Questões de Concurso sobre Gestão da Segurança da Informação

A ISO/IEC 27001 apresenta os requisitos necessários para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão da segurança da informação dentro do contexto da organização.

Uma organização detectou que muitos de seus arquivos críticos foram criptografados subitamente e uma mensagem apareceu exigindo pagamento para restaurar o acesso. Após a investigação, descobriu-se que o ataque se iniciou por meio de um e-mail malicioso que explorava uma vulnerabilidade no sistema. Qual das alternativas a seguir descreve a ação mais eficaz para mitigar futuros ataques desse tipo?

Com relação à gestão de segurança da informação, analise as afirmativas a seguir e assinale (V) para a verdadeira e (F) para a falsa.

( ) A Gestão da Continuidade de Negócios (GCN) visa a manter as operações mesmo diante de eventos disruptivos, principalmente identificando ameaças potenciais para a organização e os possíveis impactos nas operações de negócio, caso estas ameaças se concretizem.

( ) A Gestão da Continuidade de Negócios (GCN) trata da capacidade estratégica e tática da organização de se planejar e responder a incidentes e interrupções dos negócios, mantendo suas operações em um nível previamente definido pelos gestores.

( ) O Plano de Continuidade de Negócios (PCN) é uma ferramenta de gestão que reconhece ameaças potenciais a uma organização e analisa o impacto que elas podem ter nas operações do dia a dia, bem como fornece uma maneira de mitigar essas ameaças, colocando em prática uma estrutura que permite que as funções-chave do negócio continuem, mesmo que o pior aconteça.

As afirmativas são, respectivamente,

João editou o documento ListaNomes.odt com informações sensíveis e quer enviá-lo para Maria com segurança utilizando uma senha.

No LibreOffice, para definir uma senha para Maria abrir o documento ListaNomes.odt, João deve executar:

Algumas das razões que justificam que uma organização autorize o desenvolvimento e implantação de políticas e normas de segurança da informação são:

Com relação à gestão de continuidade do negócio, analise as afirmativas a seguir e assinale (V) para a verdadeira e (F) para a falsa.

( ) O primeiro controle, que trata do processo de gestão de continuidade de negócios, é projetado para garantir a manutenção geral dos negócios na organização.

( ) O terceiro controle, que trata da estrutura de planejamento para a continuidade dos negócios, envolve a criação de um framework para garantir o planejamento consistente de uma organização.

( ) O quarto controle, que envolve a avaliação, manutenção e reavaliação dos planos de continuidade de negócios, não requer testes e manutenção regulares para confirmar a eficácia e as últimas tendências.

As afirmativas são, respectivamente,

O NIST Cybersecurity Framework (versão 1.1) consiste em três componentes principais: o núcleo do framework; os perfis; e os níveis de implementação; estes últimos descrevem o grau em que as práticas de gerenciamento de riscos de cibersegurança de uma organização exibem as características definidas no núcleo do framework.

O ato normativo e suas atualizações sobre o uso de mídias sociais deverão ser divulgados a todos os servidores, empregados públicos, militares e prestadores de serviço do órgão ou da entidade.

Risco residual é o risco resultante de uma ação de tratamento de riscos e não pode ser eliminado, no entanto deve ser gerenciado.

Dentro do contexto da ISO 27005, que fornece diretrizes para a gestão de riscos de segurança da informação, qual das seguintes alternativas NÃO é considerada uma forma válida de tratamento de riscos?

As organizações devem definir claramente as responsabilidades de segurança da informação para os seus colaboradores.

O objetivo da classificação da informação é definir o padrão de sigilo que será utilizado na organização e classificar cada informação considerando esse padrão.

A política de segurança da informação deve ser divulgada a todos da organização, de maneira formal e efetiva, informando-se todos os detalhes da sua implementação, a forma como ela deve ser cumprida e as penalidades aplicáveis em caso da sua não observância.

Hash é um método criptográfico que, quando aplicado sobre uma informação, gera um resultado único e de tamanho fixo, independentemente do tamanho da informação.

A equipe de tratamento e resposta a incidentes em redes computacionais deve ser chefiada e gerenciada por um agente responsável, que pode ser um militar de carreira ou um servidor terceirizado.

A Estratégia Nacional de Segurança Cibernética do Poder Judiciário (ENSEC-PJ), instituída pela Resolução CNJ 396/2021, estabelece objetivos para que o nível de maturidade em segurança cibernética seja incrementado nos órgãos do Poder Judiciário.

Um dos objetivos da ENSEC-PJ é:

Em uma empresa hipotética, o departamento de TI está realizando uma força tarefa com o objetivo de instalar um programa de criptografia em todos as pastas de documentos dos computadores de seus colaboradores.

De modo a informar suas atividades, o departamento de TI coloca em todos os setores da empresa um gráfico de tendência relacionando a proporção de máquinas concluídas.

De acordo com a NBR ISO 27004, da ABNT, o descritor da informação empregado pela equipe de TI por meio dos gráficos é

Cabe à alta administração do órgão ou da entidade apreciar e aprovar o relatório de avaliação de conformidade e encaminhá-lo ao gestor de segurança da informação.

Ao comitê de segurança da informação compete supervisionar a aplicação do ato normativo sobre o uso seguro de computação em nuvem.

O Poder Judiciário adotou o modelo centralizado de governança na segurança cibernética, de acordo com a Resolução nº 396 de 07/06/2021, que instituiu a Estratégia Nacional de Segurança Cibernética do Poder Judiciário (ENSEC-PJ).

Nesse modelo, o órgão central que coordena as ações para viabilizar a governança na segurança cibernética é