Seu próximo nível começa aqui
Com a Assinatura Ilimitada, você tem tudo que precisa para sua aprovação.
Com a Assinatura Ilimitada, você combina prática, teoria e método em uma única assinatura com tudo que você precisa para sua aprovação.
- Gran Questões
- Questões
Questões de Concurso sobre SGSI - NBR ISO/IEC 27002
Disciplina
1
Assunto
1
Banca
Instituição
Cargo
Ano
Carreira
Área de formação
Escolaridade
Dificuldade
Comentários:
Professores
Alunos
Meus Comentários
Vídeo
Minhas questões:
Resolvidas
Não resolvidas
Certas
Erradas
Tipo de questão:
Certo e errado
Múltipla escolha
Incluir questões:
Anuladas
Desatualizadas
Questões:
Todas as questões
Filtro simplificado
Questões
Todas as questões
527
questões
encontradas
20
Mais recentes
Segundo a norma ABNT NBR ISO/IEC 27002:2013, são exemplos de tópicos de políticas orientadas aos usuários finais:
A
Backup, relacionamento na cadeia de suprimento e mesa limpa.
B
Controles criptográficos, dispositivos móveis e segurança física.
C
Segurança física e do ambiente, tela limpa e backup.
D
Segurança nas comunicações, tela limpa e uso aceitável.
E
Uso aceitável dos ativos, transferência de informações e restrições sobre o uso e instalação de software.
A seção Segurança nas operações da norma ABNT NBR ISSO/IEC
27002:2013 aborda diretrizes para implementação de uma
política de backup, com a finalidade de prover proteção contra a
perda de dados.
Considerando os requisitos necessários para definição de uma
política de backup, assinale a afirmativa correta.
A
Os procedimentos para restauração das cópias de segurança
devem estar definidos na política de contingência da
empresa, constando apenas sua referência na política de
backup.
B
As cópias de segurança devem ser armazenadas no mesmo
local da instalação principal, para aumentar a rapidez da
restauração em caso de perda de dados originais.
C
O local onde as cópias de segurança são armazenadas deve
ter um nível de proteção física compatível com o da
instalação principal.
D
As mídias de backup utilizadas diariamente em backups
incrementais não precisam ser testadas, devido ao seu uso
contínuo.
E
A confidencialidade não é um requisito importante para as
cópias de segurança cuja retenção seja superior a 300 dias,
descartando o uso de criptografia.
A norma NBR ISO/IEC 27002:2013 apresenta códigos de prática para controles de segurança da informação. De acordo com a norma, um exemplo de esquema de classificação de confidencialidade da informação se baseia em quatro níveis, sendo uma delas, a que
A
não causa qualquer dano quando da divulgação.
B
utiliza esquema de criptografia para prover a confidencialidade.
C
não pode ser divulgada por se tratar de segredo empresarial.
D
utiliza o certificado digital para garantir a autenticidade.
E
não pode utilizar os meios impressos para a divulgação.
Quando uma mídia removível não for mais necessária e vier a
ser retirada da organização, recomenda-se que o conteúdo
magnético seja deletado.
C
Certo
E
Errado
Os aspectos de segurança física e do ambiente são tratados de forma minuciosa na norma NBR ISO/IEC 27002:2013. Por exemplo, a construção de barreiras físicas para impedir o acesso físico não autorizado é uma diretriz estabelecida na norma em
A
Segurança em escritórios, salas e instalações.
B
Perímetro de segurança física.
C
Proteção contra ameaças externas.
D
Controles de entrada física.
E
Proteção contra ameaças do meio ambiente.
Segundo a norma ABNT NBR ISO/IEC 27002:2013, a segurança da informação deve ser apoiada por políticas de tópicos específicos, que exigem a implementação de controles de segurança e que sejam estruturadas para considerar as necessidades de certos grupos de interesse dentro da organização. A partir dessas informações, assinale a opção que apresenta um exemplo de política com tópico específico considerado pela referida norma.
A
desenvolvimento de software
B
segurança institucional
C
ética concorrencial
D
gestão de riscos
E
controles criptográficos
Em questões de segurança da informação, existe uma norma brasileira, a ABNT NBR ISO/IEC 27002:2013, que versa
sobre a Tecnologia da Informação – Técnicas de Segurança – Código de Prática para controles de segurança da
informação. Esta norma foi projetada para ser utilizada como referência na seleção de controles, no processo de
implementação de um Sistema de Gestão de Segurança da Informação (SGSI), ou também como documento de
orientação, para que as organizações implementem controles de segurança da informação normalmente aceitos. Esta
norma define os controles de segurança da informação, bem como seus respectivos objetivos de controle. É
necessário que seja mantido um registro de auditoria de todos os procedimentos realizados e recomenda-se
contemplar em primeiro lugar os sistemas com altos riscos, são duas diretrizes de implementação de um dos
objetivos. Assinale, a seguir, este objetivo.
A
Gestão da vulnerabilidade técnica.
B
Restrições quanto à instalação de software.
C
Instalação de software nos sistemas operacionais.
D
Controles de auditoria de sistemas de informação.
Com base na norma ABNT NBR ISO/IEC 27002:2013, assinale a alternativa que apresenta as categorias de controle associadas à organização da segurança da informação.
A
Responsabilidade pelos ativos e classificação da informação.
B
Requisitos do negócio para o controle de acesso e controle de acesso ao sistema e à aplicação.
C
Orientação da direção para a segurança da informação e tratamento de mídias.
D
Áreas seguras e requisitos de segurança de sistemas de informação.
E
Organização interna e dispositivos móveis e trabalho remoto.
Um Analista Judiciário deve estabelecer um código de prática de segurança da informação no TRT para o controle e a prevenção
de ataques de malwares. Considerando-se a Norma NBR ISO/IEC 27002:2013, é recomendável que o código de
segurança inclua
A
a implementação de controles para prevenir o uso de software não autorizado, como o whitelisting que lista os softwares
não permitidos.
B
a aplicação do princípio do privilégio máximo para os usuários pertinentes para a instalação de softwares.
C
o uso de dois ou mais tipos de software de controle contra malware de diferentes fornecedores para aumentar a eficácia na
proteção.
D
o procedimento para a divulgação imediata de alertas relacionados a malwares provenientes de todos os meios de
comunicação, incluindo os alertas preliminares como boatos.
E
a eliminação de qualquer atualização não autorizada de software crítico de forma imediata não sendo necessária uma
investigação formal.
A Norma ISO 27002 oferece orientações para a seleção
de controles na implementação de um Sistema de Gestão
da Segurança da Informação. Segundo essa norma, que
orientação está relacionada à segurança de recursos humanos?
A
As informações devem ser classificadas e rotuladas
pelos seus proprietários, de acordo com a proteção de
segurança necessária, e tratadas adequadamente.
B
A definição de processo disciplinar formal é necessária
para lidar com incidentes de segurança da informação
causados por colaboradores da organização.
C
O usuário deve ser sensibilizado sobre suas responsabilidades
na manutenção de controles de acesso
eficazes, o que inclui uso de senhas fortes e confidenciais.
D
A prestação de serviços por fornecedores externos
deve ser monitorada, revisada e auditada em relação
aos contratos e acordos estabelecidos.
Em relação às normas ABNT NBR ISO/IEC 27001 e 27002, assinale a alternativa correta.
A
A versão atual da norma ABNT NBR ISO/IEC 27002 (código de prática para controles de segurança da informação) foi publicada em 2013 e trouxe como novidade a incorporação, em seu Anexo A, da norma ABNT NBR IsO/IEC 27001 (sistemas de gestão da segurança da informação), agora obsoleta.
B
A norma 27001 estabelece que a Política de Segurança da Informação deve prover orientação e apoio da direção para a segurança da informação, de acordo com os requisitos do negócio e das leis e regulamentações relevantes.
C
A norma 27002 apresenta, em seu Anexo A, os detalhes técnicos para implantação dos controles de segurança necessários ao estabelecimento do Sistema de Gestão de Segurança da Informação (SGSI).
D
As mudanças ocorridas no COBIT 5, com a inclusão de requisitos mais específicos de segurança da informação, de certa forma diminuíram a importância das normas 27001 e 27002 no âmbito da segurança da informação.
E
A norma 27001 apresenta uma metodologia de análise e avaliação de riscos ao SGSI, detalhando cada etapa de aplicação dessa metodologia, mas permite a utilização de outras metodologias, como a OCTAVE, citada no anexo da referida norma.
De acordo com a ABNT NBR ISO/IEC 27002 — norma
de referência para a escolha de controles no processo
de implementação de sistemas de gestão da segurança
da informação —, o primeiro objetivo de resposta a incidente
de segurança da informação é
A
qualificar técnicos locais para o trabalho de identificar,
coletar e preservar as informações.
B
realizar o devido processo administrativo disciplinar para
a apuração do fato.
C
listar as lições aprendidas para a divulgação entre
os integrantes da organização.
D
voltar ao nível de segurança normal e, então, iniciar
a recuperação.
E
suspender as atividades até que os fatos relacionados
ao incidente sejam apurados.
Considerando a gestão de segurança da informação, conforme a NBR ISO/IEC 27002:2013, é incorreto afirmar que:
A
ISO 27002 não faz distinção entre os controles aplicáveis a uma determinada organização, e aqueles que não são.
B
a ISO 27002 não contempla o controle de acesso físico não autorizado.
C
a ISO 27002 contempla segurança em recursos humanos.
