Seu próximo nível começa aqui
Com a Assinatura Ilimitada, você tem tudo que precisa para sua aprovação.
Com a Assinatura Ilimitada, você combina prática, teoria e método em uma única assinatura com tudo que você precisa para sua aprovação.
- Gran Questões
- Questões
Questões de Concurso sobre SGSI - Sistema de Gestão de Segurança da Informação
Disciplina
1
Assunto
4
Banca
Instituição
Cargo
Ano
Carreira
Área de formação
Escolaridade
Dificuldade
Comentários:
Professores
Alunos
Meus Comentários
Vídeo
Minhas questões:
Resolvidas
Não resolvidas
Certas
Erradas
Tipo de questão:
Certo e errado
Múltipla escolha
Incluir questões:
Anuladas
Desatualizadas
Questões:
Todas as questões
Filtro simplificado
Questões
Todas as questões
534
questões
encontradas
20
Mais recentes
A fim de tratar os incidentes de segurança, a equipe de tratamento e resposta a incidentes nas redes computacionais de uma organização deve apresentar os serviços: resposta, triagem, coordenação de incidentes em redes computacionais e emissão de boletins de segurança.
C
Certo
E
Errado
Na especificação e na implementação do SGSI, devem-se considerar as necessidades, os objetivos e os requisitos de segurança da organização, mas elas não devem ser influenciadas por seu tamanho nem por sua estrutura.
C
Certo
E
Errado
Baseado nas normas ABNT NBR ISO/IEC 27001:2013 e ABNT NBR ISO/IEC 27002:2013, um analista de TI está definindo uma política de controle de acesso às informações e aos recursos de processamento de uma organização. Nesse contexto, estas normas recomendam que
A
os direitos de acesso dos funcionários às informações e aos recursos de processamento devem ser retirados quando o funcionário for desligado, mas não precisam ser ajustados se o funcionário mudar de cargo.
B
os proprietários de ativos devem analisar criticamente os direitos de acesso dos usuários em intervalos regulares.
C
um processo de registro e cancelamento de usuário, mesmo que informal, deve ser implementado para permitir atribuição de direitos de acesso.
D
os usuários recebam acesso às redes e aos serviços de redes que necessitarem e/ou quiserem utilizar.
E
uma política de controle de acesso deve ser estabelecida, documentada e analisada criticamente, baseada apenas nos requisitos de segurança da informação.
O Act (agir), do modelo PDCA, aplicado aos processos do sistema de gestão de segurança da informação (SGSI), é responsável por implementar e operar a política, os controles, os processos e os procedimentos do SGSI.
C
Certo
E
Errado
O modelo de qualidade da ISO/IEC 25010:2011 define um conjunto de oito características internas e externas de produtos de software. A característica de confiabilidade refere-se, dentre outras coisas, ao quanto
A
o software gera resultados de consultas corretos e precisos de acordo com sua função.
B
o software foi projetado para evitar que os usuários cometam erros que travem o sistema.
C
o software está operacional e disponível para uso, quando necessário.
D
as informações e funções do sistema são acessíveis por quem tem a devida autorização.
A ISO/IEC 27002 surgiu em 2005 e veio como uma atualização do padrão ISO 17799, onde originariamente era chamada ISO 17799:2005 e, posteriormente, teve seu nome modificado para ISO/IEC 27002:2005, em 2007. Essa norma fornece para as organizações, as melhores recomendações, melhores práticas de gerenciamento de segurança da informação. Sabe‐se que a segurança da informação é baseada no tripé: Disponibilidade, Integridade e Confiabilidade. Entretanto, com essa norma a ISO acrescentou duas novas seções, reorganizou outras, dividindo o novo padrão em 12 seções principais. Uma dessas seções é responsável pela declaração de orientação gerencial. Assinale a alternativa correta acerca dessa seção.
A
Política de segurança.
B
Organização de segurança da informação.
C
Gerenciamento de comunicações e operações.
D
Gerenciamento e manutenção de aquisição de sistemas de informação.
Em relação à ISO 27002:2005, sobre a gestão de ativos, são exemplos de ativos intangíveis:
A
Aquecimento e iluminação.
B
Ferramentas de desenvolvimento e utilitários.
C
Mídias removíveis e outros equipamentos.
D
Pessoas e suas qualificações.
E
Reputação e imagem da organização.
A fase “Definindo o SGSI” da norma ABNT NBR ISO/IEC 27003:2011 tem como objetivo completar o plano final de implantação do SGSI por meio da definição da segurança da organização com base nas opções de tratamento de risco selecionadas e nos requisitos de registros e documentação, definição dos controles pela integração com as provisões de segurança para TIC, infraestrutura e processos organizacionais, e definição dos requisitos específicos do SGSI. Nesta fase, na atividade de definição de uma estrutura para a documentação do SGSI, a saída é um documento
A
resumindo os requisitos para os registros do SGSI e do controle da documentação, e repositórios e modelos para os registros necessários do SGSI.
B
da Política da Segurança da Informação e do Plano de Continuidade de Negócios.
C
que detalha um plano de implementação estruturado para os controles relacionados à segurança da organização como parte do plano final do projeto do SGSI.
D
resumindo a estrutura da organização, papéis e responsabilidades para a segurança da informação alinhadas com o tratamento de risco.
E
que resume o plano necessário para realizar uma análise crítica pela direção incluindo entradas e procedimentos exigidos para executar a análise crítica, aspectos de auditorias, controle e medição.
O tratamento de incidentes possui componentes relativos aos serviços reativos que um CSIRT (Computer Security Incident Response Team) pode prestar, quais sejam:
I. Estudar a fundo um incidente informado ou uma atividade observada para determinar o escopo, prioridade e ameaça representada pelo incidente, bem como pesquisar acerca de possíveis estratégias de ações e erradicação.
II. Pesquisar e elaborar recomendações e aplicar as ações adequadas para a recuperação, contenção e prevenção de incidentes.
III. Servir como um ponto central de contato para receber informes de incidentes locais. Isto permite que todas as atividades e os incidentes reportados sejam coletados em um único local.
Os componentes do tratamento de incidentes descritos em I, II e III correspondem, correta e respectivamente, a
A
análise do incidente, resposta ao incidente e notificação do incidente.
B
recepção do incidente, recomendações para o incidente e resposta ao incidente.
C
notificação do incidente, análise do incidente e resposta ao incidente.
D
verificação do incidente, mitigação do incidente e análise do incidente.
E
resposta ao incidente, notificação do incidente e análise do incidente.
A diferença básica entre análise de impacto no negócio (AIN) e avaliação de risco está no uso da probabilidade. Em ambos os casos, analisa-se o impacto; na avaliação de risco, mensura-se a probabilidade; na AIN, mensura-se o tempo máximo de parada dos processos críticos.
C
Certo
E
Errado
Um dos objetivos das auditorias internas do SGSI é determinar se seus controles são executados conforme esperado.
C
Certo
E
Errado
Em relação à norma ISO 27001:2006, o controle que especifica que todos os ativos devem ser identificados e que uma “lista” com todos os ativos importantes deve ser estruturada e mantida está relacionado com:
A
Inventário dos ativos.
B
Proprietário dos ativos.
C
Recomendações para classificação.
D
Rótulos e tratamento da informação.
E
Uso aceitável dos ativos.
Segundo a norma ISO/IEC 17799, a informação, para receber um nível adequado de proteção, deve ser classificada de acordo com o seu valor, requisitos legais, sensibilidade e criticidade para a organização. Além da classificação inicial, a informação poderá ser reclassificada ao longo do tempo, com base em políticas predeterminadas.
C
Certo
E
Errado
A Gestão da Segurança da Informação tem como objetivos planejar, executar e monitorar as atividades dos Sistemas de Informação, com aplicação de processos de melhoria contínua. A metodologia de Gestão de Segurança da Informação tem como base o ciclo PDCA (Plan – Do – Check – Act, ou seja, Planejar, Fazer, Chegar, Agir), conforme estabelecido pela ISO/IEC 27001:2006. Entretanto, com a evolução do mercado, devido a muitas variáveis, esse ciclo teve uma evolução natural e passou a ser conhecido como PDCL (Plan – Do – Check – Learn, ou seja, Planejar, Fazer, Chegar, Aprender). Assinale a alternativa que apresenta uma característica da fase Aprender.
A
Obter aprovação do Comitê de SI quanto aos riscos residuais.
B
Identificar incidentes de SI e verificar como foi o seu tratamento.
C
Assegurar‐se de que as melhorias implementadas atinjam os objetivos pretendidos.
D
Implantar um escritório e segurança da Informação para gerenciar a execução das ações.
A implantação de uma política de segurança da informação deve definir, entre outras coisas, as regras de acesso aos ativos informacionais com base na sensibilidade da informação. É fator determinante da classificação da sensibilidade
A
o tempo de vida útil da informação.
B
o processo de negócio da organização que utiliza a informação.
C
o escalão do usuário que alimentou a informação.
D
o escalão do usuário que usará a informação.
E
a quantidade de vezes que a informação é acessada.
Um analista de TI está utilizando a norma ABNT NBR ISO/IEC 27004:2010 para obter informações sobre as medidas e atividades de medição relacionadas à segurança da informação. Para desenvolver as medidas e medições necessárias para avaliar a eficácia dos requisitos do SGSI para a gestão de controles de segurança da informação no projeto em que está trabalhando, o analista consultou a seção 7 da norma para descobrir as atividades sugeridas para serem estabelecidas e documentadas no desenvolvimento das medidas e medições. Nesse contexto, considere as atividades abaixo.
1. Definir o escopo da medição.
2. Identificar a necessidade de informação.
3. Selecionar o objeto de medição e seus atributos.
4. Relacionar atividades e riscos com os atributos de medição.
5. Estabelecer a abordagem de implementação da medição e documentação.
6. Desenvolver e aplicar os modelos de medição.
7. Validar e autorizar as medidas e medições propostas.
8. Estabelecer a coleta de dados e processos de análise e ferramentas.
9. Avaliar e classificar os resultados da aplicação das medidas e medições.
As atividades que a norma sugere são APENAS as que constam em 1,
A
3, 4, 5, 6, 7 e 9.
B
2, 3, 5, 6 e 8.
C
3, 4, 7 e 8.
D
3, 4, 6 e 7.
E
2, 5, 7, 8 e 9.
As políticas de segurança da informação corporativas devem refletir os objetivos e princípios de segurança da organização que servirão como base para a aplicação de controles destinados a reduzir os riscos de fraudes e erros.
C
Certo
E
Errado
Papéis e responsabilidades, devolução de ativos e retirada de direitos de acesso são objetivos da NBR ISO/IEC nº 27002, os quais se encontram dispostos na seção
A
conformidade.
B
controle de acessos.
C
segurança física do ambiente.
D
segurança em recursos humanos.
E
gerenciamento de operações e comunicações.
Existem normas e padrões internacionais para melhorar a gestão da segurança da informação. Assinale a alternativa que indica a norma NBR ISSO/IEC que é conhecida como o código de boas práticas em segurança da informação e que vem substituir a norma NBR ISSO/IEC 17799:2005.
A
27001.
B
27003.
C
27002.
D
17800.
E
17801.
A NBR ISO/IEC nº 27002 está estruturada em diversas seções, como, por exemplo, a gestão de incidentes de segurança da informação, que apresenta o seguinte objetivo:
A
Responsabilidades e procedimentos.
B
Recomendações para a classificação da informação.
C
Documento da política de segurança da informação.
D
Análise crítica da política de segurança da informação.
E
Comprometimento da direção com a segurança da informação.
Gerar simulado