Seu próximo nível começa aqui
Com a Assinatura Ilimitada, você tem tudo que precisa para sua aprovação.
Com a Assinatura Ilimitada, você combina prática, teoria e método em uma única assinatura com tudo que você precisa para sua aprovação.
- Gran Questões
- Questões
Questões de Concurso sobre SGSI - NBR ISO/IEC 27005
Disciplina
1
Assunto
1
Banca
Instituição
Cargo
Ano
Carreira
Área de formação
Escolaridade
Dificuldade
Comentários:
Professores
Alunos
Meus Comentários
Vídeo
Minhas questões:
Resolvidas
Não resolvidas
Certas
Erradas
Tipo de questão:
Certo e errado
Múltipla escolha
Incluir questões:
Anuladas
Desatualizadas
Questões:
Todas as questões
Filtro simplificado
Questões
Todas as questões
272
questões
encontradas
20
Mais recentes
De acordo com a Norma NBR ISO/IEC 27005:2011, dentre as classes de ameaças conhecidas como ações não autorizadas, o único tipo de ameaça que é considerado acidental é
A
o uso não autorizado de equipamento.
B
a cópia ilegal de software.
C
o comprometimento dos dados.
D
o processamento ilegal de dados.
E
o uso de cópias de software falsificadas ou ilegais.
Considerando-se o que dispõe a ISO 27005 sobre as diretrizes para a implementação quando da abordagem sobre a transferência de risco, analisar os itens abaixo:
I - A transferência do risco jamais criará novos riscos ou modificará riscos existentes e já identificados.
II - A transferência do risco envolve a decisão de se compartilhar certos riscos com entidades externas.
III - A transferência pode ser feita por um seguro que cubra as consequências ou através da subcontratação de um parceiro cujo papel seria o de monitorar o sistema de informação e tomar medidas imediatas que impeçam um ataque antes que ele possa causar um determinado nível de dano ou prejuízo.
Está(ão) CORRETO(S):
A
Somente os itens I e II.
B
Somente os itens I e III.
C
Somente os itens II e III.
D
Somente o item I.
E
Todos os itens.
Baseando-se na ISO 27005, em relação ao processo de gestão de risco de segurança da informação, analisar a sentença abaixo:
Durante o processo de gestão de riscos de segurança da informação, é importante que os riscos e a forma com que são tratados sejam comunicados ao pessoal das áreas operacionais e gestores apropriados. Mesmo antes do tratamento do risco, informações sobre riscos identificados podem ser muito úteis para o gerenciamento de incidentes e ajudar a reduzir possíveis prejuízos (1ª parte). A conscientização dos gestores e pessoal no que diz respeito aos riscos, à natureza dos controles aplicados para mitigá-los e às áreas definidas como de interesse pela organização auxilia a lidar com os incidentes e eventos não previstos da maneira mais efetiva. Convém que os resultados detalhados de cada atividade do processo de gestão de riscos de segurança da informação, assim como as decisões sobre a análise/avaliação de riscos e sobre o tratamento do risco, sejam documentados (2ª parte). Em um processo de gestão de risco de segurança da informação, primeiramente, deve-se estabelecer o contexto. Em seguida, executa-se uma análise/avaliação de riscos. Se ela fornecer informações suficientes para que se determinem de forma eficaz as ações necessárias para reduzir os riscos a um nível aceitável, então a tarefa está completa e o tratamento de risco pode suceder-se. Por outro lado, se as informações forem insuficientes, executa-se uma outra iteração da análise/avaliação de risco, revisando-se o contexto (por exemplo, os critérios de avaliação de risco, de aceitação do risco ou de impacto), possivelmente em partes limitadas do escopo (3ª parte).
A sentença está:
A
Totalmente correta.
B
Correta somente em suas 1ª e 2ª partes.
C
Correta somente em suas 1ª e 3ª partes.
D
Correta somente em suas 2ª e 3ª partes.
E
Totalmente incorreta.
De acordo com a norma NBR ISO/IEC 27005, a etapa em que se
identifica qualquer mecanismo administrativo, físico ou operacional
capaz de tratar os riscos da ocorrência de um incidente de segurança
é a identificação
A
das ameaças.
B
dos controles existentes.
C
das vulnerabilidades.
D
das consequências.
E
dos ativos.
Quanto ao tratamento de riscos, conforme a norma
NBR ISO/IEC 27005, assinale a opção correta.
A
A remoção da fonte do risco é forma de tratamento do risco
conhecida como modificação do risco.
B
Os riscos residuais são aqueles classificados como impossíveis
de ser tratados.
C
A retenção do risco consiste na ação de implementar controles
que busquem reduzir os riscos a um nível aceitável pela
organização.
D
O compartilhamento do risco envolve transferência ou
compartilhamento do risco com entidades internas da
organização com vistas a balancear os prejuízos entre as
unidades na ocorrência de perdas advindas de um incidente.
E
A escolha de controles para reduzir os riscos a um nível
aceitável pela organização deve considerar os seus critérios
para a aceitação do risco, a exemplo dos requisitos legais,
culturais e ambientais.
Considere, hipoteticamente, que a PGE-MT está diante de um risco de segurança da informação e o Analista de Sistemas terá
que decidir que ação tomar. Resolve se guiar pela seção da norma ABNT NBR ISO/IEC 27005:2011 que discorre sobre o
tratamento do risco de segurança da informação. Esta seção indica como ações para o tratamento do risco:
A
modificar, reter, evitar e compartilhar.
B
evitar, monitorar, conter e terceirizar.
C
evitar, monitorar, conter e terceirizar.
D
modificar, aceitar, ignorar, terceirizar.
E
identificar, monitorar, eliminar, divulgar.
Segundo as definições da ISO 27005, a análise/avaliação de riscos de segurança da informação, entre outros:
I - Determina o valor dos ativos de informação.
II - Identifica as ameaças e vulnerabilidades aplicáveis existentes (ou que poderiam existir).
III - Identifica os controles existentes e seus efeitos no risco identificado.
IV - Determina as consequências passíveis, prioriza os riscos derivados e ordena-os de acordo com os critérios de avaliação de riscos estabelecidos na definição do contexto.
Estão CORRETOS:
A
Somente os itens I e II.
B
Somente os itens I e III.
C
Somente os itens II, III e IV.
D
Somente os itens I, II e IV.
E
Todos os itens.
De acordo com a Norma NBR ISO/IEC 27005:2011, no processo de identificação de ativos da organização, um dos ativos do tipo primário é
A
a instalação física.
B
o recurso humano.
C
a informação.
D
a estrutura da organização.
E
a rede de comunicação.
Considere que o Tribunal Regional do Trabalho esteja seguindo orientações da norma ABNT NBR ISO/IEC 27005:2011, que
fornece diretrizes para o processo de gestão de riscos de segurança da informação. Seguindo esta norma, a implantação do
processo de gestão de riscos deve passar pelas etapas: definição do contexto, processo de avaliação de riscos, tratamento do
risco,
A
análise de impacto do risco, monitoramento do risco e comunicação do risco.
B
aceitação do risco, comunicação e consulta do risco e monitoramento e análise crítica de riscos.
C
mitigação do impacto do risco e análise crítica sobre o risco.
D
análise de impacto do risco, comunicação do risco e definição de ações de contenção do risco.
E
tomada de decisão sobre o risco, divulgação do risco na organização e monitoramento e controle de riscos.
Segundo a norma NBR ISO/IEC 27005:2011, considerando uma iteração completa do processo de gestão de riscos, são previstas as seguintes atividades (não necessariamente na ordem correta de execução):
I. Tratamento de riscos
II. Análise de riscos
III. Identificação de riscos
IV. Aceitação de riscos
V. Avaliação de riscos
Considerando uma sequência direta na execução dessas atividades, sem pontos de retorno intermediários, a ordem correta de execução dessas 5 atividades é:
A
I, IV, V, III e II.
B
II, III, IV, V e I.
C
III, II, V, I e IV.
D
IV, III, V, II e I.
E
V, I, II, IV e III.
Um analista de TI está utilizando as recomendações da norma ABNT NBR ISO/IEC 27005:2011 para realizar o tratamento de riscos dentro do processo de gestão de riscos de segurança da informação. Nesse contexto, a norma recomenda que
A
as opções de tratamento do risco sejam selecionadas apenas com base no resultado do processo de avaliação de riscos e no custo esperado para implementações dessas opções.
B
as quatro opções para tratamento do risco sejam aplicadas de forma mutuamente exclusiva, ou seja, não combinadas.
C
as opções de tratamento do risco sejam consideradas levando-se em conta como o risco é percebido pelas partes afetadas e as formas mais apropriadas de comunicação com estas partes.
D
as consequências adversas do risco sejam reduzidas ao mínimo possível de acordo com critérios absolutos, como a probabilidade do risco, pois riscos mais prováveis devem ser os primeiros a serem considerados.
E
um plano de tratamento de riscos seja definido identificando os riscos mais prováveis, as formas de tratar estes riscos, independente das prioridades, e os prazos de execução das ações de tratamento de risco indicadas.
O conteúdo da norma ISO/IEC 27005 influenciou a criação de
outras normas, tais como a ISO/IEC 27001 e ISO/IEC 27002.
C
Certo
E
Errado
O processo para a gestão de riscos de segurança da informação descrito pela referida norma pode ser usado para avaliações de riscos em um projeto; porém, não pode ser aplicado à operação cotidiana de um SGSI.
C
Certo
E
Errado
Em um ambiente empresarial a retenção de um risco pode ser
considerado como uma forma de tratá-lo.
C
Certo
E
Errado
Ativos de suporte representam as informações, os processos e
as atividades de negócio.
C
Certo
E
Errado
Segundo a norma NBR ISO/IEC 27005:2011, que trata da
Gestão de Riscos de Segurança da Informação,
A
atividades de análise/avaliação de riscos só podem
ser realizadas uma vez no processo de Gestão de
Riscos.
B
as opções de tratamento do risco são: reduzir o
risco, reter o risco, evitar o risco e ignorar o risco.
C
a atividade de tratamento do risco será iniciada somente
se a avaliação do risco for satisfatória.
D
atividades de tratamento de riscos só podem ser
realizadas uma vez no processo de Gestão de Riscos.
E
a atividade de análise/avaliação de riscos é composta
pelas sub-atividades: identificar os riscos, estimar
os riscos, classificar os riscos e responder aos
riscos.
Os procedimentos de produção de métricas e indicadores de gestão de segurança da informação devem ser mais bem orientados pelo conjunto de prescrições encontradas na norma NBR 27005, de gestão de riscos de segurança da informação, que pelos processos descritos na norma NBR 27001.
C
Certo
E
Errado
Os procedimentos de classificação da informação quanto ao sigilo não podem ser concluídos sem que sejam investigados os riscos à perda de confidencialidade, integridade e disponibilidade da informação.
C
Certo
E
Errado
No tratamento do risco de segurança da informação, a ação de
modificá-lo não faz parte do tratamento de risco.
C
Certo
E
Errado
A norma NBR ISO/IEC 27005:2011 estabelece a correspondência entre processos de um Sistema de Gestão de Segurança da Informação (SGSI) e processos de gestão de riscos da segurança da informação. Assinale a alternativa que contém uma correspondência correta entre os dois tipos de processos.
A
Agir – implementação do plano de tratamento de risco.
B
Executar – aceitação do risco.
C
Executar – análise/avaliação de riscos.
D
Planejar – plano de tratamento de risco.
E
Verificar – definição do contexto.
Gerar simulado