Questões de Concurso sobre Gestão da Segurança da Informação

No plano de continuidade de negócio, o plano que tem o propósito de definir os procedimentos para contingenciamento dos ativos que suportam cada processo de negócio, objetivando reduzir o tempo de indisponibilidade e, consequentemente, os impactos potenciais ao negócio, é o

Segundo a norma ISO/IEC 27005, o risco de segurança da informação é calculado com base na combinação da possibilidade de um incidente e de sua consequência.

O processo de aceitação do risco da gestão de riscos e segurança da informação está alinhado com o processo de planejamento do SGSI (sistema de gestão de segurança da informação).

A opção que a norma ISO/IEC 27001 lista como uma tarefa que cabe à alta direção, dentro de um Sistema de Gestão de Segurança da Informação (SGSI), é

Conforme a NBR ISO/IEC 27001:2013, no cumprimento dos requisitos para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão de segurança da informação (SGSI), a organização deve determinar os limites e a aplicabilidade do SGSI para estabelecer o seu escopo, devendo, assim, considerar

Segundo NIST, o processo de resposta a incidentes de segurança é dividido em quatro etapas. São elas:

1. preparação;

2. detecção e análise de incidentes;

3. contenção, erradicação e recuperação: e

4. atividades pós-incidente.

A fase na qual deve ser realizada “ancoleta de evidências forenses é a de

Durante o gerenciamento de riscos operacionais relacionados à segurança, foi definido que o tempo máximo que um sistema crítico deverá ficar fora do ar é de 24 horas, ou seja, esse é o tempo máximo que as equipes terão para aplicar as ações necessárias até que o serviço volte a funcionar. Você é responsável por documentar as ações relacionadas ao gerenciamento dos riscos dessa aplicação. Nesse caso, de acordo com as práticas de mercado, como você definiria o tempo que foi estabelecido?

De acordo com a NBR ISO/IEC 27002, uma política de becape que busque validar a integridade dos dados copiados deve

Assinale a alternativa correta com relação à ABNT NBR ISO/IEC 27001.

O gerenciamento de ativos de TI (IT Asset Management - ITAM), é o processo que garante que todos os ativos de TI de uma organização sejam gerenciados de maneira eficaz. Sobre o assunto, considere as seguintes afirmativas:

I. Uma das principais referências para gestão de ativos de TI é a família de normas ISO/IEC 19770.

II. Uma das vantagens de se utilizar recursos de infraestrutura de uma nuvem pública (Infrastructure as a Service - IaaS) é que não é necessário realizar o gerenciamento destes ativos, uma vez que são gerenciados pelos próprios provedores.

III. A Gestão de Ativos de Software (Software Asset Management - SAM) é uma prática de negócios que envolve todo o ciclo de vida do ativo de TI, como gerenciar e otimizar a compra, implantação, manutenção, utilização e aposentadoria de software dentro de uma organização.

IV. Uma questão importante na Gestão de Ativos de Hardware é o descarte apropriado de equipamentos e componentes. Procedimentos formais para o descarte seguro de mídias de armazenamento devem ser definidos para minimizar o risco de vazamento de informações sensíveis para pessoas não autorizadas.

É CORRETO apenas o que se afirma em:

Tecnologias, processos e pessoas são os níveis considerados para a implementação da gestão de riscos.

A norma ISO 27002 – Tecnologia da Informação – Técnicas de segurança – Código de prática para controles de segurança da informação estabelece, em uma de suas seções, a seguinte diretriz:

“...que todos os funcionários, fornecedores e partes externas que tenham acesso a informações sensíveis assinem um termo de confidencialidade ou de não divulgação, antes de lhes ser dado o acesso aos recursos de processamento da informação”

Essa diretriz faz parte do capítulo referente a:

Os planos de continuidade de negócios devem incluir detalhes das ações que as equipes executarão para monitorar o impacto da disrupção e a resposta da organização sobre ela.

Para implementar, manter e melhorar continuamente a eficácia do Sistema de Gestão de Continuidade de Negócios de uma organização, a norma ABNT NBR ISO 22301:2020 adota

De acordo com o NIST Framework, a “Estratégia de Gerenciamento de Riscos”, que define as prioridades, restrições, tolerâncias de risco e suposições da organização estabelecidas e usadas para apoiar as decisões de risco operacional, é uma categoria da função:

Abordagem sobre a análise de riscos, segundo a ISO 27005, possui quatro objetivos principais. Assinale, das alternativas a seguir, a única que identifica incorretamente um desses objetivos.

Um técnico de tecnologia da informação é chamado para elaborar um relatório de levantamentos de riscos nos ativos de rede da organização. Julgue a seguinte afirmação: considerando a família ISO 27000, o guia mais adequado a seguir para essa demanda é a ISO 27003.

A segurança da informação, de acordo com a NBR ISO/IEC 27002, é a proteção da informação de vários tipos de ameaça, para garantir a continuidade do negócio, minimizar o risco do negócio e maximizar o retorno sobre os investimentos e as oportunidades de negócio.

Segundo a Norma ISO 27002, “para cada um dos riscos identificados, seguindo a análise/avaliação de riscos, uma decisão sobre o tratamento do risco precisa ser tomada.

Possíveis opções para o tratamento do risco, incluem”

I. aplicar controles apropriados para reduzir os riscos.

II. conhecer e objetivamente aceitar os riscos, sabendo que eles atendem claramente à política da organização e aos critérios para a aceitação de risco.

III. conhecer os riscos, permitindo ações que possam causar a ocorrência de riscos.

IV. transferir os riscos associados para outras partes, por exemplo, seguradoras ou fornecedores.

Assinale

O risco é o efeito da incerteza sobre os objetivos, muitas vezes identificado a partir a análise da probabilidade e do impacto de um evento ocorrer.