Preguntas basadas en el desempeño de CySA+: qué son y cómo practicarlas

El examen detrás de las preguntas, en cifras

CySA+ CS0-003 permite un máximo de 85 preguntas en 165 minutos, combina opción múltiple con preguntas basadas en el desempeño y se aprueba con 750 en una escala de 100 a 900. CompTIA recomienda conocimientos de Network+ o Security+ más un mínimo de cuatro años de experiencia práctica como analista de respuesta a incidentes o de SOC. Los cuatro dominios se ponderan así: Operaciones de seguridad 33 %, Gestión de vulnerabilidades 30 %, Respuesta y gestión de incidentes 20 % y Reporte y comunicación 17 %.

La versión importa para cualquiera que reserve ahora. CompTIA lanzó CS0-004 el 23 de junio de 2026 y retira el examen CS0-003 en inglés el 22 de diciembre de 2026; las versiones en japonés, portugués y español le siguen el 23 de marzo de 2027. CS0-004 mantiene el mismo máximo de 85 preguntas, los mismos 165 minutos y la misma nota de aprobación de 750, pero repondera los dominios: Operaciones de seguridad 34 %, Gestión de vulnerabilidades 26 %, Respuesta y gestión de incidentes 24 % y Reporte y comunicación 16 %. Si la fecha de tu examen es posterior a la fecha de retirada para tu idioma, te estás presentando a CS0-004, diga lo que diga tu material de estudio.

Qué es una pregunta basada en el desempeño, en palabras de CompTIA

CompTIA describe una pregunta basada en el desempeño como una que evalúa tu capacidad para realizar una tarea o resolver un problema en un entorno simulado. Dos detalles de esa descripción deciden cómo debes abordarlas. Primero, la simulación está limitada a propósito: CompTIA indica que la funcionalidad está restringida para que haya varias respuestas o vías posibles para completarla, lo que significa que no te piden recordar cada menú de un producto real, solo llegar a un resultado defendible. Segundo, la puntuación no es uniforme. CompTIA dice que algunas preguntas basadas en el desempeño pueden ofrecer crédito parcial y otras no, así que una respuesta incompleta a veces vale algo y a veces no vale nada, y la pregunta no te dirá cuál es tu caso.

En CySA+ la tarea es casi siempre interpretativa. Donde una PBQ de Security+ te pide colocar un control, una PBQ de CySA+ te entrega material que un analista recibiría de verdad durante un turno y te pregunta qué significa y qué hacer. Los objetivos de los dominios te dicen qué puede ser ese material: extractos de logs y detalles de alertas de herramientas de monitorización, salidas de escaneo de vulnerabilidades que hay que priorizar según los activos que mencionan, indicadores que hay que juzgar como positivos verdaderos o falsos, y líneas de tiempo de incidentes en las que tienes que elegir el siguiente paso. El enunciado es corto; el tiempo se va en las evidencias.

El tiempo: la aritmética que nadie hace de antemano

165 minutos entre 85 preguntas son un minuto y cincuenta y seis segundos por pregunta si todas llevaran el mismo tiempo. No es así. Una pregunta de opción múltiple que sabes te lleva veinte segundos; una PBQ con tres fuentes de logs puede llevarte diez minutos. La consecuencia práctica es que la parte de opción múltiple es donde ahorras tiempo y las PBQ son donde lo gastas. Quienes responden primero las PBQ, despacio, en el orden en que aparecen, y luego corren con setenta preguntas de opción múltiple, pierden puntos por los dos lados.

Un plan viable: marca cada PBQ para revisión nada más verla, apunta en una frase qué pide y sigue adelante. Despacha la opción múltiple a un ritmo constante. Después vuelve a las PBQ con el tiempo restante dividido entre cuántas son, y trata esa cifra como un presupuesto estricto por pregunta. Como en algunas es posible el crédito parcial, una PBQ que tengas a medias cuando se agote el presupuesto debe quedarse así, no abandonarse.

Un método de cuatro pasadas para cualquier pregunta basada en evidencias

Primera pasada: lee el entregable. Antes de mirar una sola línea de log, encuentra la frase que dice qué debes producir: un host que aislar, un orden de pasos, una severidad, una causa raíz. Todo lo demás del escenario es relevante para ese entregable o es una distracción, y no puedes saber cuál de las dos cosas hasta que conoces el entregable.

