Seu próximo nível começa aqui
Com a Assinatura Ilimitada, você tem tudo que precisa para sua aprovação.
Com a Assinatura Ilimitada, você combina prática, teoria e método em uma única assinatura com tudo que você precisa para sua aprovação.
- Gran Questões
- Questões
Questões de Concurso sobre Diretrizes para o Desenvolvimento de Software Seguro
Disciplina
1
Assunto
5
Banca
Instituição
Cargo
Ano
Carreira
Área de formação
Escolaridade
Dificuldade
Comentários:
Professores
Alunos
Meus Comentários
Vídeo
Minhas questões:
Resolvidas
Não resolvidas
Certas
Erradas
Tipo de questão:
Certo e errado
Múltipla escolha
Incluir questões:
Anuladas
Desatualizadas
Questões:
Todas as questões
Filtro simplificado
Questões
Todas as questões
108
questões
encontradas
20
Mais recentes
Sobre a criação e gestão de senhas seguras, assinalar a alternativa CORRETA.
A
Senhas curtas, compostas por dados pessoais, facilitam a memorização e aumentam a segurança.
B
A reutilização da mesma senha em múltiplos serviços reduz a exposição a ataques automatizados.
C
O uso de sequências numéricas simples dificulta ataques de força bruta.
D
Senhas longas, com combinação de caracteres variados, aumentam a resistência a tentativas de ataque.
Uma Secretaria da Fazenda de um grande estado está reformulando sua estratégia de segurança cibernética após uma série de incidentes. Investigações revelaram que as violações exploraram falhas únicas em controles internos: um ataque de phishing “bypassou" o filtro de e-mails, um ransomware explorou uma vulnerabilidade não corrigida em um servidor e um acesso interno indevido foi possível devido a permissões excessivas. Em face desses incidentes, a equipe de segurança propôs a adoção do princípio de Defesa em Profundidade definida por
A
implementação da solução de segurança mais avançada e abrangente do mercado (como um NGFW) em cada ponto da rede, criando uma barreira única e impenetrável que elimina a necessidade de outros controles.
B
ser sinônimo da filosofia Zero Trust. Portanto, sua implementação correta se resume à adoção estrita do princípio de “nunca confiar, sempre verificar” para usuários e dispositivos.
C
priorizar a proteção do perimetro da rede. Sua implementação correta requer o fortalecimento máximo dos controles de borda (como firewalls e IPS), assumindo que as ameaças mais críticas sempre vêm de fontes externas.
D
uma estratégia que emprega múltiplas camadas de controles heterogêneos e sobrepostos (físicos, técnicos e administrativos), de modo que a falha ou o bypass de uma camada seja contido pela próxima.
E
uma estratégia reativa. Sua implementação correta foca na implantação de uma variedade de ferramentas de detecção e resposta (como EDR e SIEM), confiando que, se uma ameaça passar por uma camada, ela será inevitavelmente detectada e contida pelas camadas subsequentes de monitoramento.
A Metodologia OWASP é amplamente utilizada para orientar organizações no desenvolvimento de aplicações seguras, oferecendo listas, frameworks, guias e práticas recomendadas para reduzir vulnerabilidades comuns. Com relação aos princípios e documentos oficiais mantidos pelo OWASP, assinale a alternativa correta sobre essa metodologia.
A
O OWASP Top 10 é uma norma obrigatória que define requisitos legais para certificação de segurança de aplicações.
B
O OWASP Top 10 apresenta um conjunto das dez vulnerabilidades mais críticas em aplicações web, atualizadas periodicamente.
C
O OWASP ASVS é um guia destinado exclusivamente à análise de malware encontrado em servidores web.
D
O OWASP SAMM é um modelo que descreve apenas práticas de criptografia para aplicações inseguras.
E
O OWASP não fornece materiais gratuitos; seus documentos são pagos e de acesso limitado.
De acordo com a ISO/IEC 27002, existem três pilares que formam a base para a proteção de dados, garantindo, assim, a proteção da informação, a inviolabilidade e a prontidão de uso.
A tríade que compõe as propriedades de segurança da informação é
A
Controle, Propósito e Orientação.
B
Controle do Acesso às Informações, Segurança Cibernética e Disponibilidade Contínua.
C
Aprovação, Auditoria e Controle.
D
Confidencialidade, Integridade e Disponibilidade.
E
Controle de Acesso, Criptografia e Serviços Online.
Uma organização revisou seu programa de segurança e identificou a seguinte situação:
• existe uma falha conhecida em um sistema operacional;
• existe um agente ou evento capaz de explorar essa falha;
• caso a exploração ocorra, haverá possibilidade de impacto ao negócio.
Considerando os conceitos fundamentais de segurança da informação, a sequência correta dos elementos descritos é:
A
ameaça → ativo → disponibilidade.
B
risco → ameaça → vulnerabilidade.
C
vulnerabilidade → ameaça → risco.
D
integridade → disponibilidade → confidencialidade.
E
autenticação → autorização → auditoria.
Ano:
2026
Prova:
IDIB - Prefeitura de Araguaína - Analista de Sistemas - 2026
Em uma empresa de desenvolvimento de software adotando as diretrizes da ISO/IEC 27001, o auditor verifica o impedimento de um mesmo programador desenvolver o código-fonte de um módulo financeiro e promover essa alteração diretamente para o ambiente de produção, exigindo a aprovação e execução por um analista de infraestrutura distinto. Assinale a alternativa correspondente ao princípio de controle interno aplicado nesse cenário.
A
Defesa em profundidade.
B
Segregação de funções.
C
Princípio do menor privilégio.
D
Não repúdio.
Na implementação desse framework, é recomendado utilizar técnicas avançadas para assegurar a integridade do código e dos dados durante o desenvolvimento de software seguro, como o isolamento de componentes e o uso de mecanismos de controle de fluxo.
C
Certo
E
Errado
É fundamental manter seu navegador atualizado com as versões mais recentes, pois as atualizações frequentes corrigem vulnerabilidades de segurança. Considerando que as ameaças digitais evoluem constantemente, com milhares surgindo diariamente, qual das seguintes alternativas representa um navegador confiável e amplamente utilizado:
A
Google Chrome.
B
Linux.
C
Android.
D
UNIX.
E
macOS.
Para evitar ataques de SQL Injection em um sistema web que interage com um banco de dados, qual das seguintes práticas é a mais segura?
A
Implementação de Prepared Statements e parametrização de consultas
B
Uso de consultas SQL dinâmicas para validar entradas
C
Desativação de logs de erro para ocultar falhas
D
Permissão para usuários administradores inserirem consultas SQL diretamente no sistema
E
Uso de criptografia para proteger os dados armazenados
Um projeto de software seguro deve ser concebido desde o princípio tendo-se a segurança em mente. São exemplos de práticas seguras de desenvolvimento, EXCETO:
A
a configuração de CORS, permitindo o acesso incondicional aos recursos da API.
B
o uso de modelagem de ameaças para autenticação crítica, o controle de acesso, lógica de negócios e os fluxos de chaves.
C
a determinação do fluxo correto e os estados de falha no desenvolvimento da história do usuário, certificando-se de que sejam bem compreendidos e aceitos pelas partes responsáveis e afetadas.
D
a validação de todos os fluxos críticos na criação de testes de unidade e integração, verificando se são resistentes ao modelo de ameaça, compilando casos de uso de sucesso e casos de uso indevido para cada camada da sua aplicação.
Uma instituição de pesquisa desenvolveu um sistema de análise de dados sensíveis na área da saúde, onde informações confidenciais de pacientes são processadas para geração de relatórios epidemiológicos. Devido ao caráter sigiloso dos dados e ao risco de exposição indevida, a equipe de segurança cibernética decidiu aplicar técnicas de modelagem de ameaças antes da implantação do sistema.
