Seu próximo nível começa aqui
Com a Assinatura Ilimitada, você tem tudo que precisa para sua aprovação.
Com a Assinatura Ilimitada, você combina prática, teoria e método em uma única assinatura com tudo que você precisa para sua aprovação.
- Gran Questões
- Questões
Questões de Concurso sobre SGSI - Sistema de Gestão de Segurança da Informação
Disciplina
1
Assunto
4
Banca
Instituição
Cargo
Ano
Carreira
Área de formação
Escolaridade
Dificuldade
Comentários:
Professores
Alunos
Meus Comentários
Vídeo
Minhas questões:
Resolvidas
Não resolvidas
Certas
Erradas
Tipo de questão:
Certo e errado
Múltipla escolha
Incluir questões:
Anuladas
Desatualizadas
Questões:
Todas as questões
Filtro simplificado
Questões
Todas as questões
534
questões
encontradas
20
Mais recentes
O plano que delineia o processo pelo qual a empresa deverá passar para se recuperar de um desastre significativo é conhecido como:
A
plano de ataque.
B
PMBOK.
C
plano de continuidade do negócio.
D
gestão de ambientes lógicos.
E
plano de manutenção e metas.
A Norma ISO/IEC nº 27001 foi projetada para prover um modelo para estabelecer, implantar, operar, monitorar, rever, manter e melhorar um Sistema de Gestão da Segurança da Informação (Information Security Management System – ISMS). A norma tem compatibilidade com a ISO 9001 e a ISO 14001. Em termos operacionais, a norma é dividida em cinco grandes seções. Assinale a alternativa que apresenta duas características do sistema de gestão da segurança da informação.
A
Analisar e avaliar os riscos; e, aplicar lições aprendidas.
B
Estabelecer a política para o ISMS; e, assegurar que os objetivos e planos sejam estabelecidos.
C
Estar em conformidade com os requisitos de segurança da informação identificados; e, gerenciar os recursos do ISMS.
D
Comunicar a organização acerca da importância de atender a objetividade; e, prover recursos o suficiente para implementar, operar, monitorar, rever, manter e melhorar o ISMS.
E
Garantir que todo o pessoal envolvido com segurança da informação seja competente para desempenhar as atividades requeridas; e, implementar as melhorias identificadas no ISMS.
Na NBR ISO/IEC 27002:2005, afirma-se que convém que o responsável por assegurar que as informações e os ativos associados com os recursos de processamento da informação estejam adequadamente classificados seja o:
A
Auditor.
B
Gestor de Infraestrutura.
C
Proprietário do Ativo.
D
Gestor de Segurança da Informação.
E
Coordenador do Comitê de Segurança da Informação.
Com relação a um Sistema de Gestão da Segurança da Informação (SGSI), analise as afirmativas a seguir.
I. Os processos de um SGSI devem utilizar o modelo PDCA, segundo a norma ISO de implantação.
II. A implantação de um SGSI na sua organização é função dos profissionais de TI.
III. A política de segurança não integra o SGSI, devendo ser confeccionada em processo à parte.
Assinale:
A
se somente as afirmativas I e II estiverem corretas
B
se somente as afirmativas II e III estiverem corretas
C
se somente as afirmativas I e III estiverem corretas
D
se somente a afirmativa I estiver correta.
E
se somente a afirmativa II estiver correta.
Com relação à cláusula de Responsabilidades da Direção da norma ISO/IEC 27001, as alternativas a seguir apresentam ações relativas ao comprometimento da direção, à exceção de uma. Assinale‐a
A
Estabelecimento da política do SGSI.
B
Definição de critérios para aceitação de riscos e dos níveis de riscos aceitáveis.
C
Garantia de que as auditorias internas do SGSI sejam realizadas.
D
Condução de análises críticas do SGSI.
E
Manutenção da segurança adequada pela aplicação correta dos controles implementados.
Na NBR ISO/IEC 27002:2005, com relação ao tempo de duração de um Acordo de Confidencialidade, tem-se que:
A
obrigatoriamente dura 1 ano.
B
não pode durar menos que 5 anos.
C
não pode durar menos que 10 anos.
D
obrigatoriamente dura mais que 3 anos.
E
pode durar indefinidamente.
Na NBR ISO/IEC 27001:2006, define-se que o processo de seleção e implementação de medidas para modificar um risco é o(a):
A
Tratamento de risco.
B
Gestão de risco.
C
Classificação de risco.
D
Plano de ação de risco.
E
Mitigação de risco.
Com relação à clausula de Gestão de Incidentes de Segurança da Norma ISO/IEC 27002, assinale a afirmativa correta.
A
Não há previsão de controles para responsabilidades e procedimentos de gestão.
B
A coleta de evidências deve ocorrer após um incidente de segurança envolver uma ação legal.
C
Os eventos de segurança de informação devem ser relatados apenas quando confirmados, para evitar falsos positivos.
D
Está subdividida em três objetivos de controle.
E
Não se preocupa com os custos dos incidentes de segurança, que são tratados apenas na norma ISO/IEC 27001.
O Plano de Continuidade do Negócio - PCN consiste num conjunto de estratégias e procedimentos que devem ser adotados quando a organização depara-se com problemas que comprometem o andamento normal dos processos e a prestação dos serviços. Sobre o PCN, é INCORRETO afirmar:
A
Pode apresentar falhas quando testado, por isto deve ser testado regularmente, de forma a garantir sua permanente atualização e efetividade. Tais testes também devem assegurar que todos os envolvidos na recuperação e os alocados em outras funções críticas possuam conhecimento do Plano.
B
É de responsabilidade direta da área de TI, já que trata de um problema corporativo que envolve o estabelecimento de procedimentos que garantirão a sobrevivência da área de TI da organização e envolve definições relativas ao negócio.
C
Cada colaborador envolvido com o processo de continuidade de serviços, especialmente aqueles com responsabilidades específicas em caso de contingências, deve ter em mente as atividades que deve desempenhar em situações emergenciais. O treinamento deve ser teórico e prático, inclusive com simulações.
D
Mudanças que tenham ocorrido e que não estejam contempladas no PCN devem gerar atualizações. Quando novos requisitos forem identificados, os procedimentos de emergência relacionados devem ser ajustados de forma apropriada.
E
Pode ser testado na totalidade, caracterizando uma situação bem próxima da realidade; pode ser testado parcialmente, quando se restringem os testes a apenas um conjunto de procedimentos, atividades ou aplicativos componentes do Plano; ou, ainda, pode ser testado por meio de simulações, quando ocorrem representações de situação emergencial.
Todos os membros do ambiente de TI devem ficar atentos ao que fazer em caso de um incidente. A CSIRT (equipe de resposta a incidentes de segurança em computadores) desempenhará a maioria das ações em resposta a um incidente, mas todos da equipe devem examinar detalhadamente o plano de resposta a incidentes. Há várias medidas que podem ser seguidas para conter o dano e minimizar o risco no ambiente, EXCETO:
A
Caso o dano e o escopo de um incidente sejam muito amplos, pode ser necessário realizar uma ação que invoque as cláusulas penais especificadas nos contratos. Por isso é importante que as ações a serem realizadas em caso de um incidente sejam discutidas com antecedência e estejam descritas no plano de respostas.
B
Tentar impedir que os invasores saibam que a equipe está atenta às atividades deles. Isso pode ser difícil, pois algumas respostas essenciais podem alertá-los, mas é importante que seja tentado. Caso a invasão seja interna, por exemplo, uma reunião de emergência da CSIRT ou a solicitação de alteração imediata de todas as senhas poderia alertá-los.
C
Determinar o(s) ponto(s) de acesso usado(s) pelo invasor e implementar medidas que impeçam o acesso futuro. As medidas podem incluir: desabilitar um modem, adicionar entradas de controle de acesso a um roteador ou firewall ou aumentar as medidas de segurança física.
D
Considerar a criação de um sistema totalmente novo com novos discos rígidos, mudando todas as senhas. Neste caso os discos rígidos existentes devem ser removidos e armazenados, porque podem ser usados como evidência caso se opte por processar os invasores.
E
O sistema deve ser imediatamente desconectado da rede, antes mesmo de avaliar a gravidade do dano e os níveis de SLA. Depois deve-se comparar os custos de deixar os sistemas comprometidos offline com os riscos da continuidade das operações.
Para a NBR ISO/IEC 27001:2006, tem-se que um documento da política de segurança da informação deve ser aprovado pela direção, publicado e comunicado para todos os funcionários e partes externas relevantes. Isto é um(uma):
A
Objetivo de controle.
B
Basilar.
C
Ação essencial.
D
Controle.
E
Iniciativa de segurança da informação.
A NBR ISO/IEC 27001:2006 define integridade como
A
a propriedade de estar acessível e utilizável sob demanda por uma entidade autorizada.
B
a propriedade de salvaguarda da exatidão e completeza de ativos.
C
a propriedade na qual a informação não está disponível ou revelada a indivíduos, entidades ou processos não autorizados.
D
o risco remanescente após o tratamento de riscos.
E
qualquer coisa que tenha valor para a organização.
Criada para atender a todos os tipos de organizações, a NBR ISO/IEC 27001:2006
A
é um guia voltado para a implementação do sistema de gerenciamento de projetos da organização, com o objetivo de garantir que os requisitos do Cliente sejam atendidos dentro do prazo, custo e qualidade esperados.
B
é voltada para a implementação de um sistema de governança corporativa.
C
é voltada para a implantação do sistema de gestão de qualidade de uma organização com o objetivo de garantir foco no Cliente e melhoria contínua na execução dos processos.
D
define normas e procedimentos para o desenvolvimento iterativo de sistemas de software.
E
especifica os requisitos para estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar um Sistema de Gestão de Segurança da Informação (SGSI) documentado dentro do contexto dos riscos de negócios globais da organização.
A NBR 27001/2006 define requisitos de documentação para o SGSI, a qual deve incluir registros de decisões da direção, assegurar que as ações sejam rastreáveis e que os resultados registrados sejam reproduzíveis. Sobre a documentação no SGSI, considere as afirmativas a seguir.
I. Evita a existência de documentos de origem externa.
II. Assegura que as alterações e a situação da revisão atual dos documentos sejam identificadas.
III. Assegura que a distribuição de documentos seja controlada. IV. Previne o uso não intencional de documentos obsoletos.
Assinale a alternativa correta.
A
Somente as afirmativas I e II são corretas.
B
Somente as afirmativas I e IV são corretas.
C
Somente as afirmativas III e IV são corretas.
D
Somente as afirmativas I, II e III são corretas.
E
Somente as afirmativas II, III e IV são corretas.
A NBR 27001/2006 provê um modelo para especificar e implementar um Sistema de Gestão de Segurança da Informação (SGSI). Ela adota um modelo conhecido como Plan-Do-Check-Act (PDCA), que é aplicado para estruturar todos os processos do SGSI. Com relação às etapas do modelo PDCA, considere as afirmativas seguir.
I. Do implementa e opera a política, os controles, os processos e os procedimentos do SGSI.
II. Plan avalia e, quando aplicável, mede o desempenho de um processo frente à política, aos objetivos e à experiência prática do SGSI e apresenta os resultados para análise crítica pela direção.
III. Check estabelece a política, os objetivos, os processos e os procedimentos do SGSI relevantes para a gestão de riscos e a melhoria da segurança da informação para produzir resultados de acordo com as políticas e os objetivos globais de uma organização.
