Questões de Concurso sobre SGSI - NBR ISO/IEC 27005

O processo iterativo de monitoramento e análise crítica de riscos descrito na ABNT NBR ISO/IEC 27005:2022 fornece subsídios para o atendimento aos requisitos de melhoria contínua e análise crítica pela direção previstos na ABNT NBR ISO/IEC 27001:2013.

De acordo com a norma ISO/NBR 27005:2023, em qual categoria de ameaça é classificado um incidente relacionado a serviços de condicionamento de ar?

A norma ISO 27001, que trata da gestão de segurança da informação, estabelece uma série de controles que as organizações devem considerar para proteger suas informações. Esses controles abrangem aspectos variados, desde a segurança fÍsica até a gestão de riscos. Sabendo disso, assinale a alternativa que apresenta um controle NÃO previsto nessa norma.

Conforme a ABNT NBR ISO/IEC 27005, na avaliação de probabilidade de análise de riscos de segurança da informação, a fonte de incerteza de avaliação sistêmica é aquela que deriva do uso de ferramentas que inevitavelmente modelam eventos de forma simples.

Um provedor OpenID é um aplicativo ou site que terceiriza sua função de autenticação de usuário por meio de um protocolo de gestão de identidades de código aberto.

O uso de cofres digitais com controle de check-out e sessões auditáveis é uma prática central em soluções de PAM (privileged access management), pois impede o acesso direto e incontrolado a credenciais privilegiadas em ambientes corporativos.

Os processos de gestão de riscos de um eficiente Sistema de Gestão de Segurança da Informação (SGSI) são bem definidos e podem ser enquadrados em uma das quatro fases do ciclo PDCA que são: planejamento, execução, verificação e ação.

A fase de execução de um SGSI deve conter o processo de

Para a ABNT NBR ISO/IEC 27005:2023, “os riscos de segurança da informação podem estar associados ao potencial de que as ameaças explorem vulnerabilidades de um ativo de informação ou grupo de ativos de informação e, assim, causem danos a uma organização.” Ao optar por não coletar certas informações de indivíduos para que não seja necessário gerenciá-las, armazená-las e transmiti-las em seus sistemas de informação, qual opção de tratamento de risco está sendo selecionada pela organização?

O processo de gestão de riscos de segurança da informação pode ser relativo à organização como um todo, mas também pode ser aplicado apenas a aspectos particulares de um controle da organização, como o seu plano de continuidade de negócios.

Diante do aumento de tentativas de acesso não autorizado aos sistemas da Niterói Prev, a equipe de Tecnologia da Informação decidiu revisar as suas políticas de segurança com base na norma ISO/IEC 27002. De acordo com tal normativa, assinale a afirmativa correta sobre os controles de segurança.

O domínio dos Serviços de TIC da Resolução CNJ no. 370/2021 contém os seguintes temas:

1. Riscos

2. Proteção de Dados

3. Sistemas de Informação

4. Segurança da Informação

5. Atendimento e Suporte ao usuário

6. Infraestrutura Tecnológica e Serviços em Nuvem

Assinale a alternativa que indica todas as afirmativas corretas.

Acerca das normas ABNT NBR ISO/IEC 27005 e ABNT NBR ISO/IEC 15999, assinale a opção correta.

Durante a definição do Sistema de Gestão da Segurança da Informação (SGSI), uma organização avalia o cenário externo, riscos e determina que cada unidade de negócio deve identificar seus próprios requisitos legais, normativos e contratuais. Nesse cenário, a prática coerente com o estabelecimento de contexto da gestão de riscos, segundo a norma ABNT NBR ISO/EC 27005:2023, &

O processo de avaliação de riscos determina o valor dos ativos de informação, identifica as ameaças e vulnerabilidades aplicáveis, determina as consequências possíveis e prioriza os riscos derivados, ordenando-os de acordo com os critérios de avaliação de riscos estabelecidos.

As organizações devem adotar a abordagem sistemática de gestão de riscos conforme método específico estipulado na norma NBR ISO 27005:2019.

Uma empresa de médio porte recentemente designou um gestor para a área de segurança da informação, entretanto as práticas de segurança ainda são implementadas de maneira reativa e de forma descentralizada pelas demais equipes de Tecnologia da Informação. Marque a alternativa que apresenta, respectivamente, os níveis de rigor das práticas de governança de risco de segurança cibernética e de gerenciamento de risco de segurança cibernética desta empresa de acordo com a Estrutura de Segurança Cibernética 2.0, do Instituto Nacional de Padrões e Tecnologias (NIST CSF 2.0).

De acordo com a ISO 27005, um risco pode ser entendido como a combinação das consequências advindas da ocorrência de um evento indesejado e da probabilidade da ocorrência deste. Nesse contexto, há o processo de avalição dos riscos, que quantifica ou descreve o risco qualitativamente e capacita os gestores a priorizar os riscos de acordo com a gravidade percebida. Esse processo de avaliação dos riscos é composto pelas seguintes atividades:

De acordo com a NBR ISO/IEC 27005:2023, o tipo de controle que se destina à limitação das consequências de um evento de segurança da informação é denominado controle detectivo.

Segundo a NBR ISO/IEC 27001, um processo de avaliação de riscos de segurança da informação deve estabelecer e manter critérios de risco que incluam a eliminação e a avaliação dos riscos.

Regularmente, a equipe de gestão de vulnerabilidades realiza auditorias internas nos sistemas operacionais dos ativos escolhidos para verificar a conformidade dos requisitos de segurança estabelecidos para cada ativo.

Conforme a ISO/IEC 27002, convém que a equipe observe a seguinte diretriz para a realização das auditorias internas: