Seu próximo nível começa aqui
Com a Assinatura Ilimitada, você tem tudo que precisa para sua aprovação.
Com a Assinatura Ilimitada, você combina prática, teoria e método em uma única assinatura com tudo que você precisa para sua aprovação.
- Gran Questões
- Questões
Questões de Concurso sobre SGSI - NBR ISO/IEC 27005
Disciplina
1
Assunto
1
Banca
Instituição
Cargo
Ano
Carreira
Área de formação
Escolaridade
Dificuldade
Comentários:
Professores
Alunos
Meus Comentários
Vídeo
Minhas questões:
Resolvidas
Não resolvidas
Certas
Erradas
Tipo de questão:
Certo e errado
Múltipla escolha
Incluir questões:
Anuladas
Desatualizadas
Questões:
Todas as questões
Filtro simplificado
Questões
Todas as questões
272
questões
encontradas
20
Mais recentes
Em uma organização os critérios de aceitação do risco dependem frequentemente das políticas, metas e objetivos, assim como dos interesses das partes interessadas. Segundo a norma ABNT NBR ISO/IEC 27005:2011, cada organização pode definir sua própria escala de níveis de aceitação do risco, considerando que critérios para a aceitação do risco
A
não podem ser diferenciados de acordo com o tempo de existência previsto do risco, pois os riscos não estão associados a atividades temporárias ou de curto prazo.
B
devem incluir apenas um limite, representando um nível desejável de risco, porém precauções devem ser tomadas por gestores de TI para que não sejam aceitos riscos acima desse nível.
C
devem ser expressos como a razão entre o efeito estimado e a probabilidade da ocorrência do risco.
D
diferentes podem ser aplicados a classes de risco diferentes, por exemplo, riscos que podem resultar em não conformidade com regulamentações ou leis podem não ser aceitos, enquanto riscos de alto impacto podem ser aceitos se isto for especificado como um requisito contratual.
E
não podem incluir requisitos para um tratamento adicional futuro, já que tentativas de ações futuras para reduzir o risco a um nível aceitável podem falhar.
O Processo de Gestão de Riscos de Segurança da Informação é
formado por diversas etapas.
De acordo com a ABNT NBR ISO/IEC 27005:2011, assinale a opção
que indica as atividades da etapa Processo de Avaliação de
Riscos.
A
Monitoramento e análise crítica de riscos.
B
Tratamento e aceitação do risco.
C
Identificação, análise e avaliação de riscos.
D
Comunicação, compartilhamento e consulta do risco.
E
Modificação, retenção e ações para evitar os riscos.
No desenvolvimento dos critérios básicos para a avaliação, o impacto e a aceitação de riscos consideram, entre outros itens, o valor estratégico do processo, a criticidade dos ativos de informação, a perda de oportunidades e os danos à reputação.
De acordo com a ABNT NBR ISO/IEC 27005:2011, o desenvolvimento desses critérios básicos no processo de gestão de riscos de segurança da informação, é realizado
A
na definição do contexto.
B
no processo de avaliação de riscos.
C
no tratamento do risco.
D
na aceitação do risco.
E
no monitoramento e na análise crítica de riscos.
A segurança da informação é a proteção da informação em relação a vários tipos de ameaças, de modo a garantir a continuidade do negócio, minimizar o risco para o negócio, maximizar o retorno sobre o investimento e as oportunidades de negócio (NBR ISO/IEC 27002:2005). Com base nesta definição, os atributos básicos da segurança da informação são
A
interface, confidencialidade e direcionamento.
B
integridade, comunicabilidade e direcionamento.
C
integridade, comunicabilidade e disponibilidade.
D
integridade, confidencialidade e disponibilidade.
E
interface, comunicabilidade e direcionamento.
No contexto da norma internacional ISO/IEC 27005, o processo de gestão de risco é definido por oito atividades coordenadas, das quais sete estão listadas a seguir.
Identificação de riscos
Estimativa de riscos
Avaliação de riscos Tratamento do risco
Aceitação do risco Comunicação do risco
Monitoramento e análise crítica de riscos
Assinale a opção que indica a atividade que completa a lista acima.
A
Administração do risco.
B
Definição do contexto.
C
Eliminação do risco.
D
Incorporação do risco.
E
Responsabilização do risco.
Estabelecida pela norma ABNT NBR ISO/IEC 27005:2011, a
abordagem sistemática de gestão de riscos considera como parte
da fase "Planejar" do ciclo PDCA de um sistema de gestão de
segurança da informação, o processo denominado
A
implementação do plano de tratamento do risco.
B
aceitação do risco.
C
monitoramento contínuo e análise crítica de riscos.
D
melhoria do processo de gestão de riscos de segurança da
informação.
E
reaplicação do processo de gestão de riscos de segurança da
informação.
A qualidade e a exatidão do processo de análise quantitativa de
riscos estão relacionadas à disponibilidade de dados históricos
e auditáveis.
C
Certo
E
Errado
As opções para tratamento do risco de segurança da
informação — modificação do risco, retenção do risco, ação de
evitar o risco e compartilhamento do risco — não são
mutuamente exclusivas.
C
Certo
E
Errado
A Norma Brasileira ABNT NBR ISO/IEC 27005:2011 é responsável pela Tecnologia da Informação – Técnicas de
Segurança – Gestão de riscos de Segurança da Informação, fornecendo diretrizes para o processo de gestão de riscos
de segurança da informação, de acordo com os padrões do Sistema de Gestão de Segurança da Informação (SGSI). Os
gestores, além do pessoal envolvido com a gestão de riscos de segurança da informação em uma organização, são as
pessoas que têm maior interesse nesta norma, ou também entidades externas que dão suporte a essas atividades.
Esta norma apresenta diversas atividades que possuem: Entrada; Ação; Diretrizes para implementação; e, Saída.
“Trata-se da comunicação que é uma atividade que objetiva alcançar um consenso sobre como os riscos devem ser
gerenciados, fazendo uso para tal da troca e/ou partilha das informações sobre o risco entre os tomadores de decisão
e as outras partes interessadas.” A afirmativa anterior trata-se de:
A
Avaliação do risco.
B
Percepção do risco.
C
Comunicação do risco.
D
Monitoramento do risco.
O processo de gestão de risco, de acordo com a NBR
ISO/IEC 27005, inicia-se com o(a)
A
identificação de riscos.
B
definição do contexto.
C
avaliação de riscos.
D
tratamento do risco.
E
monitoração dos riscos.
De acordo com a ABNT NBR ISO/IEC 27005, o propósito
da gestão de riscos de segurança da informação pode ser
A
preparar um plano de resposta a incidentes.
B
monitorar controles de segurança da informação.
C
executar o processo de avaliação de riscos.
D
definir políticas.
Na fase executar são realizadas ações que incluem a
reaplicação do processo de GRSI.
C
Certo
E
Errado
Sobre gestão de segurança da informação, de acordo com a NBR ISO/IEC 27005:2011, analise as afirmações a seguir.
1) A ISO 27005 não inclui uma metodologia específica para a gestão de riscos de segurança da informação.
2) A ISO 27005 fornece as diretrizes para o processo de Gestão de Riscos de Segurança da Informação.
3) A Gestão de Riscos de Segurança da Informação tem início com as atividades de “identificação do risco” e “comunicação do risco”, nesta ordem.
Está(ão) correta(s), apenas:
A
1.
B
2.
C
3.
D
1 e 2.
E
2 e 3.
Entre os ativos de suporte e infraestrutura incluem-se os
recursos humanos, as instalações físicas e a estrutura da
organização.
C
Certo
E
Errado
De acordo com a Norma ABNT NBR ISO/IEC 27005, assinale a opção correta a respeito da gestão de risco de TI.
A
Na etapa de definição do contexto, a organização busca atingir seus objetivos; nela, são determinados os valores dos ativos da
organização, identificadas as ameaças e vulnerabilidades existentes e determinadas as potenciais consequências dessas ameaças e
vulnerabilidades.
B
A presença de uma vulnerabilidade é sempre uma ameaça à segurança da informação. A identificação das vulnerabilidades é realizada
na etapa de análise/avaliação de riscos.
C
Na etapa de aceitação de risco, lida-se com modelos predefinidos de escalas de níveis, dentre os quais a organização deve optar pelo
mais adequado aos seus negócios.
D
Na etapa de monitoramento de riscos, recomenda-se que as vulnerabilidades e os riscos sejam reavaliados periodicamente, entre um
mês e um semestre.
E
A etapa de tratamento de risco conta com as seguintes opções, não excludentes entre si: redução, retenção, evitação e transferência
de risco.
De acordo com os objetivos descritos na norma ABNT NBR ISO/IEC 27002:2013 (Tecnologia da informação - Técnicas de segurança - Código de práticas para controles de segurança da informação), assinale a alternativa INCORRETA.
A
Identificar os ativos da organização e definir as devidas responsabilidades pela proteção dos ativos.
B
Tornar os usuários responsáveis pela proteção das suas informações de autenticação.
C
Prevenir o acesso físico não autorizado, os danos e as interferências nos recursos de processamento das informações e nas informações da organização.
D
Estabelecer uma estrutura de gerenciamento para iniciar e controlar a implementação e operação da segurança da informação dentro da organização.
E
Definir a política de cópias de segurança das informações.
De acordo com a ABNT NBR ISO/IEC 27005, a primeira etapa
do processo de avaliação de riscos consiste em
A
avaliar os riscos.
B
tratar os riscos.
C
monitorar os riscos.
D
identificar os riscos.
A NBR ISO/IEC 27005:2011 NÃO considera como opção para o tratamento do risco de segurança da informação:
A
a retenção do risco.
B
a modificação do risco.
C
o compartilhamento do risco.
D
a eliminação do risco.
E
a ação de evitar o risco.
Considere que a equipe composta por quatro analistas de sistemas
de um órgão do judiciário federal brasileiro deva desenvolver
um plano de implantação da gerência de riscos de segurança da
informação nesse órgão. Acerca das atividades que podem ser
realizadas pela equipe, e considerando os conceitos de gerência de
riscos, de classificação e controle dos ativos de informação, e a
norma ISO/IEC 27005, é correto afirmar que essa equipe
A
deve produzir ou obter a lista de processos de negócios aos
quais estarão vinculados os demais ativos de informação a
serem identificados na atividade de identificação de riscos.
B
deve particionar entre os quatro membros a responsabilidade
pelo desempenho dos seguintes papéis, entre outros:
identificação e análise das partes interessadas, estabelecimento
de ligações com as funções de gerência de riscos de alto nível,
especificação dos critérios para a avaliação dos riscos,
estimativa de impactos e aceitação do risco para a organização.
C
deve aplicar uma metodologia de análise quantitativa de riscos,
excluindo a aplicação de uma metodologia qualitativa.
D
deve implantar o sistema de gestão de segurança da
informação, antes de desenvolver o plano de gestão de riscos.
E
deve particionar entre seus quatro membros a responsabilidade
da execução simultânea das seguintes atividades: definição do
escopo, identificação dos riscos, tratamento dos riscos e
comunicação do risco.
Assinale a alternativa que descreve a definição de Risco, segundo a norma 27005.
A
É a chance de uma entidade ser infectada por algum vírus.
B
É a probabilidade de um evento de segurança acontecer e suas consequências.
C
É a probabilidade de um vírus se propagar por toda rede da empresa e os dados que ele pode causar.
D
É a falta de uma política de segurança bem definida.
Gerar simulado