D
a ISO 27002 estabelece um código de melhores práticas para gestão de segurança da informação.
E
as normas ISO 27001 e 27002 devem ser usadas em conjunto, pois os controles da 27002 auxiliam a empresa a alcançar os requisitos da 27001.
Supondo-se que o TRE-SP tenha concursado profissionais que irão realizar atividades em local de trabalho remoto. A fim de garantir a segurança da informação, esse Tribunal se pautou em recomendações previstas na Norma ABNT NBR ISO/IEC 27002:2013 cujo objeto, em suas diretrizes para implementação, reza que deve haver política, medidas e controles que apoiem a segurança da informação e que a organização deve estabelecer condições e restrições para uso em trabalho remoto. Assim, quando entendidos como aplicáveis e permitidos por lei, convém considerar:
I. Acordos de licenciamento de software que podem tornar as organizações responsáveis pelo licenciamento do software cliente em estações de trabalho particulares de propriedade de funcionários, fornecedores ou terceiros.
II. Ambiente físico proposto para o trabalho remoto que inclui ambientes de trabalho não tradicionais, como aqueles referidos como: “ambientes de telecommuting”, “local de trabalho flexível” e “trabalho remoto”, excetuando-se, em todas as suas formas, o chamado “trabalho virtual”.
III. Segurança física existente no local do trabalho remoto, levando-se em consideração a segurança física do prédio e o ambiente local.
Está de acordo com as recomendações previstas na norma o que consta APENAS em
A
I e III.
B
I e II.
C
II.
D
II e III.
E
III.
De acordo com a NBR ISO 27002, a política de controle de
acesso deve tratar do controle de acesso lógico, enquanto
a política de segurança física e do ambiente deve tratar do
controle de acesso físico.
C
Certo
E
Errado
Assinale a alternativa que descreve corretamente a política de segurança da informação de acordo com as normas ABNT NBR ISO/IEC 27001:2013 e ABNT NBR ISO/IEC 27002:2013.
A
Normas e procedimentos que definem os elementos da informação que devem ser seguros.
B
Normas de segurança para utilização dos recursos computacionais que manipulam a informação.
C
Conjunto de regras gerais que direcionam a segurança da informação e são suportadas por normas e procedimentos.
D
Normas para a criação de senhas.
E
Normas de autenticação e autorização para o uso de recursos que utilizam a informação.
A gestão de ativos, presente na ISO 27002, aponta, em um dos seus tópicos, que a informação envolvida deve ter classificação em termos de requisitos legais, bem como valor, criticidade e sensibilidade, em termos de divulgação ou alteração não autorizada.
C
Certo
E
Errado
Desenvolvimento seguro é um requisito para construir um serviço, uma arquitetura, um software e um sistema que respeitem normas de segurança. Dentro de uma política de desenvolvimento seguro, a norma ABNT NBR ISO/IEC 27002:2013 recomenda
A
que não é necessário considerar segurança na metodologia desenvolvimento do software, pois a segurança será considerada na fase de programação do software.
B
que não sejam considerados requisitos de segurança na fase do projeto, mas sim na fase de implementação do software.
C
levar em consideração a segurança no controle de versões.
D
levar em consideração mais a habilidade técnica dos desenvolvedores, do que a capacidade de evitar, encontrar e corrigir vulnerabilidades.
E
que o desenvolvimento de software nunca seja terceirizado.
Com relação a organização da segurança da informação, de acordo com a ABNT NBR ISO/IEC 27002 de 2005, assinale a alternativa correta.
A
Convém que as atividades de segurança da informação sejam coordenadas exclusivamente pela alta direção da organização.
B
Convém que a direção da organização não seja envolvida na aprovação da política de segurança da informação uma vez que o SGI é responsável pela coordenação e análise da segurança da informação em toda a organização.
C
Convém que todos os requisitos de segurança da informação identificados sejam considerados antes de conceder aos clientes o acesso aos ativos ou às informações da organização.
D
É aceitável que a segurança dos recursos de processamento da informação e da informação na organização sejam reduzidas devido a introdução de produtos ou serviços oriundos de partes externas, desde que aceito pela direção.
E
Acordos com partes externas não podem envolver outras partes. Convém que os acordos que concedem acesso à partes externas incluam a proibição para a designação de outras partes.
Com relação aos aspectos de responsabilidades pela segurança da informação no processo de organização da segurança da informação, de acordo com a Norma NBR ISO/IEC 27002:2013,
A
a responsabilidade de pesquisar todos os controles é do gerente de TI.
B
a responsabilidade pode ser terceirizada.
C
o dirigente de mais alto nível é responsável pelos ativos da organização.
D
tarefas podem ser delegadas para outros.
E
o dirigente de mais alto nível deve prover todos os recursos necessários para a segurança.
Gerar simulado