Seu próximo nível começa aqui
Com a Assinatura Ilimitada, você tem tudo que precisa para sua aprovação.
Com a Assinatura Ilimitada, você combina prática, teoria e método em uma única assinatura com tudo que você precisa para sua aprovação.
- Gran Questões
- Questões
Questões de Concurso sobre SGSI - NBR ISO/IEC 27005
Disciplina
1
Assunto
1
Banca
Instituição
Cargo
Ano
Carreira
Área de formação
Escolaridade
Dificuldade
Comentários:
Professores
Alunos
Meus Comentários
Vídeo
Minhas questões:
Resolvidas
Não resolvidas
Certas
Erradas
Tipo de questão:
Certo e errado
Múltipla escolha
Incluir questões:
Anuladas
Desatualizadas
Questões:
Todas as questões
Filtro simplificado
Questões
Todas as questões
272
questões
encontradas
20
Mais recentes
Manter e melhorar o processo de gestão de riscos da segurança da informação está alinhado com a fase verificar do SGSI.
C
Certo
E
Errado
Segundo a norma ABNT NBR ISO/IEC 27005:2011, a atividade de tratamento de risco, dentro do processo de gestão de riscos de segurança da informação, considera como opções de tratamento do risco:
A
modificação do risco, retenção do risco, ação de evitar o risco e compartilhamento do risco.
B
análise do risco, classificação do risco, eliminação do risco e registro de resolução do risco.
C
assumir o risco, evitar o risco, eliminar o risco e ignorar o risco.
D
delegação do risco, absorção do risco, eliminação do risco e integração do risco.
E
planejar ações para conter o risco, executar ações para eliminar o risco, registrar ações de aprendizado com o risco e implementar ações para evitar a recorrência do risco.
O efeito da incerteza sobre os objetivos consiste em
A
ameaça.
B
vulnerabilidade.
C
consequência.
D
risco.
E
probabilidade.
A respeito de Gestão de Riscos, considere as seguintes assertivas, segundo a ABNT NBR ISO/IEC 27005:
I. O risco remanescente, após ser devidamente tratado, é chamado de risco contínuo.
II. A avaliação de riscos, sendo satisfatória, possibilita a implementação de controles na atividade "Tratamento de riscos", para reduzir, reter, evitar ou transferir riscos.
III. O processo de comparar os resultados da análise de riscos com os critérios de risco para determinar se o risco e/ou sua magnitude é aceitável ou tolerável chama-se avaliação de riscos.
Quais estão corretas?
A
Apenas II.
B
Apenas III.
C
Apenas I e II.
D
Apenas II e III.
E
I, II e III.
No que se refere à segurança da informação, segundo a norma ISO/IEC 27005:2019, existem quatro opções disponíveis para o tratamento de risco: modificação do risco, exclusão do risco, ação de evitar o risco e compartilhamento do risco.
C
Certo
E
Errado
Segundo a NBR ISO/IEC 27005, no processo de gestão de riscos da segurança da informação, a definição dos critérios de avaliação de riscos é realizada na atividade
A
definição do contexto.
B
identificação de riscos.
C
análise de riscos.
D
avaliação de riscos.
E
tratamento do risco.
De acordo com a NBR ISO/IEC n.º 27005:2011, o processo para gestão de riscos de segurança da informação consiste em uma série de etapas, e a primeira delas é
A
definir o contexto.
B
avaliar os riscos.
C
tratar os riscos.
D
aceitar as oportunidades.
E
monitorar os riscos.
A Norma NBR ISO/IEC 27005 (Tecnologia da Informação – Técnicas de segurança – Gestão de riscos da segurança da informação) define, em sua seção de termos e definições, o risco residual como sendo
A
a magnitude do risco, considerando as consequências e suas probabilidades.
B
o risco remanescente após o tratamento do risco inicialmente observado.
C
o processo de compreender a natureza do risco.
D
o processo global de identificação, análise e avaliação de riscos.
E
o processo de busca, reconhecimento e descrição de riscos.
A Norma ISO 27005 fornece diretrizes para o processo de Gestão de Riscos de Segurança da Informação de uma organização. Em relação aos termos e às definições da Norma ISO 27005, numerar a 2ª coluna de acordo com a 1ª e, após, assinalar a alternativa que apresenta a sequência CORRETA:
(1) Comunicação do risco.
(2) Estimativa de riscos.
(3) Transferência do risco.
(4) Retenção do risco.
( ) Aceitação do ônus da perda ou do benefício do ganho associado a um determinado risco.
( ) Troca ou compartilhamento de informação sobre risco entre o tomador de decisão e outras partes interessadas.
( ) Processo utilizado para atribuir valores à probabilidade e às consequências de um risco.
( ) Compartilhamento com uma outra entidade do ônus da perda ou do benefício do ganho associado a um risco.
A
4 - 1 - 2 - 3.
B
1 - 2 - 3 - 4.
C
2 - 3 - 4 - 1.
D
3 - 4 - 1 - 2.
Em conformidade com a ISO 27005 - Gestão de Riscos em TI, numerar a 2ª coluna de acordo com a 1ª e, após, assinalar a alternativa que apresenta a sequência CORRETA:
(1) Riscos de segurança da informação.
(2) Impacto.
(3) Ação de evitar o risco.
(---) Mudança adversa no nível obtido dos objetivos de negócios.
(---) Decisão de não se envolver ou agir de forma a se retirar de uma situação de risco.
(---) A possibilidade de uma determinada ameaça explorar vulnerabilidades de um ativo ou de um conjunto de ativos, prejudicando a organização.
A
2 - 1 - 3.
B
1 - 3 - 2.
C
1 - 2 - 3.
D
2 - 3 - 1.
E
3 - 2 - 1.
Em relação ao disposto na ISO 27005 - Gestão de Riscos em TI, analisar a sentença abaixo:
Convém que o contexto para gestão de riscos de segurança da informação seja estabelecido, o que envolve a definição dos critérios básicos necessários para a gestão de riscos de segurança da informação, a definição do escopo e dos limites e o estabelecimento de uma organização apropriada para operar a gestão de riscos de segurança da informação (1ª parte). É essencial determinar o propósito da gestão de riscos de segurança da informação, pois ele afeta o processo em geral e a definição do contexto em particular. Esse propósito pode ser, entre outros, a conformidade legal e a evidência da realização dos procedimentos corretos (2ª parte). Convém que a organização avalie se os recursos necessários estão disponíveis para, por exemplo, executar a análise/avaliação de riscos e estabelecer um plano de tratamento dos mesmos (3ª parte).
A sentença está:
A
Totalmente correta.
B
Correta somente em sua 1ª parte.
C
Correta somente em sua 2ª parte.
D
Correta somente em sua 3ª parte.
E
Totalmente incorreta.
A Norma NBR ISO/IEC 27005 (Tecnologia da Informação – Técnicas de segurança – Gestão de riscos da segurança da informação) estabelece como uma das entradas, em sua seção de Identificação dos Ativos,
A
a lista de componentes, incluindo seus responsáveis.
B
as informações sobre ameaças.
C
o plano de tratamento do risco.
D
uma lista de cenários de incidentes relevantes.
E
uma lista de riscos com prioridades.
Considerando a norma ABNT NBR ISSO/IEC 27005:2011, relacione as quatro fases do Sistema de Gestão da Segurança da Informação (SGSI) às atividades de Gestão de Riscos de Segurança da Informação, relevantes para cada fase do SGSI.
1. Planejar
2. Executar
3. Verificar
4. Agir
( ) Processo de avaliação de riscos
( ) Monitoramento contínuo e análise crítica de riscos
( ) Implementação do plano de tratamento do risco
( ) Manter e melhorar o processo de Gestão de Riscos de Segurança da Informação
Assinale a opção que apresenta a relação correta, segundo a ordem apresentada.
A
1, 2, 3 e 4.
B
1, 3, 2 e 4.
C
2, 1, 4 e 3.
D
2, 3, 1 e 4.
E
4, 3, 1 e 2.
Sobre gestão e análise de Riscos de TI, com base na norma ABNT NBR ISO/IEC 27005:2011, analise as afirmativas a seguir.
I. Requisitos regulatórios são irrelevantes ao avaliar os riscos de segurança da informação na organização.
II. As expectativas e percepções das partes interessadas devem ser consideradas ao estabelecerem os critérios para avaliação de riscos.
III. A análise de riscos deve ser empreendida independentemente da criticidade dos ativos.
Está correto o que se afirma em:
A
somente I;
B
somente II;
C
somente III;
D
somente II e III;
E
I, II e III.
De acordo com a norma ABNT NBR ISO/IEC 27005:2011, as quatros opções disponíveis para o tratamento do risco são:
A
antecipar, adiar, evitar, ignorar;
B
modificar, reter, evitar, compartilhar;
C
modificar, reparar, aceitar, impedir;
D
antecipar, reter, aceitar, compartilhar;
E
antecipar, reparar, evitar, impedir.
A Norma ABNT NBR ISO/IEC 27005:2011 recomenda que o processo de avaliação de riscos de segurança da informação receba como entrada
A
os critérios básicos, o escopo e os limites da avaliação de riscos e a organização do processo de gestão de riscos de segurança da informação que se está definindo.
B
a relação de riscos identificados e as ações para responder adequadamente a cada risco de segurança da informação.
C
a relação de riscos identificados, a probabilidade de cada risco ocorrer, o impacto de cada risco no negócio e as ações para mitigar estes riscos.
D
o plano de tratamento de riscos, o plano de continuidade de negócios e a política de segurança da informação.
E
o escopo da avaliação de riscos, a matriz de probabilidade e impacto de cada risco e o termo de ciência da alta direção em relação aos riscos.
De acordo com a norma ABNT NBR ISSO/IEC 27005:2011, a opção
de tratamento de um risco identificado que gerencia seu nível
através da inclusão, exclusão ou alteração de controles para uma
avaliação de seu resíduo e possível aceitação, é realizada na
atividade de
A
retenção do risco.
B
análise de risco.
C
ação de evitar o risco.
D
compartilhamento do risco.
E
modificação do risco.
Considere que um Técnico participa da equipe de Gerenciamento de Riscos da empresa. Na etapa de identificação de ameaças/ riscos dois grandes grupos foram definidos, nos quais 8 grandes riscos foram identificados:
Grupo 1: Reservação de Água
1. ..I....
2. Insuficiência de reservação
3. Falha dos equipamentos e instalações operacionais
4. .II...
Grupo 2: Operação do Sistema de Distribuição
5. Comprometimento da qualidade da água distribuída
6. III...
7. Falha dos equipamentos e instalações operacionais
8. Indisponibilidade de energia elétrica
Com base no exposto acima, é correto afirmar que
A
não é possível que haja riscos em comum nos dois grupos, portanto, há falha na identificação dos riscos.
B
II não pode ser preenchido com Indisponibilidade de energia elétrica.
C
I pode corresponder à Contaminação da água tratada e III à Rompimentos ou danos à rede de distribuição.
D
a causa (ou fator de risco) da ameaça 2 é unicamente devida a fatores climáticos.
E
uma causa (ou fator de risco) da ameaça 5 pode ser aumento anormal da demanda.
A norma ISO ABNT NBR ISO/IEC 27005:2011, em seu
Anexo E, sugere abordagens para o processo de avaliação
de riscos de segurança da informação. O método de
ordenação de ameaças, em função dos riscos, é baseado
em uma tabela ou matriz em que são listadas todas as
ameaças e, para cada uma delas, avaliam-se numericamente
______________ e ___________. É realizado
____________ destes dois valores de modo a se obter
a medida do risco, possibilitando que as ameaças
sejam ordenadas segundo o seu nível de risco.
Assinale a alternativa que completa, correta e respectivamente,
as lacunas do texto acima.
A
a facilidade de exploração da ameaça – a probabilidade
de cenário de incidente – o produto
B
o valor do ativo – o impacto ao negócio – o somatório
C
o impacto ao negócio – a facilidade de exploração
da vulnerabilidade – o somatório
D
o nível da vulnerabilidade – a facilidade de exploração
da ameaça – o produto
E
o valor da consequência (do ativo) – a probabilidade
de ocorrência da ameaça – o produto
De acordo com a norma ISO ABNT NBR ISO/IEC
27005:2011, é correto afirmar que:
A
o processo de identificação de ativos deve limitar-se
ao escopo estabelecido para a gestão de riscos.
B
considerando a natureza estática dos riscos, a
revisão dos mesmos somente será necessária no
caso de inclusão de novos ativos no escopo da
gestão de riscos.
C
a presença de vulnerabilidades, por si só, requer a
previsão de controles para a mitigação dos riscos.
D
as informações sobre riscos devem ser protegidas
e restritas ao tomador de decisão e à equipe
técnica de análise de riscos.
E
a metodologia de análise de riscos deve ser
quantitativa, de modo a serem utilizados valores
numéricos para os riscos.
Gerar simulado