Questões de Concurso sobre Gestão de Riscos em Segurança da Informação

A norma ISO/IEC 27005:2019 apresenta um processo de gestão de riscos de segurança da informação.

Com base nessa norma, considere as afirmativas a seguir.

I → O processo de avaliação de riscos compreende a identificação, a análise e a avaliação de riscos.

II → O ciclo de vida da gestão de riscos de segurança da informação é iterativo, desenvolvendo-se a gestão de maneira incremental, através de uma sucessão de iterações, e cada iteração libera uma entrega (saída) para a seguinte, minimizando tempo e esforço.

III → A análise quantitativa utiliza uma escala de valores numéricos com o objetivo de tentar calcular valores numéricos para cada um dos componentes coletados durante as atividades de identificação de riscos. Devido à sua importância, deve ser realizada antes da análise qualitativa. IV → Ameaça é qualquer fraqueza que possa ser explorada para comprometer a segurança de sistemas ou informações.

Estão corretas

Uma cidade enfrenta desafios crescentes em segurança digital em órgãos públicos. Recentemente, um ataque ransomware criptografou os dados de uma secretaria municipal, causando a paralisação de serviços de saúde e educação. Um estudo apontou que à ausência de uma política de segurança da informação bem estruturada foi um dos principais fatores para à vulnerabilidade. Nesse caso, a ação adequada para minimizar os riscos futuros e evitar a recorrência de situações semelhantes é

A gestão de riscos de TIC deve focar exclusivamente a mitigação de ameaças externas, como ataques cibernéticos e falhas de segurança, sem necessidade de considerar riscos internos, como erros operacionais, falhas de infraestrutura ou problemas de conformidade regulatória.

No que tange à prevenção de riscos na segurança da informação, os controles têm por objetivo neutralizar eventos potencialmente negativos que venham a ocorrer numa organização. Nesse sentido, existem três tipos de controles de segurança para um sistema de informação, descritos a seguir.

I.Foca a gestão do risco e a gestão da segurança do sistema de informação.

II.É primariamente implementado e executado por pessoas, em oposição a sistemas.

III.É primariamente executado e implementado pelo sistema de informação, através de mecanismos contidos nos componentes de hardware, software ou firmware presentes no sistema.

Esses controles de segurança são conhecidos, respectivamente, como:

Certo órgão público está implementando um framework de Governança de TI para otimizar o uso de recursos e gerenciar os riscos associados à tecnologia. A gestão de riscos de TI é um pilar fundamental para essa governança. Analise as proposições abaixo e a relação proposta entre elas.

Asserção: Uma efetiva gestão de riscos de TI, integrada à Governança de TI do órgão, não tem impacto significativo na continuidade dos serviços críticos, na conformidade legal ou na proteção dos ativos de informação.

PORQUE

Razão: A gestão de riscos de TI se limita a documentar riscos teóricos sem ações práticas, fornecendo poucas informações úteis para a tomada de decisões da alta direção sobre investimentos e prioridades em tecnologia.

Diante do exposto, assinale a alternativa correta.

A gestão de riscos é uma parte essencial da segurança da informação. O processo de gestão de riscos inclui, EXCETO:

Esta etapa da gestão de riscos envolve a definição de uma abordagem estruturada e sistematizada para gerenciar os riscos. Acontece nesta etapa, a determinação dos objetivos, o escopo e os recursos indispensáveis para o processo de gestão de riscos, assim como a definição do processo que será seguido para identificar, avaliar e tratar os riscos, bem como as metodologias e critérios a serem aplicados. O texto fala de qual etapa da gestão de riscos?

As Normas Brasileiras Relacionadas (NBR) às normas internacionais ISO/IEC possuem um papel relevante na melhoria da gestão de processos, segurança da informação e outros aspectos fundamentais presentes nas organizações de todo mundo. Diante disso, esta NBR ISO/IEC trata da implementação de práticas e processos focados na identificação, avaliação, tratamento e monitoramento de riscos em sistemas de segurança da informação. Desta forma, fala-se da NBR ISO/IEC:

As opções de tratamento de riscos de TIC incluem a transferência do risco, que busca compartilhar o risco com terceiros, por meio, por exemplo, de seguros ou terceirização, e a ação de evitar o risco, que consiste em decidir não iniciar ou descontinuar a atividade que origina o risco.

Em termos de Segurança da Informação, qualquer interrupção não planejada de um serviço de TI pode ser considerada um incidente. Sobre a Gestão de Incidentes, é correto afirmar que

São situações que motivam a implementação do método de Gestão de Risco e Conformidade, EXCETO:

Segundo a norma ISO/EC 27005, o processo de gestão de riscos de segurança da informação inicia-se com a definição do contexto, seguido por identificação, análise e avaliação dos riscos.

Em um programa de gestão de riscos, o risco de indisponibilidade do datacenter por falha de energia foi tratado com a implementação de um gerador redundante.

Com base nessa situação hipotética, assinale a opção que apresenta, segundo a ISO/IEC 27001, a ação de tratamento de risco adotada.

De acordo com o NIST Cybersecurity Framework adotado pela empresa em questão, é recomendável que ações como identificação de riscos e recuperação de sistemas façam parte do processo de segurança.

No exercicio das atividades de desenvolvimento e supervisão de soluções de Inteligência Artificial (IA) no Poder Judiciário, a equipe de inovação precisa avaliar cuidadosamente os riscos associados ao uso de sistemas de IA generaliva. Considerando os principais desafios identificados na literatura & nas normativas sobre O tema, o uso de IA generativa pode implicar riscos relacionados

O gerenciamento de riscos baseia-se em princípios, estrutura e processos, considerados os contextos externo e interno da organização, o comportamento humano e os fatores culturais.

Uma agência de governo, implantando a norma complementar n.º 14/IN01/DSIC/GSIPR, que trata de informação em ambiente de computação em nuvem, está definindo a função que terá como responsabilidade a implantação da gestão de risco de segurança das informações tratadas, em ambiente de computação em nuvem. Essa função é a de:

O processo de gestão de riscos deve contribuir para a identificação dos riscos de segurança da informação.

O processo cíclico que visa considerar as opções de, entre outras ações, selecionar e implementar medidas preventivas, corretivas e contingentes para os riscos identificados é denominado

Quando falamos em informação, estamos nos referindo a qualquer ativo, conteúdo ou dado que tenha sido gerenciado ou desenvolvido pela organização. A segurança da informação interfere diretamente na credibilidade da empresa perante o mercado e pode significar maiores lucros ou perdas, dependendo de como for aplicada. Ou seja, perder ou ter danificadas essas informações pode ser motivo de uma grande dor de cabeça para a empresa. É aí que surge o compliance. O conceito de compliance vem do termo inglês “comply”, que significa “agir dentro das regras”. Ou seja, são práticas da empresa para estar alinhada com normas, controles externos e internos, além de políticas e diretrizes. O compliance tem como objetivo assegurar que a empresa e seus colaboradores cumpram à risca todas as normas dos órgãos de regulamentação, externas e da própria organização. Isso é válido para todas as esferas: trabalhista, fiscal, contábil e, também, para a segurança da informação. Para implementar uma estratégia de compliance da informação, é necessário identificar os