Questões de Concurso sobre SGSI - NBR ISO/IEC 27002

A fim de tratar os riscos técnicos identificados nos ativos, a equipe de segurança do órgão SICRIT está implementando um processo para gestão das vulnerabilidades técnicas de acordo com a ABNT NBR ISO/IEC 27002:2022.

Para realizar a identificação das vulnerabilidades, a equipe de segurança deve seguir a orientação de:

A ISO 27002:2022 reorganiza e atualiza os controles em grupos de classificações, estabelecendo as medidas adotadas para tratar riscos. Os controles podem ser de três tipos, que tem a ver com o momento de atuação, em relação à ocorrência de incidentes. O primeiro se destina a evitar a ocorrência de um incidente de segurança da informação, o segundo age quando ocorre um incidente de segurança da informação e o terceiro age após um incidente de segurança da informação ter ocorrido.

Esses três tipos de controles são conhecidos, respectivamente, como:

A norma ABNT NBR ISO/IEC 27002:2013 estabelece um código de prática para controles de segurança. Ela fornece diretrizes para prática de gestão de segurança da informação para as organizações, incluindo a seleção, implementação e o gerenciamento dos controles levando em consideração os ambientes de risco da segurança da informação da organização.

Relacione os termos de segurança da informação a seguir, às suas respectivas definições.

1. Segurança da informação

2. Incidente de segurança de informação

3. Evento de segurança de informação

4. Risco

( ) Preservação da confidencialidade, da integridade e da disponibilidade da informação; adicionalmente, outras propriedades, tais como autenticidade, responsabilidade, não repúdio e confiabilidade, podem também estar envolvidas.

( ) Ocorrência que indica uma possível violação da política de segurança da informação ou falha de controles, ou uma situação previamente desconhecida, que possa ser relevante para a segurança da informação e que pode ser identificada em um sistema, serviço ou rede.

( ) Ocorrência(s) indesejada(s) ou inesperada(s) que tem grande probabilidade de comprometer as operações do negócio e ameaçar a segurança da informação.

( ) Combinação da probabilidade de um evento e de suas consequências.

Assinale a opção que indica a relação correta, segundo a ordem apresentada.

A ABNT NBR ISO/IEC 27002:2022 fornece um conjunto de referência de controles genéricos de segurança da informação, incluindo orientação para implementação. Uma das definições presentes nessa norma se refere a um incidente, seja previsto ou imprevisto, que causa um desvio não planejado e negativo da expectativa de entrega de produtos e serviços de acordo com os objetivos da organização.

Essa é a definição de

Uma multinacional do setor de saúde está revisando suas políticas e práticas de segurança da informação para se alinhar com a norma NBR ISO/IEC 27002:2022. A empresa opera em vários países e lida com uma vasta quantidade de dados sensíveis, incluindo informações pessoais de pacientes e dados de pesquisa médica. A alta direção da empresa entende que a implementação eficaz de controles de segurança é crucial para proteger esses dados contra ameaças cibernéticas e assegurar a conformidade com as regulamentações internacionais de privacidade e segurança.

Durante uma reunião com o comitê de segurança da informação, foi discutida a aplicação prática das diretrizes da NBR ISO/IEC 27002:2022 para melhorar a segurança geral da empresa. Um dos pontos focais foi a seleção e implementação de controles de segurança que fossem não apenas eficazes, mas também apropriados para o contexto operacional específico da empresa.

Considerando as diretrizes fornecidas pela norma NBR ISO/IEC 27002:2022, assinale a alternativa que apresenta a aplicação correta e eficaz das orientações para selecionar e implementar controles de segurança.

De acordo com a NBR ISO/IEC 27002:2022, assinale a opção que indica o controle organizacional cujo propósito é assegurar a identificação e o entendimento das necessidades de proteção das informações de acordo com a sua importância para a organização.

Os direitos de acesso de todos os funcionários ao sistema de dados da organização devem ser retirados logo após o encerramento de suas atividades.

Visando minimizar e/ou impedir a possibilidade de ocorrência de crimes cibernéticos numa situação na qual é necessário conceder acesso a público externo a algumas informações de propriedade da organização, uma recomendação da ISO/IEC 27002:2022 é

Conforme as Normas de Segurança NBR-ISO/IEC, formada pela ISO (International Organization for Standardization) e IEC (International Electrotechnical Commission), aprovadas e traduzidas pela ABNT (Associação Brasileira de Normas Técnicas) e transformada em uma Norma Brasileira (NBR), analise a sentença abaixo:

Na ABNT NBR ISO/IEC 27001:2013. Sistemas de gestão da segurança da informação, são apresentados os requisitos para estabelecer, implementar, manter e melhorar continuamente um Sistema de Gestão da Segurança da Informação (SGSI), bem como os requisitos para avaliação e tratamento de riscos de segurança da informação, sempre com foco nas necessidades da organização (1ª parte). Já na ABNT NBR ISO/IEC 27002:2013. Código de Prática para controle de segurança da informação, são estipuladas as melhores práticas para apoiar a implantação do SGSI, com diretrizes para práticas de gestão e normas de segurança da informação para as organizações (2ª parte). E posteriormente chegou a ABNT NBR ISO/IEC 27005:2019. Gestão de riscos de segurança da informação, trazendo diretrizes para o processo de gestão de riscos de segurança da informação de uma organização, atendendo particularmente aos requisitos de um SGSI (3ª parte).

Quais partes estão corretas?

Recomenda-se que todas as senhas sejam armazenadas em um repositório da organização em formato de texto claro.

Conforme ABNT NBR ISO/IEC 27002 que estabelece as diretrizes e princípios para uma melhor gestão da segurança da informação em uma organização, analisar os itens a seguir:

I. Convém que seja implantado controle de roteamento na rede, para assegurar que as conexões de computador e fluxos de informações não violem a política de controle de acessos das aplicações do negócio.

II. Convém que sejam consideradas as identificações automáticas de equipamentos como um meio de autenticar conexões vindas de localização e equipamentos específicos.

III. Convém que os usuários sejam solicitados a seguir as boas práticas de segurança da informação na seleção e uso de senhas.

Está(ão) CORRETO(S):

Na ISO/IEC 27002, são apresentados vários tipos de controle de criptografia.

A ISO 27002 é uma espécie de código de conduta para um todo o conjunto abrangente de controles que apoiam a aplicação dos sistemas de gerenciamento de segurança da informação trazidos na ISO 27001, sendo que as normas não determinam níveis, mas apenas aduzem que eles devem fazer sentido no contexto da organização. No entanto, as empresas costumam utilizar uma classificação da informação em níveis, baseada nos conceitos da segurança da informação. Nesse contexto, um nível é considerado o mais alto, no qual as informações se divulgadas, interna ou externamente, têm potencial para trazer grandes prejuízos financeiros ou à imagem da empresa. Por característica, essas informações são protegidas por criptografia.

Esse nível é conhecido como de informações:

Na segurança da informação e gestão de riscos, a norma ISO 27.002/2013 preconiza que a informação seja classificada em termos do seu valor, requisitos legais, sensibilidade e criticidade para evitar modificação ou divulgação não autorizada. O responsável direto por essa classificação é o:

A família ISO 27000 faz referência ao conjunto de padrões desenvolvidos pela International Organization for Standardization (ISO) e International Electrotechnical Commission (IEC). Ambos os padrões fornecem uma estrutura de gerenciamento da segurança da informação e proteção de dados. Dentro da família ISO 27000 temos as ISO 27001 e ISO 27002. Qual das alternativas a seguir descreve CORRETAMENTE a principal diferença entre a ISO 27001 e a ISO 27002?

A empresa XYZSecure está buscando certificar seus sistemas de gestão de segurança da informação de acordo com as normas ISO 27001 e ISO 27002. Durante o processo de implementação, a equipe de segurança da informação precisa definir os controles de segurança necessários para proteger os ativos de informação da organização. Qual das seguintes normas é mais apropriada para fornecer um conjunto abrangente de controles de segurança?

A norma ABNT NBR ISO/IEC 27002:2022 organiza os controles de segurança em diferentes categorias (ou temas), e cada controle está associado a cinco atributos com valores de atributo correspondentes. Dentre esses atributos, o de domínios de segurança é usado para visualizar controles na perspectiva de quatro domínios de segurança da informação. Os valores desse atributo consistem em:

A segregação de funções e áreas de responsabilidade é importante em uma organização; entretanto, as funções de solicitação, aprovação e implementação de direitos de acesso não devem ser segregadas, devido ao princípio da unicidade de concessão de privilégios.

A NBR ISO/IEC 27002:2022 detalha os controles de Segurança da Informação da NBR ISO/IEC 27001:2022, fornecendo definição, propósito e um guia de como implementá-los. A rotulagem das informações tem o propósito de:

A Norma ABNT NBR ISO/IEC 27002:2022 orienta que as informações sejam classificadas de acordo com as necessidades de segurança da informação da organização.

De acordo com essa norma, na classificação da informação devem-se considerar os requisitos de: