Questões de Concurso sobre Gestão da Segurança da Informação

O ciclo de vida da gestão da continuidade, apresentado pela NBR 15999-1:2007, é composto por quatro elementos, sendo que, no elemento Entendendo a Organização, deve-se elaborar e implementar um plano detalhado de continuidade, conforme a análise e a identificação dos riscos.

No nível superior da organização, deve existir uma política de segurança da informação generalizada, conforme especificado na ISO/IEC 27001:2013.

Para controlar o acesso aos ativos de informação, é conveniente que os requisitos comerciais de controle de acesso da organização sejam claramente documentados em uma política e nos procedimentos de controle de acesso.

A Norma ABNT NBR ISO/IEC 27000 inicia uma família de normas com foco na segurança da informação, trazendo como pilares a confidencialidade, disponibilidade e integridade dos dados. Na continuidade dela vem a ABNT NBR ISO/IEC 27002, que apresenta práticas de controle de segurança da informação, com guia de padronização organizacional de segurança da informação, incluindo seleção, implementação e gestão de controles nas organizações, considerando o risco de segurança nos ambientes. Nessa norma, há controles para especificação e análise de requisitos de segurança da informação para aquisição, desenvolvimento e manutenção de sistemas, considerando que vários métodos sejam utilizados na identificação desses requisitos. Com isso, assinale a opção incorreta quanto as diretrizes para implementação desses controles a fim de garantir a segurança da informação na aquisição, desenvolvimento ou manutenção de sistemas.

Analise as afirmativas a seguir sobre a norma NBR ISO/IEC 27701:

I. Essa norma indica que o termo “segurança da informação”, usado na norma NBR ISO/IEC 27001, deva ser considerado como “segurança da informação e privacidade”.

II. A norma coloca como conveniente a existência um ponto de contato para ser usado pelo cliente, em relação ao tratamento de dados pessoais.

III. De acordo com a norma, a ocorrência de um evento de segurança da informação implica necessariamente em uma probabilidade alta de acesso não autorizado a dados pessoais, sensíveis ou não.

Está correto apenas o que se afirma em

Através de uma Política de Segurança da Informação (PSI), a empresa formaliza suas estratégias e abordagens para a preservação de seus ativos. Sobre a PSI, assinale a alternativa CORRETA:

O impacto sobre o negócio, mensurado no momento do tratamento dos riscos, pode ser determinado por abordagens quantitativas ou qualitativas.

É por meio do tratamento de riscos que se identificam e se estimam os riscos, considerando-se o uso sistemático de informações, a análise de ameaças, as vulnerabilidades e seus impactos.

A norma ABNT NBR ISO/IEC 27002:2013, que tem como propósito servir como referência na implementação e no desenvolvimento de um sistema de gestão de segurança da informação (SGSI), é considerada uma norma completa e ampla que esgota as necessidades de todas as empresas, não sendo necessário que estas realizem adaptações.

De acordo com essa norma, deve-se assegurar a seleção adequada dos recursos humanos, com vistas às suas referências pessoais e profissionais, incluindo uma verificação destas e de sua documentação.

A equipe de Tecnologia da Informação (TI) de um órgão público está implementando uma solução de TI para atender requisitos de segurança e privacidade dos dados pessoais em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD). Adicionalmente, a equipe passou a adotar controles de segurança do CIS v8 (Center for Internet Security, Inc.) para mitigar os tipos de ataques cibernéticos mais conhecidos. Para reforçar o trabalho associado à LGPD, a equipe de TI identificou e começou a implementar um controle de segurança do CIS v8 que auxilia na mitigação de violação de dados, garantindo privacidade e integridade das informações sensíveis e pessoais.

O controle de segurança do CIS v8 implementado pela equipe de TI é a:

Um dos procedimentos de segurança mais eficazes e mais simples é utilizar a mesma senha para acessar os diversos sites e sistemas, pois, quanto mais se usam senhas diferentes, maior a probabilidade de programas espiões as capturarem.

Conforme o princípio conhecido como auditoria, previsto na ABNT NBR ISO/IEC 27002:2013, convém impedir que uma única pessoa possa acessar e modificar ativos sem a devida autorização, determinando que o início de um evento seja separado de sua autorização.

No tratamento de riscos, as medidas de segurança são classificadas em

Definir políticas, regras e práticas para orientar os processos de segurança é uma das ações que devem ser executadas na etapa de preparação do processo de tratamento de incidentes, etapa essa que ocorre antes mesmo de o ataque acontecer.

Sobre as ISO/IEC 27001 e ISO/IEC 27002 para Gestão de Segurança da Informação, analise as afirmações a seguir.

I - ISO/IEC 27002 é a norma que define os requisitos para um Sistema de Gestão da Segurança da Informação (SGSI). O SGSI inclui estrutura organizacional, políticas, atividades de planejamento, responsabilidades, práticas, procedimentos, processos e recursos, sendo descrito como um sistema parte do sistema de gestão global da organização, com base em uma abordagem de risco do negócio, para estabelecer, implementar, operar, monitorar, revisar, manter e melhorar a segurança da informação.

II - ISO/IEC 27001 é a norma que define os requisitos para um Sistema de Gestão da Segurança da Informação (SGSI). O SGSI inclui estrutura organizacional, políticas, atividades de planejamento, responsabilidades, práticas, procedimentos, processos e recursos, sendo descrito como um sistema parte do sistema de gestão global da organização, com base em uma abordagem de risco do negócio, para estabelecer, implementar, operar, monitorar, revisar, manter e melhorar a segurança da informação.

III - ISO/IEC 27001 é um código de práticas com um conjunto completo de controles (técnicos) que auxiliam a aplicação do Sistema de Gestão da Segurança da Informação (SGSI). É recomendável que a norma seja utilizada em conjunto com outras normas da família ISO 27000, mas pode ser também consultada de forma independente, com fins de adoção das boas práticas. Essa é a única norma em gestão da segurança para a qual existem certificações profissionais.

IV - ISO/IEC 27002 é um código de práticas com um conjunto completo de controles (técnicos) que auxiliam a aplicação do Sistema de Gestão da Segurança da Informação (SGSI). É recomendável que a norma seja utilizada em conjunto com a ISO 27001, mas pode ser também consultada de forma independente, com fins de adoção das boas práticas. Essa é a única norma em gestão da segurança para a qual existem certificações profissionais.

Estão corretas, apenas, as assertivas:

De acordo com a ISO 31000, o registro e o relato do processo de gestão de risco e de seus resultados visam fornecer informações para a tomada de decisão.

Conforme a ABNT NBR ISO 22301:2020, a necessidade de a organização possuir procedimentos documentados para restaurar e retornar as atividades de negócios a partir das medidas temporárias adotadas durante e após uma disrupção está diretamente relacionada

Segundo a norma ABNT NBR 27035-3:2021, as fases do processo de operação de resposta a incidentes incluem operações para identificação, avaliação e qualificação de incidentes, coleta de inteligência de ameaças, contenção, erradicação e recuperação de incidentes, análise de incidentes e

Um Sistema de Gestão de Segurança da Informação (SGSI) é um conjunto de controles que uma organização implementa para proteger os seus próprios ativos de informação e também para proteger outros ativos pelos quais é responsável.

A norma ABNT NBR ISO/IEC 27001:2019 fornece os requisitos necessários para um SGSI. Rafael foi contratado para implementar o SGSI em um órgão público. Ele elencou os controles necessários para garantir a adequação à norma.

Para isso, Rafael teve que elaborar: