Seu próximo nível começa aqui
Com a Assinatura Ilimitada, você tem tudo que precisa para sua aprovação.
Com a Assinatura Ilimitada, você combina prática, teoria e método em uma única assinatura com tudo que você precisa para sua aprovação.
- Gran Questões
- Questões
Questões de Concurso sobre SGSI - NBR ISO/IEC 27002
Disciplina
1
Assunto
1
Banca
Instituição
Cargo
Ano
Carreira
Área de formação
Escolaridade
Dificuldade
Comentários:
Professores
Alunos
Meus Comentários
Vídeo
Minhas questões:
Resolvidas
Não resolvidas
Certas
Erradas
Tipo de questão:
Certo e errado
Múltipla escolha
Incluir questões:
Anuladas
Desatualizadas
Questões:
Todas as questões
Filtro simplificado
Questões
Todas as questões
527
questões
encontradas
20
Mais recentes
Segundo a norma NBR ISO 27002:2005, a informação é um ativo que, como qualquer outro ativo importante, é essencial para os negócios de uma organização e consequentemente necessita ser adequadamente protegida. Marque a afirmativa FALSA.
A
A informação pode existir em diversas formas. Uma delas é a forma impressa ou escrita em papel, e a falada em conversas
B
A Segurança da informação é a proteção da informação de vários tipos de ameaças para garantir a continuidade do negócio
C
Em sistemas computacionais, a Segurança da informação é obtida a partir de implementação de um conjunto de controles de software para garantir que os objetivos sejam atendidos
D
A Segurança da informação tem como um dos objetivos minimizar o risco ao negócio
E
A Segurança da informação tem como um dos objetivos maximizar o retorno sobre os investimentos e as oportunidades de negócio
Nos acordos para transferência de informações da norma ISO-27002, para segurança de informações do negócio entre a organização e as partes externas, convém que se incorporem condições para proteger as informações e as mídias em trânsito.
Nesse sentido, é correto afirmar que uma dessas condições é
A
fazer o descarte da informação que se encontra em trânsito.
B
lembrar as pessoas sobre os problemas do transporte de informações.
C
adotar precauções apropriadas evitando o transporte de informações sensíveis.
D
manutenção de uma cadeia de custódia enquanto a informação encontra-se em trânsito.
Um visitante de uma operadora de telefonia acessou sozinho a sala central de comunicação de rede de uma Assembleia Legislativa XYZ, utilizando-se de um crachá de identificação e de um sistema de senha PIN (Personal Identification Number), fornecidos pela recepção da empresa para abrir a única porta de acesso. Esse procedimento de acesso NÃO atende às convenções da ISO/IEC 27002:2013, quanto aos controles de entrada física, em razão
A
de o visitante estar desacompanhado de um profissional responsável da Assembleia.
B
de não ter aplicado duplo mecanismo de autenticação para liberar uma barreira física de acesso.
C
de existir apenas uma porta de acesso à sala controlada, quando deveria haver um segundo acesso alternativo.
D
de o visitante ser de uma operadora de telecomunicações que pode ter interesses conflitantes com outros provedores da rede instalada.
E
de a sala de comunicações de redes ser de exclusivo acesso de servidores de TI da Assembleia.
Com base na NBR ISO/IEC 27002, assinale a opção que indica o instrumento que caracteriza a segurança da informação na organização, seu escopo e sua importância, e no qual a direção declara comprometimento e apoio às metas do SGSI, e que este esteja alinhado às estratégias e aos objetivos do negócio.
A
acordo de confidencialidade
B
documento da política de segurança da informação
C
inventário dos ativos
D
política de classificação da informação
E
documentação dos procedimentos de operação
Pedro está aplicando a norma ISO 27002 em sua organização. De acordo com essa norma, qual vulnerabilidade Pedro deve estar ciente que pode surgir durante a autorização para recursos de processamento de informação?
A
Uso de notebook pessoal.
B
Sites maliciosos.
C
Ferramentas antivírus.
D
Aplicativos móveis.
E
Sistemas on-line.
