Seu próximo nível começa aqui
Com a Assinatura Ilimitada, você tem tudo que precisa para sua aprovação.
Com a Assinatura Ilimitada, você combina prática, teoria e método em uma única assinatura com tudo que você precisa para sua aprovação.
- Gran Questões
- Questões
Questões de Concurso sobre Gestão de Riscos em Segurança da Informação
Disciplina
1
Assunto
3
Banca
Instituição
Cargo
Ano
Carreira
Área de formação
Escolaridade
Dificuldade
Comentários:
Professores
Alunos
Meus Comentários
Vídeo
Minhas questões:
Resolvidas
Não resolvidas
Certas
Erradas
Tipo de questão:
Certo e errado
Múltipla escolha
Incluir questões:
Anuladas
Desatualizadas
Questões:
Todas as questões
Filtro simplificado
Questões
Todas as questões
290
questões
encontradas
20
Mais recentes
No que se refere ao gerenciamento de segurança e risco organizacionais de Tecnologia da Informação, os gestores, em momentos de crises, devem criar cenários orçamentários adaptáveis que reflitam a realidade de sua função, de modo a alinhar os serviços de segurança e risco com o valor de uma unidade de negócios para otimizar custos e riscos. Nesse contexto, é recomendado aos gestores
A
analisar previsões, informações e modelos de organizações de pesquisa, incorporando os resultados ao esforço de otimização de custos.
B
monitorar atividades essenciais da organização com vistas a criar modelos históricos, prescindindo-os como lição aprendida para uso futuro na otimização de custos.
C
fazer, logo no início da crise, o máximo de alterações estruturais com foco em uma única área de otimização e com cortes na força de trabalho.
D
reduzir, obrigatoriamente, os custos de produção, ainda que isso desequilibre esforços nos principais portfólios de serviços e acarrete a interrupção destes.
E
negociar melhores preços e descontos para seus contratos atuais, com exceção dos custos da linha de base referentes à segurança de TI.
Identificar, avaliar e reduzir continuamente os riscos relacionados à tecnologia da informação nos níveis de tolerância estabelecidos pelo gerenciamento executivo da empresa, de modo e garantir à organização a compreensão e o tratamento eficaz dos riscos, diz respeito a um
A
objetivo do processo gerenciar riscos do COBIT, do domínio alinhar, planejar e organizar (APO); não há prática específica para tratar dessas ações no ITIL.
B
objetivo que não é tratado nem pelo ITIL nem pelo COBIT, haja vista não haver, nesses guias, processos ou práticas específicas relativos a essas ações.
C
objetivo do processo gerenciamento de riscos do COBIT e da prática de gerenciamento de risco do ITIL.
D
objetivo da prática gerenciamento da segurança da informação do ITIL; não há processo específico para tratar dessas ações no COBIT.
E
objetivo da prática gerenciamento de acesso do ITIL e do processo gerenciar continuidade do COBIT.
Segundo a NBR ISO/IEC 27005, a identificação de controles existentes, de ameaças e de vulnerabilidades é atividade constante do processo de gestão de riscos denominada
A
identificação de riscos.
B
definição do contexto.
C
organização para a gestão de riscos.
D
estimativa de riscos.
E
avaliação de consequências.
Segundo a NBR ISO/IEC 27005, modificar, reter, evitar ou compartilhar riscos são opções potenciais para adoção da atividade do processo de gestão de riscos denominada
A
avaliação de riscos.
B
comunicação dos riscos.
C
análise de riscos.
D
tratamento dos riscos.
E
análise crítica dos riscos.
A respeito da Norma NBR ISO/IEC NBR 27.005, assinale a alternativa correta.
A
A norma estabelece uma escala de aceitação de riscos, que deve ser seguida pelas organizações.
B
Os critérios de aceitação de risco não podem ser diferenciados pelo tempo de existência do risco, apenas pelo valor do impacto do evento.
C
Os critérios de aceitação de risco devem ser expressos como razão entre o lucro e o risco estimado.
D
É possível aceitar um risco, mesmo que as ações de tratamento desse risco ainda não tenham sido tomadas, desde que haja um compromisso de ações em um período de tempo estipulado.
E
Os critérios de aceitação de risco são independentes das políticas e das metas da organização, vinculando-se a fatores financeiros, sociais e de reputação.
Com base nos conceitos da NBR ISO/IEC 27.005, acerca da análise dos riscos e do tratamento do risco, assinale a alternativa correta.
A
No tratamento do risco, é possível admitir mais de uma opção de tratamento para um risco.
B
Para cada risco há uma forma de tratamento, não admitindo que um tratamento sirva a mais de um risco.
C
Na retenção do risco, convém que ele seja gerenciado pela inclusão, exclusão ou alteração dos controles, para que o risco seja considerado aceitável.
D
Quando os riscos são considerados elevados e os custos da implementação do tratamento do risco excederem os benefícios, pode-se modificar o risco.
E
Quando os riscos são considerados elevados e os custos da implementação do tratamento do risco excederem os benefícios, deve-se reter o risco e modificá-lo.
No processo de gestão de riscos da segurança da informação, segundo a NBR ISO/IEC 27005, identificação, análise e avaliação de riscos são atividades relativas
A
ao processo de avaliação de riscos.
B
à definição de contexto.
C
à identificação de vulnerabilidades.
D
a metodologias de análise quantitativa ou qualitativa de riscos.
E
a identificação e valoração dos ativos e avaliação do impacto.
Suponha que, no processo de identificação de vulnerabilidades em uma organização, várias vulnerabilidades encontradas não possuíssem ameaças correspondentes relacionadas e não tenham sido identificados controles a serem implantados. Nessa situação, de acordo com a NBR ISO/IEC 27005, o gestor de segurança da informação agirá corretamente se determinar, formalmente, que tais vulnerabilidades sejam ignoradas.
C
Certo
E
Errado
Considerando os conceitos da NBR ISO/IEC 27.005, quanto à análise dos riscos, assinale a alternativa correta.
A
A valoração dos ativos pode ser determinada de duas maneiras: pela valoração da reposição do ativo e as consequências ao negócio relacionadas à perda ou pelo comprometimento do ativo.
B
A análise de riscos qualitativa é realizada com valores numéricos, de preferência com dados históricos de incidentes.
C
A análise qualitativa de riscos depende da exatidão e da integridade dos dados.
D
Uma das etapas da análise de riscos é a análise das consequências. Nessa fase, é importante analisar, de forma quantitativa, as consequências.
E
Na avaliação de probabilidade, designam-se valores para a probabilidade e para as consequências de um risco.
De acordo com a ISO/IEC 27005 - Gestão de riscos em TI, em relação às diretrizes para implementação da identificação das ameaças, marcar C para as afirmativas Certas, E para as Erradas e, após, assinalar a alternativa que apresenta a sequência CORRETA:
(_) Uma ameaça tem o potencial de comprometer ativos (tais como informações, processos e sistemas) e, por isso, não compromete as organizações.
(_) Ameaças podem ser de origem natural ou humana e podem ser acidentais ou intencionais.
(_) Algumas ameaças podem afetar mais de um ativo. Nesses casos, elas podem provocar impactos diferentes, dependendo de quais ativos são afetados.
A
E - C - C.
B
E - E - C.
C
C - C - E.
D
C - C - C.
E
C - E - E.
Ano:
2021
Banca:
Objetiva Concursos
Prova:
Objetiva Concursos - Prefeitura - Analista de Sistemas - 2021
Em conformidade com a NBR ISO/IEC 27005, sobre os termos e as definições, numerar a 2ª coluna de acordo com a 1ª e, após, assinalar a alternativa que apresenta a sequência CORRETA:
(1) Impacto.
(2) Comunicação do risco.
(3) Transferência do risco.
(4) Identificação de riscos.
(_) Processo para localizar, listar e caracterizar elementos do risco.
(_) Troca ou compartilhamento de informação sobre risco entre o tomador de decisão e outras partes interessadas.
(_) Compartilhamento com outra entidade do ônus da perda ou do benefício do ganho associado a um risco.
(_) Mudança adversa no nível obtido dos objetivos de negócios.
A
4 - 2 - 3 - 1.
B
1 - 2 - 3 - 4.
C
2 - 1 - 4 - 3.
D
3 - 1 - 2 - 4.
E
4 - 3 - 1 - 2.
Segundo a ISO 27005 - Gestão de riscos em TI, sobre os critérios para a aceitação do risco, convém que os seguintes tópicos, entre outros, sejam considerados durante o desenvolvimento, como:
I. Critérios para a aceitação do risco podem incluir mais de um limite, representando um nível desejável de risco; porém, precauções podem ser tomadas por gestores seniores para aceitar riscos acima desse nível, desde que sob circunstâncias definidas.
II. Critérios para a aceitação do risco podem ser expressos como a razão entre o lucro estimado e o risco estimado.
III. Diferentes critérios para a aceitação do risco podem ser aplicados a diferentes classes de risco, por exemplo: riscos que podem resultar em não conformidade com regulamentações ou leis podem não ser aceitos, enquanto riscos de alto impacto poderão ser aceitos se isso for especificado como um requisito contratual.
Está(ão) CORRETO(S):
A
Somente o item I.
B
Somente o item III.
C
Somente os itens I e II.
D
Somente os itens II e III.
E
Todos os itens.
A gestão de riscos é um conjunto de atividades coordenadas para permitir que a organização se prepare para lidar com os riscos, de forma sistemática e customizada, conforme cada situação. No caso da NBR ISO/IEC 27005, a gestão de riscos é necessária para a eficácia
A
da elaboração de planos de negócio.
B
do modelo de governança da TI.
C
da análise de impacto ao negócio.
D
do sistema de gestão da qualidade em TI.
E
do sistema de gestão da segurança da informação.
Ano:
2021
Banca:
Objetiva Concursos
Prova:
Objetiva Concursos - Prefeitura - Analista de Sistemas - 2021
De acordo com a NBR ISO/IEC 27005, em relação à definição do contexto, sobre os critérios básicos, analisar a sentença abaixo:
Dependendo do escopo e dos objetivos da gestão de riscos, diferentes métodos podem ser aplicados. O método não deve ser diferente para cada iteração do processo (1ª parte). Convém que um método de gestão de riscos apropriado seja selecionado ou desenvolvido e leve em conta critérios básicos, tais como: critérios de avaliação de riscos, critérios de impacto e critérios de aceitação do risco (2ª parte). Convém que a organização avalie se os recursos necessários estão disponíveis para definir e implementar políticas e procedimentos, incluindo implementação dos controles selecionados (3ª parte).
A sentença está:
A
Correta somente em sua 2ª parte.
B
Correta somente em suas 1ª e 2ª partes.
C
Correta somente em suas 1ª e 3ª partes.
D
Correta somente em suas 2ª e 3ª partes.
E
Totalmente correta.
A norma ABNT ISO 31000:2018 – Gestão de riscos – Diretrizes apresenta o processo de gestão de riscos, em que se destaca o processo de avaliação de riscos, que tem entre suas características:
A
ser um processo global de identificação de riscos, análise de riscos e avaliação de riscos.
B
ter o propósito de identificar riscos, antecipando, encontrando, reconhecendo e descrevendo riscos que possam ajudar ou impedir que uma organização alcance seus objetivos.
C
poder ser influenciado por divergências de opiniões, vieses, percepções de riscos e julgamentos, os quais devem ser desconsiderados no processo de análise.
D
envolver o cruzamento da probabilidade de eventos e consequências com a natureza e magnitude das consequências, usando uma matriz de riscos.
A Norma NBR ISO/IEC 27005 (Tecnologia da Informação – Técnicas de segurança – Gestão de riscos da segurança da informação) define, em sua seção de termos e definições, o risco residual como sendo
A
a magnitude do risco, considerando as consequências e suas probabilidades.
B
o risco remanescente após o tratamento do risco inicialmente observado.
C
o processo de compreender a natureza do risco.
D
o processo global de identificação, análise e avaliação de riscos.
E
o processo de busca, reconhecimento e descrição de riscos.
Considerando-se a organização para gestão de riscos de segurança da informação, analisar os itens abaixo:
I. Estabelecimento das relações necessárias entre a organização e as partes interessadas, das interfaces com as funções de alto nível de gestão de riscos da organização (por exemplo: a gestão de riscos operacionais), assim como das interfaces com outros projetos ou atividades relevantes é uma das responsabilidade dessa organização.
II. Convém que a organização e as responsabilidades para o processo de gestão de riscos de segurança da informação sejam estabelecidas e mantidas.
A
Somente o item I está correto.
B
Somente o item II está correto.
C
Os itens I e II estão corretos.
D
Os itens I e II estão incorretos.
A Norma ISO 27005 fornece diretrizes para o processo de Gestão de Riscos de Segurança da Informação de uma organização. Em relação aos termos e às definições da Norma ISO 27005, numerar a 2ª coluna de acordo com a 1ª e, após, assinalar a alternativa que apresenta a sequência CORRETA:
(1) Comunicação do risco.
(2) Estimativa de riscos.
(3) Transferência do risco.
(4) Retenção do risco.
( ) Aceitação do ônus da perda ou do benefício do ganho associado a um determinado risco.
( ) Troca ou compartilhamento de informação sobre risco entre o tomador de decisão e outras partes interessadas.
( ) Processo utilizado para atribuir valores à probabilidade e às consequências de um risco.
( ) Compartilhamento com uma outra entidade do ônus da perda ou do benefício do ganho associado a um risco.
A
4 - 1 - 2 - 3.
B
1 - 2 - 3 - 4.
C
2 - 3 - 4 - 1.
D
3 - 4 - 1 - 2.
Em conformidade com a ISO 27005 - Gestão de Riscos em TI, numerar a 2ª coluna de acordo com a 1ª e, após, assinalar a alternativa que apresenta a sequência CORRETA:
(1) Riscos de segurança da informação.
(2) Impacto.
(3) Ação de evitar o risco.
(---) Mudança adversa no nível obtido dos objetivos de negócios.
(---) Decisão de não se envolver ou agir de forma a se retirar de uma situação de risco.
(---) A possibilidade de uma determinada ameaça explorar vulnerabilidades de um ativo ou de um conjunto de ativos, prejudicando a organização.
A
2 - 1 - 3.
B
1 - 3 - 2.
C
1 - 2 - 3.
D
2 - 3 - 1.
E
3 - 2 - 1.
Em relação ao disposto na ISO 27005 - Gestão de Riscos em TI, analisar a sentença abaixo:
Convém que o contexto para gestão de riscos de segurança da informação seja estabelecido, o que envolve a definição dos critérios básicos necessários para a gestão de riscos de segurança da informação, a definição do escopo e dos limites e o estabelecimento de uma organização apropriada para operar a gestão de riscos de segurança da informação (1ª parte). É essencial determinar o propósito da gestão de riscos de segurança da informação, pois ele afeta o processo em geral e a definição do contexto em particular. Esse propósito pode ser, entre outros, a conformidade legal e a evidência da realização dos procedimentos corretos (2ª parte). Convém que a organização avalie se os recursos necessários estão disponíveis para, por exemplo, executar a análise/avaliação de riscos e estabelecer um plano de tratamento dos mesmos (3ª parte).
A sentença está:
A
Totalmente correta.
B
Correta somente em sua 1ª parte.
C
Correta somente em sua 2ª parte.
D
Correta somente em sua 3ª parte.
E
Totalmente incorreta.
Gerar simulado