Seu próximo nível começa aqui
Com a Assinatura Ilimitada, você tem tudo que precisa para sua aprovação.
Com a Assinatura Ilimitada, você combina prática, teoria e método em uma única assinatura com tudo que você precisa para sua aprovação.
- Gran Questões
- Questões
Questões de Concurso sobre Gestão da Segurança da Informação
Disciplina
1
Assunto
8
Banca
Instituição
Cargo
Ano
Carreira
Área de formação
Escolaridade
Dificuldade
Comentários:
Professores
Alunos
Meus Comentários
Vídeo
Minhas questões:
Resolvidas
Não resolvidas
Certas
Erradas
Tipo de questão:
Certo e errado
Múltipla escolha
Incluir questões:
Anuladas
Desatualizadas
Questões:
Todas as questões
Filtro simplificado
Questões
Todas as questões
1.043
questões
encontradas
20
Mais recentes
Um dos objetivos das auditorias internas do SGSI é determinar se seus controles são executados conforme esperado.
C
Certo
E
Errado
Em relação à norma ISO 27001:2006, o controle que especifica que todos os ativos devem ser identificados e que uma “lista” com todos os ativos importantes deve ser estruturada e mantida está relacionado com:
A
Inventário dos ativos.
B
Proprietário dos ativos.
C
Recomendações para classificação.
D
Rótulos e tratamento da informação.
E
Uso aceitável dos ativos.
Retenção é uma forma de tratamento do risco que visa implantar controles para se reduzirem os riscos a um nível aceitável pela organização. Na escolha dos controles, consideram-se os critérios da organização para a aceitação do risco, tais como requisitos legais, regulatórios, contratuais, culturais, ambientais e aspectos técnicos, além de custos e prazos para a implantação de controles.
C
Certo
E
Errado
Segundo a norma ISO/IEC 17799, a informação, para receber um nível adequado de proteção, deve ser classificada de acordo com o seu valor, requisitos legais, sensibilidade e criticidade para a organização. Além da classificação inicial, a informação poderá ser reclassificada ao longo do tempo, com base em políticas predeterminadas.
C
Certo
E
Errado
É o documento formal que orienta e estabelece diretrizes institucionais para proteção dos ativos de TI, permitindo a imputação de responsabilidade para os usuários internos que a(o) infrinja. Trata-se da(o)
A
Código Penal.
B
Política de Segurança da Informação.
C
Termo de Responsabilidade.
D
Termo de Confidencialidade.
E
Termo de Admissão ao Cargo/Função.
Sobre Controle de falhas em aplicações (OWASP - Open Web Application Security Project) é incorreto afirmar:
A
As falhas de Injeção acontecem quando dados não confiáveis são enviados para um interpretador como parte de um comando ou consulta. Assim pode-se iludir o interpretador para que este execute comandos indesejados ou permita o acesso a dados não autorizados.
B
Com o intuito de garantir uma maior segurança, há a necessidade de definir uma configuração segura e implementada na aplicação, frameworks, servidor de aplicação, servidor web, banco de dados e plataforma. Não é necessário manter o software atualizado, mas essas configurações devem ser definidas, implementadas e mantidas, uma vez que a configuração padrão normalmente é insegura.
C
Aplicações web podem não proteger devidamente os dados sensíveis, como cartões de crédito e outros. Desta forma pode-se roubar esses dados desprotegidos com o propósito de realizar fraudes/crimes. Portanto dados sensíveis devem ter proteção extra como criptografia no armazenamento ou em trânsito, além de precauções especiais quando trafegadas pelo navegador.
D
Componentes como bibliotecas e frameworks geralmente são executados com privilégios elevados. Caso exista um componente que esteja vulnerável, ele pode ser explorado, gerando um ataque que pode causar sérias perdas de dados ou até o comprometimento do servidor.
E
É comum que as aplicações web redirecionem e encaminhem usuários para outras páginas e sítios, usando dados não confiáveis para determinar as páginas de destino. Se não houver uma validação adequada, os atacantes podem redirecionar as vítimas para sites de phishing ou malware, ou usar encaminhamentos para acessar páginas não autorizadas
A Gestão da Segurança da Informação tem como objetivos planejar, executar e monitorar as atividades dos Sistemas de Informação, com aplicação de processos de melhoria contínua. A metodologia de Gestão de Segurança da Informação tem como base o ciclo PDCA (Plan – Do – Check – Act, ou seja, Planejar, Fazer, Chegar, Agir), conforme estabelecido pela ISO/IEC 27001:2006. Entretanto, com a evolução do mercado, devido a muitas variáveis, esse ciclo teve uma evolução natural e passou a ser conhecido como PDCL (Plan – Do – Check – Learn, ou seja, Planejar, Fazer, Chegar, Aprender). Assinale a alternativa que apresenta uma característica da fase Aprender.
A
Obter aprovação do Comitê de SI quanto aos riscos residuais.
B
Identificar incidentes de SI e verificar como foi o seu tratamento.
C
Assegurar‐se de que as melhorias implementadas atinjam os objetivos pretendidos.
D
Implantar um escritório e segurança da Informação para gerenciar a execução das ações.
Conforme a NBR ISO/IEC 27005:2011, para a avaliação dos riscos de segurança da informação na organização, convém que os critérios de avaliação sejam desenvolvidos considerando-se a criticidade dos ativos de informação envolvidos.
C
Certo
E
Errado
A implantação de uma política de segurança da informação deve definir, entre outras coisas, as regras de acesso aos ativos informacionais com base na sensibilidade da informação. É fator determinante da classificação da sensibilidade
A
o tempo de vida útil da informação.
B
o processo de negócio da organização que utiliza a informação.
C
o escalão do usuário que alimentou a informação.
D
o escalão do usuário que usará a informação.
E
a quantidade de vezes que a informação é acessada.
Um analista de TI está utilizando a norma ABNT NBR ISO/IEC 27004:2010 para obter informações sobre as medidas e atividades de medição relacionadas à segurança da informação. Para desenvolver as medidas e medições necessárias para avaliar a eficácia dos requisitos do SGSI para a gestão de controles de segurança da informação no projeto em que está trabalhando, o analista consultou a seção 7 da norma para descobrir as atividades sugeridas para serem estabelecidas e documentadas no desenvolvimento das medidas e medições. Nesse contexto, considere as atividades abaixo.
1. Definir o escopo da medição.
2. Identificar a necessidade de informação.
3. Selecionar o objeto de medição e seus atributos.
4. Relacionar atividades e riscos com os atributos de medição.
5. Estabelecer a abordagem de implementação da medição e documentação.
6. Desenvolver e aplicar os modelos de medição.
7. Validar e autorizar as medidas e medições propostas.
8. Estabelecer a coleta de dados e processos de análise e ferramentas.
9. Avaliar e classificar os resultados da aplicação das medidas e medições.
As atividades que a norma sugere são APENAS as que constam em 1,
A
3, 4, 5, 6, 7 e 9.
B
2, 3, 5, 6 e 8.
C
3, 4, 7 e 8.
D
3, 4, 6 e 7.
E
2, 5, 7, 8 e 9.
A Instrução Normativa GSI/PR n. 1, de 13 de junho de 2008, que “Disciplina a Gestão de Segurança da Informação e Comunicações na Administração Pública Federal...”, estabelece as competências de diversos órgãos e entidades da Administração Pública Federal. O planejamento e a coordenação das atividades de segurança da informação e comunicações na Administração Pública Federal, direta e indireta, competem ao
A
Comitê Gestor de Segurança da Informação.
B
Gabinete de Segurança Institucional da Presidência da República – GSI.
C
Ministério da Ciência e Tecnologia.
D
Ministério da Defesa.
E
Serviço Federal de Processamento de Dados – Serpro.
As políticas de segurança da informação corporativas devem refletir os objetivos e princípios de segurança da organização que servirão como base para a aplicação de controles destinados a reduzir os riscos de fraudes e erros.
C
Certo
E
Errado
Com relação às Políticas de Segurança da Informação (PSI), assinale a alternativa incorreta.
A
As PSI devem contemplar segurança física e lógica dos ativos das organizações, bem como gestores e colaboradores.
B
As PSI garantem redução ao nível zero dos riscos e das ameaças à segurança da informação das organizações.
C
As PSI podem ser implementadas em empresas de portes diferentes e adequadas à sua área de atuação (alinhamento com o negócio).
D
As PSI devem estar de acordo com as leis vigentes locais, estaduais e federais.
E
As PSI podem ser aplicáveis, utilizando os equipamentos e as tecnologias de rede existentes.
Em uma análise de gestão de riscos, especialistas verificaram uma probabilidade de ataque estimada em 2%. Esses especialistas avaliaram também que a probabilidade de o ataque ser bem-sucedido é de 10% com uma perda, em decorrência do ataque, de R$ 1.000.000,00 (um milhão de reais). Consequentemente, a perda esperada desse ataque é:
A
R$ 20.000,00
B
R$ 500.000,00
C
R$ 100.000,00
D
R$ 2.000,00
E
R$ 50.000,00
A Instrução Normativa nº 1/2008 do Gabinete de Segurança Institucional da Presidência da República (GSIPR) (D.O.U. 18/06/2008) trata da Gestão de Segurança e Disciplina a Gestão de Segurança da Informação e Comunicações na Administração Pública Federal, direta e indireta. São delegadas competências ao Gabinete de Segurança Institucional da Presidência da República (GSIPR), ao Comitê Gestor de Segurança da Informação e ao Comitê de Segurança da Informação e Comunicações, entre outros. Assinale a alternativa que apresenta uma das competências do Comitê de Segurança da Informação e Comunicações.
A
Promover cultura de segurança da informação e comunicações.
B
Propor recursos necessários às ações de segurança da informação e comunicações.
C
Assessorar na implementação das ações de segurança da informação e comunicações.
D
Acompanhar as investigações e as avaliações dos danos decorrentes de quebras de segurança.
E
Realizar e acompanhar estudos de novas tecnologias quanto a possíveis impactos na segurança da informação e comunicações.
Papéis e responsabilidades, devolução de ativos e retirada de direitos de acesso são objetivos da NBR ISO/IEC nº 27002, os quais se encontram dispostos na seção
A
conformidade.
B
controle de acessos.
C
segurança física do ambiente.
D
segurança em recursos humanos.
E
gerenciamento de operações e comunicações.
Existem normas e padrões internacionais para melhorar a gestão da segurança da informação. Assinale a alternativa que indica a norma NBR ISSO/IEC que é conhecida como o código de boas práticas em segurança da informação e que vem substituir a norma NBR ISSO/IEC 17799:2005.
A
27001.
B
27003.
C
27002.
D
17800.
E
17801.
Em uma empresa, ao serem efetuados vários testes de penetração a fim de compor um índice para precisar o quanto da rede está aberta a invasões, está sendo analisado um aspecto da análise de risco associado à:
A
projetar a implantação de uma ação de segurança contra ameaças extremas.
B
obter a quantificação da dependência de um ativo físico/lógico ao negócio da empresa.
C
obter a probabilidade de uma ameaça explorar uma vulnerabilidade da segurança.
D
relacionar o quanto o processo de negócio da rede pode afetar o negócio da empresa.
E
qualificar a vulnerabilidade da segurança em relação aos ativos físicos da empresa.
Uma das formas de segurança na comunicação corporativa é o tunelamento. O maior problema nesse contexto é:
A
a impossibilidade de encapsulamento do protocolo NetBEUI para a comunicação.
B
a necessidade do conhecimento pelos roteadores do encapsulamento do protocolo.
C
a impossibilidade de utilização do protocolo IP para interligar duas redes locais, uma em cada corporação.
D
a geração de um overhead durante o processo.
E
a obrigatoriedade da utilização de autenticação em todo o processo de comunicação.
A NBR ISO/IEC nº 27002 está estruturada em diversas seções, como, por exemplo, a gestão de incidentes de segurança da informação, que apresenta o seguinte objetivo:
A
Responsabilidades e procedimentos.
B
Recomendações para a classificação da informação.
C
Documento da política de segurança da informação.
D
Análise crítica da política de segurança da informação.
E
Comprometimento da direção com a segurança da informação.
Gerar simulado