Seu próximo nível começa aqui
Com a Assinatura Ilimitada, você tem tudo que precisa para sua aprovação.
Com a Assinatura Ilimitada, você combina prática, teoria e método em uma única assinatura com tudo que você precisa para sua aprovação.
- Gran Questões
- Questões
Questões de Concurso sobre Gestão de Riscos em Segurança da Informação
Disciplina
1
Assunto
3
Banca
Instituição
Cargo
Ano
Carreira
Área de formação
Escolaridade
Dificuldade
Comentários:
Professores
Alunos
Meus Comentários
Vídeo
Minhas questões:
Resolvidas
Não resolvidas
Certas
Erradas
Tipo de questão:
Certo e errado
Múltipla escolha
Incluir questões:
Anuladas
Desatualizadas
Questões:
Todas as questões
Filtro simplificado
Questões
Todas as questões
290
questões
encontradas
20
Mais recentes
Certa empresa de tecnologia que presta serviços em nuvem identificou que a indisponibilidade de um de seus data centers por falha elétrica causaria paralisação de operações críticas por mais de 24 horas, o que comprometeria acordos de nível de serviço e resultaria em perdas financeiras significativas. Durante o processo de gestão de riscos de segurança da informação, conduzido conforme as principais normas internacionais, concluiu-se que o risco residual associado à indisponibilidade ainda é superior ao apetite de risco estabelecido pela organização.
Considerando as práticas recomendadas pelas principais normas internacionais, assinale a opção que apresenta ação adequada a ser adotada pela organização no cenário apresentado na situação hipotética precedente.
A
transferir o risco por meio de seguro, para reduzir o impacto financeiro e eventuais prejuízos, o que, na prática, é o cerne do problema causado pelo risco efetivo de indisponibilidade durante o tempo projetado
B
tratar o risco com medidas adicionais, que podem incluir implementação de novos controles técnicos, administrativos ou físicos destinados a reduzir a probabilidade ou o impacto dos eventos de indisponibilidade
C
reavaliar a probabilidade de ocorrência de indisponibilidade, flexibilizar e propor mais elasticidade aos parâmetros que definem o risco residual e o apetite de risco, equalizando-os em configurações compatíveis com o estado atual da empresa
D
aceitar o risco residual a partir da confiança no plano de continuidade de negócios estabelecido, o qual absorverá o impacto de eventual indisponibilidade e anulará o nível de risco indicado como acima do apetite definido
E
registrar formalmente o risco, sem tomar outras ações complementares, dada a possibilidade de redirecionar os serviços afetados pela indisponibilidade para outros data centers da empresa após as 24 horas críticas
Uma empresa pública do setor energético passou por auditoria interna após identificar tentativas de acesso indevido ao seu sistema corporativo. A equipe técnica constatou que parte dos servidores estava atualizada, havia política formal de segurança da informação, uso de autenticação multifator para acesso remoto e rotinas periódicas de backup. Ainda assim, foram encontrados indícios de phishing direcionado a empregados do setor financeiro. Com base nos princípios e conceitos básicos de segurança da informação, analise as alternativas a seguir e assinale a CORRETA.
A
A existência de política formal de segurança da informação impede a ocorrência de falhas humanas, desde que o documento esteja disponível aos empregados.
B
A utilização de autenticação multifator reduz riscos associados ao comprometimento de senhas, pois acrescenta camadas adicionais de verificação além do simples conhecimento de credenciais.
C
A realização periódica de backup elimina a necessidade de controles preventivos contra ataques, já que permite restaurar os dados após qualquer incidente.
D
A atualização de sistemas operacionais é medida voltada exclusivamente à melhoria de desempenho, não guardando relação com vulnerabilidades exploráveis.
E
A confidencialidade relaciona-se à garantia de que a informação esteja disponível sempre que solicitada por qualquer usuário autenticado no sistema.
A alta administração de um órgão público determinou que o risco de vazamento de dados de um novo sistema deve ser reduzido a um nível aceitável, mas que ainda assim permitirá a continuidade da operação. Após a avaliação, o risco residual foi considerado alto, exigindo a implementação de novos controles.
O tratamento de risco decidido pela alta administração do órgão é
A
Aceitar o Risco
B
Reter o Risco
C
Evitar o Risco
D
Compartilhar o Risco
E
Modificar o Risco
Acerca dos conceitos, das etapas e das estratégias associadas ao processo de gestão de riscos em Segurança da Informação, assinale a alternativa correta.
A
O risco residual corresponde ao risco identificado de maneira prévia à aplicação de controles, servindo como a referência inicial para a definição do tratamento organizacional adequado.
B
O risco inerente corresponde ao risco remanescente obtido logo após a implementação dos controles planejados, refletindo o nível de exposição aceito pela alta administração.
C
A análise de riscos consiste na identificação e neutralização das ameaças capazes de explorar vulnerabilidades dos ativos, reduzindo a probabilidade de ocorrência de incidentes de segurança.
D
A avaliação de riscos consiste na implantação prática de controles técnicos e operacionais de segurança, dispensando qualquer comparação formal com os critérios de risco organizacionais.
E
O tratamento de riscos consiste na seleção e implementação de medidas para modificar o risco, podendo envolver ações de mitigação, aceitação, transferência ou evitação.
Uma organização mantém um sistema legado crítico, mas com forte dependência de tecnologia obsoleta. Foi identificado um risco relacionado tanto ao comprometimento da segurança quanto à futura indisponibilidade do sistema.
Para tratar esse risco, foram propostas as seguintes ações:
P1: migrar as funcionalidades para uma plataforma SaaS moderna, desativando o servidor antigo;
P2: terceirizar a gestão do legado para um parceiro especializado, com foco em cláusulas de responsabilidade civil em contrato, sem alteração dos controles técnicos ou operacionais do sistema;
P3: isolar o sistema em uma VLAN sem acesso à internet e exigir VPN com MFA para qualquer acesso; e
P4: manter a operação do sistema legado, estabelecendo um fundo de reserva financeira para cobrir eventuais multas e definindo um plano de resposta a incidentes para recuperação manual, em caso de falha catastrófica.
Assinale a opção que associa corretamente cada proposta a uma estratégia de tratamento de risco.
A
P1: evitar; P2: transferir; P3: mitigar; P4: aceitar.
B
P1: evitar; P2: mitigar; P3: mitigar; P4: aceitar.
C
P1: mitigar; P2: transferir; P3: mitigar; P4: transferir.
D
P1: evitar; P2: transferir; P3: mitigar; P4: transferir.
E
P1: mitigar; P2: mitigar; P3: mitigar; P4: aceitar.
Uma docente do curso técnico em Informática propõe a seguinte estratégia para a unidade de Segurança da Informação: os estudantes deverão, em grupos, simular um ambiente corporativo em plataforma virtual, identificar vulnerabilidades em sistemas fictícios, propor políticas de segurança e apresentar os resultados em formato de relatório técnico para uma banca composta por docentes e profissionais convidados do setor. A avaliação considerará o processo de investigação, a qualidade técnica das soluções propostas e a capacidade de argumentação dos estudantes. Considerando os fundamentos das tecnologias educacionais na EPT e das metodologias ativas, assinale a alternativa que melhor avalia essa proposta.
A
A proposta é inadequada, porque o uso de plataformas virtuais na formação técnica presencial substitui indevidamente as atividades laboratoriais, comprometendo a qualidade da aprendizagem técnica.
B
A proposta articula uso pedagógico de tecnologias, aprendizagem baseada em projetos, avaliação processual e por competências e integração com o mundo do trabalho, sendo coerente com os princípios da EPT e com os eixos temáticos do programa de formação docente.
C
A proposta é parcialmente adequada, mas a avaliação por banca com profissionais externos é inapropriada para o Ensino Médio Integrado, pois expõe os estudantes a critérios avaliativos distintos dos previstos no plano de ensino.
D
A proposta é válida apenas para turmas de nível avançado, pois a complexidade da avaliação processual e a exposição a profissionais externos podem gerar ansiedade e comprometer o desempenho de estudantes em fase inicial de formação.
E
A estratégia descrita é caracterizada como metodologia exclusivamente tecnicista, incompatível com a perspectiva da formação humana integral que fundamenta o Ensino Médio Integrado.
As boas práticas de segurança da informação orientam a implementação de medidas que protejam os dados corporativos, evitem acessos indevidos e garantam a integridade dos sistemas frente às diversas ameaças do ambiente digital. Sobre esse assunto, analise as ações.
I. Desativar a geração de registros de eventos (logs) nos computadores pessoais para otimizar o espaço em disco e o desempenho do sistema, direcionando a emissão de relatórios de auditoria e controle para os servidores centrais da rede.
II. Configurar contas de usuário com o tipo padrão para as atividades diárias dos usuários, destinar a conta de administrador para alterações críticas no sistema e proibir a criação e uso de contas compartilhadas para garantir o rastreamento individual das ações.
III. Substituir as credenciais de acesso padrão de fábrica de todos os equipamentos de rede e desabilitar o gerenciamento de administração via internet (WAN), configurando o acesso a essas funções de controle para ocorrer a partir da rede local.
IV. Estabelecer a configuração da rede sem fio corporativa, utilizando o protocolo de segurança WEP para garantir a compatibilidade e manter o nome padrão da rede (SSID) inalterado para facilitar a localização do ponto de acesso pelos dispositivos móveis.
Assinale a alternativa que apresenta apenas medidas de segurança recomendadas como boas práticas.
A
I e IV
B
I e III
C
II e III
D
II e IV
Uma Assembleia Legislativa conduz um processo formal de gestão de riscos conforme a norma ABNT NBR ISO/IEC 27005:2023, na qual foram identificados riscos relacionados à indisponibilidade de sistemas legislativos críticos onde existem controles previamente implementados sem avaliação recente de efetividade. Diante da necessidade de determinar quais controles devem compor o plano de tratamento de riscos, o critério técnico que fundamenta totalmente essa determinação é a
A
definição de controles com base na categorização dos riscos, com menor ênfase nas condições operacionais e organizacionais.
B
manutenção de controles alinhados a práticas consolidadas, ainda que não estejam diretamente associados aos riscos priorizados.
C
inclusão de controles previamente existentes focando em sua formalização documental e viabilidade de implementação.
D
seleção de controles cuja aplicação produza impacto relevante na probabilidade ou nas consequências dos riscos identificados.
E
priorização de controles classificados como preventivos, com o objetivo de reduzir a necessidade de monitoramento e resposta operacional.
Durante o processo de gestão de riscos, uma organização necessita identificar e avaliar eventos que possam comprometer a confidencialidade, integridade ou disponibilidade de seus ativos. Após essa avaliação, deve selecionar e implementar controles capazes de reduzir o risco a níveis aceitáveis, conforme o apetite ao risco definido pela alta direção. A etapa do processo de gestão de riscos corresponde à escolha e aplicação de medidas destinadas a reduzir o risco identificado é o (a)
A
identificação de ativos.
B
análise de ameaças.
C
avaliação de impacto.
D
monitoramento de logs.
E
tratamento de riscos.
A gestão de riscos em segurança da informação envolve a correta compreensão de conceitos como ameaça, vulnerabilidade e risco, que são fundamentais para a análise e tratamento de riscos. Analise as afirmativas a seguir:
I.Vulnerabilidade é uma fraqueza em um ativo, processo ou controle que pode ser explorada por uma ameaça.
II.Ameaça é uma causa potencial de um incidente indesejado que pode explorar uma vulnerabilidade e resultar em dano a um ativo de informação.
III.Risco é a combinação da probabilidade de uma ameaça explorar uma vulnerabilidade e do impacto resultante dessa exploração sobre o ativo de informação.
É correto o que se afirma em:
A
I, II e III.
B
II, apenas.
C
I e III, apenas.
D
III, apenas.
E
I e II, apenas.
Ao se abordar o código de práticas para a gestão da segurança da informação, destacam-se os planos de contingência, que têm como objetivo detalhar as medidas a serem tomadas em caso de incidentes, de forma a garantir que os processos retornem ao funcionamento normal o mais rapidamente possível. A gestão de incidentes da informação tem diversos procedimentos considerados como padrão, EXCETO:
A
Elaboração de planos de contingência.
B
Análise e diagnóstico da causa do incidente.
C
Planejamento de ações corretivas para que o incidente não se repita.
D
Publicidade e transferência nas ações, de modo a proteger os envolvidos e os prejudicados pelo incidente.
E
Notificação do incidente ocorrido para autoridades e gestores superiores.
Referente à gestão de riscos em segurança da informação, analise as assertivas abaixo:
I. A análise de riscos envolve a identificação e avaliação dos riscos que podem impactar a segurança da informação.
II. O tratamento de risco pode incluir medidas para mitigar, transferir, aceitar ou evitar o risco.
III. O risco residual é o risco que permanece após a implementação de medidas de tratamento de risco.
Quais estão corretas?
A
Apenas I.
B
Apenas II.
C
Apenas I e III.
D
I, II e III.
Notificar equipes internas, clientes e parceiros afetados por um incidente sem expor informações sensíveis seguindo as legislações e regulamentos como a LGPD e GDPR é uma boa prática da OWASP conhecida como:
A
exposição e publicidade.
B
comunicação e notificação.
C
planejamento e preparação.
D
pós-incidente e aprendizado.
E
contenção, erradicação e recuperação.
No contexto de gestão de riscos cibernéticos, uma fórmula comum para estimar financeiramente a perda anualizada é
ALE = ARO x SLE
em que ALE (annualized loss expectancy) representa a expectativa de perda anualizada, ARO (annual rate of occurrence) é a taxa anual de ocorrência e SLE (single loss expectancy) é a expectativa de perda única.
Por sua vez, SLE pode ser calculado por
SLE = AV x EF
em que AV (asset value) é o valor monetário do ativo e EF (exposure factor) é o fator de exposição.
Para um ativo que vale $5.000,00 com fator de exposição de 10%, para que a expectativa de perda anualizada seja inferior a $1.800,00, a taxa anual de ocorrência máxima (considerando-se somente números inteiros) deve ser igual a
A
3.
B
1.
C
2.
D
5.
E
4.
Atualmente, a proteção de dados tem crescido em importância, particularmente por conta da LGPD, sendo que todas as empresas precisam priorizar a segurança de informações confidenciais para evitar multas, processos e outros tipos de prejuízos. Nesse contexto, uma sigla está relacionada a uma solução que utiliza técnicas como criptografia, análise de conteúdo e controle de acessos, visando a prevenção da perda de dados, evitando vazamentos de informações confidenciais, mantendo a atuação de uma empresa em conformidade com a LGPD e outras regulamentações. Outra sigla representa uma solução que realiza o controle de segurança entre o usuário final e os serviços em nuvem, executando o monitoramento de tráfego e as atividades dos usuários, além de identificar aplicativos não autorizados, protegendo informações sensíveis contra compartilhamentos sem o consentimento do dono da informação.
Os dois conceitos com as siglas que definem essas soluções, são conhecidos, respectivamente, como:
A
Data Loss Prevention (DLP) e Security Information and Event Management (SIEM).
B
Endpoint Detection and Response (EDR) e Cloud Access Security Broker (CASB).
C
Data Loss Prevention (DLP) e Cloud Access Security Broker (CASB).
D
Endpoint Detection and Response (EDR) e Security Information and Event Management (SIEM).
A norma ISO/IEC 13335 representou um importante marco no estabelecimento de conceitos de práticas de gestão da segurança da informação, abordando diferentes métodos para identificar e mitigar riscos relacionados à infraestrutura de tecnologia da informação nas organizações.
As opções a seguir representam alternativas listadas pela ISO/IEC 13335, à exceção de uma. Assinale-a.
A
Abordagem canônica.
B
Abordagem combinada.
C
Abordagem da base de referência.
D
Abordagem informal.
E
Análise de risco detalhada.
Ação adotada na Gestão de Segurança da Informação (GSI) que visa identificar, avaliar e mitigar os riscos relacionados à segurança da informação. Esta ação pode adotar a análise de vulnerabilidades e ameaças internas e externas, buscando evitar problemas previamente para não reverberar em problemas mais graves no futuro. Qual o nome desta ação adotada na GSI?
A
Análise de Riscos.
B
Otimização de acertos.
C
Controle de acesso.
D
Gestão de riscos
Em uma organização, a elaboração de políticas e normas de segurança da informação, juntamente com o acompanhamento contínuo do desempenho dessas políticas, é essencial para garantir a proteção dos dados e a conformidade com as regulamentações de privacidade.
C
Certo
E
Errado
A gestão de riscos em projetos de TI deve considerar ameaças técnicas, legais, operacionais e de segurança da informação.
C
Certo
E
Errado
Uma organização pública está revisando sua Política de Segurança da Informação (PSI) e precisa alinhar boas práticas de governança a controles técnicos e administrativos. Após auditoria, foram levantados os seguintes pontos:
I - Implementação de criptografia assimétrica para autenticação e de criptografia simétrica para sigilo das comunicações, visando ao desempenho e à segurança equilibrados.
II - Identificação, análise e priorização de riscos com base em impacto e probabilidade, adotando controles preventivos, detectivos e corretivos como medidas de tratamento.
III - Estabelecimento de uma PSI clara, contemplando responsabilidades, classificação da informação e mecanismos de monitoramento de conformidade.
IV - Controle de acesso físico a datacenters com barreiras, monitoramento por câmeras e sistemas de contingência contra incêndio e falhas elétricas.
V - Definição de procedimentos de gerenciamento de operações, como cópias de segurança, redundância de sistemas críticos e planos de continuidade.
VI - Utilização de canais formais e seguros de comunicação para incidentes, prevenindo falhas de reporte e garantindo fluxo de informação adequado.
Com base em boas práticas de segurança, assinale a alternativa que apresenta os pontos observados na auditoria que devem ser adotados:
A
Apenas os pontos I, II, IV e VI.
B
Apenas os pontos II, III, IV e V.
C
Os pontos I, II, III, IV, V e VI.
D
Apenas os pontos I, III e V.
Gerar simulado