Seu próximo nível começa aqui
Com a Assinatura Ilimitada, você tem tudo que precisa para sua aprovação.
Com a Assinatura Ilimitada, você combina prática, teoria e método em uma única assinatura com tudo que você precisa para sua aprovação.
- Gran Questões
- Questões
Questões de Concurso sobre SGSI - NBR ISO/IEC 27001
Disciplina
1
Assunto
1
Banca
Instituição
Cargo
Ano
Carreira
Área de formação
Escolaridade
Dificuldade
Comentários:
Professores
Alunos
Meus Comentários
Vídeo
Minhas questões:
Resolvidas
Não resolvidas
Certas
Erradas
Tipo de questão:
Certo e errado
Múltipla escolha
Incluir questões:
Anuladas
Desatualizadas
Questões:
Todas as questões
Filtro simplificado
Questões
Todas as questões
526
questões
encontradas
20
Mais recentes
A norma ISO 27001 afirma que a organização deve identificar e avaliar opções para o tratamento de riscos, considerando um conjunto de ações que não inclui:
A
transferir os riscos.
B
evitar riscos.
C
negar os riscos.
D
aplicar os controles apropriados.
E
aceitar os riscos.
Considere que o Tribunal Regional do Trabalho esteja seguindo orientações da norma ABNT NBR ISO/IEC 27001:2013. Ao se
definir quem deve estabelecer uma política de segurança da informação que seja apropriada ao propósito da organização, o
correto é atribuir à
A
Gerência de Tecnologia da Informação.
B
Gerência de Recursos Humanos.
C
Alta Direção.
D
Comissão de Segurança da Informação.
E
Gerência de Projetos.
The need of protection against malware and logging and monitoring of information system in an organization is addressed in the section
A
System Acquisition, Development and Maintenance.
B
Organization of Information Security.
C
Information Security Incident Management.
D
Communication Security.
E
Operations Security.
Conforme estabelecido na NBR ISO/IEC 27001, “Plan” (Planejar) se define como estabelecer a política, objetivos, processos e procedimentos do Sistema de Gestão de Segurança da Informação (SGSI). Esse processo de planejamento é relevante para a gestão de riscos e a melhoria da segurança da informação para produzir resultados de acordo com as políticas e objetivos globais de uma organização. “Plan” (Planejar) é uma das atividades do modelo PDCA estabelecido pela NBR ISO/IEC 27001. Os outros 3 componentes do modelo PDCA são, respectivamente:
A
Do (Fazer), Create (Criar) e Act (Agir).
B
Do (Fazer), Check (Checar) e Act (Agir).
C
Doc (Documentar), Create (Criar) e App (Aplicar).
D
Doc (Documentar), Com (Comunicar) e Act (Agir).
O objetivo da norma NBR ISSO/IEC 27001 é
A
prover um modelo para estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar um Sistema de Gestão de Segurança da Informação (SGSI).
B
estabelecer critérios de benchmarking para monitorar a segurança da rede e um roteiro de desenvolvimento e de melhores práticas para de um Sistema de Gestão de Segurança da Informação (SGSI).
C
produzir um roteiro de desenvolvimento e de melhores práticas para de um Sistema de Gestão de Segurança da Informação (SGSI).
D
identificar critérios de benchmarking para monitorar a segurança da rede e um roteiro de desenvolvimento e de melhores práticas para de um Sistema de Gestão de Segurança da Informação (SGSI).
A norma ABNT NBR ISO/IEC 27001:2013 traz uma tabela com controles e objetivos de controle que devem estar alinhados com
o tratamento de riscos de segurança da informação. Um destes controles tem como objetivo
A
definir um inventário de ativos de hardware e software, cujos proprietários devem ser os funcionários da alta gestão.
B
garantir a segurança das informações no trabalho remoto e no uso de dispositivos móveis.
C
regulamentar a classificação das informações exclusivamente com base no seu valor e criticidade.
D
definir os procedimentos informais pelos quais as mídias devem ser descartadas quando não forem mais necessárias.
E
regulamentar os registros de eventos (logs) de todos os funcionários, exceto dos administradores do sistema.
No processo de tratamento do risco de segurança da informação, segundo a norma ABNT NBR ISO/IEC 27005:2011,
A
compartilha-se a responsabilidade de gerenciar riscos e também a responsabilidade legal por um impacto.
