Seu próximo nível começa aqui
Com a Assinatura Ilimitada, você tem tudo que precisa para sua aprovação.
Com a Assinatura Ilimitada, você combina prática, teoria e método em uma única assinatura com tudo que você precisa para sua aprovação.
- Gran Questões
- Disciplinas
- Tecnologia da Informação
- SGSI - NBR ISO/IEC 27001
Questões de Concurso sobre SGSI - NBR ISO/IEC 27001
Disciplina
1
Assunto
1
Banca
Instituição
Cargo
Ano
Carreira
Área de formação
Escolaridade
Dificuldade
Comentários:
Professores
Alunos
Meus Comentários
Vídeo
Minhas questões:
Resolvidas
Não resolvidas
Certas
Erradas
Tipo de questão:
Certo e errado
Múltipla escolha
Incluir questões:
Anuladas
Desatualizadas
Questões:
Todas as questões
Filtro simplificado
Questões
Todas as questões
526
questões
encontradas
20
Mais recentes
Analise as afirmativas abaixo com relação à ABNT NBR ISO/IEC 27001:2013.
1. A ABNT NBR ISO/IEC 27001:2013 especifica os requisitos para o estabelecimento, implementação, manutenção e melhoria contínua de um Sistema de Gestão da Segurança da Informação.
2. Os requisitos apresentados na norma ABNT NBR ISO/IEC 27001:2013 são específicos e destinados a serem aplicados em organizações de grande porte.
3. A norma ABNT NBR ISO/IEC 27001:2013 discute e apresenta o projeto e implementação de Sistemas de Gestão da Segurança da Informação.
Assinale a alternativa que indica todas as afirmativas corretas.
A
É correta apenas a afirmativa 1.
B
São corretas apenas as afirmativas 1 e 2.
C
São corretas apenas as afirmativas 1 e 3.
D
São corretas apenas as afirmativas 2 e 3.
E
São corretas as afirmativas 1, 2 e 3.
Considerando alguns dos requisitos da segurança da informação contidos na Norma NBR ISO/IEC 27001 (Tecnologia da Informação – Técnicas de segurança – Sistemas de gestão da segurança da informação – Requisitos), é correto afirmar:
A
o monitoramento, a medição, a análise e a avaliação da segurança da informação estão descritos no quesito da liderança.
B
a atribuição de autoridades e responsabilidades está descrita nos requisitos de operação da segurança da informação.
C
a determinação dos recursos necessários para o estabelecimento da segurança da informação está descrita no quesito da avaliação do desempenho.
D
a avaliação de riscos de segurança da informação está descrita no quesito da avaliação de desempenho.
E
as ações para contemplar os riscos e as oportunidades estão descritas no quesito do planejamento da segurança da informação.
A norma ABNT NBR ISO/IEC 27001:2013, no que tange à coleta de evidências no processo de gestão de incidentes de segurança da informação, indica, como controle, que
A
incidentes e evidências de segurança da informação devem ser documentados em um repositório não público, acessível a todos os colaboradores autorizados.
B
os conhecimentos obtidos da análise e resolução de incidentes de segurança devem ser usados para contornar incidentes sem gravidade e identificar evidências que não são claramente identificadas.
C
incidentes de segurança devem ser documentados e disponibilizados para todos os colaboradores de TI da instituição, incluindo as evidências relacionadas a estes incidentes.
D
a organização deve definir e aplicar procedimentos para identificação, coleta, aquisição e preservação das informações, as quais podem servir como evidências.
E
a responsabilidade na coleta de evidências deve ser atribuída a todos os colaboradores da área de TI, para assegurar respostas rápidas, efetivas e ordenadas aos incidentes de segurança.
A Norma ABNT NBR ISO/IEC 27001:2013 provê requisitos para orientar organizações que desejam implantar um sistema de gestão de segurança da informação, e
A
pode ser usada somente por partes internas da organização para avaliar sua capacidade em atender aos seus próprios requisitos de segurança da informação.
