Questões de Concurso sobre Gestão de Riscos em Segurança da Informação

De acordo com a Instrução Normativa GSI n.° 2, a criação de uma equipe de prevenção, tratamento e resposta a incidentes cibernéticos é compulsória para todos os órgãos e entidades da administração pública federal que possuem a competência de administrar a infraestrutura de rede de sua organização.

Assinale a opção que apresenta corretamente as etapas fundamentais de um planejamento de risco.

No que diz respeito à disponibilidade de recursos necessários, de acordo com a NBR ISO/IEC no 27005:2011, esta deve ser avaliada para:

1. Executar o processo de estabelecimento do contexto e de identificação de riscos.

2. Executar o processo de avaliação de riscos e estabelecer um plano de tratamento dos riscos.

3. Definir e implementar políticas e procedimentos, incluindo implementação dos controles selecionados.

Assinale a alternativa que indica todas as afirmativas corretas.

Na gestão de riscos, o nível de risco refere-se à significância de um risco, demonstrada pela combinação das consequências e de seu impacto.

Como o tratamento de dados pessoais gera riscos para os titulares, o mecanismo recomendado para a avaliação desses riscos consiste em

Quanto aos critérios para a aceitação dos riscos, é importante que a organização defina sua própria escala de níveis de aceitação do risco e que itens, como, por exemplo, operações, tecnologia, finanças, entre outros, serão considerados.

São pontos de decisão válidos, conforme definidos pela NBR ISO/IEC no 27005:2011, no contexto do processo de gestão de riscos de segurança da informação:

1. Com relação à satisfação no que diz respeito à avaliação de um dado risco analisado.

2. Com relação à satisfação quanto ao tratamento de um dado risco avaliado.

3. Com relação à satisfação no que diz respeito à análise de um dado risco identificado.

Assinale a alternativa que indica todas as afirmativas corretas.

As opções previstas para o tratamento do risco em segurança da informação segundo a Norma NBR ISO/IEC nº 27005:2011, que define uma estrutura de atividades para gestão de risco, inclui

A relação entre o custo da implementação e o custo da perda do recurso nos proporciona o que chamamos de análise de ________. O objetivo da segurança é minimizar o risco. Os custos da implementação de segurança, como custo com pessoal, hardware, software e tempo gasto, não devem ser maiores do que o custo associado ao risco potencial de cada possível ______.

Assinale a alternativa que preenche, correta e respectivamente, as lacunas do trecho acima.

Gerenciamento de riscos é um processo contínuo que se aplica a todas as fases operacionais em que consequências de um risco específico são aceitas.

Conforme a Instrução Normativa GSI n.° 3, o processo de gestão de continuidade de negócios em segurança da informação fornece à organização um relatório de identificação, análise e avaliação dos riscos de segurança da informação e um relatório de tratamento de riscos de segurança da informação.

As decisões acerca da retenção do risco são tomadas com base na inclusão, na exclusão ou na alteração de controles, para se reduzir o risco, conforme a norma aplicável.

Uma das opções para o tratamento do risco é realizar a sua retenção. Entretanto, sua escolha não deve ser feita com base na avaliação de riscos, mas sim com base na identificação dos riscos.

A análise qualitativa de riscos utiliza a valoração financeira dos ativos, para gerar a escala de probabilidade de ocorrência de determinado risco.

A Instrução Normativa GSI n.° 6 proíbe expressamente aos servidores, empregados públicos, militares e prestadores de serviço a publicação de conteúdo ofensivo, de ódio, discriminatório ou difamatório em mídias sociais institucionais.

A análise e o gerenciamento de riscos na área de tecnologia são práticas essenciais para identificar e mitigar ameaças que podem afetar projetos, operações e ativos de uma organização.

Assinale a alternativa que melhor descreve o processo de gerenciamento de riscos de tecnologia.

A MITRE ATT&CK® é uma base de conhecimento de táticas e de técnicas adversárias, construída a partir das observações do mundo real. Essa base de conhecimento organiza as técnicas em um conjunto de táticas para ajudar a explicar e a fornecer contexto para a técnica.

Um exemplo de técnica da tática de reconhecimento (reconnaissance) é a(o)

Visando a melhorar a segurança de suas aplicações, os responsáveis pela empresa XPTO decidiram contratar uma empresa para fazer a análise do código fonte.

A consultoria utilizou uma ferramenta que fez a análise automática do código fonte e indicou o seguinte código como vulnerável:

<?php

$db = new SQLite3('test.db');

$count = $db->querySingle('select count(*) from

secrets where id = ' . $_GET['id']);

echo "O resultado é: ".$count;

Baseado no resultado, assinale a opção que mostra corretamente: o nome da categoria a que pertence a ferramenta e a categoria da vulnerabilidade.

Rita e sua equipe estão trabalhando com gestão de riscos e constataram que, segundo Sommerville (2021), o processo de gerenciamento de riscos pode ser definido em quatro etapas: identificação de riscos, análise de riscos, planejamento de riscos e monitoração de riscos. A lista priorizada de riscos e os planos de contingência são elaborados, respectivamente, nas etapas de:

A ISO 27000 é um conjunto de certificações de segurança da informação e proteção de dados para empresas e órgãos públicos. Elas servem como base para a criação de um Sistema de Gestão de Segurança da Informação (SGSI) em organizações de pequeno, médio e grande porte. Assinale a alternativa que se refere à norma que define métricas de medição para a gestão da segurança da informação: