Questões de Concurso sobre Diretrizes para o Desenvolvimento de Software Seguro

Um determinado órgão público tem requisitos extremamente críticos no que se refere a segurança dos seus sistemas.

Indique a opção que descreve, dentro de uma metodologia de desenvolvimento de software, a forma correta de mitigar os riscos relativos à segurança no desenvolvimento do sistema.

O OWASP SAMM, documento de conscientização padrão para desenvolvedores voltado à segurança de aplicações web, descreve os riscos de segurança mais críticos e aponta as principais medidas a serem adotadas pelos desenvolvedores para mitigar esses riscos.

Um dos principais desafios dos sistemas informatizados permanentemente conectados é se manter seguro frente às novas ameaças que surgem continuamente. Um recurso importante nesse contexto é o National Vulnerabilities Database (NVD).

A NVD é uma base de dados que pode ser usada para

O núcleo do framework NIST Cybersecurity contém o alinhamento exclusivo de uma organização com seus requisitos e objetivos organizacionais, usando os resultados desejados de seus níveis de implementação.

Uma empresa de desenvolvimento de software está trabalhando para fortalecer suas práticas de segurança cibernética, adotando o NIST Cybersecurity Framework. Durante uma reunião, o Diretor de Segurança da Informação (CISO) apresenta uma questão para a equipe sobre os componentes e a estrutura do framework, para assegurar que todos compreendem sua aplicação e importância. Qual das seguintes afirmações sobre o NIST Cybersecurity Framework está CORRETA?

Diretivas de segurança da informação definem as políticas e práticas essenciais para proteger dados e sistemas críticos. Elas orientam a implementação de controles de segurança, garantindo a confidencialidade, a integridade e a disponibilidade das informações. Essas diretivas ajudam a mitigar riscos e a assegurar conformidade com normas e regulamentações. Assinale a alternativa que apresenta qual é o propósito principal do documento OWASP Top Ten.

Qual das seguintes práticas de segurança é fundamental para garantir um ambiente de trabalho seguro, na área de tecnologia da informação, de acordo com as Normas de Higiene e Segurança do Trabalho?

O framework CIS Controls estabelece uma norma internacional que deve ser adotada por todas as empresas de TI para que se garanta a segurança da informação.

Considerando os desafios complexos relacionados à segurança em Banco de Dados e Desenvolvimento Seguro de Software, qual das seguintes estratégias representa uma abordagem avançada para mitigar riscos de segurança e proteger efetivamente dados sensíveis?

No contexto atual, onde as ameaças cibernéticas estão cada vez mais sofisticadas e frequentes, as políticas de segurança de uma organização desempenham um papel crucial na proteção de informações sensíveis e na manutenção da integridade dos sistemas de informação. Considere uma empresa de grande porte que lida com dados confidenciais de clientes e que recentemente enfrentou uma série de ataques cibernéticos direcionados. O conselho executivo da empresa decidiu revisar e fortalecer suas políticas de segurança para mitigar futuras ameaças.

Durante a revisão, foram identificados vários pontos críticos que necessitam de atenção especial, incluindo a gestão de acesso, a criptografia de dados, a resposta a incidentes e a conscientização dos funcionários sobre práticas seguras. Após diversas reuniões com especialistas em segurança da informação, o comitê de segurança da empresa elaborou uma nova política abrangente.

Dentre as práticas recomendadas, uma delas é considerada fundamental para a eficácia das políticas de segurança e foi destacada pelos especialistas como a primeira linha de defesa contra violações de segurança. Assinale a alternativa que apresenta essa prática.

O SIEM (security information and event management) é um conjunto de ferramentas de segurança que são integradas e tem o objetivo de concentrar as informações de segurança em uma única ferramenta.

Sobre o desenvolvimento de software seguro em uma aplicação web, analise as assertivas abaixo e assinale a alternativa correta.

I. Não se deve utilizar Javascript para implementar regras de negócio importantes e essenciais para segurança.

II. Filtrar e validar parâmetros no servidor na chegada das requisições para rejeitá-la ou eliminar o risco de SQL Injection.

III. As páginas administrativas não devem ser indexadas nos mecanismos de buscas.

IV. Manter o servidor atualizado, como Sistema Operacional, Software da web/app server e demais plugins.

Qual é o objetivo principal da instalação de atualizações de software em um sistema?

Um teste de conhecimento pode ser escolhido se o objetivo for testar um novo tipo de ataque ou mesmo se a equipe quiser focar em um host específico da empresa.

Na fase de suporte e manutenção, deve ser estabelecido um time ou grupo responsável por respostas a incidentes de segurança.

Uma das diferenças entre DAST e SAST é que enquanto o primeiro é uma abordagem de caixa preta, sem acesso ao código-fonte, o outro, é uma abordagem de caixa branca, que analisa o código fonte durante a fase de desenvolvimento.

STRIDE é uma metodologia de identificação de ameaças à segurança baseada em um processo de sete etapas para identificar, enumerar e classificar as ameaças.

As práticas de SDL (Security Development Lifecycle) recomendam ações importantes que devem ser adotadas por projetistas, arquitetos e programadores durante o processo de desenvolvimento de um software. Um teste muito utilizado é a análise em tempo de execução do software totalmente compilado, permitindo a verificação das funcionalidades que podem apenas ser testadas quando todos os componentes estão integrados e em execução.

Esse tipo de teste é conhecido como

No contexto de técnicas de desenvolvimento seguro, qual das seguintes práticas é altamente recomendada para prevenir a vulnerabilidade de injeção de SQL em aplicações web?

Para manter-se seguro na internet, é importante adotar práticas seguras. Nesse sentido, são ações que representam riscos à segurança online:

I. Senhas fracas: usar senhas curtas, óbvias ou facilmente adivinháveis torna as contas vulneráveis a ataques de força bruta.

II. Navegação em sites não seguros (HTTPs): visitar sites não criptografados (HTTPs em vez de HTTP) pode expor informações pessoais a interceptações.

III. Links suspeitos: clicar em links ou abrir anexos em e-mails de remetentes desconhecidos ou suspeitos pode levar a infecções por malware ou phishing.

IV.Reutilização de senhas: usar a mesma senha em várias contas torna todas essas contas vulneráveis se uma delas for comprometida.

Estão CORRETOS: