Questões de Concurso sobre SGSI - Sistema de Gestão de Segurança da Informação

A classificação da informação pode ocorrer em diversos níveis e aspectos, para garantia tanto da confidencialidade quanto da integridade e disponibilidade da informação.

Dadas as afirmativas sobre o propósito geral da ISO/IEC 27001:2013 dentro de um Sistema de Gestão de Segurança da Informação (SGSI),

-

I. Especifica um conjunto de diretrizes para estabelecer, implementar, manter e melhorar continuamente um SGSI, dentro de um contexto regional ou em um conjunto de organizações de um mesmo segmento.

II. A norma também apresenta requisitos para a avaliação e tratamento de riscos de segurança da informação voltados para as necessidades da organização.

III. Especifica um conjunto de requisitos genéricos, que podem ser aplicáveis a todas as organizações, independentemente do tipo, tamanho ou natureza.

-

verifica-se que está(ão) correta(s) apenas

De acordo com a Norma NBR ISO/IEC n.º 27002, na definição de políticas de segurança da organização, devem ser contemplados requisitos oriundos

No contexto do plano de continuidade de negócio de TI, a estratégia de continuidade de negócio define a criticidade dos processos de negócio, suas prioridades de recuperação, interdependências e os requisitos de segurança da informação e comunicações para que os objetivos de recuperação sejam atendidos nos prazos estabelecidos.

Conforme a NBR ISO/IEC 27002, convém que o critério para segregação de redes em domínios seja baseado na avaliação de requisitos de segurança da informação, como a política de controle de acesso, o valor e a classificação da informação processada.

Um sistema seguro depende da atuação de todos os atores envolvidos. Uma boa prática é a elaboração de um plano de gestão de incidentes. A respeito da segurança em redes de computadores e da prevenção e tratamento de incidentes, dadas as afirmativas,

-

I. Incidente é qualquer evento adverso que esteja relacionado à segurança das redes, seja ele confirmado ou sob suspeita.

II. Também é papel do firewall impedir que o computador envie software mal-intencionado.

III. O controle de acesso não é considerado um tipo de proteção de segurança de rede.

-

verifica-se que está(ão) correta(s) apenas

Em relação a políticas de Gestão de Senhas, analise as seguintes afirmativas.

1) Uma recomendação importante dentro de políticas de Gestão de Senhas é utilizar a mesma senha para todos os serviços utilizados, pois isto facilita a memorização por parte dos usuários.

2) Na construção da senha, o usuário deve evitar o uso de palavras que fazem parte de bases de dados publicamente conhecidas, como palavras de dicionários.

3) Uma vez que o usuário tenha definido uma senha forte, não se recomenda mais trocar esta senha no futuro.

4) O uso de caracteres especiais, como ponto de exclamação, ajuda a melhorar o nível de segurança da senha, e diminui a chance de sucesso de ataques de força bruta na mesma.

Estão corretas, apenas:

No nível superior da organização, deve existir uma política de segurança da informação generalizada, conforme especificado na ISO/IEC 27001:2013.

Para controlar o acesso aos ativos de informação, é conveniente que os requisitos comerciais de controle de acesso da organização sejam claramente documentados em uma política e nos procedimentos de controle de acesso.

A Norma ABNT NBR ISO/IEC 27000 inicia uma família de normas com foco na segurança da informação, trazendo como pilares a confidencialidade, disponibilidade e integridade dos dados. Na continuidade dela vem a ABNT NBR ISO/IEC 27002, que apresenta práticas de controle de segurança da informação, com guia de padronização organizacional de segurança da informação, incluindo seleção, implementação e gestão de controles nas organizações, considerando o risco de segurança nos ambientes. Nessa norma, há controles para especificação e análise de requisitos de segurança da informação para aquisição, desenvolvimento e manutenção de sistemas, considerando que vários métodos sejam utilizados na identificação desses requisitos. Com isso, assinale a opção incorreta quanto as diretrizes para implementação desses controles a fim de garantir a segurança da informação na aquisição, desenvolvimento ou manutenção de sistemas.

Analise as afirmativas a seguir sobre a norma NBR ISO/IEC 27701:

I. Essa norma indica que o termo “segurança da informação”, usado na norma NBR ISO/IEC 27001, deva ser considerado como “segurança da informação e privacidade”.

II. A norma coloca como conveniente a existência um ponto de contato para ser usado pelo cliente, em relação ao tratamento de dados pessoais.

III. De acordo com a norma, a ocorrência de um evento de segurança da informação implica necessariamente em uma probabilidade alta de acesso não autorizado a dados pessoais, sensíveis ou não.

Está correto apenas o que se afirma em

Através de uma Política de Segurança da Informação (PSI), a empresa formaliza suas estratégias e abordagens para a preservação de seus ativos. Sobre a PSI, assinale a alternativa CORRETA:

A norma ABNT NBR ISO/IEC 27002:2013, que tem como propósito servir como referência na implementação e no desenvolvimento de um sistema de gestão de segurança da informação (SGSI), é considerada uma norma completa e ampla que esgota as necessidades de todas as empresas, não sendo necessário que estas realizem adaptações.

De acordo com essa norma, deve-se assegurar a seleção adequada dos recursos humanos, com vistas às suas referências pessoais e profissionais, incluindo uma verificação destas e de sua documentação.

A equipe de Tecnologia da Informação (TI) de um órgão público está implementando uma solução de TI para atender requisitos de segurança e privacidade dos dados pessoais em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD). Adicionalmente, a equipe passou a adotar controles de segurança do CIS v8 (Center for Internet Security, Inc.) para mitigar os tipos de ataques cibernéticos mais conhecidos. Para reforçar o trabalho associado à LGPD, a equipe de TI identificou e começou a implementar um controle de segurança do CIS v8 que auxilia na mitigação de violação de dados, garantindo privacidade e integridade das informações sensíveis e pessoais.

O controle de segurança do CIS v8 implementado pela equipe de TI é a:

Conforme o princípio conhecido como auditoria, previsto na ABNT NBR ISO/IEC 27002:2013, convém impedir que uma única pessoa possa acessar e modificar ativos sem a devida autorização, determinando que o início de um evento seja separado de sua autorização.

Definir políticas, regras e práticas para orientar os processos de segurança é uma das ações que devem ser executadas na etapa de preparação do processo de tratamento de incidentes, etapa essa que ocorre antes mesmo de o ataque acontecer.

Sobre as ISO/IEC 27001 e ISO/IEC 27002 para Gestão de Segurança da Informação, analise as afirmações a seguir.

I - ISO/IEC 27002 é a norma que define os requisitos para um Sistema de Gestão da Segurança da Informação (SGSI). O SGSI inclui estrutura organizacional, políticas, atividades de planejamento, responsabilidades, práticas, procedimentos, processos e recursos, sendo descrito como um sistema parte do sistema de gestão global da organização, com base em uma abordagem de risco do negócio, para estabelecer, implementar, operar, monitorar, revisar, manter e melhorar a segurança da informação.

II - ISO/IEC 27001 é a norma que define os requisitos para um Sistema de Gestão da Segurança da Informação (SGSI). O SGSI inclui estrutura organizacional, políticas, atividades de planejamento, responsabilidades, práticas, procedimentos, processos e recursos, sendo descrito como um sistema parte do sistema de gestão global da organização, com base em uma abordagem de risco do negócio, para estabelecer, implementar, operar, monitorar, revisar, manter e melhorar a segurança da informação.

III - ISO/IEC 27001 é um código de práticas com um conjunto completo de controles (técnicos) que auxiliam a aplicação do Sistema de Gestão da Segurança da Informação (SGSI). É recomendável que a norma seja utilizada em conjunto com outras normas da família ISO 27000, mas pode ser também consultada de forma independente, com fins de adoção das boas práticas. Essa é a única norma em gestão da segurança para a qual existem certificações profissionais.

IV - ISO/IEC 27002 é um código de práticas com um conjunto completo de controles (técnicos) que auxiliam a aplicação do Sistema de Gestão da Segurança da Informação (SGSI). É recomendável que a norma seja utilizada em conjunto com a ISO 27001, mas pode ser também consultada de forma independente, com fins de adoção das boas práticas. Essa é a única norma em gestão da segurança para a qual existem certificações profissionais.

Estão corretas, apenas, as assertivas:

Conforme a ABNT NBR ISO 22301:2020, a necessidade de a organização possuir procedimentos documentados para restaurar e retornar as atividades de negócios a partir das medidas temporárias adotadas durante e após uma disrupção está diretamente relacionada

Segundo a norma ABNT NBR 27035-3:2021, as fases do processo de operação de resposta a incidentes incluem operações para identificação, avaliação e qualificação de incidentes, coleta de inteligência de ameaças, contenção, erradicação e recuperação de incidentes, análise de incidentes e