Seu próximo nível começa aqui
Com a Assinatura Ilimitada, você tem tudo que precisa para sua aprovação.
Com a Assinatura Ilimitada, você combina prática, teoria e método em uma única assinatura com tudo que você precisa para sua aprovação.
- Gran Questões
- Questões
Questões de Concurso sobre Diretrizes para o Desenvolvimento de Software Seguro
Disciplina
1
Assunto
5
Banca
Instituição
Cargo
Ano
Carreira
Área de formação
Escolaridade
Dificuldade
Comentários:
Professores
Alunos
Meus Comentários
Vídeo
Minhas questões:
Resolvidas
Não resolvidas
Certas
Erradas
Tipo de questão:
Certo e errado
Múltipla escolha
Incluir questões:
Anuladas
Desatualizadas
Questões:
Todas as questões
Filtro simplificado
Questões
Todas as questões
108
questões
encontradas
20
Mais recentes
Durante 0 fortalecimento das práticas de automação e monitoramento no ambiente de TI de um tribunal, a equipe técnica passou a aplicar soluções de Dev0õps e DevSecOps que envolvem gestão de configurações com Ansible e AWX, integração continua de aplicações e implementação de plataformas de observabilidade baseadas em Prometheus, Grafana e a ELK Stack. No planejamento dessas atividades, a construção de uma infraestrutura confiável e segura deve adotar práticas que
A
priorizem a coleta estruturada de logs e a análise pontual de eventos críticos em ferramentas específicas, mesmo que a integração com dados de métricas operacionais ainda não esteja contemplada nos painéis de observabilidade.
B
utilizem ferramentas de automação de infraestrutura, como Ansible e AWX, para padronizar tarefas recorrentes em servidores, mantendo o controle manual de processos relacionados à segurança e conformidade.
C
promovam a criação de dashboards dinâmicos e interativos integrados a sistemas de alerta, permitindo o acompanhamento em tempo real de métricas, logs e eventos de servidores e aplicações, contribuindo para a segurança e confiabilidade da infraestrutura.
D
configurem pipelines de CI/CD voltados às fases de teste e homologação, adotando o deploy manual no ambiente de produção como medida de controle e rastreabilidade para evitar automações criticas em etapas finais.
E
implementem soluções de monitoramento orientadas à coleta de dados históricos e análise pós-incidente, com alertas configurados para periodos específicos e foco na redução de falsos positivos fora do horário comercial.
A empresa Y foi contratada para eliminar/mitigar as ameaças existentes após a migração dos serviços de uma multinacional para a nuvem. A empresa Y iniciou o processo de identificação dessas ameaças na nova infraestrutura utilizada e elencou como principais ameaças a serem trabalhadas: funcionários maliciosos, perda de dados ou vazamento e perfis de risco desconhecido.
Como contramedidas a essas ameaças, a empresa Y deverá implementar, respectivamente:
A
a adoção de técnicas de autenticação fortes de dois fatores, sempre que possível (monitoramento e envio de alertas sobre informações necessárias) e processos iniciais mais rigorosos de registro e validação;
B
o monitoramento de listas negras públicas para os seus próprios blocos de rede, e a garantia de que os fortes controles de autenticação e de acesso estejam implementados com as transmissões sendo encriptadas;
C
a determinação de processos de notificação de violação de segurança, a análise da proteção dos dados em tempo de projeto e de execução, e a divulgação dos registros históricos e dos dados correlatos;
D
a proibição do compartilhamento das credenciais da conta entre usuários e serviços, a utilização de técnicas de autenticação fortes de dois fatores, sempre que possível, e o emprego de monitoração proativa para detectar atividades não autorizadas;
E
a condução de varreduras de vulnerabilidades e auditorias de configuração, o monitoramento do ambiente para mudanças/atividades não autorizadas, e a exigência de transparência nas práticas gerais de segurança e de gerenciamento de informações, bem como de relatórios de conformidade.
Uma empresa de tecnologia estava planejando lançar um novo serviço de transferência de arquivos em nuvem que envolvia o processamento de dados altamente sensíveis de clientes. Durante a fase de avaliação de segurança deste novo serviço, a equipe identificou uma vulnerabilidade crítica inerente à arquitetura proposta, que não poderia ser mitigada de forma eficaz com as tecnologias atuais e representava um risco inaceitável de vazamento de dados em larga escala. Diante disso, a diretoria decidiu cancelar o desenvolvimento e o lançamento desse serviço específico.
