradera, y un puñado de debates siguen realmente abiertos. Aquí no se reproduce ningún enunciado, y las posiciones citadas son opiniones de candidatos, nunca correcciones oficiales de ISC2.

¿Por qué dos soluciones oficiales dan respuestas diferentes?

Porque «oficial» abarca varias cosas: una misma editorial publica una guía de estudio, recopilaciones de tests, una aplicación móvil y preguntas de repaso, escritas por autores distintos, en fechas distintas y a partir de fuentes doctrinales distintas.

Los testimonios de los candidatos ofrecen un caso ejemplar sobre una pregunta de continuidad de negocio: ¿cuál de estas acciones corresponde a un plan de continuidad? Una recopilación de tests atribuye la respuesta a una medida de tolerancia a fallos, con el argumento de que la continuidad es proactiva y la recuperación reactiva; la aplicación oficial de ISC2 atribuye la respuesta a la conmutación hacia un centro alternativo, con el argumento de que una medida preventiva permanente no figura en un plan que se activa. Ambos razonamientos son defendibles: parten de dos definiciones de la frontera entre continuidad y recuperación.

Se repiten otras tres causas. El desfase de edición, en primer lugar: una pregunta sobre los mensajes intercambiados durante la asignación de una dirección de red se considera mal redactada por la comunidad, que ve en su solución una torpeza de edición arrastrada de una edición a otra, reconociendo al mismo tiempo que la respuesta del libro seguiría siendo defendible bajo otra lectura del enunciado.

El deslizamiento doctrinal, después. Una pregunta sobre la renovación sistemática de un parque de equipos todavía funcionales y todavía actualizados recibe una solución que invoca el fin de soporte; los comentaristas responden que un material que aún recibe parches no está en fin de soporte, sino en obsolescencia programada. Conclusión del hilo: incluso los recursos de prestigio se equivocan.

La divergencia de marco, por último. Una pregunta sobre qué base justifica la compra de un control enfrenta una métrica de riesgo anualizada con una métrica de rentabilidad: un bando razona en clave de gestión del riesgo, el otro en clave de decisión de inversión. Ambos marcos se enseñan, y la pregunta no dice a cuál de los dos recurre.

Due care o due diligence: ¿tiene la pregunta una respuesta estable?

No. Es el caso más instructivo de los testimonios: el mismo enunciado reaparece cinco veces en tres años, casi palabra por palabra, y las soluciones publicadas se reparten entre ambas nociones. El principio evaluado es siempre el mismo: ¿cómo se llama la obligación de una persona de cumplir sus responsabilidades con exactitud y en plazo?

Tres fuentes atribuyen la respuesta a la due diligence y una sola a la due care, y cada vez una parte de la comunidad cuestiona la solución. Los recursos mnemotécnicos que circulan son ellos mismos contradictorios:

«Due Diligence = Do Detect ; Due Care = Do Correct»

es el más extendido, y empuja hacia la due care para una acción de ejecución. Pero la explicación que se impone en los hilos mejor argumentados invierte la perspectiva: la due care sería el estándar amplio de la persona razonable, y la due diligence su componente específico, el que consiste en cumplir una responsabilidad confiada de manera exacta y puntual, formulación recogida casi literalmente en el enunciado.

La conducta a seguir no es, por tanto, memorizar una letra, sino conocer el eje del desacuerdo: un estándar general de prudencia por un lado, una ejecución verificable de una responsabilidad asignada por el otro. Ambos bandos coinciden en un punto: cuando la pregunta reproduce palabra por palabra la definición de un manual, es ese manual el que tiene razón, no el uso profesional corriente.

¿Qué hacer cuando la comunidad cuestiona una solución oficial?

Distinguir dos situaciones muy diferentes: la solución es errónea, o la solución es correcta por una razón que el lector rechaza.

Los testimonios de los candidatos contienen un caso de cuestionamiento masivo, sobre una pregunta de cadena de suministro de software. Una persona encargada de una revisión documental constata graves incumplimientos en un proveedor, y la solución espera que revoque la autorización de explotación del componente. Los comentaristas mejor valorados consideran absurdo que un evaluador revoque unilateralmente una autorización crítica sin análisis de impacto; la mayoría habría emitido un informe. La pregunta se volvió a plantear siete meses después, con el mismo veredicto: el desacuerdo versa sobre la separación entre el rol de evaluador y el rol de decisor, y nunca se zanja.

A la inversa, varias soluciones consideradas falsas en un primer momento resultan sólidas una vez leída la explicación. Un candidato cuestiona una respuesta sobre la prueba de preparación para la recuperación ante desastres, hasta que se le recuerda que un ejercicio guionizado en un entorno fuera de producción no perturba la producción. Otro cuestiona una respuesta sobre los privilegios de administración señalando, con razón, que describe una mala práctica, pero la pregunta planteaba una restricción precisa y la respuesta la aborda.

La prueba que decide cabe en dos comprobaciones. ¿Se apoya la explicación oficial en una definición atribuible a una fuente de referencia? Si es así, adóptala para el examen, aunque no la apliques en la oficina. ¿Ignora un criterio explícito del enunciado, o se contradice de una pregunta a otra dentro del mismo capítulo? Entonces anótala como error probable y pasa.

