Seu próximo nível começa aqui
Com a Assinatura Ilimitada, você tem tudo que precisa para sua aprovação.
Com a Assinatura Ilimitada, você combina prática, teoria e método em uma única assinatura com tudo que você precisa para sua aprovação.
- Gran Questões
- Questões
Questões de Concurso sobre Gestão da Segurança da Informação
Disciplina
1
Assunto
8
Banca
Instituição
Cargo
Ano
Carreira
Área de formação
Escolaridade
Dificuldade
Comentários:
Professores
Alunos
Meus Comentários
Vídeo
Minhas questões:
Resolvidas
Não resolvidas
Certas
Erradas
Tipo de questão:
Certo e errado
Múltipla escolha
Incluir questões:
Anuladas
Desatualizadas
Questões:
Todas as questões
Filtro simplificado
Questões
Todas as questões
1.043
questões
encontradas
20
Mais recentes
São temas válidos, que constam no Anexo A da norma ISO 27001.
1. Segurança de Recursos Humanos
2. Segurança Perimetral e Contra Terceiros
3. Segurança de Operações
4. Gestão de Incidentes de Segurança da Informação
5. Gestão de Problemas de Segurança da Informação
Assinale a alternativa que indica todas as afirmativas corretas.
A
São corretas apenas as afirmativas 1, 3 e 4.
B
São corretas apenas as afirmativas 2, 3 e 4.
C
São corretas apenas as afirmativas 1, 2, 3 e 4.
D
São corretas apenas as afirmativas 1, 3, 4 e 5.
E
São corretas as afirmativas 1, 2, 3, 4 e 5.
Sobre os conceitos de SIEM (Informações de Segurança e Gerenciamento de Eventos), bem como suas funcionalidades, analise as afirmações a seguir.
I - SIEM é capaz de realizar a integração de dados relevantes à segurança e à correlação de eventos para a identificação de incidentes de segurança, permitindo visibilidade e controle sobre o que ocorre em sua rede em tempo real, fornecendo relatórios e alertas, por meio de análises de eventos e dados de registros (logs) em tempo real para correlacionar eventos, monitorar ameaças e responder a incidentes.
II - SIEM é a combinação de gerenciamento de eventos de segurança (SEM - security event management) e gerenciamento de informações de segurança (SIM - security information management).
III - SIEM é capaz de realizar a integração de dados relevantes à segurança, mas não consegue fazer a correlação de eventos para a identificação de incidentes de segurança. Além disso, não permite visibilidade e controle sobre o que ocorre em sua rede em tempo real, fornecendo apenas relatórios e alertas, com registros (logs) e/ou eventos do dia anterior, a fim de monitorar ameaças e responder a incidentes.
IV - As soluções SIEM são capazes de analisar e exibir as ameaças de segurança conhecidas, mas não conseguem prever as desconhecidas e, mesmo fazendo uso de inteligência artificial, não conseguem ter um bom desempenho. Mesmo SIEM inteligentes, alimentados por uma análise de dados baseada em IA e machine learning, ainda não são eficientes no detalhamento com base no contexto, scores de risco, análise de comportamento e busca proativa por ameaças.
Estão corretas, apenas, as assertivas:
A
I e II.
B
II e III.
C
III e IV.
D
I e III.
E
II e IV.
Dentre as atribuições de um técnico do MPRR em tecnologia da informação, destaca-se a de contribuir para a implementação de processos de segurança da informação e comunicação. Dessa forma, esse profissional deve realizar ações para a prevenção de ataques ao órgão. A esse respeito, assinale a alternativa que descreve um incidente de segurança da informação.
A
É a preservação da confidencialidade, integridade e disponibilidade da informação.
B
É a combinação da probabilidade de um evento e sua consequência. Um efeito é um desvio do que é esperado, o qual pode ser positivo e/ou negativo.
C
Trata-se do processo de encontrar, reconhecer e descrever riscos. Envolve a identificação das suas fontes, eventos, causas e suas potenciais consequências.
D
Trata-se de uma tentativa de destruir, expor, alterar, inutilizar, roubar ou obter acesso não autorizado a um ativo ou fazer uso não autorizado deste.
E
É indicado por um único ou uma série de eventos de segurança da informação, indesejáveis ou inesperados, que possam ameaçar a segurança da informação.
São categorias ou seções de controles ou objetivos de controle contidos no anexo A da norma ISO 27001:
1. Gestão de ativos
2. Políticas de segurança da informação
3. Aquisição, desenvolvimento e manutenção de sistemas
4. Funções e responsabilidades
5. Criptografia
Assinale a alternativa que indica todas as afirmativas corretas.
A
São corretas apenas as afirmativas 1 e 2.
B
São corretas apenas as afirmativas 1, 2 e 3.
C
São corretas apenas as afirmativas 1, 3 e 5.
D
São corretas apenas as afirmativas 1, 2, 3 e 4.
E
São corretas apenas as afirmativas 1, 2, 3 e 5.
Sobre a segurança de tecnologia da informação, com base na ISO/IEC 27002, norma internacional que estabelece as melhores práticas para apoiar a implantação do Sistema de Gestão de Segurança da Informação (SGSI) nas organizações, assinale a alternativa correta.
A
O conceito de disponibilidade busca prevenir a divulgação intencional ou não intencional do conteúdo de uma mensagem.
B
A integridade refere-se aos limites em termos de quem pode obter que tipo de informação.
C
A gestão da informação descreve os meios pelos quais uma organização eficientemente planeja, coleta, organiza, usa, controla, dissemina e descarta sua informação.
D
No Controle de Acesso Baseado em Reivindicações, o dono dos dados e os usuários individuais são capazes de definir qual acesso será permitido aos seus dados, independentemente da política, ao seu critério.
E
No Controle de Acesso Baseado na Função (Role-Based Access Control – RBAC), as permissões são derivadas de uma política e os donos e usuários podem permitir acesso a outros dentro do definido nessa política.
No processo de gestão de risco, as ameaças que mais causam impacto na organização devem ser identificadas e as necessidades devem ser implementadas pelos controles da segurança, para que se reduza o risco de ataque.
C
Certo
E
Errado
Analise as afirmativas abaixo com relação ao Sistema de Gestão da Segurança da Informação (SGSI).
1. O objetivo do contínuo aperfeiçoamento de um SGSI é aumentar a probabilidade de alcançar os objetivos da organização com relação à preservação da confidencialidade, disponibilidade e integridade da informação.
2. O tratamento de um risco não deve criar novos riscos.
3. Um SGSI se aplica somente para empresas de grande porte devido à grande quantidade de controles demandados.
Assinale a alternativa que indica todas as afirmativas corretas.
A
É correta apenas a afirmativa 1.
B
É correta apenas a afirmativa 2.
C
São corretas apenas as afirmativas 1 e 2.
D
São corretas apenas as afirmativas 1 e 3.
E
São corretas apenas as afirmativas 2 e 3.
O Plano de Continuidade da Segurança da Informação é essencial para o tratamento de situações críticas e adversas, por exemplo, uma crise ou desastre. Para proporcionar uma implementação eficiente desse controle, convém que a organização assegure-se de que
A
seja possível implementar emergencialmente uma estrutura para mitigar e responder a um evento de interrupção, usando pessoal com a necessária autoridade, experiência e competência.
B
a equipe técnica tenha um plano a seguir, devidamente documentado em detalhes, com base nos objetivos de continuidade da segurança da informação aprovados pela direção.
C
seja possível manter o funcionamento pleno da organização, garantindo a segurança da informação em um nível predeterminado.
D
seja possível alocar pessoal competente e responsável de forma rápida, sem a necessidade de designação prévia.
E
todos os controles de segurança da informação possam ser mantidos durante uma situação adversa.
De acordo com a norma ABNT NBR ISO/IEC 27002:2013, que estabelece o Código de Prática para Controles de Segurança da Informação, avalie as seguintes afirmações e assinale a alternativa que NÃO reflete uma política adequada de segurança da informação.
A
Convém que os usuários somente recebam acesso às redes e aos serviços de rede que tenham sido especificamente autorizados a usar e que o acesso seja removido ou desabilitado imediatamente ao deixar a organização.
B
Convém que seja adotada uma política de mesa e tela limpas, por exemplo, com informações sensíveis ou críticas guardadas em lugar seguro quando não em uso e computadores e terminais desligados ou com tela bloqueada quando não usados.
C
Convém que a organização defina e crie uma política mandatória e restrita sobre quais os tipos de software os usuários podem instalar, com privilégios irrestritos apenas administradores de TI e cargos mais altos da direção da organização.
D
Convém que sejam implementados controles de detecção, prevenção e recuperação para proteção contra códigos maliciosos, se possível, utilizando dois ou mais tipos de software de diferentes fornecedores, combinado com um programa de conscientização do usuário.
A norma NBR ISO/IEC 27701:2019 fornece orientações para gestão da privacidade da informação dentro do contexto da organização.
De acordo com esta norma, é recomendado que a organização
A
disponibilize regularmente informação na forma que permita a identificação dos titulares dos dados pessoais.
B
assegure que os arquivos temporários criados como um resultado de tratamento de dados pessoais sejam guardados e auditáveis.
C
assegure que o conteúdo de mídia física contendo dados pessoais que esteja deixando as instalações da organização seja acessível a qualquer pessoa.
D
limite a coleta de dados pessoais a um mínimo que seja relevante, proporcional e necessário para os propósitos identificados.
E
utilize dados pessoais reais, precisos, completos e atualizados nos procedimentos de teste e homologação dos sistemas de software.
De acordo com a Norma ABNT NBR ISO/IEC 27002:2013, a elaboração de um plano de backup deve levar em consideração um conjunto de itens. Assinale a alternativa que NÃO corresponde a um dos itens listados nesta norma.