Com base no relato, assinale a opção que identifica corretamente a estratégia de tratamento de risco adotada pela diretoria dessa empresa de tecnologia.
A
Transferência do risco.
B
Mitigação do risco.
C
Aceitação do risco.
D
Evitar o risco.
E
Compartilhamento do risco.
Ano:
2025
Banca:
Instituto Quadrix - Quadrix
Políticas de segurança devem ser rígidas e imutáveis, independentemente das mudanças tecnológicas.
C
Certo
E
Errado
Um técnico de TI foi encarregado de implementar um novo procedimento de segurança para o envio de relatórios de avaliação de desempenho, que contêm informações altamente confidenciais. O procedimento exige a aplicação de múltiplos controles criptográficos. Analise as tarefas que o sistema automatizado deve executar para cumprir o procedimento:
- Para proteger o conteúdo do relatório contra acesso não autorizado, o arquivo é cifrado utilizando uma chave secreta que apenas o remetente e o sistema de destino conhecem.
- Para garantir que a origem do relatório seja comprovada e que o remetente não possa negar o envio, o sistema utiliza a chave privada do remetente para "assinar" o documento.
- Para permitir uma verificação rápida de que o arquivo não sofreu alterações durante a transferência, um valor numérico de tamanho fixo é gerado a partir do conteúdo do relatório por meio de um cálculo irreversível.
Para executar todas as tarefas descritas de forma eficiente, o técnico de TI precisará configurar a utilização combinada das seguintes soluções:
A
Um sistema assimétrico para a confidencialidade do conteúdo e um sistema simétrico para a criação de um código de autenticação de origem.
B
Um sistema simétrico para confidencialidade e um sistema assimétrico para a assinatura digital, que por si só já garante a integridade do arquivo.
C
Uma Infraestrutura de Chave Pública (PKI) para gerenciar as assinaturas e um sistema simétrico para realizar a cifragem dos dados do relatório.
D
Um sistema simétrico para a confidencialidade do conteúdo, um assimétrico para a assinatura e um unidirecional para a verificação de integridade.
E
Um sistema assimétrico para realizar a cifragem, a assinatura de origem e a verificação de integridade, unificando os controles de segurança.
A proteção de sistemas e dados depende da adoção de boas práticas, incluindo criação de senhas seguras, autenticação em dois fatores (2FA) e o uso de softwares antivírus e antimalware.
A respeito dessas medidas, analise as alternativas e assinale a CORRETA:
A
Senhas complexas e únicas, combinando letras maiúsculas, minúsculas, números e caracteres especiais, não precisam ser alteradas periodicamente se o usuário utilizar autenticação em dois fatores.
B
A autenticação em dois fatores (2FA) consiste em adicionar uma camada extra de segurança, combinando algo que o usuário conhece (senha) com algo que o usuário possui (token, aplicativo de autenticação, SMS), dificultando o acesso não autorizado mesmo que a senha seja comprometida.
C
Softwares antivírus e antimalware protegem apenas contra vírus, sendo dispensável a atualização constante das definições de ameaças.
D
Técnicas de proteção digital, como senhas seguras e antivírus, substituem completamente a necessidade de políticas de backup e criptografia de dados.
Um Tribunal está desenvolvendo uma nova aplicação web e quer garantir que ela esteja protegida. A prática mais eficaz para proteger a aplicação web contra as vulnerabilidades mais comuns é
A
implementar autenticação multifator (MFA).
B
utilizar HTTPS para todas as comunicações.
C
adotar o OWASP Top 10 como guia para desenvolvimento
D
realizar revisões de código manuais regulares.
E
utilizar bibliotecas de terceiros para todas as funcionalidades de segurança.
Uma prefeitura lançou um programa chamado “Cidade Inteligente”, que incluiu a instalação de sensores loT em postes para monitoramento da qualidade do ar. No entanto, a prefeitura enfrentou dificuldades para regulamentar a interoperabilidade entre diferentes fabricantes de sensores e a troca de dados entre instituições públicas e privadas. Nesse caso, a diretriz regulatória mais relevante para garantir a interoperabilidade e segurança de sistemas loT no Brasil é a
A
implementação de normas específicas da ANPD que determinam a priorização de redes privativas padronizadas para dispositivos loT.
B
exigência de que todos os sensores loT sejam desenvolvidos exclusivamente por empresas brasileiras para evitar falhas de interoperabilidade.
C
restrição da coleta de dados loT apenas por instituições públicas que sejam participantes do Programa Brasileiro de Normas e Padrões, para evitar conflitos de regulamentação técnica.
D
obrigatoriedade de utilização de protocolos de comunicação abertos e padronizados, com base no Regulamento de Qualidade dos Serviços de Telecomunicações da Anatel.
E
substituição de todos os dispositivos loT estrangeiros por nacionais certificados pelo Inmetro.
A Prefeitura de São Paulo está hipoteticamente desenvolvendo um sistema integrado de segurança urbana, chamado Segurança 380º, que conecta câmeras de vigilância, sensores de tráfego e dispositivos loT em áreas públicas. O objetivo é monitorar em tempo real eventos críticos, como congestionamentos, atos de vandalismo e emergências médicas. Esse sistema manipula dados sensíveis, como informações de placas de veículos, padrões de movimento de pedestres e eventos registrados por câmeras. Para proteger o sistema contra ataques cibernéticos, a equipe técnica decidiu implementar uma arquitetura Zero Trust (ZTA) com práticas DevSecDps. Para viabilizar o sistema Segurança 360º, o consenso foi optar por
A
armazenar dados de sensores loT e câmeras em servidores centralizados, para facilitar a administração e garantir controle total de acesso, e utilizar Virtual Private Networks (VPNs) para controlar o acesso às redes e aos aplicativos.
B
um modelo de segurança baseado na proteção de perímetro de rede, que estabelece alguns macroperímetros em tomo de ativos protegidos, usa mecanismos de segurança como 2FA e possibilita o acesso a aplicativos e serviços com base em autorização por voz do usuário.
C
priorizar o uso de firewalls de perímetro robustos e reduzir 0 foco em autenticação e controle granular para acelerar o tráfego entre dispositivos. Desta forma, os invasores ficam impedidos de comprometer as credenciais do usuário e obter acesso aos sistemas locais por trás do firewall.
D
cancelar serviços que usam modelos de implantação híbridos ou multi-nuvem, dispositivos não gerenciados ou aplicativos de SaaS. Em todos esses casos, há recursos que estão fora do controle direto, inviabilizando soluções ZTA, uma vez que podem comprometer as políticas e práticas de segurança.
E
implementar soluções que segmentam a rede para restringir o movimento lateral e conter os infiltradores, como ZTNA e Cloud Security Access Broker (CASB). Incluir MFA para todos os acessos, automação no pipeline CIHCD com scanners de vulnerabilidade e realizar monitoramento contínuo utilizando ferramentas SIEM.
Considerando que uma organização adota o desenvolvimento de software seguro, o uso de ferramentas de varredura de vulnerabilidades será direcionado especificamente às bibliotecas de software de terceiros utilizadas pela organização.
C
Certo
E
Errado
Na Engenharia de Software, alguns atributos de qualidade (AQ) são mandatórios quando o sistema de software produzido é para um domínio crítico. Curiosamente, o termo “segurança” é polissêmico, uma vez que pode ser tradução tanto para security quanto para safety. O último deles (safety) é um AQ frequentemente priorizado para sistemas críticos, visto que, ao priorizá-lo, garante-se que o sistema implemente
A
mecanismos para evitar falhas que venham a causar até mesmo danos físicos para seus usuários ou para o ambiente ao redor.
B
proteção dos dados contra acessos não autorizados, uso indevido, modificação não autorizada, divulgação não autorizada ou destruição.
C
meios de troca e uso das informações trocadas entre sistemas diferentes que precisem estar integrados para funcionar.
D
funções ou tarefas para as quais foi projetado, de maneira correta e completa, de acordo com as expectativas e requisitos dos usuários.
Considere o impacto significativo que a Open Web Application Security Project (OWASP) teve no campo da segurança de aplicações WEB. Dentre as seguintes alternativas, qual melhor descreve o papel central da Metodologia OWASP no cenário da segurança de aplicações WEB?
A
Desenvolver aplicações web que são resistentes a ameaças cibernéticas.
B
Promover e propagar as melhores práticas de segurança para aplicações WEB.
C
Oferecer serviços avançados de hospedagem, focados em ambientes altamente seguros.
D
Estabelecer diretrizes específicas para codificação em diversas linguagens de programação.
No quesito informação e comunicação, é recomendável que as soluções de software preservem a rastreabilidade das informações e dos processos utilizados para a transferência dos dados da origem para o usuário.
C
Certo
E
Errado
Resolução Nº 396 de 07/06/2021 instituiu a Estratégia Nacional de Segurança Cibernética do Poder Judiciário (ENSEC-PJ). São objetivos do ENSEC-PJ, exceto:
A
tornar o Judiciário mais seguro e inclusivo no ambiente digital
B
aumentar a resiliência às ameaças cibernéticas
C
instituir o Comitê Gestor de Segurança da Informação do Poder Judiciário
D
estabelecer governança de segurança cibernética e fortalecer a gestão e coordenação integrada de ações de segurança cibernética nos órgãos do Poder Judiciário
Assinale a alternativa que apresenta uma afirmação que configura uma prática recomendada para aumentar a segurança da informação em ambientes digitais:
A
Usar a mesma senha para todas as contas, para facilitar a memorização.
B
Manter todos os softwares em suas versões originais, evitando atualizações.
C
Desativar softwares de segurança para acelerar o desempenho do sistema.
D
Utilizar senhas fortes e únicas para cada conta ou serviço.
E
Compartilhar senhas com colegas de trabalho, para garantir a acessibilidade.
O desenvolvimento de algoritmos de Inteligência Artificial generativa está relacionado a aspectos éticos com impactos sociais, culturais e econômicos. Entre as diretrizes presentes em diversos instrumentos regulatórios relacionados à IA generativa, destaca-se a priorização de abordagens considerando os aspectos que formam a matriz FAT.
O acrônimo FAT é formado pelos seguintes princípios éticos relacionados ao desenvolvimento de algoritmos:
A
Feedback, Algorithm e Training.
B
Framework, Agents e Tasks.
C
Fairness, Accountability e Transparency.
D
Freedom, Autonomy e Trust.
E
Fidelity, Altruism e Truthfulness.
Por meio da promoção de melhoria contínua, a alta direção de uma organização demonstra sua liderança e seu comprometimento em relação ao sistema de gestão de segurança da informação.
C
Certo
E
Errado
Nos ataques a sistemas computacionais, para mitigar as vulnerabilidades de segurança em sistemas computacionais que operam em um ambiente com múltiplos usuários e serviços críticos, é fundamental
A
utilizar uma abordagem de Defense in Depth implementando múltiplas camadas de proteção, como firewalls, criptografia e controle de acesso.
B
aplicar somente a política de "Segurança por Obscuridade" ao manter detalhes internos do sistema não documentados.
C
conceder permissões de administrador para todos os usuários para facilitar o gerenciamento e evitar conflitos de acesso.
D
desativar a Autenticação Multifatorial (MFA) para simplificar o processo de login dos usuários.
E
empregar apenas ferramentas de segurança padrão e não realizar personalizações específicas para o ambiente da organização.
O NIST Cybersecurity Framework (CSF) tem como objetivo principal criar um padrão único de segurança da informação que deve ser adotado globalmente por todas as empresas de tecnologia.
C
Certo
E
Errado
Ao implementar um sistema de Internet das Coisas (IoT), vários aspectos técnicos são críticos para garantir o desempenho, a segurança e a eficiência do sistema. Alguns dos aspectos técnicos críticos, na implantação de um sistema IoT em uma organização, incluem:
A
segurança dos dispositivos e comunicações IoT para proteger contra ataques cibernéticos, invasões, manipulação de dados e interrupção do serviço.
B
reestruturação dos sistemas existentes uma vez que não é possível garantir interoperabilidade e troca de dados eficiente entre os dispositivos e a infraestrutura local.
C
disponibilidade de conectividade redundante de rede confiável e de alta velocidade, unicamente voltada para a utilização dos dispositivos IoT.
D
implementação de protocolos de rede específicos para a organização a fim de reduzir os custos e garantir a segurança dos dispositivos IoT.
Gerar simulado