Dos participantes que se presentan como redactores de preguntas para ISC2 recuerdan de paso qué se evalúa realmente:

«As an exam writer for the CISSP, I can absolutely say that is NOT what we are looking for. Understanding the concepts and how to apply them, is.»

«Como redactor de preguntas del CISSP, puedo afirmar que eso NO es lo que buscamos. Comprender los conceptos y saber aplicarlos, sí.»

¿Cómo reconocer una pregunta generada con IA o un brain dump?

Los testimonios de los candidatos contienen siete preguntas cuyo origen artificial anuncia el propio autor del mensaje o identifican los comentaristas. Sus firmas son lo bastante constantes como para enumerarlas.

Señal	Qué indica
Escenario de diez líneas que enumera una pila de seguridad completa	Decorado generado, sin relación con la petición
Pregunta de dos partes: el riesgo y el control que hay que recomendar	Formato ausente del examen real
Opciones que asocian un riesgo a un remedio mal emparejado	Generación automática sin revisar
Incoherencia interna del enunciado	Ausencia de revisión experta
Ningún rol indicado cuando la respuesta depende de él	Pregunta imposible de responder
Pregunta de pura definición, de nivel introductorio	Calibrado muy por debajo del examen
Ninguna fuente citada y una procedencia que nadie aclara	Sospecha de brain dump

El veredicto de los comentaristas es expeditivo: una de estas preguntas recibe el calificativo de «AI slop», otra se declara imposible de responder por falta de rol indicado, y una tercera recomienda un módulo de seguridad hardware contra ataques de canal lateral, un remedio que no trata el riesgo descrito.

El caso del brain dump es más grave, porque compromete la deontología tanto como la eficacia. Los testimonios de los candidatos documentan al menos una pregunta de la que los moderadores señalaron que procedía probablemente de un banco pirata, lo que puso fin a la discusión. Un banco que difunde preguntas reales de examen incumple el acuerdo de confidencialidad, y sus soluciones no tienen ningún valor pedagógico.

Queda una categoría intermedia: bancos comunitarios serios pero no validados, de los que los comentaristas dicen que son «muy difíciles y no están del todo validados». Se reconocen por soluciones que nadie consigue justificar salvo reescribiendo la pregunta. La criba entre estas fuentes es el objeto de nuestra comparativa de recursos CISSP, que aplica el mismo criterio: un banco vale lo que valen sus explicaciones.

¿Qué preguntas provocan más desacuerdos?

El reparto por dominio es instructivo: el dominio 1, gestión de riesgos y de la seguridad, representa 38 de las 138 preguntas, muy por delante de las operaciones de seguridad (24), la gestión de identidades (21) y la arquitectura (18). Es también el dominio que concentra los desacuerdos, por una razón sencilla: sus nociones son cuestión de definición y sus fronteras son convencionales.

Cinco zonas concentran lo esencial de los litigios. La distinción due care / due diligence, ya descrita. La frontera entre continuidad de negocio y recuperación ante desastres. La cadena de rendición de cuentas, donde la buena respuesta depende de las opciones propuestas: cuando el consejo de administración no aparece en la lista, se toma el nivel más alto disponible. La definición del gobierno de la seguridad. Y el vocabulario de los ciclos de vida del hardware, fin de comercialización frente a fin de soporte.

A la inversa, algunas nociones delicadas son perfectamente estables: amenaza, vulnerabilidad y riesgo; restricción del alcance de una base de controles y ajuste; fases de la respuesta a incidentes; necesidad de conocer. Cuando te equivocas en una de ellas, el problema es una laguna, no una solución dudosa.

Un último punto de referencia: varias preguntas de los testimonios se consideran demasiado específicas, con el recordatorio recurrente de que «CISSP is NOT a technical exam». Una solución discutida en una pregunta hipertécnica rara vez es motivo para abrir un manual.

¿Hay que repasar una noción discutida o pasar a otra cosa?

La regla que se desprende de los testimonios depende de la frecuencia, no de la dificultad.

Si la noción reaparece varias veces en tus bancos de preguntas —es el caso de las cinco zonas anteriores—, merece un repaso, pero no el que uno cree: no se trata de retener una respuesta, sino de aprender las dos definiciones rivales y el criterio que inclina la balanza hacia un lado o hacia el otro.

Si la pregunta es aislada, está mal redactada, ha sido generada automáticamente o es de origen desconocido, la respuesta es clara: pasa. El coste real de estas preguntas no es el punto perdido, sino el tiempo y la confianza consumidos, dos recursos que el volumen de preguntas que hay que trabajar antes del examen basta ya para poner en tensión. Empeñarse en una solución dudosa figura además entre los errores de repaso más frecuentes. Y trata cada pregunta en su propio vacío, sin intentar reconciliar las fuentes.

Queda lo que hace útil a cualquier banco de preguntas, sea cual sea: exigirle que explique. Una solución que se limita a nombrar la opción correcta ni siquiera permite detectar que se equivoca. Es el principio adoptado por Cybridia, cuyas 4.298 preguntas van acompañadas cada una de una explicación que indica por qué las respuestas incorrectas son falsas, la única práctica de repaso que este conjunto de testimonios recomienda sin reservas.

Para la lectura del enunciado, véase el método de respuesta; para el descarte de opciones, la eliminación de los distractores. Los límites de este conjunto de testimonios se detallan en nuestro método.