B
se o risco atender aos critérios legais para a aceitação do risco, devem ser implementados controles adicionais para que o
risco possa ser aceito.
C
riscos considerados de impacto mediano ou alto, mesmo que os custos do tratamento não excedam os benefícios, devem
ser evitados completamente.
D
o nível de risco pode ser gerenciado através da inclusão, exclusão ou alteração de controles, para que o risco residual
possa ser reavaliado e então considerado aceitável.
E
determinar se o risco residual está ou não abaixo ou acima de um limite bem definido deve ser o único critério para aceitar
ou não o risco.
Segundo a norma 27001:2006, a gestão de recursos faz parte do item:
A
Auditorias internas do SGSI.
B
Controle de registros.
C
Melhoria do SGSI.
D
Responsabilidades da direção.
E
SGSI.
Um inquérito administrativo foi aberto para a apuração de responsabilidades pelos impactos da paralisação das atividades de determinado órgão do Judiciário brasileiro, em decorrência de um desastre ocorrido na área de TI. Uma equipe, composta por pessoal interno ao órgão e por investigadores independentes, contratados para assessorar as investigações, inquiriu a equipe que atua na área de segurança da informação, entre outras pessoas, tendo realizado entrevistas, coletado evidências e apresentado pareceres sobre a fragilidade dos planos de continuidade de negócios do órgão, bem como sobre os controles de becape, tratamento de incidentes e problemas. Foram evidenciadas algumas falhas conceituais, tanto operacionais quanto estratégicas, entre várias outras evidências de comportamento consistente.
Considerando essa situação e os conceitos de planos de continuidade de negócio, becape, recuperação de dados e tratamento de incidentes e problemas, assinale a opção que apresenta evidência de comportamento consistente.
A
Suponha que o órgão tenha adotado uma política de
continuidade que não estava baseada na análise de seus riscos
próprios, mas sim baseada na cópia do documento de política
obtido de outro órgão do Judiciário. Nessa situação, a política
adotada está coerente com a estratégia de simplificação,
uniformização e redução de custos no levantamento de
requisitos de segurança para o negócio, prescrito na norma
ISO/IEC 27002.
B
Considerando-se que, após o desastre, uma greve e a
consequente falta de funcionários na área de TI tenha
implicado uma demora excessiva para recuperação de dados e
operações essenciais do órgão, é correto afirmar que não havia
erro no plano de recuperação, pois não existe prescrição para
a observância do elemento pessoas na implementação da
continuidade de negócios na norma ISO/IEC 27001.
C
Considere que não havia contratação de seguro contra a perda
de dados no órgão. Nesse caso, a ausência do seguro não seria
evidência de que havia problemas com o plano de
continuidade.
D
Considere que não existiam no órgão pessoas de nível
hierárquico elevado com responsabilidade pela coordenação do
processo de gestão de continuidade de negócios. Nesse caso,
não há indicação de que existiam problemas com o plano de
continuidade de negócios.
E
Considerando que o órgão não mantinha uma cópia de
segurança das chaves criptográficas usadas no resguardo do
sigilo de algumas informações armazenadas nos seus
computadores, o que permitiu a recuperação apenas parcial de
dados do becape, é correto afirmar que ocorreu um incidente,
mas não um problema, com o sistema de becape.
Um Analista do TRT23 deve estabelecer o sistema de gestão de segurança do Tribunal baseado na norma ABNT NBR ISO/IEC
27001:2013. Na fase de planejamento, os objetivos de segurança devem ser
A
independentes da política de segurança da informação.
B
mantidos em segredo pela alta direção da organização.
C
fixos e imutáveis para possibilitar a avaliação de desempenho.
D
distintos ao plano de negócio da organização.
E
elaborados considerando os tratamentos de riscos.
De acordo com a norma ABNT NBR ISO/IEC 27002:2013 a política de controle de acesso deve considerar
A
a disponibilidade de referências de caráter satisfatórias do usuário, por exemplo, uma profissional e uma pessoal.
B
verificações financeiras e verificações de registros criminais do usuário.
C
ações a serem tomadas no caso de o funcionário desrespeitar os requisitos de segurança da informação da organização.
D
a legislação pertinente e qualquer obrigação contratual relativa à proteção de acesso para dados ou serviços.
E
a confirmação e documentação das qualificações acadêmicas e profissionais do usuário.
De acordo com a Norma NBR ISO/IEC 27001:2013, a ação da Alta Direção de orientar e apoiar pessoas que contribuam para a eficácia do sistema de gestão da segurança faz parte do tópico:
A
Política.
B
Autoridade.
C
Responsabilidade.
D
Papéis organizacionais.
E
Liderança e comprometimento.
No que se refere à elaboração de sistemas de gerenciamento
de segurança da informação, assinale a opção que apresenta um
novo controle constante na norma ISO/IEC 27001:2013 em
comparação com a norma ISO/IEC 27001:2005.
A
estratégia para controle de processos
B
ambiente de nuvem segura
C
estratégia de entrega de serviço com cadeia de relacionamento
no nível de rede
D
ambiente de desenvolvimento seguro
E
estrutura de governança de TI
Com relação à ABNT NBR ISO/IEC 27001 de 2013 são realizadas as seguintes afirmações:
I. Esta norma adota o modelo Plan-Design-Configure- Analyze (PDCA), que é aplicado para estruturar todos os processos do SGI.
II. Esta norma promove a adoção de uma abordagem de processo para estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar o SGSI de uma organização.
III. A documentação do SGSI deve incluir registros de decisões da direção, assegurar que as ações sejam rastreáveis às políticas e decisões da direção, e assegurar que os resultados registrados sejam reproduzíveis.
IV. A Direção da empresa não deve se envolver com o estabelecimento, implementação, operação, monitoramento, análise crítica, manutenção e melhoria do SGSI.
Em relação a estas afirmações, assinale a alternativa correta:
A
Somente as afirmações II e III estão corretas.
B
Somente a afirmação II está correta.
C
Somente as afirmações II e IV estão corretas.
D
Somente as afirmações I, II e IV estão corretas.
E
Somente as afirmações I, II e III estão corretas.
De acordo com a norma ISO/IEC 27001 devem ser realizadas periodicamente auditorias externas no sistema de gerenciamento de segurança da informação.
C
Certo
E
Errado
Sobre a norma ISO 27001:2006, o controle que especifica que todos os funcionários, fornecedores e terceiros devem devolver os ativos da organização que estejam em sua posse após o encerramento de suas atividades, do contrato ou acordo, está relacionado com:
A
Devolução de ativos.
B
Encerramento de atividades.
C
Perímetro de segurança física.
D
Responsabilidades da direção.
E
Retirada de direitos de acesso.
A adoção de um SGSI prescinde do cunho estratégico, pois é
vista como uma decisão tática e operacional da organização.
C
Certo
E
Errado
A norma que especifica os requisitos para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão da segurança da informação dentro do contexto da organização é a:
A
ABNT NBR ISO/IEC 27004:2010.
B
ABNT NBR ISO/IEC 27001:2013.
C
ABNT NBR ISO/IEC 27003:2011.
D
ABNT NBR ISO/IEC 27002:2013.
A Gestão da Segurança da Informação tem como objetivos planejar, executar e monitorar as atividades dos Sistemas de Informação, com aplicação de processos de melhoria contínua. A metodologia de Gestão de Segurança da Informação tem como base o ciclo PDCA (Plan – Do – Check – Act, ou seja, Planejar, Fazer, Chegar, Agir), conforme estabelecido pela ISO/IEC 27001:2006. Entretanto, com a evolução do mercado, devido a muitas variáveis, esse ciclo teve uma evolução natural e passou a ser conhecido como PDCL (Plan – Do – Check – Learn, ou seja, Planejar, Fazer, Chegar, Aprender). Assinale a alternativa que apresenta uma característica da fase Aprender.
A
Obter aprovação do Comitê de SI quanto aos riscos residuais.
B
Identificar incidentes de SI e verificar como foi o seu tratamento.
C
Assegurar‐se de que as melhorias implementadas atinjam os objetivos pretendidos.
D
Implantar um escritório e segurança da Informação para gerenciar a execução das ações.
De acordo com a norma ISO 27001:2006, as opções para tratamento de risco devem incluir: aplicação de controles apropriados; aceitação dos riscos consciente e objetivamente, desde que satisfaçam claramente as políticas da organização e os critérios de aceitação dos riscos; e transferência dos riscos associados ao negócio a outras partes, por exemplo, a seguradoras e fornecedores.
C
Certo
E
Errado
Gerar simulado