IV. Act executa as ações corretivas e preventivas, com base nos resultados da auditoria interna do SGSI e da análise crítica feita pela direção e em outras informações pertinentes, para alcançar a melhoria contínua do SGSI.
Assinale a alternativa correta.
A
Somente as afirmativas I e II são corretas.
B
Somente as afirmativas I e IV são corretas.
C
Somente as afirmativas III e IV são corretas.
D
Somente as afirmativas I, II e III são corretas.
E
Somente as afirmativas II, III e IV são corretas.
Ano:
2012
A Norma ABNT NBR ISO/IEC 27001:2006 traz em seu texto um item que trata diretamente da “Análise crítica do SGSI (Sistema de Gestão de Segurança da Informação)” pela direção, onde diz que “a direção deve analisar criticamente o SGSI da organização a intervalos planejados [...] para assegurar a sua contínua pertinência, adequação e eficácia” (ABNT NBR ISO/IEC 27001:2006, p. 11).
A partir de tal afirmação, analise os itens a seguir:
I. Modificação de procedimentos e controles que afetem a segurança da informação, quando necessário, para responder a eventos internos e externos que possam impactar no SGSI.
II. Técnicas, produtos ou procedimentos que podem ser usados na organização para melhorar o desempenho e a eficácia do SGSI.
III. Melhoria na verificação de como a eficácia dos controles está sendo medida.
IV. Atualização da análise/avaliação de riscos e do plano de tratamento de riscos.
V. Acompanhamento das ações oriundas de análises críticas anteriores pela direção.
Assinale a alternativa correta, que corresponde às ENTRADAS da análise crítica pela direção.
A
Somente I é verdadeira.
B
Somente III é verdadeira.
C
Somente IV é verdadeira.
D
Somente II e V são verdadeiras.
E
Somente I, III e IV são verdadeiras.
Com base na norma NBR 27001/2006, relacione os termos estabelecidos na coluna da esquerda com as definições na coluna da direita.
(I) Avaliação de Riscos.
(II) Gestão de Riscos.
(III) Análise de Riscos.
(IV) Incidente de Segurança da Informação.
(V) Evento de Segurança da Informação.
(A) Evento ou série de eventos de segurança da informação indesejados ou inesperados, que tenham grande probabilidade de comprometer as operações do negócio e ameaçar a segurança da informação.
(B) Ocorrência identificada de um estado de sistema, serviço ou rede, indicando possível violação da política de segurança da informação, ou falha de controles, ou situação previamente desconhecida, que possa ser relevante para a segurança da informação.
(C) Processo de comparar o risco estimado com critérios de risco predefinidos para determinar a importância do risco.
(D) Uso sistemático de informações para identificar fontes e estimar o risco.
(E) Atividades coordenadas para direcionar e controlar uma organização no que se refere a riscos.
Assinale a alternativa que contém a associação correta.
A
I-C, II-D, III-E, IV-B, V-A.
B
I-C, II-E, III-D, IV-A, V-B.
C
I-D, II-C, III-E, IV-B, V-A.
D
I-E, II-C, III-D, IV-B, V-A.
E
I-E, II-D, III-C, IV-A, V-B.
Como forma de estabelecer um controle mais adequado da segurança da informação, segundo a norma NBR/ISO/IEC 27002/2005, convém considerar os controles de acesso lógico e físico de forma conjunta. As regras e os direitos para cada usuário ou grupo de usuários devem estar claramente expressos na política de controle de acesso.
C
Certo
E
Errado
Na prática, os padrões 27001 e 27002 normalmente são usados em conjunto, embora seja possível o uso de outros controles de segurança da informação juntamente com o padrão 27001, até mesmo em substituição ao padrão 27002.
C
Certo
E
Errado
A organização deve fazer análises críticas com o objetivo de identificar tentativas e violações de segurança bem-sucedidas, sendo esta uma atividade verificada na fase check (checar).
C
Certo
E
Errado
Gerar simulado