EnglishDeutschFrançaisEspañolPortuguês

AWS · SCS-C03 · Avanzado

AWS Security - Specialty (SCS-C03) — Preguntas de práctica y simulacro de examen

La certificación AWS Certified Security – Specialty valida un dominio avanzado en la protección de cargas de trabajo y arquitecturas en AWS.

Practica gratisVer primero una pregunta
Ver primero una preguntaPractica gratis
Practicar gratis para SCS-C03Comprar acceso a SCS-C03 por 29,99 USD
65Preguntas por simulacro de Pass-IT
170minTiempo límite del simulacro de Pass-IT

Examen oficial SCS-C03: 750 de 1000 puntos para aprobar.

Contrastado con AWS · septiembre de 2026 · Versión actual del examen

Probar Pass-IT

Descubre cómo aprendes con Pass-IT.

Responde una pregunta de muestra de SCS-C03 y lee la explicación con su fuente. Aquí mismo, sin registrarte.

Seguridad de la infraestructura1 / 5

Una empresa está migrando su aplicación web on-premises a AWS. La aplicación debe estar protegida contra las amenazas del OWASP Top 10, incluidas la inyección SQL y el cross-site scripting (XSS). El equipo de seguridad quiere una solución administrada que requiera un mantenimiento mínimo de reglas. ¿Qué enfoque ofrece la MEJOR protección con la MENOR carga operativa?

AlexExplicación completa de Alex

AWS WAF con Managed Rules ofrece conjuntos de reglas preconfigurados que protegen contra las amenazas del OWASP Top 10 con un mantenimiento mínimo. El Core Rule Set (CRS) cubre vulnerabilidades web generales, incluidos XSS y local file inclusion, mientras que el rule group SQL Database bloquea específicamente los ataques de inyección SQL. Al asociar WAF al ALB, se inspecciona el tráfico HTTP antes de que llegue a la aplicación. Network Firewall opera en las capas 3-4 con reglas Suricata: es efectivo, pero exige mantener reglas personalizadas, lo que suma carga operativa. CloudFront con OAC controla el acceso al origin, pero no inspecciona el payload de las solicitudes en busca de ataques de inyección. Un WAF de terceros sobre EC2 requiere aprovisionamiento, parcheo y gestión de reglas: la mayor carga operativa. Concepto clave: las WAF Managed Rules las mantiene AWS, se actualizan automáticamente y están hechas específicamente para la protección OWASP (docs.aws.amazon.com/waf/latest/developerguide/aws-managed-rule-groups-list.html).

Fuentedocs.aws.amazon.com

Protección de datos2 / 5

La política de seguridad de una empresa exige que todas las claves de cifrado de AWS KMS usadas para datos de producción se almacenen en hardware security modules (HSM) que la empresa controle físicamente, sin dejar de usar la API de KMS para las operaciones de cifrado. ¿Qué opción de key store de KMS cumple este requisito?

AlexExplicación completa de Alex

Los external key stores (XKS) de KMS te permiten usar la API de KMS mientras mantienes las claves de cifrado en HSM que controlas físicamente fuera de AWS. XKS enruta las operaciones criptográficas a través de un endpoint proxy de XKS hacia tu key manager externo, lo que satisface los requisitos regulatorios de custodia física de claves. El material de clave importado se almacena en los HSM de AWS KMS después de la importación: no conservas el control físico durante las operaciones. El key store de CloudHSM usa clústeres de AWS CloudHSM alojados en centros de datos de AWS: tú administras los HSM, pero no controlas físicamente el hardware. Las AWS managed keys están totalmente controladas por AWS, sin acceso del cliente al material de clave. Distinción clave: solo XKS ofrece la API de KMS manteniendo el material de clave enteramente fuera de la infraestructura de AWS y bajo tu control físico (docs.aws.amazon.com/kms/latest/developerguide/concepts.html).

Fuentedocs.aws.amazon.com

Gestión de identidades y accesos3 / 5

Una organización usa AWS IAM Identity Center (sucesor de AWS SSO) para dar a su personal acceso a varias cuentas de AWS. ¿Qué protocolo de autenticación usa IAM Identity Center para federarse con proveedores de identidad externos?

AlexExplicación completa de Alex

SAML 2.0 es correcto. IAM Identity Center usa aserciones SAML 2.0 para la federación con IdP externos como Okta, Azure AD y Ping Identity. También admite SCIM para el aprovisionamiento automático de usuarios y grupos. Por qué no las otras: LDAP — un protocolo de acceso a directorios, no un protocolo de federación; Identity Center puede usar directorios basados en LDAP, pero se federa mediante SAML. OAuth 2.0 — un framework de autorización para la delegación de API, no federación SSO para el personal. Kerberos — un protocolo de autenticación de red on-premises, que no se usa para la federación SSO en la nube.

Fuentedocs.aws.amazon.com

Fundamentos de seguridad y gobernanza4 / 5

Una cuenta de red es propietaria de un transit gateway al que deben conectarse 150 cuentas de carga de trabajo de la misma organización. Actualmente, el equipo de red comparte el transit gateway con AWS RAM indicando los ID de cuenta, y cada cuenta de carga de trabajo tiene que aceptar una invitación antes de poder conectarse. El equipo quiere que las cuentas de la organización obtengan acceso sin invitaciones ni listas por cuenta. ¿Qué debe hacer el equipo de red?

AlexExplicación completa de Alex

AWS RAM permite que el propietario de un recurso comparta recursos compatibles, como los transit gateways, con otras cuentas. Para compartir dentro de una organización sin enumerar cada cuenta, primero habilitas el uso compartido con AWS Organizations en AWS RAM y luego compartes el recurso con toda la organización o con OU específicas. En ese caso, AWS RAM no envía invitaciones a las entidades principales de la organización, y las cuentas que se unan más adelante a la OU obtienen acceso automáticamente. Los transit gateways no usan políticas basadas en recursos para los permisos de attachment, así que una política basada en el ID de la organización no es la forma en que funciona el uso compartido. Crear un transit gateway por cuenta multiplica el costo y el trabajo de enrutamiento. Un rol de IAM entre cuentas permitiría a los equipos de carga de trabajo actuar dentro de la cuenta de red, lo que amplía su acceso sin necesidad. Consejo para el examen: compartir en toda la organización sin invitaciones es AWS RAM con el uso compartido de Organizations habilitado.

Fuentedocs.aws.amazon.com

* Las preguntas de la app están actualmente en inglés. Las traducciones de esta vista previa solo se aplican a la vista previa. Consulta con el proveedor de la certificación los idiomas disponibles para el examen oficial.

Así te preparas para SCS-C03 con Pass-IT.

Actualmente hay 340 preguntas de práctica para SCS-C03 y añadimos nuevas con regularidad. Céntrate en lo que aún necesitas aprender.

Avanza cuando una pregunta se te resista.

Entiende por qué una respuesta es correcta. Alex te explica los conceptos y resuelve tus dudas para que puedas aplicar lo aprendido en el siguiente ejercicio.

Conoce a Alex →

Vista previa de la conversación · SCS-C03

Claves fuera de AWS

  1. Tú

    ¿Podemos conservar las claves en hardware propio y usar KMS?

  2. Alex · Tutor de IA

    Un almacén externo conecta KMS con vuestro gestor de claves mediante un proxy XKS.

    Consultar la documentación ↗
  3. Tú

    ¿AWS opera ese hardware externo?

  4. Alex · Tutor de IA

    Tu organización opera el sistema externo y responde de su disponibilidad y conservación de claves.

    Consultar la documentación ↗

Aprovecha tu tiempo de estudio.

