Seu próximo nível começa aqui
Com a Assinatura Ilimitada, você tem tudo que precisa para sua aprovação.
Com a Assinatura Ilimitada, você combina prática, teoria e método em uma única assinatura com tudo que você precisa para sua aprovação.
- Gran Questões
- Questões
Questões de Concurso sobre Gestão de Riscos em Segurança da Informação
Disciplina
1
Assunto
3
Banca
Instituição
Cargo
Ano
Carreira
Área de formação
Escolaridade
Dificuldade
Comentários:
Professores
Alunos
Meus Comentários
Vídeo
Minhas questões:
Resolvidas
Não resolvidas
Certas
Erradas
Tipo de questão:
Certo e errado
Múltipla escolha
Incluir questões:
Anuladas
Desatualizadas
Questões:
Todas as questões
Filtro simplificado
Questões
Todas as questões
290
questões
encontradas
20
Mais recentes
Para a identificação de ameaças à segurança da informação, recomenda-se a realização de avaliações de risco regularmente.
C
Certo
E
Errado
Para que se caracterize a existência de vulnerabilidade, é necessária a ocorrência de uma ameaça ativa que seja considerada risco para a segurança da informação.
C
Certo
E
Errado
HAZOP é um exame estruturado e sistemático de uma operação planejada e tem, entre outros, o objetivo de identificar e avaliar problemas que possam representar riscos para o equipamento.
C
Certo
E
Errado
Com relação à gestão de riscos de segurança da informação, analise as afirmativas a seguir e assinale (V) para a afirmativa verdadeira e (F) para a falsa.
( ) A vida útil do gerenciamento de risco em segurança da informação é uma atividade ampla e organizacional.
( ) A análise de risco qualitativa envolve a avaliação subjetiva de ameaças.
( ) A seleção de controles de segurança, no processo de gerenciamento de riscos em segurança da informação, não é necessária.
As afirmativas são, respectivamente,
A
V – F – V.
B
F – V – F.
C
V – V – V.
D
V – V – F.
A segurança da informação é crucial para a proteção dos dados e a continuidade dos negócios. Considerando os princípios de segurança da informação, qual das alternativas a seguir sintetiza corretamente como esses princípios colaboram para a proteção das informações e a mitigação de riscos?
A
Os princípios de disponibilidade, integridade, confidencialidade, autenticidade e irretratabilidade garantem que as informações estejam acessíveis, incorruptas, restritas a usuários autorizados, verdadeiras e inegáveis, assegurando a proteção contra ameaças e a continuidade dos negócios.
B
A confidencialidade, autenticidade e irretratabilidade são suficientes para garantir que as informações não sejam acessadas por terceiros, mantendo a integridade, a disponibilidade das informações em segundo plano e a continuidade dos negócios.
C
A integridade e a disponibilidade das informações são os únicos princípios necessários para garantir que os dados permaneçam acessíveis e inalterados, independentemente de quem os acessa ou os utiliza.
D
A irretratabilidade e a autenticidade garantem que as informações estejam sempre corretas e que o usuário não possa negar ações, sendo as principais responsáveis por proteger os dados e garantir a continuidade dos negócios.
E
A disponibilidade, quando combinada com a integridade, é suficiente para proteger a informação contra todas as ameaças, uma vez que garante o acesso contínuo e a não alteração dos dados.
Risco residual é o risco resultante de uma ação de tratamento de riscos e não pode ser eliminado, no entanto deve ser gerenciado.
C
Certo
E
Errado
Dentro do contexto da ISO 27005, que fornece diretrizes para a gestão de riscos de segurança da informação, qual das seguintes alternativas NÃO é considerada uma forma válida de tratamento de riscos?
A
Modificação do risco.
B
Retenção do risco.
C
Ação de evitar o risco.
D
Compartilhamento do risco.
E
Desenvolver o risco.
Durante uma auditoria na empresa XXX Ltda, foi verificado que o plano de gestão de risco não tinha sido atualizado. Nessa auditoria foi possível observar que não existia código de conduta a ser seguido pelos funcionarios.
O código de conduta deve ser implementado no nível de gestão:
A
tecnológico, pois garante a adequação técnica necessária ao tratamento adequado do risco;
B
de processos, tendo em vista que assegura que as atividades que compreendem a gestão de risco sejam consideradas de forma sistêmica;
C
preventivo de caráter educacional, pois serve para orientar quais as responsabilidades de cada funcionário;
D
de pessoas, de modo que os funcionários e dirigentes identifiquem suas responsabilidades, conheçam os riscos e possam ajudar no sentido de sua redução e controle;
E
orientativo de caráter estrutural, pois determina uma política formal que todos os funcionários e dirigentes devem conhecer e assumir como risco a ser atenuado.
Na etapa de identificação de riscos, devem ser incluídos todos os riscos, com exceção dos das fontes que não estão sob seu controle, apontando-se as fontes de risco, áreas de impacto, as causas e possíveis consequências tangíveis ou intangíveis.
C
Certo
E
Errado
Um evento que venha a causar impacto negativo na confidencialidade de uma informação pode ser considerado uma ameaça.
C
Certo
E
Errado
A gestão de incidentes é considerada um componente crítico da estratégia de gerenciamento de riscos das organizações porque, com tal gestão, é possível reduzir o tempo de inatividade e minimizar os impactos negativos causados por acidentes cibernéticos.
C
Certo
E
Errado
Em um sistema de gestão de segurança da informação, a avaliação e o tratamento de riscos ajudam a identificar as ameaças à segurança da informação e a determinar as medidas adequadas para mitigá-las. Nesse sentido, o primeiro passo no processo de avaliação de riscos é
A
identificar os ativos de informação.
B
avaliar o impacto dos riscos.
C
implementar controles de segurança.
D
definir a capacidade de aceitar o risco.
Como ação de tratamento de um risco, pode-se remover a fonte causadora do risco ou compartilhar o risco, por exemplo, por meio de contratos ou compra de seguro.
C
Certo
E
Errado
Uma empresa de consultoria de segurança da informação está realizando uma análise de vulnerabilidade em um sistema computacional de um cliente. O objetivo é identificar pontos fracos que poderiam ser explorados por atacantes e recomendar medidas de mitigação. Durante a análise, a equipe de segurança discute os diferentes aspectos e técnicas envolvidas no processo de avaliação de vulnerabilidades. Qual das seguintes afirmações sobre análise de vulnerabilidade em sistemas computacionais está CORRETA?
A
A análise de vulnerabilidade não requer revisão regular, pois as vulnerabilidades do sistema são geralmente estáticas.
B
A análise de vulnerabilidade é um processo que visa corrigir imediatamente todas as falhas encontradas em um sistema.
C
A análise de vulnerabilidade inclui a identificação, quantificação e priorização de vulnerabilidades em um sistema.
D
A análise de vulnerabilidade é apenas relevante para grandes organizações e pode ser ignorada por pequenas empresas.
E
A análise de vulnerabilidade não envolve testes de penetração, pois são processos completamente distintos.
A técnica Delphi é utilizada para realizar o tratamento de riscos após a mensuração da probabilidade e após as consequências dos riscos terem sido obtidas, sendo aplicada no nível operacional.
C
Certo
E
Errado
Segundo a norma de segurança NBR ISO/IEC 27005:2023, assinale a alternativa que NÃO corresponde a uma etapa do processo de gerenciamento de risco.
A
Avaliação de riscos.
B
Identificação de riscos.
C
Testagem de riscos.
D
Tratamento do risco.
E
Estabelecimento de contexto.
A norma NBR ISO 27002:2022 fornece diretrizes detalhadas para a implementação de controles de segurança da informação, baseadas nas melhores práticas internacionais. Um aspecto crítico dessa norma é a gestão de riscos, que inclui a identificação, avaliação e tratamento de riscos de segurança da informação. Considerando uma organização que está revisando seus processos de gestão de riscos de segurança da informação para garantir conformidade com a NBR ISO 27002:2022, assinale a alternativa correta sobre a aplicação prática dessas diretrizes.
A
O registro e a documentação dos riscos identificados não são requisitos obrigatórios, sendo opcionais para organizações com baixo perfil de risco.
B
A avaliação de riscos deve ser realizada apenas uma vez durante a implementação inicial para definir os controles necessários.
C
O tratamento de riscos deve priorizar a aceitação de todos os riscos identificados como baixos, sem a necessidade de ações adicionais.
D
A gestão de riscos deve incluir a análise contínua de ameaças e vulnerabilidades para adaptar os controles de segurança conforme necessário.
E
A comunicação de riscos deve ser restrita exclusivamente à equipe de segurança da informação, sem envolver outras partes interessadas.
O processo de gestão de riscos envolve a aplicação sistemática de planejamento, execução, controle e encerramento dos riscos.
C
Certo
E
Errado
De acordo com a NBR ISO/IEC 27001:2013 em sua seção sobre avaliação de riscos de segurança da informação. Durante a identificação dos riscos de segurança da informação, deve ser realizado:
A
aplicar um processo de avaliação para identificar riscos associados à perda de confidencialidade
B
focar apenas na integridade da informação, sem considerar outros aspectos
C
aplicar um processo de avaliação para identificar riscos e os responsáveis pelos riscos
D
ignorar a identificação de responsáveis pelos riscos
Uma empresa está tratando da gestão de riscos em relação à Tecnologia da Informação. Uma das situações expostas, durante a análise de riscos, foi sobre os problemas de controle de acesso aos aplicativos restritos pelos usuários internos da empresa.
Uma forma de tratar esse risco, com uma abordagem de prevenção, é
A
instalar câmeras nas instalações da empresa.
B
implantar um ambiente de rede com endereços ditos privados.
C
determinar as permissões de acesso desde a contratação do colaborador.
D
instalar um banco de dados para os endereços MAC dos dispositivos da rede.
E
providenciar certificações digitais nos modos A1 e A3 para os acessos internos.
Gerar simulado