Seu próximo nível começa aqui
Com a Assinatura Ilimitada, você tem tudo que precisa para sua aprovação.
Com a Assinatura Ilimitada, você combina prática, teoria e método em uma única assinatura com tudo que você precisa para sua aprovação.
- Gran Questões
- Questões
Questões de Concurso sobre Gestão de Riscos em Segurança da Informação
Disciplina
1
Assunto
3
Banca
Instituição
Cargo
Ano
Carreira
Área de formação
Escolaridade
Dificuldade
Comentários:
Professores
Alunos
Meus Comentários
Vídeo
Minhas questões:
Resolvidas
Não resolvidas
Certas
Erradas
Tipo de questão:
Certo e errado
Múltipla escolha
Incluir questões:
Anuladas
Desatualizadas
Questões:
Todas as questões
Filtro simplificado
Questões
Todas as questões
290
questões
encontradas
20
Mais recentes
O propósito da identificação de riscos é compreender a natureza do risco e suas características, e envolve a consideração detalhada de incertezas, fontes, consequências, probabilidade, eventos, cenários, controles e a eficácia da identificação.
C
Certo
E
Errado
A norma ABNT NBR ISO 27001 oferece diretrizes para um sistema de gestão de segurança da informação, enquanto a norma ABNT NBR ISO 27005 esclarece como gerenciar riscos de segurança da informação.
C
Certo
E
Errado
Segundo a Norma NBR ISO/IEC 27005, no que diz respeito ao monitoramento e análise crítica dos fatores de riscos de segurança da informação, é necessária uma análise crítica periódica sobre
A
os novos ativos incluídos no escopo da gestão de riscos.
B
as opções selecionadas para o tratamento de riscos.
C
os incidentes relacionados à segurança da informação.
D
a exposição de vulnerabilidades já identificadas a ameaças novas.
E
as novas ameaças ainda não avaliadas e que podem estar ativas.
Um dos objetivos do controle “segurança em recursos humanos” é assegurar que os funcionários, os fornecedores e terceiros entendam suas responsabilidades e estejam de acordo com os seus papéis e reduzir o risco de roubo, fraude ou mau uso de recursos.
C
Certo
E
Errado
Marque a alternativa correta, de acordo com o Manual de Gestão de Riscos do Tribunal de Contas da União (TCU), 2ª edição.
A
O estabelecimento do contexto busca identificar contingências a serem consideradas no processo de gestão de riscos.
B
A análise do risco não contempla a compreensão sobre o risco e a determinação do nível do risco.
C
A autoridade e responsabilidade do gestor de risco para gerenciar um risco são inexistentes.
D
Tratamento de riscos compreende o planejamento e a realização de ações para modificar o nível do risco, por meio de medidas de resposta ao risco que mitiguem, transfiram ou evitem esses riscos.
Entre os conceitos apresentados na norma ABNT ISO 31000:2018, encontra-se o de gestão de riscos, que envolve um(a)
A
tratamento de riscos, o qual deve ser implementado para que os agentes atuem no controle da probabilidade simultaneamente ao controle de consequências.
B
controle de riscos, que é uma medida que inclui o histórico de acidentes, não se limitando a qualquer processo, política, dispositivo ou prática.
C
análise de riscos, que pode ser realizada em vários graus de detalhamento e complexidade, dependendo do propósito, da disponibilidade e da confiabilidade da informação.
D
avaliação de riscos, em que se comparam os resultados advindos da identificação dos riscos com os critérios estabelecidos para os níveis de ação.
E
identificação dos riscos, que tem como objetivo decrescer o número de acidentes ocorridos no passado, estabelecendo séries históricas e taxas de frequência.
De acordo com a figura abaixo, o Processo de Gestão de Riscos, contido na Norma ABNT NBR ISO 31000, envolve a aplicação sistemática de políticas, procedimentos e práticas para as atividades de comunicação e consulta, estabelecimento do contexto e avaliação, tratamento, monitoramento, análise crítica, registro e relato de riscos. Marque a alternativa que contém somente fatores de Identificação de Riscos.
A
Fontes tangíveis e intangíveis de risco; causas e eventos; ameaças e oportunidades; vulnerabilidades e capacidades.
B
Causas e eventos; ameaças e oportunidades; complexidade e conectividade; fatores temporais e volatilidade.
C
Eficácia dos controles existentes; sensibilidade e níveis de confiança; ameaças e oportunidades; causas e eventos.
D
Complexidade e conectividade; causas e eventos; ameaças e oportunidades; sensibilidade e níveis de confiança.
Constitui exemplo de critério de risco o fato de um fabricante de determinada tecnologia da informação desenvolver uma correção para eliminar a possibilidade de impacto de uma fragilidade informada previamente aos seus clientes.
C
Certo
E
Errado
A norma ABNT NBR ISO/IEC 27005:20011 aponta diretrizes e descreve um processo genérico para a gestão de riscos de segurança da informação de uma organização, deixando a cargo da mesma a escolha do método para a avaliação de riscos, em conformidade com suas características e particularidades. Nesse contexto, a metodologia de avaliação de riscos, qualitativa, caracterizada por ser executada em um curto espaço de tempo, em três etapas, pelos especialistas da própria organização, por meio de reuniões lideradas por um facilitador e aplicada a um ativo (qualquer elemento de valor para a organização) sistema ou processo de negócio por vez, é denominada:
A
COBIT 5 for Risk
B
CORAS ou Método CORAS
C
FRAAP (Facilitated Risk Analysis Process)
D
GRSIC (Gestão de Risco de Segurança da Informação e Comunicações)
De acordo com a ABNT NBR ISO/IEC 27005:2019, na opção de tratamento modificação de risco, o fato de que controles de acesso complexos podem estimular os usuários a buscarem método de acesso alternativo não autorizado está relacionado a restrições para a modificação do risco denominado
A
técnicas.
B
temporais.
C
facilidades de uso.
D
operacionais.
E
éticas.
Conceitualmente, a estrutura da gestão de riscos está incorporada ao âmbito das políticas e práticas estratégicas e operacionais de toda a organização.
C
Certo
E
Errado
A avaliação do risco em uma organização deve contemplar a identificação, quantificação e priorização do risco em relação ao critério de aceitação do risco. Os riscos que não puderem ser aceitos pela organização deverão ser tratados. Nesse sentido, uma opção adequada de resposta ao risco é
A
compartilhar o risco, implementando ações e aplicando o correto controle para reduzir o nível de aceitação do risco.
B
evitar o risco, aplicando-se os controles apropriados para reduzir os impactos do risco.
C
mitigar o risco, transferindo-o para outros parceiros — por exemplo, fornecedores ou seguradoras.
D
aceitar o risco, conhecendo-o, e não implementar ações, pois o risco atende os critérios de aceitação.
Na etapa de avaliação do risco, os especialistas em segurança identificam as ameaças que afetam os ativos, de acordo com seu tipo e sua origem.
C
Certo
E
Errado
João foi contratado para fazer a gestão de risco em um órgão público de acordo com as diretrizes para o processo de gestão de riscos de segurança da informação estabelecidas na norma ABNT NBR ISO/IEC 27005:2019. João está trabalhando em sua tarefa incluindo, excluindo e alterando alguns controles. Com isso poderá avaliar os riscos residuais e considerá-los aceitáveis ou não.
A etapa do processo de gestão de riscos de segurança da informação em que João está trabalhando é:
A
definição do contexto;
B
processo de avaliação de riscos;
C
tratamento de riscos;
D
aceitação de riscos;
E
monitoramento e análise crítica dos riscos.
A Norma ISO 27005 fornece diretrizes para o processo de Gestão de Riscos de Segurança da Informação de uma organização. Convém que a Gestão de Riscos de Segurança da Informação contribua para, entre outros:
I. Treinamento de pessoal a respeito dos riscos e das ações para mantê-los.
II. Análise/avaliação de riscos em função das consequências para o negócio e da probabilidade de sua ocorrência.
III. Priorização das ações para reduzir a ocorrência dos riscos.
Estão CORRETOS:
A
Somente os itens I e II.
B
Somente os itens I e III.
C
Somente os itens II e III.
D
Todos os itens.
Na situação hipotética apresentada, os fabricantes e os clientes são considerados partes interessadas.
C
Certo
E
Errado
Marque a alternativa correta em relação ao Plano de Gestão de Riscos da Universidade Federal do Ceará (UFC), 2020- 2022.
A
Plano de contingência trata-se de definição posterior das ações que serão tomadas, caso um risco venha a se concretizar.
B
Gatilho é uma situação que determina o início das ações de contingência.
C
A implementação do Plano de Gestão de Riscos independe da divulgação em todas as unidades administrativas e acadêmicas da UFC.
D
O monitoramento da gestão de riscos em nível gerencial é realizado pelos servidores e responsáveis pelo gerenciamento de riscos dos objetivos e/ou processos.
De acordo com a ABNT NBR ISO/IEC 27005:2019, a análise de riscos é baseada nas consequências e na probabilidade avaliadas; essa análise designa valores para as consequências de um risco e tais valores podem ser de natureza quantitativa ou qualitativa.
C
Certo
E
Errado
Durante um processo de análise de risco, uma organização detectou que o uso de laptops fora da organização trazia um risco inaceitável de acesso não autorizado a sistemas internos. Por esse motivo, resolveu adotar uma ação de evitar esse risco.
Para isso, a organização decidiu
A
implementar uma autenticação de dois fatores nos laptops.
B
distribuir laptops apenas para diretoria executiva.
C
contratar um seguro para o caso de furto/roubo dos laptops.
D
Só permitir o uso de laptops fora da organização com criptografia de disco e uso de VPN.
E
proibir o uso dos laptops fora da organização.
De acordo com a ABNT NBR ISO 31000:2009, assinale a opção correta.
A
Em geral, os planos de tratamento de riscos concorrem com os processos de gestão da organização.
B
A gestão de riscos deve ser realizada sobre informações precisas e confiáveis.
C
Os indicadores de desempenho para a gestão de riscos devem estar alinhados com os indicadores de desempenho da organização.
D
A gestão de riscos é uma iniciativa individual que deve ser reconhecida e valorizada pela organização.
E
A avaliação de riscos precede a análise de riscos.
Gerar simulado