No que diz respeito a controle de entrada física, a norma ISO/IEC 27002:2013 recomenda que o acesso às áreas onde são processadas ou armazenadas informações sensíveis seja restrito apenas ao pessoal autorizado, mediante a implementação de controles de acesso apropriados, que podem ser, por exemplo, mecanismos de autenticação de dois fatores, tais como cartões de controle de acesso e PIN (personal identification number).
C
Certo
E
Errado
Em relação aos objetivos, segundo a NBR 27002:2005, item Controle de Acessos, subitem responsabilidades dos usuários, analise as opções abaixo, assinalando V, se verdadeiras, ou F, se falsas.
( ) Política de controle de acesso.
( ) Uso de senhas.
( ) Registro de usuários.
( ) Equipamento de usuário sem monitoração.
( ) Política de mesa limpa e tela limpa.
A ordem correta de preenchimento dos parênteses, de cima para baixo, é:
A
V – V – F – F – V.
B
F – F – V – F – V.
C
F – V – V – V – F.
D
V – F – V – F – F.
E
F – V – F – V – V.
No que diz respeito à gestão de incidentes de segurança da informação, é recomendável que a organização defina como identificar, coletar, adquirir e preservar evidências, além de que procedimentos internos sejam desenvolvidos e seguidos para os propósitos de ação legal ou disciplinar, quando necessário. Segundo a norma ABNT NBR ISO/IEC 27002:2013, é recomendável que os procedimentos para registro, guarda e divulgação de evidência de incidentes levem em conta
A
a ficha criminal dos colaboradores da organização.
B
a classificação da ação disciplinar ou legal pelos incidentes ocorridos na organização.
C
o número de incidentes ocorridos em cada mês.
D
papéis e responsabilidades das pessoas envolvidas.
E
os custos envolvidos e o impacto em cada setor da organização.
Com base na NBR ISO/IEC n.º 27002, é correto afirmar que, no cenário apresentado no texto 4A04-I, foram explorados os controles de
A
manutenção de equipamentos e de segurança física, pela ineficiência das manutenções preventivas recomendadas e da proteção física dos servidores web e de banco de dados.
B
manutenção de equipamentos e de segregação de rede, pela ineficiência das manutenções preventivas recomendadas e da segmentação da rede em domínio filtrados por firewalls entre os servidores web e de banco de dados.
C
segurança física e de segregação de rede, pela ineficiência da proteção física e da segmentação da rede em domínio filtrados por firewalls entre os servidores web e de banco de dados.
D
gestão de vulnerabilidades técnicas e de segurança física, pela ineficiência do monitoramento e das correções das vulnerabilidades e da proteção física dos servidores web e de banco de dados.
E
gestão de vulnerabilidades técnicas e de segregação de rede, pela ineficiência do monitoramento e das correções das vulnerabilidades e da segmentação da rede em domínio filtrados por firewalls entre os servidores web e de banco de dados.
Um dos desafios atuais da segurança da informação é o crescente uso de BYOD (bring your own device, ou, em português, traga seu próprio dispositivo) nas instituições. Notebooks, tablets e principalmente smartphones estão invadindo as redes institucionais. Nesse contexto, são necessárias políticas, procedimentos e tecnologias especializadas acerca do tema. Com base na NBR ISO/IEC n.º 27002, em uma política de dispositivos móveis, é correto
A
validar informações de entrada no sistema somente quando todos os dados de entrada estiverem completos e íntegros, em conformidade com as boas práticas.
B
separar o uso do dispositivo para negócio e para fins pessoais, incluindo os softwares para apoiar essa separação e proteger os dados do negócio em um dispositivo privado.
C
monitorar as condições ambientais, como temperatura e umidade, para a detecção de condições que possam afetar negativamente as instalações de processamento da informação.
D
avaliar regularmente a referida política quanto à sua capacidade de atender ao crescimento do negócio e às interações com outras utilidades.
E
segregar as funções de controle de acesso como, por exemplo, pedido de acesso, autorização de acesso e administração de acesso.
O valor de um Ativo pode ser considerado uma vulnerabilidade relacionada a qual tópico previsto na ISO 27002?
A
Contratação.
B
Perímetro de segurança.
C
Retirada de direito de acesso.
D
Segurança em escritórios, salas e instalações.
E
Segurança de equipamentos
Ano:
2019
Banca:
Instituto AOCP
De acordo com a Norma NBR ISO/IEC nº 27.002, evitar violação de qualquer lei criminal ou civil, estatutos, regulamentações ou obrigações contratuais e de quaisquer requisitos de segurança da informação é um dos objetivos de controle associado à categoria de
A
controle de acesso.
B
organização da segurança da informação.
C
conformidade.
D
gestão de incidentes de segurança da informação.
E
segurança física e do ambiente.
Acerca da segurança em recursos humanos, segundo a NBR ISO/IEC n.º 27002:2013, a má gestão da organização pode ter como consequência
A
descumprimento de regulamentações e leis relacionadas a privacidade e intimidade nos processos de verificações do histórico dos candidatos a emprego.
B
nível de conscientização dos funcionários e das partes externas sobre segurança da informação inferior ao pretendido para os seus papéis e as suas responsabilidades.
C
falta de apoio e patrocínio a políticas, procedimentos e controles relacionados à segurança da informação.
D
falhas na execução dos programas de treinamento regulares necessários e no desenvolvimento de habilidades e qualificações fundamentais.
E
geração de impacto negativo na segurança da informação, ao induzir, por exemplo, que esta seja negligenciada por funcionários, fornecedores e partes externas.
O website de dada organização foi invadido, de forma recorrente, em um período de trinta dias, com alteração das páginas e com mensagens ofensivas dirigidas à organização. Esse tipo de incidente, considerado de alto impacto para a organização, foi tratado, e o website, por várias vezes, foi totalmente restaurado com suas páginas originais. Após essa série de incidentes recorrentes, a equipe de segurança da informação reuniu-se para analisar o problema.
Considerando a situação hipotética apresentada e com base na gestão de incidentes de segurança da informação da NBR ISO/IEC n.º 27002:2013, a diretriz de implementação corresponde a
A
coleta de evidências.
B
resposta aos incidentes de segurança da informação.
C
planejamento da continuidade da segurança da informação.
D
aprendizagem com os incidentes de segurança da informação.
E
avaliação e decisão dos eventos de segurança da informação.
Conforme a NBR ISO/IEC n.º 27002:2013, estabelecer uma estrutura de gerenciamento para iniciar e controlar a implementação e operação da segurança da informação dentro da organização é objetivo
A
da política de segurança da informação.
B
da gestão de ativos.
C
do controle de acesso.
D
da segurança nas operações.
E
da organização interna.
A norma ABNT NBR ISO/IEC 27002:2013 tem uma seção que trata da segurança de operações, cujo objetivo é garantir a operação segura e correta dos recursos de processamento da informação. Nesta seção, no que tange ao desenvolvimento, teste e produção de software, recomenda-se que
A
softwares em desenvolvimento e softwares em produção sejam sempre executados no mesmo sistema, processador, domínio ou diretório.
B
ambientes de desenvolvimento, teste e produção sejam separados para reduzir os riscos de acessos ou modificações não autorizadas no ambiente de produção.
C
compiladores, editores e outras ferramentas de desenvolvimento sejam completamente acessíveis aos sistemas operacionais.
D
usuários tenham um único perfil para sistemas de testes e em produção, para garantir que todos os aspectos desejados sejam testados.
E
dados sensíveis sejam copiados e utilizados nos ambientes de teste, independente dos controles, para obter maior precisão nos resultados dos testes.
De acordo com a norma NBR ISSO/IEC 27002:2005, técnicas e sistemas criptográficos devem ser usados para a proteção das informações que são consideradas de risco e para as quais outros controles não fornecem proteção adequada. Deve-se especificar na Política o uso de controles de criptografia para proteção das informações. Desta forma durante o processo de avaliação de riscos e classificação da informação deve-se determinar o nível de proteção a ser dado à determinada informação. Temos dois modelos de criptografia que são a Criptografia simétrica e Criptografia assimétrica.
Leia as afirmativas a seguir:
I. Criptografia simétrica ou algoritmo simétrico: é o tipo mais simples, usa somente uma chave, tanto para criptografar quanto para decriptar. Essa chave deve ser mantida secreta para garantir a confidencialidade da mensagem.
II. Criptografia assimétrica ou algoritmo assimétrico: é um algoritmo de criptografia que usa duas chaves: uma chave pública e uma chave privada, sendo a chave pública distribuída abertamente, enquanto a chave privada é mantida secreta.
III. Criptografia assimétrica ou algoritmo assimétrico: é o tipo mais simples, usa somente uma chave, tanto para criptografar quanto para decriptar. Essa chave deve ser mantida secreta para garantir a confidencialidade da mensagem.
IV. Criptografia simétrica ou algoritmo simétrico: é um algoritmo de criptografia que usa duas chaves: uma chave pública e uma chave privada, sendo a chave pública distribuída abertamente, enquanto a chave privada é mantida secreta.
V. Criptografia assimétrica ou algoritmo assimétrico: é um algoritmo de criptografia que usa duas chaves: uma chave pública e uma chave privada, sendo a chave privada distribuída abertamente, enquanto a chave pública é mantida secreta.
De acordo com as afirmativas acima, a alternativa correta é:
A
I e III
B
I e II
C
I e IV
D
II, III e V
Uma das maneiras de manter uma empresa segura de forma digital é aplicar a verificação, análise crítica e avaliação (Norma ISO ABNT NBR ISO/IEC 27002:2013, seção 17.1.3).
Uma empresa multinacional, após uma auditoria, percebeu que existiam falhas de segurança de rede entre as filiais e nas redes internas de algumas filiais. Uma simulação foi aplicada pela equipe da auditoria, e dados, com conteúdo sigiloso, foram obtidos.
A falha obtida pela auditoria foi capturada por meio de um teste de
A
intrusão.
B
análise de logs.
C
códigos-fontes.
D
injeções SQL.
E
transações sintéticas.
Uma organização considera a possibilidade de implantar a modalidade de trabalho remoto, incluindo acesso remoto à intranet por meio de smartphones e computadores.
Nessa hipótese, de acordo com a norma NBR ISO/IEC n.º 27002:2013, recomenda-se
I manter no campo de observação, os dispositivos móveis com acesso remoto autorizado que contenham informações importantes, sensíveis ou críticas para o negócio.
II usar criptografia nos dispositivos móveis e de acesso remoto, para prevenir o acesso não autorizado ou a divulgação de informações armazenadas e processadas nesses dispositivos.
III fornecer acesso virtual às estações de trabalhos dos usuários com o objetivo de mitigar tentativas de ataques que venham a explorar falhas desse recurso.
IV acessar equipamentos de propriedade particular autorizados para acesso remoto, com o objetivo de verificar a segurança da máquina.
Assinale a opção correta.
A
Todos os itens estão certos.
B
Apenas os itens I, II e III estão certos.
C
Apenas os itens I, II e IV estão certos.
D
Apenas os itens I, III e IV estão certos.
E
Apenas os itens II, III e IV estão certos.
A Norma NBR ISO/IEC 27002 (Tecnologia da Informação – Técnicas de segurança – Código de Prática para controles de segurança da informação) contém, em uma de suas seções, recomendações sobre o tratamento de mídias utilizadas para o armazenamento de informações da empresa. Tais recomendações, no que diz respeito ao tratamento dessas mídias, incluem
A
a aplicação de multas e a definição dos tipos de mídias utilizadas.
B
a definição dos responsáveis e o descarte das mídias utilizadas.
C
a definição do local de armazenamento e o tipo de formatação das mídias utilizadas.
D
o descarte e a transferência física das mídias utilizadas.
E
o tipo de formatação e a definição dos responsáveis pelas mídias utilizadas.
Gerar simulado