Questões de Concurso sobre SGSI - NBR ISO/IEC 27002

Relativamente à notificação de eventos de segurança da informação, pode-se afirmar que são situações a serem consideradas para notificar um evento de segurança da informação, EXCETO:

A ISO/IEC 27002 faz parte de um conjunto de normas que possibilitam que organizações de tamanhos variados implementem e operem um Sistema de Gestão de Segurança da Informação (SGSI). A implementação dessa norma refere-se a:

Segundo a NBR-ISO/IEC 27002, no que se refere à política de segurança da informação, NÃO é exemplo de política específica do tema de tópicos orientados aos usuários finais:

Identifique, dentre os itens descritos a seguir, aqueles que correspondem a diretrizes e providências que, de acordo com a norma ABNT NBR ISO/IEC 27002:2013, devem ser consideradas para realização de trabalho remoto e assinale a alternativa correta.

I. Proibição do uso de todo e qualquer equipamento de propriedade particular para realização das atividades de trabalho remoto;

II. Definição dos sistemas internos que o usuário do trabalho remoto está autorizado a acessar;

III. Provisão de equipamento de comunicação apropriado e de métodos para acesso remoto seguro;

IV. Proibição de acesso de familiares e visitantes aos equipamentos computacionais e à rede de comunicação utilizados para trabalho remoto;

V. Provisão de suporte e manutenção de hardware e software;

VI. Revogação de autoridade e direitos de acesso quando do encerramento das atividades de trabalho remoto; e

VII. Devolução dos equipamentos fornecidos pela organização quando as atividades de trabalho remoto forem finalizadas.

Segundo a ISO 27002, as políticas de segurança da informação devem garantir a estabilidade organizacional, impedindo mudanças no ambiente de gestão e de tecnologia, por meio da análise crítica, e definindo por seus termos as circunstâncias do negócio.

A segurança da informação deve ser incluída no processo de gestão da continuidade de negócio, sendo uma das diretrizes de implementação testar e atualizar regularmente os planos e processos implantados.

A mobilidade corporativa é uma realidade em muitas organizações que utilizam dispositivos móveis para comunicação entre suas equipes. No entanto, convém que cuidados especiais sejam tomados para assegurar que as informações do negócio não sejam comprometidas.

De acordo com a Norma ISO/IEC 27002:2013, a política para uso de dispositivos móveis nas organizações deve

A NBR ISO/IEC 27002 recomenda que a análise crítica da política de segurança da informação seja focada em responder diretamente aos investimentos e ao reconhecimento organizacional em relação ao valor da segurança da informação.

Com relação à segurança em recursos humanos (SRH), a norma não faz referência a um processo disciplinar formal com o objetivo de coibir violações da segurança da informação, apenas fixa procedimentos que o órgão deve tomar em caso de rescisão contratual.

De acordo com a NBR ISO/IEC 27002, uma política para transferência de informações tem como objetivo a proteção da transferência de informações por meio de todos os tipos de recursos de comunicação.

De acordo com a NBR ISO/IEC 27002, as ferramentas de gerenciamento de informações de autenticação aumentam a eficácia desse controle e reduzem o impacto de uma eventual revelação de informação de autenticação secreta.

Conforme prescreve a NBR ISO/IEC 27002 a respeito do controle de acesso ao código-fonte de programas, para que se reduza o risco de corrupção de programas de computador na organização, convém que o pessoal de suporte não tenha acesso irrestrito às bibliotecas de programa-fonte.

No que se refere à política de controle de acesso, segundo a NBR ISO/IEC 27.002, convém que

Considerando os conceitos da NBR ISO/IEC 27.002 com relação ao controle, assinale a alternativa correta.

Entre as Normas da ISO/IEC 27000, a ISO 27002 trata da adoção das práticas, imprescindíveis para blindar a empresa contra ataques cibernéticos e demais ameaças. Duas dessas práticas são descritas a seguir.

I. É indispensável realizar a definição dos procedimentos e das responsabilidades da gestão e a operação de todos os recursos ligados ao processamento das informações. Para isso, é preciso gerenciar os serviços terceirizados, o planejamento dos recursos dos sistemas para reduzir riscos de falhas, a criação de processos para gerar cópias de segurança, a recuperação e a administração segura das redes de comunicação.

II. Antes de contratar funcionários ou fornecedores, é preciso fazer uma análise cuidadosa, principalmente se forem ter acesso a informações sigilosas. O objetivo dessa atitude é eliminar o risco de roubo, mau uso ou fraude dos recursos. Uma vez atuando na organização, o funcionário deve ser conscientizado sobre as ameaças que expõem a segurança da informação, bem como sobre as suas obrigações e responsabilidades.

As práticas descritas em I / II são denominadas, respectivamente:

É importante que a análise crítica de uma política de segurança da informação tenha um enfoque no gerenciamento da segurança da informação em resposta às mudanças das condições legais e das circunstâncias do negócio.

Considere a NBR ISO/IEC 27.002/2013 referente à Tecnologia da Informação – Técnicas de Segurança – Código de prática para controles de segurança da informação, em tempos de significativa evidência de trabalho remoto. Sobre os dispositivos móveis e o trabalho remoto, tem-se como objetivo “garantir a segurança das informações no trabalho remoto e no uso de dispositivos móveis”. São políticas para uso de dispositivos móveis, considerando tal legislação, EXCETO:

Sobre o objetivo e data de publicação das Normas ABNT ISO/IEC: 20000; 27001; 27002 e 27005, verifique as assertivas e assinale a correta.

I. Especifica os requisitos para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão da segurança da informação dentro do contexto da organização. Esta Norma também inclui requisitos para a avaliação e tratamento de riscos de segurança da informação voltados para as necessidades da organização. Publicada em 2013.

II. Ela especifica os requisitos para o provedor de serviço planejar, estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar um SGS. Os requisitos incluem o desenho, transição, entrega e melhoria dos serviços para cumprir os requisitos do serviço. Publicada em 2011.

III. Este documento fornece diretrizes para o processo de gestão de riscos de segurança da informação. Publicada em 2019.

IV. Esta Norma fornece diretrizes para práticas de gestão de segurança da informação e normas de segurança da informação para as organizações, incluindo a seleção, a implementação e o gerenciamento de controles, levando em consideração os ambientes de risco da segurança da informação da organização. Publicada em 2013.

No contexto de política de segurança da informação no relacionamento com fornecedores, convém que sejam estabelecidos, quando necessário, acordos de contingência e recuperação para assegurar a disponibilidade da informação.

De acordo com a ISO/IEC 27002:2013, o tratamento de mídias visa prevenir a divulgação não autorizada, modificação, remoção ou destruição da informação armazenada em um mídia. De acordo com o gerenciamento de mídias, é correto afirmar: