Questões de Concurso sobre Gestão de Riscos em Segurança da Informação

Assuma que os equipamentos listados anteriormente compõem a rede da empresa fictícia Empresa A. Mediante as novas demandas do mercado por segurança, os executivos da Empresa A contrataram uma consultoria para fazer um levantamento de riscos.

Um dos riscos indicados foi a possível interrupção do negócio mediante comprometimento do ambiente.

A esse respeito, assinale a opção que não apresenta um controle presente no Guia De Aperfeiçoamento Da Segurança Cibernética Para Infraestrutura Crítica V1.1 que pode ajudar a prevenir este risco.

A gestão de risco é um processo composto por diversas atividades, sendo a primeira a de definição do contexto, que é seguida pelas atividades de análise/avaliação de riscos, tratamento do risco, aceitação do risco, comunicação do risco, e as últimas, as de monitoramento e análise crítica de riscos.

A lista de componentes com responsáveis e localidades é obtida no processo de identificação dos riscos.

Diferentemente o que ocorre com os projetos relacionados a processos críticos para o negócio, aos projetos de TI deve ser assegurada a identificação dos riscos por meio da integração da segurança da informação aos métodos de gerenciamento de projeto da organização.

A análise de riscos consiste na atividade de cálculo de probabilidade por meio apenas de avaliações quantitativas.

Na avaliação da probabilidade dos incidentes, tem-se como entrada uma lista de cenários de incidentes identificados como relevantes.

Na etapa de identificação das consequências, tem-se como entrada uma lista de ameaças e vulnerabilidades relacionadas aos ativos.

SLE é o valor que representa a probabilidade estimada da ocorrência de uma ameaça específica dentro do período de um ano.

A norma NBR ISO 31000 (Gestão de Riscos – Diretrizes) estabelece um processo de gestão de riscos que é composto por algumas etapas, sendo correto afirmar que, segundo essa norma, a

Para uma efetiva gestão de riscos, é preciso, inicialmente, fazer o levantamento das ameaças e seus impactos, da probabilidade de concretização das ameaças e dos riscos potenciais. Para a implementação da gestão de riscos, devem ser considerados três níveis, cujas respectivas finalidades são

I garantir a adequação técnica necessária ao tratamento adequado dos riscos;

II assegurar que as atividades que compreendem a gestão de riscos sejam consideradas de forma sistemática; e

III permitir que os funcionários e dirigentes identifiquem suas responsabilidades, conheçam os riscos e possam ajudar a reduzi-los e controlá-los.

No texto precedente, os itens I, II e III apresentam as funções, respectivamente, dos níveis

Dentre as opções de tratamento de riscos, identifique a ação que NÃO é uma das quatro abordagens principais.

Uma ameaça conhecida e amplamente divulgada é considerada uma avaliação de riscos.

De acordo com a NBR ISO/IEC 27005, na avaliação das consequências da análise de riscos, o valor do impacto de um ativo de informação afetado por uma violação de segurança é integralmente determinado pelo custo da recuperação e da reposição da informação.

Na avaliação de riscos, procura-se uma base que sirva para efeitos de comparação, como a análise e a avaliação de riscos efetuadas em épocas anteriores. O conhecimento prévio de impactos e probabilidades de riscos é sempre relevante para uma avaliação adequada e completa. Por outro lado, há basicamente dois modos de realizar a avaliação de riscos, os quais se baseiam

Os detectores de incêndio são mecanismos eletrônicos que acionam alarmes em casos de fogo nas instalações e, nessa situação, funcionam como soluções de segurança digital de ambientes de TI.

A norma ABNT NBR ISO/IEC 27005 (Tecnologia da informação – Técnicas de segurança – Gestão de riscos de segurança da informação) identifica, em sua seção Processo de avaliação de riscos de segurança da informação, três atividades básicas ligadas a tal processo, a saber,

De acordo com a Norma NBR ISO/IEC 27005, na avaliação das consequências da análise de riscos, para que a avaliação de impacto permita um processo de tomada de decisão mais eficiente, é indicado

Para tratar os riscos da segurança da informação, uma organização deve definir e aplicar um processo contendo controles sobre seus ativos de informação. Nesse sentido, para assegurar que a informação receba um nível adequado de proteção, de acordo com a sua importância para a organização, deve-se implementar o(a):

A Norma ISO 31000 – Gestão de Riscos – Diretrizes estabelece uma estrutura de gestão de riscos composta por seis elementos básicos, sendo o elemento central representado pela “Liderança e Comprometimento”. Entre os demais cinco elementos dessa estrutura, estão

O impacto sobre o negócio, mensurado no momento do tratamento dos riscos, pode ser determinado por abordagens quantitativas ou qualitativas.