Seu próximo nível começa aqui
Com a Assinatura Ilimitada, você tem tudo que precisa para sua aprovação.
Com a Assinatura Ilimitada, você combina prática, teoria e método em uma única assinatura com tudo que você precisa para sua aprovação.
- Gran Questões
- Questões
Questões de Concurso sobre SGSI - NBR ISO/IEC 27005
Disciplina
1
Assunto
1
Banca
Instituição
Cargo
Ano
Carreira
Área de formação
Escolaridade
Dificuldade
Comentários:
Professores
Alunos
Meus Comentários
Vídeo
Minhas questões:
Resolvidas
Não resolvidas
Certas
Erradas
Tipo de questão:
Certo e errado
Múltipla escolha
Incluir questões:
Anuladas
Desatualizadas
Questões:
Todas as questões
Filtro simplificado
Questões
Todas as questões
272
questões
encontradas
20
Mais recentes
A informação resultante da análise de incidentes de segurança da informação deve ser usada para identificar incidentes recorrentes, de alto custo e impacto, bem como ser considerada no processo de análise crítica da política de segurança da informação.
C
Certo
E
Errado
A referida norma não inclui um método específico para a gestão de riscos de segurança da informação.
C
Certo
E
Errado
Segundo a NBR ISO/IEC 27005, a identificação de controles existentes, de ameaças e de vulnerabilidades é atividade constante do processo de gestão de riscos denominada
A
identificação de riscos.
B
definição do contexto.
C
organização para a gestão de riscos.
D
estimativa de riscos.
E
avaliação de consequências.
Segundo a NBR ISO/IEC 27005, modificar, reter, evitar ou compartilhar riscos são opções potenciais para adoção da atividade do processo de gestão de riscos denominada
A
avaliação de riscos.
B
comunicação dos riscos.
C
análise de riscos.
D
tratamento dos riscos.
E
análise crítica dos riscos.
A respeito da Norma NBR ISO/IEC NBR 27.005, assinale a alternativa correta.
A
A norma estabelece uma escala de aceitação de riscos, que deve ser seguida pelas organizações.
B
Os critérios de aceitação de risco não podem ser diferenciados pelo tempo de existência do risco, apenas pelo valor do impacto do evento.
C
Os critérios de aceitação de risco devem ser expressos como razão entre o lucro e o risco estimado.
D
É possível aceitar um risco, mesmo que as ações de tratamento desse risco ainda não tenham sido tomadas, desde que haja um compromisso de ações em um período de tempo estipulado.
E
Os critérios de aceitação de risco são independentes das políticas e das metas da organização, vinculando-se a fatores financeiros, sociais e de reputação.
Os tomadores de decisão podem aceitar riscos que não satisfaçam os critérios formalmente estabelecidos pela organização para a aceitação de riscos.
C
Certo
E
Errado
Na análise de riscos, a avaliação de probabilidade dos incidentes é realizada sobre uma lista de cenários de incidentes identificados como relevantes, incluindo a identificação de ameaças, ativos afetados, vulnerabilidades exploradas e consequências para os ativos e processos do negócio.
C
Certo
E
Errado
Com base nos conceitos da NBR ISO/IEC 27.005, acerca da análise dos riscos e do tratamento do risco, assinale a alternativa correta.
A
No tratamento do risco, é possível admitir mais de uma opção de tratamento para um risco.
B
Para cada risco há uma forma de tratamento, não admitindo que um tratamento sirva a mais de um risco.
C
Na retenção do risco, convém que ele seja gerenciado pela inclusão, exclusão ou alteração dos controles, para que o risco seja considerado aceitável.
D
Quando os riscos são considerados elevados e os custos da implementação do tratamento do risco excederem os benefícios, pode-se modificar o risco.
E
Quando os riscos são considerados elevados e os custos da implementação do tratamento do risco excederem os benefícios, deve-se reter o risco e modificá-lo.
No processo de gestão de riscos da segurança da informação, segundo a NBR ISO/IEC 27005, identificação, análise e avaliação de riscos são atividades relativas
A
ao processo de avaliação de riscos.
B
à definição de contexto.
C
à identificação de vulnerabilidades.
D
a metodologias de análise quantitativa ou qualitativa de riscos.
E
a identificação e valoração dos ativos e avaliação do impacto.
Existem vários termos técnicos comuns utilizados na Gestão da Segurança da Informação, conforme ISO/IEC 15408 ou ISO 17799:2005. Por exemplo, a porta aberta em um firewall é considerado como sendo:
A
um ATIVO
B
uma VULNERABILIDADE
C
uma AMEAÇA
D
um OBJETO
E
um DANO
Suponha que, no processo de identificação de vulnerabilidades em uma organização, várias vulnerabilidades encontradas não possuíssem ameaças correspondentes relacionadas e não tenham sido identificados controles a serem implantados. Nessa situação, de acordo com a NBR ISO/IEC 27005, o gestor de segurança da informação agirá corretamente se determinar, formalmente, que tais vulnerabilidades sejam ignoradas.
C
Certo
E
Errado
Considerando os conceitos da NBR ISO/IEC 27.005, quanto à análise dos riscos, assinale a alternativa correta.
A
A valoração dos ativos pode ser determinada de duas maneiras: pela valoração da reposição do ativo e as consequências ao negócio relacionadas à perda ou pelo comprometimento do ativo.
B
A análise de riscos qualitativa é realizada com valores numéricos, de preferência com dados históricos de incidentes.
C
A análise qualitativa de riscos depende da exatidão e da integridade dos dados.
D
Uma das etapas da análise de riscos é a análise das consequências. Nessa fase, é importante analisar, de forma quantitativa, as consequências.
E
Na avaliação de probabilidade, designam-se valores para a probabilidade e para as consequências de um risco.
De acordo com a ISO/IEC 27005 - Gestão de riscos em TI, em relação às diretrizes para implementação da identificação das ameaças, marcar C para as afirmativas Certas, E para as Erradas e, após, assinalar a alternativa que apresenta a sequência CORRETA:
(_) Uma ameaça tem o potencial de comprometer ativos (tais como informações, processos e sistemas) e, por isso, não compromete as organizações.
(_) Ameaças podem ser de origem natural ou humana e podem ser acidentais ou intencionais.
(_) Algumas ameaças podem afetar mais de um ativo. Nesses casos, elas podem provocar impactos diferentes, dependendo de quais ativos são afetados.
A
E - C - C.
B
E - E - C.
C
C - C - E.
D
C - C - C.
E
C - E - E.
Ano:
2021
Banca:
Objetiva Concursos
Prova:
Objetiva Concursos - Prefeitura - Analista de Sistemas - 2021
Em conformidade com a NBR ISO/IEC 27005, sobre os termos e as definições, numerar a 2ª coluna de acordo com a 1ª e, após, assinalar a alternativa que apresenta a sequência CORRETA:
(1) Impacto.
(2) Comunicação do risco.
(3) Transferência do risco.
(4) Identificação de riscos.
(_) Processo para localizar, listar e caracterizar elementos do risco.
(_) Troca ou compartilhamento de informação sobre risco entre o tomador de decisão e outras partes interessadas.
(_) Compartilhamento com outra entidade do ônus da perda ou do benefício do ganho associado a um risco.
(_) Mudança adversa no nível obtido dos objetivos de negócios.
A
4 - 2 - 3 - 1.
B
1 - 2 - 3 - 4.
C
2 - 1 - 4 - 3.
D
3 - 1 - 2 - 4.
E
4 - 3 - 1 - 2.
Segundo a ISO 27005 - Gestão de riscos em TI, sobre os critérios para a aceitação do risco, convém que os seguintes tópicos, entre outros, sejam considerados durante o desenvolvimento, como:
I. Critérios para a aceitação do risco podem incluir mais de um limite, representando um nível desejável de risco; porém, precauções podem ser tomadas por gestores seniores para aceitar riscos acima desse nível, desde que sob circunstâncias definidas.
II. Critérios para a aceitação do risco podem ser expressos como a razão entre o lucro estimado e o risco estimado.
III. Diferentes critérios para a aceitação do risco podem ser aplicados a diferentes classes de risco, por exemplo: riscos que podem resultar em não conformidade com regulamentações ou leis podem não ser aceitos, enquanto riscos de alto impacto poderão ser aceitos se isso for especificado como um requisito contratual.
Está(ão) CORRETO(S):
A
Somente o item I.
B
Somente o item III.
C
Somente os itens I e II.
D
Somente os itens II e III.
E
Todos os itens.
A gestão de riscos é um conjunto de atividades coordenadas para permitir que a organização se prepare para lidar com os riscos, de forma sistemática e customizada, conforme cada situação. No caso da NBR ISO/IEC 27005, a gestão de riscos é necessária para a eficácia
A
da elaboração de planos de negócio.
B
do modelo de governança da TI.
C
da análise de impacto ao negócio.
D
do sistema de gestão da qualidade em TI.
E
do sistema de gestão da segurança da informação.
Ano:
2021
Banca:
Objetiva Concursos
Prova:
Objetiva Concursos - Prefeitura - Analista de Sistemas - 2021
De acordo com a NBR ISO/IEC 27005, em relação à definição do contexto, sobre os critérios básicos, analisar a sentença abaixo:
Dependendo do escopo e dos objetivos da gestão de riscos, diferentes métodos podem ser aplicados. O método não deve ser diferente para cada iteração do processo (1ª parte). Convém que um método de gestão de riscos apropriado seja selecionado ou desenvolvido e leve em conta critérios básicos, tais como: critérios de avaliação de riscos, critérios de impacto e critérios de aceitação do risco (2ª parte). Convém que a organização avalie se os recursos necessários estão disponíveis para definir e implementar políticas e procedimentos, incluindo implementação dos controles selecionados (3ª parte).
A sentença está:
A
Correta somente em sua 2ª parte.
B
Correta somente em suas 1ª e 2ª partes.
C
Correta somente em suas 1ª e 3ª partes.
D
Correta somente em suas 2ª e 3ª partes.
E
Totalmente correta.
A norma em questão é abrangente e se aplica a vários tipos de organização, tais como agências governamentais e organizações sem fins lucrativos.
C
Certo
E
Errado
Com base na NBR ISO/IEC n.º 27005, é correto afirmar que, na situação hipotética descrita no texto 4A04-I, ocorreu uma falha no ciclo de vida da gestão de risco, na fase
A
identificação do risco.
B
avaliação do risco.
C
definição do contexto do risco.
D
tratamento do risco.
E
comunicação e consulta do risco.
Gerar simulado