Questões de Concurso sobre Gestão da Segurança da Informação

Considere que um determinado Tribunal Regional Eleitoral esteja definindo uma forma de gerenciar riscos da infraestrutura de TI, incluindo a determinação de políticas, procedimentos, diretrizes, práticas e estruturas organizacionais para estabelecer proteções e contramedidas. De acordo com a Norma ISO/IEC 27002, essa definição para segurança da informação é denominada

De acordo com a norma ISO 27001:2006, as opções para tratamento de risco devem incluir: aplicação de controles apropriados; aceitação dos riscos consciente e objetivamente, desde que satisfaçam claramente as políticas da organização e os critérios de aceitação dos riscos; e transferência dos riscos associados ao negócio a outras partes, por exemplo, a seguradoras e fornecedores.

O processo de gestão de riscos de segurança da informação pode ser aplicado em todos os segmentos da organização: departamento, serviço, sistema de informações e até controles já existentes.

Sobre a norma ISO 27002:2005, relacionada à segurança física e do ambiente, há um item denominado “Segurança do cabeamento”. Dentro desse item, há uma diretriz relacionada a sistemas sensíveis ou críticos, a qual menciona que controles adicionais devem ser considerados, tais como:

I. Utilização de cabeamento coaxial.

II. Utilização de blindagem eletromagnética para a proteção dos cabos.

III. Acesso controlado aos painéis de conexões e às salas de cabos.

Quais estão corretas?

De acordo com a NBR ISO/IEC 31000:2009, a fim de assegurar que a gestão de riscos seja eficaz e continue a apoiar o desempenho organizacional, convém que a organização garanta recursos materiais irrestritos para evitar desvios em relação ao plano de gestão de riscos, que deve ser mantido inflexível, especialmente em relação ao contexto interno da organização.

A política de segurança deve ser aprovada pelo gestor máximo da instituição, assinada pelo chefe da informática, e divulgada para o pessoal de tecnologia da informação e comunicação (TIC).

Entre os serviços proativos a serem prestados por um grupo de respostas a incidentes de segurança incluem-se a realização de tarefas de auditoria, a avaliação de vulnerabilidades e outras avaliações que visem identificar fraquezas ou vulnerabilidades nos sistemas antes que elas sejam exploradas.

Caso o controle de acesso aos sistemas corporativos de uma organização seja feito com base em perfis de pessoas, então, de acordo com as boas práticas, esses perfis devem ser aplicados apenas no nível hierárquico dos servidores e colaboradores.

A fim de tratar os incidentes de segurança, a equipe de tratamento e resposta a incidentes nas redes computacionais de uma organização deve apresentar os serviços: resposta, triagem, coordenação de incidentes em redes computacionais e emissão de boletins de segurança.

Na especificação e na implementação do SGSI, devem-se considerar as necessidades, os objetivos e os requisitos de segurança da organização, mas elas não devem ser influenciadas por seu tamanho nem por sua estrutura.

Baseado nas normas ABNT NBR ISO/IEC 27001:2013 e ABNT NBR ISO/IEC 27002:2013, um analista de TI está definindo uma política de controle de acesso às informações e aos recursos de processamento de uma organização. Nesse contexto, estas normas recomendam que

O Act (agir), do modelo PDCA, aplicado aos processos do sistema de gestão de segurança da informação (SGSI), é responsável por implementar e operar a política, os controles, os processos e os procedimentos do SGSI.

Analise as afirmativas abaixo em relação à prevenção de incidentes e CSIRTs (computer security incident response team):

I. Os CSIRTs não são necessariamente parte de um grupo de TI (tecnologia da informação).

II. Segundo o CERT.br, CSIRTs podem se estruturar de forma "ad hoc", ou seja, se reunindo apenas quando há um incidente de segurança.

III. A prática recomendada em relação a uma melhor política de prevenção de incidentes é a criação de CSIRTS de âmbitos nacionais em detrimento de CSIRTs locais.

Está correto o que se afirma em:

O modelo de qualidade da ISO/IEC 25010:2011 define um conjunto de oito características internas e externas de produtos de software. A característica de confiabilidade refere-se, dentre outras coisas, ao quanto

A ISO/IEC 27002 surgiu em 2005 e veio como uma atualização do padrão ISO 17799, onde originariamente era chamada ISO 17799:2005 e, posteriormente, teve seu nome modificado para ISO/IEC 27002:2005, em 2007. Essa norma fornece para as organizações, as melhores recomendações, melhores práticas de gerenciamento de segurança da informação. Sabe‐se que a segurança da informação é baseada no tripé: Disponibilidade, Integridade e Confiabilidade. Entretanto, com essa norma a ISO acrescentou duas novas seções, reorganizou outras, dividindo o novo padrão em 12 seções principais. Uma dessas seções é responsável pela declaração de orientação gerencial. Assinale a alternativa correta acerca dessa seção.

Em relação à ISO 27002:2005, sobre a gestão de ativos, são exemplos de ativos intangíveis:

A fase “Definindo o SGSI” da norma ABNT NBR ISO/IEC 27003:2011 tem como objetivo completar o plano final de implantação do SGSI por meio da definição da segurança da organização com base nas opções de tratamento de risco selecionadas e nos requisitos de registros e documentação, definição dos controles pela integração com as provisões de segurança para TIC, infraestrutura e processos organizacionais, e definição dos requisitos específicos do SGSI. Nesta fase, na atividade de definição de uma estrutura para a documentação do SGSI, a saída é um documento

O tratamento de incidentes possui componentes relativos aos serviços reativos que um CSIRT (Computer Security Incident Response Team) pode prestar, quais sejam:

I. Estudar a fundo um incidente informado ou uma atividade observada para determinar o escopo, prioridade e ameaça representada pelo incidente, bem como pesquisar acerca de possíveis estratégias de ações e erradicação.

II. Pesquisar e elaborar recomendações e aplicar as ações adequadas para a recuperação, contenção e prevenção de incidentes.

III. Servir como um ponto central de contato para receber informes de incidentes locais. Isto permite que todas as atividades e os incidentes reportados sejam coletados em um único local.

Os componentes do tratamento de incidentes descritos em I, II e III correspondem, correta e respectivamente, a

A implementação de gestão de risco deverá resultar na identificação, no tratamento, no acompanhamento e na extinção total do risco.

A diferença básica entre análise de impacto no negócio (AIN) e avaliação de risco está no uso da probabilidade. Em ambos os casos, analisa-se o impacto; na avaliação de risco, mensura-se a probabilidade; na AIN, mensura-se o tempo máximo de parada dos processos críticos.