B
não inclui requisitos para avaliação e tratamento de riscos de segurança da informação, mas indica a norma que orienta sobre este assunto.
C
apresenta requisitos genéricos que podem ser aplicáveis a todas as organizações, independentemente do tipo, tamanho ou natureza.
D
possui diversos requisitos nas seções que tratam do contexto da organização (seção 4) e melhoria (seção 10) que podem ser ignorados mesmo por organizações que buscam conformidade com esta Norma.
E
possui anexo “Referência ao conjunto de potenciais riscos de segurança da informação” que estão necessariamente alinhados com a Norma ABNT NBR ISO/IEC 27002:2018.
O Sistema de Gestão da Segurança da Informação (SGSI) é a parte do sistema de gestão global, baseado na abordagem de riscos do negócio, para estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar a segurança da informação.
A esse respeito, ao estabelecer o SGSI, a organização deve definir a abordagem de análise/avaliação de riscos
A
evitando riscos.
B
aplicando os controles apropriados.
C
desenvolvendo critérios para a aceitação de riscos e identificando os níveis aceitáveis de risco.
D
aceitando os riscos consciente e objetivamente, satisfazendo claramente às políticas de aceitação de riscos.
Qual o padrão ou a norma de segurança da informação que contém uma especificação para um sistema de gestão de segurança da informação (Information security management system – ISMS)?
A
NBR 14555
B
NBR 14565
C
ISO 17999
D
ISO 27001
E
ISO 27002
Analise as afirmativas abaixo sobre o padrão ou norma ISO 27001.
1. Seu escopo está voltado à proteção de todo tipo de informação, a digital e também aquela baseada em papel.
2. Trabalha com uma abordagem adaptativa às mudanças tanto do ambiente externo quanto internas da própria organização.
3. Contém diretrizes e técnicas de modelagem de processos e gestão de projetos para modelar os processos formais de segurança da informação.
Assinale a alternativa que indica todas as afirmativas corretas.
A
É correta apenas a afirmativa 2.
B
São corretas apenas as afirmativas 1 e 2.
C
São corretas apenas as afirmativas 1 e 3.
D
São corretas apenas as afirmativas 2 e 3.
E
São corretas as afirmativas 1, 2 e 3.
Com respeito à norma ISO 27001, é correto afirmar que:
A
é um código de práticas com um conjunto completo de controles que auxiliam aplicação do Sistema de Gestão da Segurança da Informação.
B
fornece um conjunto de Controles baseados em melhores práticas para a Segurança da Informação.
C
não deve ser utilizada em auditorias mas simplesmente servir como um guia.
D
aumenta o risco de responsabilidade pela não implementação ou determinação de políticas e procedimentos.
E
é a norma que define os requisitos para um Sistema de Gestão da Segurança da Informação (SGSI).
De acordo com a NBR ISO/IEC n.º 27001:2013, a alta direção de uma organização deve demonstrar liderança e comprometimento em relação ao sistema de gestão da segurança da informação. Para isso, ela deve
I assegurar que a política de segurança da informação seja compatível com a direção estratégica da organização.
II comunicar a importância da conformidade com os requisitos do sistema de gestão da segurança da informação.
III analisar criticamente os códigos quanto ao uso de técnicas de programação segura.
IV orientar pessoas que contribuam para a eficácia do sistema de gestão da segurança da informação.
Estão certos apenas os itens
A
I e II.
B
I e III.
C
III e IV.
D
I, II e IV.
E
II, III e IV.
A NBR ISO/IEC 27001 foi preparada para prover requisitos que estabeleçam um sistema de gestão de segurança da informação (SGSI), ao passo que a ISO/IEC 27002 foi projetada para organizações que usem a norma como uma referência para selecionar controles no processo de implementação do SGSI.
Em relação a essas normas, assinale a opção correta.
A
De acordo com a NBR ISO/IEC 27002, a informação sobre
logs deve ser acessível a todos, de forma a ofertar a maior
transparência possível aos gestores da organização, excluídas
as atividades de administrador de sistemas, que não precisam
ser controladas sob o princípio da tutela da confidencialidade.
B
Determinar os riscos e as oportunidades que necessitam ser
considerados pelo sistema faz parte da NBR ISO/IEC 27001,
mas o tratamento dos riscos limita-se à NBR ISO/IEC 27002.
C
De acordo com a NBR ISO/IEC 27001, o SGSI não aborda
controles afetos a processos terceirizados, uma vez que os
fornecedores são tratados como parte de controles, logo
concernentes à NBR ISO/IEC 27002.
D
A NBR ISO/IEC 27001 trata de auditoria interna no SGSI,
com intervalos planejados conduzidos pela organização; já a
NBR ISO/IEC 27002 trata de atividades e requisitos de
auditoria que envolvem a verificação dos sistemas
operacionais, com o objetivo de minimizar interrupções nos
processos de negócio.
E
Um dos controles da NBR ISO/IEC 27002 afetos à segurança
dos sistemas diz respeito à implantação de criptografia
assimétrica nos sistemas relevantes, com fulcro a proteger a
informação tendo como base que cada um desses sistemas deve
possuir sua própria referência de fonte de tempo para isolá-los
em caso de ataques.
A referida norma prevê que as organizações estabeleçam e mantenham critérios de riscos de segurança da informação que incluam os critérios de aceitação do risco.
C
Certo
E
Errado
Um programa de auditoria interna deve ser planejado levando em consideração a situação e a importância dos processos e áreas a serem auditadas, bem como os resultados de auditorias anteriores. Os critérios da auditoria, escopo, frequência e métodos devem ser definidos. A seleção dos auditores e a execução das auditorias devem assegurar objetividade e imparcialidade do processo de auditoria. Os auditores não devem auditar o seu próprio trabalho.
C
Certo
E
Errado
Analise as afirmativas abaixo sobre o padrão de segurança da informação ISO 27001.
1. A classificação da informação prescrita pela ISO 27001 é composta das classificações: confidencial; uso interno; e pública.
2. A ISO 27001 especifica os requerimentos para estabelecer, implementar, manter e continuadamente melhorar as práticas de processos de segurança da informação em uma organização.
3. A versão da ISO 27001:2005 sofreu uma atualização em 2013 (ISO 27001:2013) que incorpora refinamentos como, por exemplo, controles de restrições à instalação de software e ambiente de desenvolvimento seguro.
Assinale a alternativa que indica todas as afirmativas corretas.
A
É correta apenas a afirmativa 3.
B
São corretas apenas as afirmativas 1 e 2.
C
São corretas apenas as afirmativas 1 e 3.
D
São corretas apenas as afirmativas 2 e 3.
E
São corretas as afirmativas 1, 2 e 3.
A norma NBR ISO/IEC 27001:2013 – Tecnologia da informação aborda, em seu item "6. Planejamento", diversos tópicos, tais como "Ações para contemplar riscos e oportunidades", "Avaliação de riscos de segurança da informação" e "Tratamento de riscos de segurança da informação", dentre outros. No contexto dessa norma, risco é caracterizado como:
A
Um ou mais eventos de segurança da informação indesejados ou inesperados, que comprometem as operações do negócio e ameaçam a segurança da informação.
B
Ocorrência identificada de um sistema, ou serviço, que indica uma possível violação da política de segurança da informação que possa ser relevante para a segurança da informação.
C
Combinação da probabilidade da ocorrência de um evento e de suas consequências para um sistema ou organização.
D
Causa potencial de um incidente indesejado, que pode resultar em dano para um sistema ou organização.
E
Fragilidade de um ativo ou grupo de ativos que pode ser explorada por uma ou mais ameaças.
Sobre o modelo “Plan-Do-Check-Act” (PDCA) presente na norma ISO 27001 em relação aos sistemas de gestão e segurança da informação (SGSI), assinale a alternativa correta.
A
O modelo PDCA é aplicado para estruturar todos os processos do SGSI.
B
O princípio de responsabilidade da OECD corresponde à etapa Plan do PDCA .
C
A etapa Act implementa e opera a política, os controles, os processos e os procedimentos.
D
A etapa Check estabelece procedimentos relevantes para a gestão de riscos.
E
A etapa Do executa ações corretivas e preventivas com base em resultados da auditoria.
Assinale a alternativa que apresenta, corretamente, os objetivos de controle e de controles segundo a norma ISO 27001.
A
A política de segurança da informação tem por objetivo gerenciar a segurança da informação dentro da organização.
B
Na gestão de ativos, a classificação da informação tem por objetivo alcançar e manter a proteção adequada dos ativos da organização.
C
Na segurança da informação, as áreas seguras têm por objetivo prevenir o acesso físico não autorizado, os danos e as interferências com as instalações da organização.
D
Na segurança em recursos humanos durante a contratação, deve-se assegurar que os funcionários, fornecedores e terceiros entendam suas responsabilidades e estejam de acordo com os seus papéis.
E
No gerenciamento das operações e comunicações, a segurança em redes tem por objetivo prevenir a divulgação não autorizada, a modificação, a remoção ou a destruição dos ativos e as interrupções das atividades do negócio.
Dentre os controles mencionados no Anexo A da norma NBR ISO/IEC 27001:2013 está: “Todos os funcionários da organização e, onde pertinente, as partes externas devem receber treinamento, educação e conscientização apropriados, e as atualizações regulares das políticas e procedimentos organizacionais relevantes para as suas funções.” Este controle é parte da seção:
A
Segurança nas operações.
B
Política de segurança da informação.
C
Segurança em recursos humanos.
D
Organização da segurança da informação.
E
Segurança física e do ambiente.
A norma NBR ISO/IEC 27001:2013 fornece requisitos para estabelecer, implementar, manter e melhorar continuamente um Sistema de Gestão de Segurança da Informação. Considerando o ciclo PDCA, um escopo de requisito da norma que pertencente ao “D” - DO é:
A
Liderança.
B
Planejamento.
C
Melhoria.
D
Apoio.
E
Avaliação de desempenho.
O gerenciamento da segurança em redes tem como objetivo assegurar a proteção das informações nas redes e dos recursos de processamento da informação que as apoiam. De acordo com a norma ABNT NBR ISO/IEC 27001:2013, para ajudar a garantir a segurança dos serviços de rede, mecanismos de segurança, níveis de serviço e requisitos de gerenciamento de todos os serviços de rede devem ser identificados e incluídos
A
nos planos de contingência e de recuperação de desastres.
B
somente nos serviços de rede providos internamente.
C
somente em serviços de rede providos por terceirizados.
D
em todos os acordos de serviços de rede.
E
em todas as políticas da organização.
De acordo com a ABNT NBR ISO/IEC 27001:2006, o que é um evento de segurança da informação?
A
A decisão de aceitar um risco.
B
O risco remanescente após o tratamento de riscos.
C
Um evento simples ou uma série de eventos de segurança da informação indesejados ou inesperados, que apresentem grande probabilidade de comprometer as operações do negócio e ameaçar a segurança da informação.
D
A preservação da confidencialidade, da integridade e da disponibilidade da informação; adicionalmente, outras propriedades, tais como autenticidade, responsabilidade, não repúdio e confiabilidade, podem também estar envolvidas.
E
Uma ocorrência identificada de um estado de sistema, serviço ou rede, indicando uma possível violação da política de segurança da informação ou uma falha de controles; ou uma situação previamente desconhecida que possa ser relevante para a segurança da informação.
Gerar simulado