Practica a tu nivel.
En las nuevas sesiones de práctica, Pass-IT ajusta la dificultad según tus respuestas anteriores.

Aprende de tus errores.
Las respuestas incorrectas se convierten automáticamente en tarjetas de estudio. Al repasarlas, valoras con qué seguridad recuerdas la respuesta; Pass-IT programa el siguiente repaso.

Así funciona la práctica enfocada →

Demostración animada de la función

Convierte tus errores en conocimientos que recuerdes con seguridad.

Así funciona Pass-IT

Tu repaso

¿Has respondido mal una pregunta?

Pass-IT la guarda para que la repases.

SCS-C03 · Fragmento de una pregunta

Claves fuera de AWS

Ver la pregunta completa

La política de seguridad de una empresa exige que todas las claves de cifrado de AWS KMS usadas para datos de producción se almacenen en hardware security modules (HSM) que la empresa controle físicamente, sin dejar de usar la API de KMS para las operaciones de cifrado. ¿Qué opción de key store de KMS cumple este requisito?

Entiende la respuesta correcta.

AWS KMS con un external key store (XKS)

Un almacén externo mantiene el material de clave externo fuera de AWS.

Consultar la documentación ↗

¿Con qué seguridad la recuerdas?

Al repasar, valoras cuánto recuerdas de la respuesta.

Correcta tras dudar

Pass-IT programa tu próximo repaso.

La fecha depende de tu valoración y de los repasos anteriores.

Demostración simplificada. No se guarda ningún progreso de aprendizaje.

Entrena para el momento que cuenta.

Completa un simulacro de examen con tiempo límite y comprueba si te da tiempo a terminar.

Tu simulacro de SCS-C03

Preguntas
65
Minutos
170

Representación de una sesión de examen

  1. Inicio
  2. Responder preguntas
  3. Final

Extensión y tiempo límite del simulacro de Pass-IT.

Llega al examen con más confianza.

Tu Readiness Score te ayuda a valorar si estás listo para el examen. Los resultados por área te muestran dónde conviene seguir practicando.

Te devolvemos el dinero si suspendes pese a alcanzar un 80 % de Readiness.
Si tu Readiness Score es de al menos el 80 % cuando haces el examen y aun así suspendes, te devolvemos el precio de compra de Pass-IT para esta certificación.

Para accesos activos y de pago. Presenta el justificante de suspenso en un plazo de 14 días.

Más condiciones de la garantía

Cuando hagas el examen, necesitas al menos un 80 % de Readiness y un acceso activo y de pago a la certificación. Haz el examen durante tu periodo de acceso y presenta el justificante oficial de suspenso dentro de los 14 días posteriores al examen.

En las compras realizadas a través de Apple o Google, el reembolso se tramita en la tienda correspondiente. Consulta todos los detalles en las condiciones completas.

Ver las condiciones de la garantía →

El Readiness Score refleja tu progreso en la práctica, no una probabilidad de aprobar.

Requisito de la garantía

80%

Al menos un 80 % de Readiness
cuando hagas el examen

Reembolso si suspendes

Número de preguntas y ajustes de los simulacros del catálogo actual de Pass-IT.

Las áreas del examen

Esto practicas para SCS-C03.

Temas del examen, ejercicios relacionados y fuentes que puedes consultar.

Detectar amenazas e investigar señales ausentesConsulta la ponderación en la guía54 PreguntasPreguntas de Pass-IT

Configura la supervisión y los registros para reconocer actividad sospechosa en AWS.

  • Elegir comprobaciones de estado, hallazgos de seguridad y alertas que revelen comportamientos inusuales, y automatizar las evaluaciones periódicas.
  • Recopilar y almacenar los registros adecuados, y después normalizarlos y correlacionarlos para investigar la actividad entre servicios.
  • Encontrar problemas de configuración o permisos que impidan que la supervisión, los registros o las alertas informen correctamente.
Objetivos oficiales de la certificación
Preparar la respuesta a incidentesConsulta la ponderación en la guía38 PreguntasPreguntas de Pass-IT

Planifica cómo investigar y contener incidentes de seguridad y recuperar los servicios.

  • Redactar y probar procedimientos de respuesta, preparar accesos y herramientas de seguridad y automatizar los pasos adecuados.
  • Conservar pruebas forenses y correlacionar hallazgos para determinar el alcance, el impacto y la causa raíz de un incidente.
  • Aislar los recursos afectados, eliminar amenazas y recuperar los servicios siguiendo el plan de respuesta.
Objetivos oficiales de la certificación
Proteger redes y cargas de trabajoConsulta la ponderación en la guía58 PreguntasPreguntas de Pass-IT

Aplica controles de seguridad en el perímetro de la red, en las cargas de trabajo y entre entornos.

  • Configurar y solucionar problemas de las protecciones perimetrales, como las reglas de AWS WAF y las defensas de AWS Shield frente a ataques previstos.
  • Reforzar y parchear las cargas de cómputo, buscar vulnerabilidades y proteger los accesos administrativos, incluidas las salvaguardas para aplicaciones de IA generativa.
  • Controlar y segmentar el tráfico de red, proteger las conexiones híbridas y diagnosticar accesos innecesarios o bloqueados.
Objetivos oficiales de la certificación
Controlar identidades y accesosConsulta la ponderación en la guía67 PreguntasPreguntas de Pass-IT

Diseña cómo las personas y las cargas de trabajo acreditan su identidad y reciben permisos adecuados.

  • Configurar y solucionar problemas de autenticación, integración de proveedores de identidad y credenciales temporales para personas, aplicaciones y sistemas.
  • Diseñar autorizaciones de mínimo privilegio con roles, atributos y políticas de IAM, incluido el acceso entre cuentas.
  • Investigar fallos de autorización y privilegios involuntarios, y corregir las políticas responsables.
Objetivos oficiales de la certificación
Proteger los datos y sus clavesConsulta la ponderación en la guía72 PreguntasPreguntas de Pass-IT

Elige controles para los datos en tránsito, los datos almacenados y los secretos que protegen el acceso.

  • Exigir cifrado en tránsito y configurar el acceso privado y las comunicaciones cifradas entre recursos.
  • Proteger los datos almacenados con cifrado adecuado, controles de integridad, reglas de retención y copias de seguridad o replicación seguras.
  • Gestionar y rotar secretos, claves y certificados, distinguir el material de claves importado del generado por AWS y enmascarar datos sensibles.
Objetivos oficiales de la certificación
Gobernar la seguridad entre cuentasConsulta la ponderación en la guía51 PreguntasPreguntas de Pass-IT

Gestiona las cuentas y los controles de seguridad compartidos de forma coherente y comprueba su cumplimiento.

  • Organizar las cuentas con AWS Organizations y AWS Control Tower, centralizar la administración de seguridad y proteger el acceso raíz.
  • Desplegar recursos seguros de forma coherente mediante infraestructura como código, políticas aplicadas de forma centralizada y uso compartido controlado.
  • Detectar y corregir recursos que incumplen las normas, recopilar pruebas de auditoría y evaluar arquitecturas según las buenas prácticas de seguridad.
Objetivos oficiales de la certificación
Formatos de preguntas que puedes practicar
Opción múltiple
Selecciona una respuesta.
Respuesta múltiple
Selecciona varias respuestas válidas.
Ordenar
Ordena los pasos correctamente.
Emparejamiento
Relaciona cada elemento con el que le corresponde siguiendo las instrucciones de la pregunta.

Estos son formatos de práctica de Pass-IT. Consulta los requisitos oficiales del examen en Objetivos oficiales de la certificación.

Preguntas frecuentes

Tu preparación

¿Cuánto tiempo de estudio debería reservar para SCS-C03?

Como orientación para organizarte, Pass-IT estima unas 40–105 horas. Con experiencia relevante, probablemente te acerques al extremo inferior; si empiezas de cero, al superior. Puedes necesitar más o menos tiempo que el indicado. No es un requisito de AWS ni una promesa de estar listo para el examen en ese plazo.

Usar Pass-IT

¿En qué idioma están las preguntas de Pass-IT?

Las preguntas de la app están actualmente en inglés. Las traducciones de las preguntas de muestra de esta página solo se aplican a esta vista previa. Consulta con AWS los idiomas disponibles para el examen oficial.

¿Cuánto dura mi acceso a SCS-C03?

El acceso a esta certificación dura 12 meses. Pagas una vez, sin renovación automática.

¿Cuándo se aplica la garantía de devolución del dinero?

La garantía devuelve el precio de compra de Pass-IT para esta certificación. Necesitas un acceso de pago que cumpla los requisitos y un Readiness Score de al menos el 80 %, calculado a partir de tus resultados de práctica, en el momento del examen. Este valor solo puede alcanzar el 80 % tras responder al menos 50 preguntas y no es una probabilidad de aprobar validada. Haz el examen durante tu periodo de acceso y presenta el justificante oficial de suspenso en un plazo de 14 días. Condiciones de la garantía

Sobre el examen SCS-C03

¿Dónde puedo hacer el examen SCS-C03?

Examen en centro de exámenes Pearson VUE o supervisado en línea.

¿Cuánto dura el examen AWS Certified Security - Specialty?

El examen SCS-C03 tiene 65 preguntas y un tiempo límite de 170 minutos.

¿Qué experiencia da por sentada AWS Security Specialty?

AWS no exige ningún requisito formal, pero diseña SCS-C03 para gente con tres a cinco años de experiencia asegurando cargas de trabajo en la nube y un conocimiento profundo de los servicios de seguridad de AWS. Es un examen de nivel avanzado, y las preguntas asumen que ya depuraste políticas de IAM reales, no que solo leíste sobre ellas.

¿Por cuánto tiempo es válida AWS Security Specialty?

La certificación es válida por tres años. Si apruebas la versión más reciente del examen, la renuevas por tres años más. Mientras tu certificación esté activa, también puedes renovarla a través de AWS Skill Builder para extenderla un año más.

¿Qué pasa si repruebas AWS Security Specialty?

AWS pide esperar 14 días entre intentos y no pone límite a cuántas veces puedes presentar el examen. Con un formato de 170 minutos, un intento fallido suele ser tanto un problema de ritmo como de conocimientos.

Tu preparación para SCS-C03

$29.99pago único

12 meses de acceso a SCS-C03 · Sin renovación automática

Comprar acceso a SCS-C03

Las preguntas de la app están actualmente en inglés.

Probar 20 preguntas gratisNecesitas una cuenta gratuita. Sin tarjeta.

¿Ya tienes cuenta? Inicia sesión

¿Prefieres una suscripción? Ver suscripciones →

Reembolso si suspendes con al menos un 80 % de Readiness, para compras que cumplan las condiciones de la garantía.

Condiciones de la garantía

La garantía devuelve el precio de compra de Pass-IT para esta certificación. Necesitas un acceso de pago que cumpla los requisitos y un Readiness Score de al menos el 80 %, calculado a partir de tus resultados de práctica, en el momento del examen. Este valor solo puede alcanzar el 80 % tras responder al menos 50 preguntas y no es una probabilidad de aprobar validada. Haz el examen durante tu periodo de acceso y presenta el justificante oficial de suspenso en un plazo de 14 días.

Condiciones completas de la garantía →

Certificaciones relacionadas

AWS Certified Advanced Networking - SpecialtyAWS Certified AI Business StrategistAWS Certified AI PractitionerAWS Certified CloudOps Engineer - AssociateTodas las certificaciones de AWS →