Seu próximo nível começa aqui
Com a Assinatura Ilimitada, você tem tudo que precisa para sua aprovação.
Com a Assinatura Ilimitada, você combina prática, teoria e método em uma única assinatura com tudo que você precisa para sua aprovação.
- Gran Questões
- Questões
Questões de Concurso sobre Gestão da Segurança da Informação
Disciplina
1
Assunto
8
Banca
Instituição
Cargo
Ano
Carreira
Área de formação
Escolaridade
Dificuldade
Comentários:
Professores
Alunos
Meus Comentários
Vídeo
Minhas questões:
Resolvidas
Não resolvidas
Certas
Erradas
Tipo de questão:
Certo e errado
Múltipla escolha
Incluir questões:
Anuladas
Desatualizadas
Questões:
Todas as questões
Filtro simplificado
Questões
Todas as questões
1.043
questões
encontradas
20
Mais recentes
Se pessoas não confiarem nos líderes, não seguirão regras. O profissional de segurança tem uma função muito importante, que é a de ser um líder em comportamento compatível. Por ter conhecimentos avançados de computação, deve mostrar a todos que não utilizará esses conhecimentos para o seu bem próprio. Tal atitude denomina-se ética. Um Código de Ética ajuda a garantir profissionalismo. Acerca do Código de Ética do ISC² (International Information System Security Certification Consortium – Consórcio Internacional de Certificação de Segurança de Sistemas de Informação), que fornece um conjunto sólido de diretrizes éticas, assinale a alternativa INCORRETA.
A
Avançar e proteger a profissão.
B
Motivar usuários a cumprir políticas de segurança.
C
Proteger a sociedade, a comunidade e a infraestrutura.
D
Fornecer serviço diligente e competente aos dirigentes.
E
Atuar de forma honrada, honesta, justa, responsável e legal.
O plano que delineia o processo pelo qual a empresa deverá passar para se recuperar de um desastre significativo é conhecido como:
A
plano de ataque.
B
PMBOK.
C
plano de continuidade do negócio.
D
gestão de ambientes lógicos.
E
plano de manutenção e metas.
A Norma ISO/IEC nº 27001 foi projetada para prover um modelo para estabelecer, implantar, operar, monitorar, rever, manter e melhorar um Sistema de Gestão da Segurança da Informação (Information Security Management System – ISMS). A norma tem compatibilidade com a ISO 9001 e a ISO 14001. Em termos operacionais, a norma é dividida em cinco grandes seções. Assinale a alternativa que apresenta duas características do sistema de gestão da segurança da informação.
A
Analisar e avaliar os riscos; e, aplicar lições aprendidas.
B
Estabelecer a política para o ISMS; e, assegurar que os objetivos e planos sejam estabelecidos.
C
Estar em conformidade com os requisitos de segurança da informação identificados; e, gerenciar os recursos do ISMS.
D
Comunicar a organização acerca da importância de atender a objetividade; e, prover recursos o suficiente para implementar, operar, monitorar, rever, manter e melhorar o ISMS.
E
Garantir que todo o pessoal envolvido com segurança da informação seja competente para desempenhar as atividades requeridas; e, implementar as melhorias identificadas no ISMS.
Dentre as contribuições para se derivar os objetivos e as metas de Tecnologia da Informação (TI) de uma organização, destaca-se a definição da estratégia de segurança da informação. Sobre a profundidade da política de segurança da informação, é correto afirmar que:
A
uma vez entendido o negócio e sua dinâmica e analisando o portifólio atual de TI, deve-se pensar em tal profundidade.
B
já estabelecida uma visão da necessidade de aplicações, arquitetura e infraestrutura de TI e capacidade requerida, pode-se então decidir sobre tal profundidade.
C
é um dos aspectos mais importantes no momento da análise da infraestrutura de TI.
D
depende da identificação de necessidades da infraestrutura e decorre do estabelecimento dos objetivos de desempenho e dos níveis de serviço.
E
será tanto maior quanto mais interconectada estiver a empresa e mais estratégico for o papel que a TI representa para o negócio.
Na NBR ISO/IEC 27002:2005, afirma-se que convém que o responsável por assegurar que as informações e os ativos associados com os recursos de processamento da informação estejam adequadamente classificados seja o:
A
Auditor.
B
Gestor de Infraestrutura.
C
Proprietário do Ativo.
D
Gestor de Segurança da Informação.
E
Coordenador do Comitê de Segurança da Informação.
Com relação à cláusula de Responsabilidades da Direção da norma ISO/IEC 27001, as alternativas a seguir apresentam ações relativas ao comprometimento da direção, à exceção de uma. Assinale‐a
A
Estabelecimento da política do SGSI.
B
Definição de critérios para aceitação de riscos e dos níveis de riscos aceitáveis.
C
Garantia de que as auditorias internas do SGSI sejam realizadas.
D
Condução de análises críticas do SGSI.
E
Manutenção da segurança adequada pela aplicação correta dos controles implementados.
Uma das preocupações da Segurança da Informação é a definição de políticas eficazes para definição e manutenção de senhas ou passwords.
Dentre as alternativas apresentadas, assinale aquela que contém a senha mais difícil de ser descoberta por pessoas mal intencionadas.
A
brunoleal01
B
2013felipe
C
29PeDrO&
D
21012013
E
72tais%
Ano:
2013
Prova:
ESAF - DNIT - Analista Administrativo - Área Tecnologia da Informação - 2013
Na NBR ISO/IEC 27001:2006, o termo “declaração de aplicabilidade” refere-se a uma declaração documentada que descreve:
A
a aplicabilidade dos mecanismos de análise de riscos à realidade da organização.
B
as ferramentas e os mecanismos de gestão que são pertinentes e aplicáveis ao Modelo Integrado de Segurança da Informação da organização.
C
os objetivos de controle e controles que são pertinentes e aplicáveis ao Sistema de Gestão de Segurança da Informação da organização.
D
as políticas e as normas nacionais e internacionais que são pertinentes e aplicáveis ao Modelo de Gestão de Segurança da Informação da organização.
E
os processos, as práticas e os princípios que são pertinentes e aplicáveis ao framework de Segurança da Informação da organização.
Ano:
2013
Prova:
ESAF - DNIT - Analista Administrativo - Área Tecnologia da Informação - 2013
Na NBR ISO/IEC 27001:2006, um dos controles da Infraestrutura de Segurança da Informação é:
A
Análise crítica da Política de Segurança da Informação.
B
Classificação e tratamento da informação.
C
Estruturação e manutenção do inventário dos ativos.
D
Identificação e análise crítica de acordos de confidencialidade.
E
Identificação dos riscos relacionados com partes externas.
Segundo os padrões internacionais de segurança da informação, ISO/IEC 17799:2005, a propriedade básica de segurança responsável por garantir que a autoria de uma transação anteriormente feita não será negada é a
A
Integridade.
B
Irretratabilidade.
C
Autenticidade.
D
Disponibilidade.
E
Confidencialidade.
Na NBR ISO/IEC 27002:2005, com relação ao tempo de duração de um Acordo de Confidencialidade, tem-se que:
A
obrigatoriamente dura 1 ano.
B
não pode durar menos que 5 anos.
C
não pode durar menos que 10 anos.
D
obrigatoriamente dura mais que 3 anos.
E
pode durar indefinidamente.
Segundo a Norma Complementar n. 03/IN01/DSIC/GSIPR, todos os instrumentos normativos gerados a partir da Política de Segurança da Informação e Comunicações (POSIC), incluindo a própria POSIC, devem ser revisados sempre que se fizer necessário, não excedendo o período máximo de:
A
6 meses.
B
1 ano.
C
2 anos.
D
3 anos.
E
4 anos.
Assinale a alternativa que apresenta a classificação correta quanto ao nível de prioridade de uma informação restrita aos limites da instituição e cuja divulgação pode ocasionar a perda de confiabilidade perante o cliente externo.
A
Secreta.
B
Confidencial.
C
Trivial.
D
Pública.
E
Interna.
Na NBR ISO/IEC 27001:2006, define-se que o processo de seleção e implementação de medidas para modificar um risco é o(a):
A
Tratamento de risco.
B
Gestão de risco.
C
Classificação de risco.
D
Plano de ação de risco.
E
Mitigação de risco.
Com relação à clausula de Gestão de Incidentes de Segurança da Norma ISO/IEC 27002, assinale a afirmativa correta.
A
Não há previsão de controles para responsabilidades e procedimentos de gestão.
B
A coleta de evidências deve ocorrer após um incidente de segurança envolver uma ação legal.
C
Os eventos de segurança de informação devem ser relatados apenas quando confirmados, para evitar falsos positivos.
D
Está subdividida em três objetivos de controle.
E
Não se preocupa com os custos dos incidentes de segurança, que são tratados apenas na norma ISO/IEC 27001.
O Plano de Continuidade do Negócio - PCN consiste num conjunto de estratégias e procedimentos que devem ser adotados quando a organização depara-se com problemas que comprometem o andamento normal dos processos e a prestação dos serviços. Sobre o PCN, é INCORRETO afirmar:
A
Pode apresentar falhas quando testado, por isto deve ser testado regularmente, de forma a garantir sua permanente atualização e efetividade. Tais testes também devem assegurar que todos os envolvidos na recuperação e os alocados em outras funções críticas possuam conhecimento do Plano.
B
É de responsabilidade direta da área de TI, já que trata de um problema corporativo que envolve o estabelecimento de procedimentos que garantirão a sobrevivência da área de TI da organização e envolve definições relativas ao negócio.
C
Cada colaborador envolvido com o processo de continuidade de serviços, especialmente aqueles com responsabilidades específicas em caso de contingências, deve ter em mente as atividades que deve desempenhar em situações emergenciais. O treinamento deve ser teórico e prático, inclusive com simulações.
D
Mudanças que tenham ocorrido e que não estejam contempladas no PCN devem gerar atualizações. Quando novos requisitos forem identificados, os procedimentos de emergência relacionados devem ser ajustados de forma apropriada.
E
Pode ser testado na totalidade, caracterizando uma situação bem próxima da realidade; pode ser testado parcialmente, quando se restringem os testes a apenas um conjunto de procedimentos, atividades ou aplicativos componentes do Plano; ou, ainda, pode ser testado por meio de simulações, quando ocorrem representações de situação emergencial.
Todos os membros do ambiente de TI devem ficar atentos ao que fazer em caso de um incidente. A CSIRT (equipe de resposta a incidentes de segurança em computadores) desempenhará a maioria das ações em resposta a um incidente, mas todos da equipe devem examinar detalhadamente o plano de resposta a incidentes. Há várias medidas que podem ser seguidas para conter o dano e minimizar o risco no ambiente, EXCETO:
A
Caso o dano e o escopo de um incidente sejam muito amplos, pode ser necessário realizar uma ação que invoque as cláusulas penais especificadas nos contratos. Por isso é importante que as ações a serem realizadas em caso de um incidente sejam discutidas com antecedência e estejam descritas no plano de respostas.
B
Tentar impedir que os invasores saibam que a equipe está atenta às atividades deles. Isso pode ser difícil, pois algumas respostas essenciais podem alertá-los, mas é importante que seja tentado. Caso a invasão seja interna, por exemplo, uma reunião de emergência da CSIRT ou a solicitação de alteração imediata de todas as senhas poderia alertá-los.
C
Determinar o(s) ponto(s) de acesso usado(s) pelo invasor e implementar medidas que impeçam o acesso futuro. As medidas podem incluir: desabilitar um modem, adicionar entradas de controle de acesso a um roteador ou firewall ou aumentar as medidas de segurança física.
D
Considerar a criação de um sistema totalmente novo com novos discos rígidos, mudando todas as senhas. Neste caso os discos rígidos existentes devem ser removidos e armazenados, porque podem ser usados como evidência caso se opte por processar os invasores.
E
O sistema deve ser imediatamente desconectado da rede, antes mesmo de avaliar a gravidade do dano e os níveis de SLA. Depois deve-se comparar os custos de deixar os sistemas comprometidos offline com os riscos da continuidade das operações.
Quanto à gestão da segurança da informação, marque V para verdadeiro ou F para falso e, em seguida, assinale a alternativa que apresenta a sequência correta.
( ) Nunca segregar atividades, por exemplo: a emissão de um pedido de compra e a confirmação do recebimento da compra devem ser feitos pela mesma pessoa.
( ) Para proteger as informações, deve-se reduzir o acesso de pessoas a informações, integrando os ambientes de desenvolvimento e produção.
( ) As atividades de desenvolvimento não ameaçam a segurança da informação.
( ) As equipes de desenvolvimento são uma ameaça à confidencialidade das informações de produção.
A
F/ V/ V/ F
B
F/ V/ F/ V
C
F/ F/ F/ V
D
V/ V/ V/ F
E
V/ V/ F/ F
Um completo programa de gestão de riscos de TI avalia os riscos relativos a diversas categorias, como as listadas abaixo:
I. Conjunto de riscos relativos às ameaças internas ou externas que podem resultar em acessos não autorizados a alguma informação. Incluem-se aqui os riscos relativos ao vazamento de dados, privacidade de dados e fraudes. Inclui-se também uma ampla gama de ameaças externas como ataque por vírus, ataques às aplicações, usuários e informações específicas, bem como ataque a sistemas que as pessoas confiam e utilizam frequentemente.
II. Trata-se do risco de uma informação apresentar-se inacessível devido a interrupções não planejadas em sistemas. As organizações têm a responsabilidade de manter seus sistemas de negócio operacionais. Como resultado, precisam reduzir os riscos de perda ou corrupção de dados e de indisponibilidade de aplicações. E, no caso de uma falha, os negócios devem ser recuperados em um prazo adequado.
III. É o risco de uma informação apresentar-se inacessível devido a limitações de escalabilidade ou gargalos relativos à comunicação de dados. Os negócios precisam garantir os requerimentos de volume e desempenho, mesmo durante momentos de pico. Aspectos relativos ao desempenho devem ser identificados proativamente, antes que os usuários finais ou aplicações sejam impactados. E, para minimizar os custos, as organizações precisam otimizar seus recursos e evitar gastos desnecessários em hardware.
IV. É o risco de violação de exigências regulatórias ou de falha no alcance de requerimentos de políticas internas. As empresas precisam apresentar conformidade a regulações dos mais diversos níveis (federais e estaduais), preservar informações e prover um eficiente sistema de busca e recuperação de conteúdo quando requerido.
A associação correta das categorias de risco com as definições I, II, III e IV está em:
A
I | II | III | I |
Internos e Externos | Acessibilidade | Escalabilidade | Regulação |
B
I | II | III | IV |
Segurança | Disponibilidade | Performance | Conformidade |
C
I | II | III | IV |
Malware | Operacionais | Hardware | Regulatórios |
D
I | II | III | IV |
Sistema | Planejamento | TI | Conformação |
E
I | II | III | IV |
Software | Confiabilidade | Infraestrutura | Legislativo |
Para a NBR ISO/IEC 27001:2006, tem-se que um documento da política de segurança da informação deve ser aprovado pela direção, publicado e comunicado para todos os funcionários e partes externas relevantes. Isto é um(uma):
A
Objetivo de controle.
B
Basilar.
C
Ação essencial.
D
Controle.
E
Iniciativa de segurança da informação.
Gerar simulado