A
Convém que as cópias de segurança sejam armazenadas em uma localidade remota, a uma distância suficiente para escapar dos danos de um desastre ocorrido no local principal.
B
Convém que sejam utilizados backups do tipo incremental em detrimento de backups completos, de modo a poupar espaço nas mídias de armazenamento e a permitir a recuperação dos dados de forma mais rápida.
C
Convém que as mídias de backup sejam regularmente testadas para garantir que elas sejam confiáveis no caso do uso emergencial.
D
Em situações onde a confidencialidade é importante, convém que cópias de segurança sejam protegidas através de encriptação.
Com relação à aquisição, desenvolvimento e manutenção de sistemas, a Norma ABNT NBR ISO/IEC 27002:2013 recomenda que
A
os requisitos relacionados à segurança da informação sejam incluídos nos requisitos para novos sistemas de informação ou melhorias dos sistemas de informação existentes.
B
as mudanças em sistemas sejam controladas utilizando procedimentos informais de controle de mudança.
C
modificações em pacotes de software sejam encorajadas e estejam alinhadas às mudanças necessárias em ambiente controlado.
D
programas de testes de aceitação e critérios relacionados sejam estabelecidos para novos sistemas de informação, excluindo-se atualizações e novas versões.
E
os testes das funcionalidades de segurança sejam realizados somente ao final do processo de desenvolvimento de sistemas.
De acordo com a norma NBR ISO/IEC n.o 27002:2013, a segurança da informação é obtida pela implementação de um conjunto adequado de controles, incluindo-se políticas, processos, procedimentos, estruturas organizacionais e funções de software e hardware.
C
Certo
E
Errado
Um dos objetivos do controle “gestão de incidentes de segurança da informação” é assegurar que fragilidades e eventos de segurança da informação associados com sistemas de informação sejam comunicados, de forma a permitir a tomada de ação corretiva em tempo hábil.
C
Certo
E
Errado
A norma NBR ISO/IEC n.o 27005:2011 aborda a gestão de riscos, podendo ser aplicada a todos os tipos de organizações (grandes, pequenas ou médias), desde que tenham a pretensão de gerir os riscos que poderiam comprometer sua segurança da informação.
C
Certo
E
Errado
A família de normas ISO 27000 define os termos associados às técnicas de segurança e aos sistemas de gestão de tecnologia da informação. A respeito dos termos Autenticidade, Ação Preventiva, Análise de Riscos, Disponibilidade e Gerenciamento de Riscos, é INCORRETO afirmar:
A
Uma Ação Preventiva é uma ação tomada para eliminar a causa de uma potencial não conformidade ou outra potencial situação indesejável.
B
A Análise de Riscos é um processo para compreender a natureza do risco a fim de determinar o seu nível, que proporciona a base para estimativa e decisões sobre o tratamento de riscos.
C
A Autenticidade é a propriedade que comprova a consistência dos comportamentos e resultados desejados de uma entidade.
D
A Disponibilidade é a propriedade em que uma entidade demonstra ser acessível e utilizável sob demanda por outra uma entidade autorizada.
E
O Gerenciamento de Riscos corresponde às atividades coordenadas para direcionar e controlar uma organização, no que diz respeito ao risco.
Relativamente à notificação de eventos de segurança da informação, pode-se afirmar que são situações a serem consideradas para notificar um evento de segurança da informação, EXCETO:
A
Erros humanos.
B
Mudanças descontroladas de sistemas.
C
Conformidade com políticas ou diretrizes.
D
Controle de segurança ineficaz.
E
Violação de acesso.
A ISO/IEC 27002 faz parte de um conjunto de normas que possibilitam que organizações de tamanhos variados implementem e operem um Sistema de Gestão de Segurança da Informação (SGSI). A implementação dessa norma refere-se a:
A
gestão de risco de segurança da informação.
B
diretrizes para gestão de segurança da informação em serviços financeiros.
C
diretrizes para auditoria em Sistemas de Gestão de Segurança da Informação.
D
boas práticas para controles de segurança da informação.
E
gestão de segurança da informação para comunicação intersetorial e interorganizacional.
De acordo com a norma NBR ISO/IEC n.o 27005:2011, apenas os riscos com probabilidade de provocar mais impactos nas empresas é que devem ser analisados, para que se saiba o quanto eles afetarão a empresa, ajudando-a a tomar decisões sobre ações futuras.
C
Certo
E
Errado
Segundo a NBR-ISO/IEC 27002, no que se refere à política de segurança da informação, NÃO é exemplo de política específica do tema de tópicos orientados aos usuários finais:
A
Mesa limpa e tela limpa.
B
Regulamentações, legislação e contratos.
C
Uso aceitável dos ativos.
D
Dispositivos móveis e trabalho remoto.
E
Restrições sobre o uso e instalação de software.
Gerar simulado