Questões de Concurso sobre Gestão da Segurança da Informação

Na análise de riscos sobre os ativos de TI de uma organização, é comum estabelecer níveis de risco para cada ameaça identificada. Também é importante identificar os possíveis tratamentos e seus custos para decidir o que será feito. Nesse contexto, qual alternativa NÃO representa uma opção disponível à gerência para ser utilizada no julgamento sobre o tratamento de riscos?

No estabelecimento do plano de continuidade do negócio, deve ser incluído o compromisso com a melhoria contínua do sistema de gestão de continuidade de negócio.

De acordo com a ABNT NBR ISO/IEC 27701, no que se refere ao retorno, transferência ou descarte de dados pessoais, convém que a organização forneça a garantia necessária para que dados pessoais tratados sob um contrato sejam apagados do ponto onde eles estão armazenados, incluindo para os propósitos de cópias de segurança, tão logo eles não sejam mais necessários para os propósitos identificados do cliente.

A respeito da política de segurança da informação (PSI), assinale a opção correta.

A avaliação de riscos envolve a comparação dos resultados da análise de riscos frente aos critérios de riscos estabelecidos para determinar onde é necessária ação adicional.

Convém que o ativo seja protegido e classificado pelo proprietário.

As políticas de segurança da informação devem ser revisadas em intervalos planejados ou se ocorrerem mudanças significativas a fim de assegurar sua contínua conformidade, adequação e eficácia, é o que estabelece a ISO

De acordo com a ABNT NBR ISO/IEC 27005, assinale a opção que indica o processo de gestão de riscos de segurança da informação que prevê a identificação dos riscos, bem como sua priorização qualitativa, quando se usam como entradas, por exemplo, seu escopo e seus limites.

A norma ABNT NBR ISO/IEC 27002:2013 afirma que, quando elaborado um plano de backup, convém que a abrangência e a frequência da geração das cópias de segurança reflitam os requisitos de negócio, além dos requisitos de segurança da informação envolvidos e a criticidade da informação para continuidade da operação da organização. No tocante à abrangência, a norma cita como exemplo os tipos de backup

Experiências internas de incidentes e avaliações anteriores das ameaças não devem ser consideradas em avaliação de riscos após a ocorrência dos eventos relevantes.

Conforme a ABNT NBR ISO/IEC 27002:2013, o objetivo de segurança da informação caracterizado pelo uso de técnicas criptográficas para validar usuários e outras camadas sistêmicas que requeiram acessos para transações com usuários de sistemas, entidades e recursos é

Na etapa de contenção do processo de tratamento de incidentes, é feita a detecção do impacto do incidente.

O grupo de administração de crises (GAC) estabelecido pelo PCN é responsável por acionar o grupo executivo em situações de emergência.

Com relação às transações nos aplicativos de serviço de uma organização, considere:

I. Transmissões incompletas e erros de roteamento.

II. Alterações não autorizadas de mensagens.

III. Divulgação não autorizada.

IV. Duplicação ou reapresentação de mensagem não autorizada.

A norma ABNT NBR 27001:2013 recomenda que as informações envolvidas em transações nos aplicativos de serviços devem ser protegidas para prevenir o que consta de

Um dos procedimentos que uma organização pode executar é a criação de políticas ou normas de segurança da informação; tais regras objetivam fazer o uso da informação na organização acontecer de uma forma estruturada, sem prejudicar o seu negócio.

Para o estabelecimento das regras de uma política de controle de acesso de uma empresa familiar, com baixa rotatividade de funcionários, em que as pessoas desempenham vários papéis funcionais, a recomendação da ABNT NBR ISO/IEC 27002 é que se adote a premissa “tudo é permitido, a menos que expressamente proibido”.

A etapa de recuperação antecede a etapa de erradicação e se encarrega de restaurar os dados de negócio, executando, entre outras atividades, a de recriar ou alterar usuários e senhas de todos os colaboradores.

Uma política de uso aceitável dos ativos de informação, subsidiária à política de segurança da informação, estabelece requisitos e regras de segurança da informação para acesso a esses ativos, bem como a responsabilização decorrente de seu uso.

Uma política de desenvolvimento seguro de sistemas deve considerar a capacidade de evitar, encontrar e corrigir vulnerabilidades como uma atribuição da gerência de segurança da informação, com a colaboração técnica dos desenvolvedores apenas eventualmente.

Um aplicativo para smartphones voltado à edição de figurinhas (stickers) usadas em aplicativos de mensagens instantâneas que, aproveitando-se do acesso autorizado às imagens armazenadas no smartphone, coleta e envia indevidamente pela rede imagens diversas de documentos contidas no aparelho inclui-se na categoria de spyware.