Questões de Concurso sobre Gestão da Segurança da Informação

Na NBR ISO/IEC 27001:2006, tem-se, com relação a ações preventivas, que a organização deve determinar ações para eliminar as causas de não-conformidades potenciais com os requisitos do SGSI (Sistema de Gestão de Segurança da Informação), de forma a evitar a sua ocorrência. As ações preventivas tomadas devem ser apropriadas aos impactos dos potenciais problemas e a prioridade das ações preventivas deve ser determinada com base nos resultados do(a):

Na NBR ISO/IEC 27001:2006, uma ocorrência identificada de um estado de sistema, serviço ou rede, indicando uma possível violação da política de segurança da informação ou falha de controles, ou uma situação previamente desconhecida, que possa ser relevante para a segurança da informação é um(a):

Segundo a Norma Complementar n. 03/IN01/DSIC/GSIPR, na elaboração da Política de Segurança da Informação e Comunicações, recomenda-se estabelecer diretrizes sobre o tema:

Considere a tabela de priorização de riscos abaixo, resultante de um método de análise de riscos quantitativo. Quanto mais alto o valor, maior é seu risco.

Esta tabela pode ser representada por uma matriz de Impacto versus Probabilidade, como a apresentada abaixo:

A ameaça A 1, a de maior risco, já está posicionada na matriz. As células desta matriz que contêm X, Y e Z são correta e respectivamente preenchidas pelas ameaças:

Na NBR ISO/IEC 27001:2006, tem-se, com relação ao SGSI (Sistema de Gestão de Segurança da Informação), que a organização deve estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar um SGSI documentado dentro do contexto das atividades de negócio globais da organização e os riscos que ela enfrenta. Para os efeitos desta Norma, o processo usado está baseado no modelo:

Na NBR ISO/IEC 27001:2006, o processo de comparar o risco estimado com critérios de risco predefinidos para determinar a importância do risco é o processo de:

A NBR ISO/IEC 27001:2006 define integridade como

Criada para atender a todos os tipos de organizações, a NBR ISO/IEC 27001:2006

A NBR 27001/2006 define requisitos de documentação para o SGSI, a qual deve incluir registros de decisões da direção, assegurar que as ações sejam rastreáveis e que os resultados registrados sejam reproduzíveis. Sobre a documentação no SGSI, considere as afirmativas a seguir.

I. Evita a existência de documentos de origem externa.

II. Assegura que as alterações e a situação da revisão atual dos documentos sejam identificadas.

III. Assegura que a distribuição de documentos seja controlada. IV. Previne o uso não intencional de documentos obsoletos.

Assinale a alternativa correta.

Em relação aos componentes de risco definidos pela Força Aérea Americana, todas as definições a seguir estão corretas, EXCETO:

A NBR 27001/2006 provê um modelo para especificar e implementar um Sistema de Gestão de Segurança da Informação (SGSI). Ela adota um modelo conhecido como Plan-Do-Check-Act (PDCA), que é aplicado para estruturar todos os processos do SGSI. Com relação às etapas do modelo PDCA, considere as afirmativas seguir.

I. Do implementa e opera a política, os controles, os processos e os procedimentos do SGSI.

II. Plan avalia e, quando aplicável, mede o desempenho de um processo frente à política, aos objetivos e à experiência prática do SGSI e apresenta os resultados para análise crítica pela direção.

III. Check estabelece a política, os objetivos, os processos e os procedimentos do SGSI relevantes para a gestão de riscos e a melhoria da segurança da informação para produzir resultados de acordo com as políticas e os objetivos globais de uma organização.

IV. Act executa as ações corretivas e preventivas, com base nos resultados da auditoria interna do SGSI e da análise crítica feita pela direção e em outras informações pertinentes, para alcançar a melhoria contínua do SGSI.

Assinale a alternativa correta.

A Norma ABNT NBR ISO/IEC 27001:2006 traz em seu texto um item que trata diretamente da “Análise crítica do SGSI (Sistema de Gestão de Segurança da Informação)” pela direção, onde diz que “a direção deve analisar criticamente o SGSI da organização a intervalos planejados [...] para assegurar a sua contínua pertinência, adequação e eficácia” (ABNT NBR ISO/IEC 27001:2006, p. 11).

A partir de tal afirmação, analise os itens a seguir:

I. Modificação de procedimentos e controles que afetem a segurança da informação, quando necessário, para responder a eventos internos e externos que possam impactar no SGSI.

II. Técnicas, produtos ou procedimentos que podem ser usados na organização para melhorar o desempenho e a eficácia do SGSI.

III. Melhoria na verificação de como a eficácia dos controles está sendo medida.

IV. Atualização da análise/avaliação de riscos e do plano de tratamento de riscos.

V. Acompanhamento das ações oriundas de análises críticas anteriores pela direção.

Assinale a alternativa correta, que corresponde às ENTRADAS da análise crítica pela direção.

Com base na norma NBR 27001/2006, relacione os termos estabelecidos na coluna da esquerda com as definições na coluna da direita.

(I) Avaliação de Riscos.

(II) Gestão de Riscos.

(III) Análise de Riscos.

(IV) Incidente de Segurança da Informação.

(V) Evento de Segurança da Informação.

(A) Evento ou série de eventos de segurança da informação indesejados ou inesperados, que tenham grande probabilidade de comprometer as operações do negócio e ameaçar a segurança da informação.

(B) Ocorrência identificada de um estado de sistema, serviço ou rede, indicando possível violação da política de segurança da informação, ou falha de controles, ou situação previamente desconhecida, que possa ser relevante para a segurança da informação.

(C) Processo de comparar o risco estimado com critérios de risco predefinidos para determinar a importância do risco.

(D) Uso sistemático de informações para identificar fontes e estimar o risco.

(E) Atividades coordenadas para direcionar e controlar uma organização no que se refere a riscos.

Assinale a alternativa que contém a associação correta.

Uma política de segurança eficaz parte da premissa do uso efetivo de um conjunto de ferramentas de segurança, como firewalls, sistemas de detecção de intrusos, validadores de senha e criptografia forte.

Como forma de estabelecer um controle mais adequado da segurança da informação, segundo a norma NBR/ISO/IEC 27002/2005, convém considerar os controles de acesso lógico e físico de forma conjunta. As regras e os direitos para cada usuário ou grupo de usuários devem estar claramente expressos na política de controle de acesso.

Uma ameaça pode causar impacto em vários ativos ou apenas em parte de um deles, podendo ter efeitos imediatos (operacionais) ou futuros (negócios).

Um arquivo de texto, uma IDE para desenvolvimento em linguagem C e um pendrive são classificados como ativos de software, de serviço e físico, respectivamente.

Registros ou logs de auditoria podem conter dados pessoais confidenciais e de intrusos; por isso, é importante que medidas de proteção adequadas sejam tomadas, como, por exemplo, não permitir, quando possível, que administradores de sistemas não tenham permissão de exclusão ou desativação de registros de suas próprias atividades.

Na prática, os padrões 27001 e 27002 normalmente são usados em conjunto, embora seja possível o uso de outros controles de segurança da informação juntamente com o padrão 27001, até mesmo em substituição ao padrão 27002.

A organização deve fazer análises críticas com o objetivo de identificar tentativas e violações de segurança bem-sucedidas, sendo esta uma atividade verificada na fase check (checar).