Durante a análise, os especialistas identificaram que o sistema pode ser vulnerável a ataques que exploram a elevação de privilégios, vazamento de dados e injeção de código malicioso. Para mitigar esses riscos, a equipe adotou o modelo STRIDE, desenvolvido pela Microsoft, visando uma categorização precisa das possíveis ameaças e a implementação de controles adequados.
Com base nessa abordagem, assinale a seguir a alternativa que apresenta corretamente as ameaças classificadas pelo modelo STRIDE e sua relação com os riscos identificados.
A
O modelo STRIDE categoriza as ameaças de segurança em seis classes: Spoofing (S), Tampering (T), Repudiation (R), Information Disclosure (I), Denial of Service (D) e Elevation of Privilege (E). No caso apresentado, a elevação de privilégios corresponde a Elevation of Privilege (E), o vazamento de dados a Information Disclosure (I) e a injeção de código malicioso a Tampering (T).
B
O modelo STRIDE categoriza as ameaças em seis grupos: Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service e Elevation of Privilege. No caso apresentado, a elevação de privilégios corresponde ao Elevation of Privilege (E), o vazamento de dados à Information Disclosure (I) e a injeção de código malicioso ao Spoofing (S).
C
O modelo STRIDE identifica apenas ameaças voltadas a infraestrutura e comunicação, não sendo adequado para análise de aplicações voltadas ao processamento de dados sensíveis.
D
No modelo STRIDE, as ameaças são classificadas em categorias baseadas nos impactos que causam aos ativos da organização, mas ele não cobre ataques relacionados à elevação de privilégios ou vazamento de dados.
E
STRIDE é um modelo voltado exclusivamente para identificação de ataques de negação de serviço (Denial of Service), sendo inadequado para avaliar ameaças como injeção de código malicioso.
É o objetivo principal da Lei Geral de Proteção de Dados Pessoais (LGPD) vigente no Brasil:
A
Proteger os dados pessoais e a privacidade dos titulares, regulando como organizações coletam, utilizam, armazenam e compartilham essas informações.
B
Exigir que todos os órgãos públicos usem exclusivamente softwares de código aberto.
C
Estabelecer normas de segurança apenas para equipamentos de telecomunicações, sem tratar de dados pessoais.
D
Permitir que empresas armazenem dados ilimitadamente sem necessidade de consentimento.
E
Regulamentar apenas transações financeiras realizadas pela internet.
Ao planejar uma atividade digital colaborativa com seus alunos, o professor de informática da rede pública de João Ramalho decide utilizar um sistema de compartilhamento de arquivos em nuvem. Para garantir que os documentos fiquem acessíveis aos estudantes autorizados, sem alterações indevidas ou vazamentos de conteúdo, o docente precisa garantir que sejam preservados os princípios da segurança da informação. Qual dos conjuntos a seguir representa, corretamente, os três princípios fundamentais que devem ser considerados?
A
Conectividade; controle; e completude.
B
Legalidade; transparência; e privacidade.
C
Integridade; autenticidade; e anonimato.
D
Disponibilidade; integridade; e confidencialidade.
Sobre as ações do processo de Hardening, analise as assertivas abaixo e assinale a alternativa correta.
I. Excluir contas inutilizadas.
II. Desinstalar programas dispensáveis.
III. Rever permissões e pontos de acesso.
IV. Mapear possíveis vírus e malwares presentes.
A
Todas as assertivas estão corretas.
B
Todas as assertivas estão incorretas.
C
Apenas a assertiva I está correta.
D
Apenas as assertivas I e II estão corretas.
E
Apenas as assertivas III e IV estão corretas.
Em relação à instalação e à configuração de software, práticas consideradas fundamentais para manter a segurança e a estabilidade do sistema consistem em
A
instalar sempre a versão mais recente de todos os softwares imediatamente após o lançamento, sem necessidade de testes prévios, para garantir que haja as funcionalidades mais atualizadas disponíveis.
B
desabilitar o serviço de atualizações automáticas do sistema operacional para evitar conflitos com aplicações críticas, realizando atualizações apenas quando houver falhas graves no sistema.
C
aplicar todas as correções de segurança simultaneamente em todos os servidores de produção, durante o horário comercial, para maximizar a eficiência da equipe de TI e reduzir custos operacionais.
D
habilitar todos os softwares com as configurações padrão de fábrica sem a necessidade de personalização, pois essas configurações são sempre as mais seguras e estáveis para qualquer ambiente corporativo.
E
aplicar atualizações de segurança regularmente após testá-las em ambiente controlado e manter backups atualizados do sistema, documentando todas as configurações realizadas para facilitar futuras manutenções.
Um técnico está configurando um novo computador que veio com Windows 11 pré-instalado e precisa ajustar as configurações de inicialização no firmware da placa-mãe (Setup). O usuário relatou a necessidade de habilitar a criptografia de disco (BitLocker) e garantir a máxima segurança durante o processo de boot.
Acerca das configurações encontradas no Setup (BIOS/UEFI), marque V, para as afirmativas verdadeiras, e F, para as falsas.
(__) O modo Secure Boot" é uma funcionalidade do BIOS legado que acelera o tempo de inicialização ao pular a verificação de periféricos USB.
(__) O CSM (Compatibility Support Module) deve ser habilitado para permitir que o sistema operacional utilize partições GPT e o modo de boot UEFI nativo.
(__) O TPM (Trusted Platform Module) é um recurso de hardware gerenciado pelo UEFI/BIOS que armazena chaves criptográficas, sendo essencial para o funcionamento do BitLocker.
(__) O UEFI (Unified Extensible Firmware Interface) é uma interface de firmware moderna que substitui o BIOS, oferecendo suporte a mouse, partições GPT e recursos de segurança avançados.
Após análise, assinale a alternativa que apresenta a sequência correta dos itens acima, de cima para baixo:
A
V, V, F, F.
B
F, V, V, F.
C
F, F, V, V.
D
V, F, F, V.
Ao se criar uma política de segurança, é importante considerar e descrever diversos padrões e diretrizes que especificam as tecnologias para proteger sistemas.
C
Certo
E
Errado
Para defender uma Prefeitura contra ataques cibeméticos, uma Analista decidiu executar ações aplicando o princípio de “nunca confiar, sempre verificar”, visando proteger os dados sensíveis dos cidadãos e garantir a continuidade dos serviços públicos, mediante a implementação
A
da autenticação multifator (MFA) para todos os funcionários.
B
da divisão da rede em segmentos menores para limitar o movimento lateral.
C
da Zero Trust Architecture (ZTA), estabelecendo um sistema de monitoramento continuo para detectar atividades suspeitas.
D
de um sistema de gerenciamento de identidade e acesso (IAM).
E
de sessões de treinamento para todos os funcionários sobre as melhores práticas de segurança cibernética.
O privacy by design é mais eficiente quando implementado como uma camada de segurança adicional sobre sistemas já existentes.
C
Certo
E
Errado
Qual alternativa não é uma afirmação legítima sobre a LGPD?
A
A LGPD foi inspirada no Regulamento Geral de Proteção de Dados (GDPR) da União Europeia e estabelece princípios como transparência e finalidade no tratamento de dados.
B
A LGPD aplica-se a todos os setores que realizam tratamento de dados pessoais, incluindo saúde, educação, comércio, serviços, entre outros, não se restringindo apenas a empresas de tecnologia.
C
Proteção da vida ou da incolumidade física do titular ou de terceiro é umas das bases legais da LGPD.
D
A Lei Geral de Proteção de Dados (LGPD) é uma legislação brasileira que regula o tratamento de dados pessoais.
E
A LGPD permite o tratamento de dados pessoais sem qualquer restrição, desde que sejam anonimizados.
Gerar simulado