Questões de Concurso sobre Gestão da Segurança da Informação

Para a gestão de segurança da informação, os controles são meios de eliminar o risco que contêm somente procedimentos técnicos.

Identifique, dentre os itens descritos a seguir, aqueles que correspondem a diretrizes e providências que, de acordo com a norma ABNT NBR ISO/IEC 27002:2013, devem ser consideradas para realização de trabalho remoto e assinale a alternativa correta.

I. Proibição do uso de todo e qualquer equipamento de propriedade particular para realização das atividades de trabalho remoto;

II. Definição dos sistemas internos que o usuário do trabalho remoto está autorizado a acessar;

III. Provisão de equipamento de comunicação apropriado e de métodos para acesso remoto seguro;

IV. Proibição de acesso de familiares e visitantes aos equipamentos computacionais e à rede de comunicação utilizados para trabalho remoto;

V. Provisão de suporte e manutenção de hardware e software;

VI. Revogação de autoridade e direitos de acesso quando do encerramento das atividades de trabalho remoto; e

VII. Devolução dos equipamentos fornecidos pela organização quando as atividades de trabalho remoto forem finalizadas.

Trabalhar com a gestão de dados perpassa demandas associadas à segurança e à privacidade. A ABNT NBR ISO/IEC 27001 é um padrão que especifica os requisitos para a implementação, manutenção e continuidade na melhoria dos sistemas de segurança da informação. Essa norma aborda esses conceitos sob diferentes níveis institucionais. Com isso, assinale a opção que recomenda práticas incorretas de liderança e comprometimento da alta direção quanto ao Sistema de Gestão de Segurança da Informação (SGSI).

Segundo a ISO 27002, as políticas de segurança da informação devem garantir a estabilidade organizacional, impedindo mudanças no ambiente de gestão e de tecnologia, por meio da análise crítica, e definindo por seus termos as circunstâncias do negócio.

Marque a alternativa correta referente ao gerenciamento de riscos.

Analise as afirmativas abaixo com relação à norma de segurança ISO 27001.

1. Uma organização pode certificar-se na ISO 27001, mas não na ISO 27002.

2. A última atualização da norma altera as cláusulas de 4 a 10 com revisões gerais sobre escopo, gestão de riscos, monitoramento e medição, auditoria interna e outros.

3. Os objetivos de controle da norma estão dispostos no Anexo A.

Assinale a alternativa que indica todas as afirmativas corretas.

A mobilidade corporativa é uma realidade em muitas organizações que utilizam dispositivos móveis para comunicação entre suas equipes. No entanto, convém que cuidados especiais sejam tomados para assegurar que as informações do negócio não sejam comprometidas.

De acordo com a Norma ISO/IEC 27002:2013, a política para uso de dispositivos móveis nas organizações deve

Na NBR ISO/IEC 27005:2011, a definição do contexto representa a fase de preparação para a implementação da gestão de riscos, que envolve principalmente a definição de cinco aspectos: critérios; escopo; necessidade; requisitos; e organização, todos eles tratados pelo Sistema de Gestão de Segurança da Informação.

A família de normas ISO 27000 contém as definições e diretrizes para a Segurança da Informação em uma organização.

"Existem muitas organizações e padrões sobre segurança da informação. Padrões importantes são desenvolvidos pela ISO, NIST e ANSI. Na Europa, a ISO é a mais utilizada. Nos EUA, os padrões NIST e ANSI são mais comuns. A maioria dos padrões cobre os mesmos objetivos de segurança. Cada padrão dá uma atenção extra a um elemento particular dentro da disciplina, o que o diferencia dos outros padrões.

… A ISO, fundada em 1947, á uma federação mundial de organismos nacionais de normatização de cerca de 100 países, com um organismo de normatização representando cada país membro. O American National Standards Institute (ANSI), por exemplo, representa os EUA. As organizações-membro colaboram com o desenvolvimento e a promoção de padrões internacionais. Dentre os padrões que a ISO promove está a Interconexão de Sistemas Abertos, ou Open Systems Interconnection (OSI), um modelo de referência universal para protocolos de comunicação." (HINTZBERGEN et al., 2018)

Relacione as colunas, indicando para cada item da coluna A a descrição correspondente na coluna B. Cada item da coluna A pode aparecer uma ou várias vezes, ou não parecer.

COLUNA A

1 - Conformidade

2 - Continuidade de negócios

3 - Gestão de riscos

4 - Recuperação de desastres

5 - Confiabilidade

6 - Controle

COLUNA B

( ) Prevenção contra interrupções das atividades, proteção dos processos críticos e garantia de uma rápida recuperação após um desastre.

( ) Consistência dos comportamentos e resultados desejados.

( ) Cumprimento da legislação e dos regulamentos internos e/ou externos.

( ) Meios de gerenciar o risco, incluindo políticas, procedimentos, diretrizes e práticas ou estruturas organizacionais.

A sequência correta da associação é

De acordo com a ISO 31000, para assegurar que as diferentes formas de tratamento de riscos se tornem e permaneçam eficazes, o monitoramento e a análise crítica precisam ser parte integrante da sua implementação.

Segundo a NBR ISO/IEC 27005:2011, a fase de comunicação do risco compreende o registro formal da decisão de aceite dos riscos pela organização.

A NBR ISO/IEC 27002 recomenda que a análise crítica da política de segurança da informação seja focada em responder diretamente aos investimentos e ao reconhecimento organizacional em relação ao valor da segurança da informação.

Com relação à segurança em recursos humanos (SRH), a norma não faz referência a um processo disciplinar formal com o objetivo de coibir violações da segurança da informação, apenas fixa procedimentos que o órgão deve tomar em caso de rescisão contratual.

De acordo com a Norma ISO/IEC 27.001/2013, “a organização deve estabelecer os objetivos de segurança da informação para funções e níveis relevantes”. Considerando a Política de Segurança da Informação, e em conformidade com a norma apresentada, os objetivos devem ser:

De acordo com a NBR ISO/IEC 27002, uma política para transferência de informações tem como objetivo a proteção da transferência de informações por meio de todos os tipos de recursos de comunicação.

Assinale a opção que apresenta o tipo de ciclo de gestão adotado pela norma NBR ISO/IEC n.º 27001:2013.

Para a identificação de riscos, a norma NBR ISO/IEC 27005 recomenda que se incluam apenas os riscos cujas fontes sejam evidentes e estejam sob o controle da organização.

Entre as Normas da ISO/IEC 27000, a ISO 27001 é uma norma relacionada ao Sistema de Gerenciamento da Segurança da Informação (ISMS) no que diz respeito ao seguinte aspecto:

No que se refere à política de controle de acesso, segundo a NBR ISO/IEC 27.002, convém que

A norma NBR ISO/IEC 27005:2011, que fornece diretrizes para o processo de gestão de riscos de segurança da informação,