Segunda pasada: inventaría las evidencias. Enumera lo que te han dado y de dónde viene: qué sistema lo generó, en qué ventana de tiempo, con qué reloj. Marcas de tiempo que difieren en una zona horaria y tipos de fuente que se solapan son las dos trampas más habituales, y las dos son invisibles si lees las evidencias como prosa en lugar de como un conjunto de fuentes.

Tercera pasada: elimina. Para cada respuesta candidata, pregúntate qué hay en las evidencias que la descarte. En CySA+ eliminar es más rápido que confirmar, porque quienes redactan el examen eligen distractores coherentes con parte de las evidencias; solo la respuesta correcta es coherente con todas.

Cuarta pasada: actúa según la regla del daño. Cuando la pregunta pide el siguiente paso, elige la acción que produce información, salvo que el daño continúe, en cuyo caso elige la acción que lo detiene. Esta única regla resuelve la mayoría de las preguntas de orden: contén si algo sigue sufriendo daños, recopila si no, y nunca restaures el servicio antes de entender la causa.

Dónde cada dominio se convierte en una tarea

Operaciones de seguridad es el dominio más grande tanto en CS0-003 como en CS0-004, y es donde vive el análisis de logs. Espera que te muestren la salida de más de una fuente y te pregunten qué evento, host o cuenta es el que importa. La habilidad es la correlación: casar un registro de autenticación con un evento de proceso y con una conexión de red, y luego decir cuál de ellos es la anomalía.

Las preguntas de Gestión de vulnerabilidades suelen darte resultados de escaneo y contexto sobre los activos. La tarea es priorizar, no identificar: el escáner ya ha encontrado los problemas, y el examen quiere saber cuál arreglarías primero y por qué, según la exposición, la explotabilidad y la función del sistema. Un hallazgo crítico en una máquina de pruebas aislada puede quedar por debajo de uno medio en un servidor expuesto a internet.

Respuesta y gestión de incidentes es donde aparecen las preguntas de orden. Ante una situación a mitad de un incidente, qué paso viene después y qué acciones destruirían evidencias o alertarían a un atacante si se hacen demasiado pronto. Reporte y comunicación es el dominio más pequeño y el que menos probabilidades tiene de simularse, pero aun así condiciona respuestas en otros sitios: varias preguntas giran en torno a quién hay que avisar, y cuándo, más que en torno a una acción técnica.

Los errores que más puntos cuestan

Formar una hipótesis antes de leer las evidencias y luego buscar lo que la apoye. Tratar un binario firmado o el nombre de una herramienta conocida como prueba de actividad benigna cuando el comportamiento alrededor dice lo contrario. Elegir la respuesta más disruptiva porque parece decidida, cuando la pregunta pedía el siguiente paso y no el último. Ignorar la ventana de tiempo indicada en el escenario y razonar sobre eventos fuera de ella. Y dejar una PBQ sin tocar porque parecía larga, lo que garantiza un cero en una pregunta que quizá ofrecía crédito parcial.

Cómo se relaciona la práctica en CertSprint con el examen real

Nada fuera de Pearson VUE reproduce el entorno de simulación de CompTIA, y ningún producto de práctica debería afirmar lo contrario. Lo que sí se puede practicar es el razonamiento que las simulaciones puntúan: correlacionar evidencias, priorizar hallazgos y ordenar una respuesta. Nuestro banco de CySA+ usa tareas de emparejamiento y de ordenación con ese fin, cada una con una explicación completa de por qué la disposición correcta se sostiene y por qué la alternativa plausible no. Usa las puntuaciones por dominio para encontrar aquel en el que tu razonamiento es más lento, porque es el dominio donde una PBQ cronometrada te costará más.

Preguntas frecuentes

Nuestro banco de CySA+ contiene 32 ejercicios tipo PBQ en dos formatos: tareas de emparejamiento, donde asocias cada requisito con la capacidad que lo satisface, y tareas de ordenación, donde secuencias los pasos de un procedimiento. Cada uno incluye la misma explicación completa que las preguntas de opción múltiple, indicando por qué la disposición correcta es acertada y por qué la alternativa plausible no lo es.

Estas entrenan el razonamiento que evalúa el examen — secuencia, ubicación y emparejamiento — en lugar de reproducir la interfaz de simulación de un proveedor. Nada aquí recrea el entorno real del examen, y ningún producto de práctica puede hacerlo legítimamente.