Questões de Concurso sobre Gestão de Riscos em Segurança da Informação

A primeira etapa da fase de análise de risco consiste na identificação de riscos, realizada para que se possam conhecer e determinar eventos que podem causar perdas, assim como a forma como esses eventos podem ocorrer.

Na gestão de riscos em Tecnologia da Informação (TI), é essencial identificar e avaliar potenciais riscos para mitigá-los adequadamente. Qual das seguintes atividades é considerada uma parte essencial do processo de gestão de riscos em TI?

O processo de avaliação de riscos é realizado por meio das atividades de identificação, análise e avaliação de riscos.

A equipe de gestão de riscos de um órgão público está atualizando seu Plano de Gestão de Riscos (PGR). Na atual fase de trabalho, a equipe está executando o processo de avaliação de riscos das atividades constantes do escopo do PGR, descrevendo, analisando e avaliando os riscos identificados.

Durante a identificação dos riscos, a equipe deve considerar o fator:

A gestão de risco de segurança da informação busca mapear o risco de ocorrências dos incidentes de segurança da informação. Para classificá-las, pode-se utilizar o conceito de Disponibilidade, Integridade, Confidencialidade e Autenticidade (DICA).

A ameaça classificada como uma vulnerabilidade de integridade é:

Quando um incidente que envolve a segurança da informação provém de violação de obrigações estatutárias ou regulatórias, fica caracterizado o impacto imediato (operacional) direto, de acordo com a ABNT NBR ISO/IEC 27005:2019.

Assinale a opção em que é apresentada uma maneira de se capturar as principais características de uma vulnerabilidade e produzir uma pontuação numérica que reflita sua gravidade.

O processo de avaliação de riscos de segurança da informação, conforme prevê a ISO 27005, é uma atividade na qual a equipe de análise deve mensurar o nível de risco mediante o uso de resultados obtidos nas etapas anteriores da gestão de riscos, atribuindo valores para a probabilidade e a consequência de cada risco.

Uma empresa de consultoria X foi contratada para verificar os riscos quanto à segurança da informação no Tribunal de Justiça do Amapá (TJAP). Para atender ao requisito licitatório, a consultoria fez uso da norma ABNT NBR ISO/IEC 27005:2011. Em seu relatório de segurança, a consultoria identificou riscos causados por fenômenos naturais, de forma que a melhor alternativa era mover fisicamente as instalações para um local onde tal risco não exista ou esteja sob controle.

A empresa de consultoria X se baseou no tópico de tratamento de riscos de:

Com base nas normas ABNT referentes à segurança da informação, avalie as afirmativas a seguir.

I. A Norma ABNT NBR ISO/IEC 27001:2022 estabelece requisitos genéricos e aplicáveis a todas as instituições, de qualquer tipo, tamanho ou natureza.

II. A Norma ABNT NBR ISO/IEC 27002:2022 fornece orientações para ajudar as organizações a cumprirem os requisitos da ABNT NBR ISO/IEC 27005 em relação às ações para abordar riscos de segurança da informação.

III. A Norma ABNT NBR ISO/IEC 27005:2022 determina os requisitos para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão da segurança da informação dentro do contexto da organização.

Está correto o que se afirma em

A Equipe de Gestão de Riscos (EGR) de uma organização está realizando a análise de riscos a fim de determinar o nível dos riscos identificados para definir seu tratamento. A EGR adotou a técnica de análise baseada em consequências e probabilidades que utiliza escalas qualitativas com valores atribuídos.

A técnica utilizada é a:

Conforme as diretrizes das normas ISO (lnternational Organization for Standardization)/IEC (lnternational Electrotechnical Commission) 27005, é recomendado que as organizações definam o escopo e os limites da gestão de riscos de segurança da informação. Ao fazer isso, é essencial considerar diversos fatores para garantir uma abordagem abrangente. Entre as alternativas a seguir, qual NÃO é uma consideração recomendada ao definir o escopo e os limites de acordo com essas normas?

Nos aspectos de segurança da informação, a gestão de riscos de segurança da informação, a avaliação de conformidade e a gestão de mudanças são processos de realização obrigatória pelos órgãos e pela entidade da administração pública federal.

Gerir riscos constitui uma etapa vital no contexto da segurança da informação, implicando na identificação, avaliação e mitigação dos potenciais riscos que possam impactar a confidencialidade, integridade e disponibilidade dos dados e sistemas organizacionais.

Com relação à gerência de risco, assinale (V) para a afirmativa verdadeira e (F) para falsa.

( ) Processos, atividades do negócio e informações são ativos primários de uma organização.

( ) As ameaças podem ter origem humana ou ambiental

( ) Salvaguardas referem-se a medidas de proteção prescritas com o intuito de cumprir os requisitos de segurança, tais como confidencialidade, integridade e disponibilidade, previamente estabelecidos para um sistema de informação.

( ) Reduzir riscos de segurança é um processo iterativo que envolve identificar os riscos, implementar controles para mitigá-los e reavaliar constantemente diante das mudanças.

As afirmativas são, respectivamente,

Segundo a ABNT NBR ISO/IEC 27005 de segurança da informação, no processo de gestão de riscos a eficácia do tratamento do risco depende dos resultados do processo de avaliação de riscos.

Qual das alternativas abaixo utiliza um processo de gestão de riscos para preservar a confidencialidade, integridade e disponibilidade da informação, com o objetivo de oferecer confiança na gestão dos riscos para as partes interessadas?

Uma das etapas do processo de gestão de risco consiste em definir o contexto.

O CSF 2.0, em sua função de identificar, preconiza a utilização das salvaguardas para gerenciar os riscos de segurança cibernética da organização.

A comunicação dos riscos a todos da organização deve ser evitada, para que não cause alardes ou situações de insegurança, por isso todos os riscos devem ser classificados como restritos à área responsável pela gestão de riscos.

Fábio pertence ao departamento de segurança da empresa K e está verificando os controles existentes para a Gestão de Riscos de Segurança da Informação. Ele faz uso da norma ABNT NBR ISO/IEC 27005:2011 para efetuar sua verificação. Fábio está examinando o correto funcionamento dos controles existentes. Ele identificou alguns controles obsoletos, que foram descartados, e outros que foram substituídos por controles melhores ou mais modernos.

Nesse momento, Fábio está fazendo uso da tarefa dentro de identificação de riscos: