Questões de Concurso sobre SGSI - Sistema de Gestão de Segurança da Informação

A Norma ISO/IEC 27.002 especifica quais controles criptográficos podem ser utilizados para alcançar diferentes objetivos de segurança da informação. Assinale a alternativa correspondente ao controle que utiliza técnicas de criptografia para fornecer evidência da ocorrência ou não ocorrência de um evento ou de uma ação.

A norma ISO 27002 visa estabelecer diretrizes e princípios gerais para iniciar, implementar, manter e melhorar a gestão de segurança da informação em uma empresa. Além disso, ela inclui a seleção, a implementação e o gerenciamento de controles, considerando os ambientes de risco encontrados em uma empresa. São considerados benefícios dessa normativa, EXCETO:

Uma das formas de assegurar a proteção da informação é através de uma Política de Segurança da Informação. Possui como objetivo prover orientação e apoio a todos os ativos da organização, de acordo com os requisitos de negócio e com as leis regulamentadoras pertinentes. Sobre a Segurança da Informação, analise as afirmativas a seguir.

I. Ao interconectar redes públicas e privadas, o acesso aos recursos de informações compartilhados aumenta a dificuldade de se controlar. Instalar e utilizar antivírus é uma forma de ação preventiva que pode eliminar completamente a insegurança de ataques à rede.

II. Uma Política de Segurança da Informação é adquirida a partir da implementação de controles adequados. Os recursos e as instalações de processamento de informações devem ser mantidos em áreas seguras, incluindo políticas segurança, procedimentos, estruturas organizacionais e funções de software e hardware com barreiras de segurança apropriadas e controle de acesso.

III. Uma Política de Segurança da Informação é um manual de procedimentos que atribuem controles de segurança que precisam ser estabelecidos, implementados, monitorados e analisados para garantir que os objetivos do negócio sejam atendidos. Caso não existam regras preestabelecidas, a segurança se tornará inconsistente.

IV. Uma Política de Segurança da Informação bem estruturada com procedimentos de controle adequados é importante para os negócios, tanto do setor público quanto do setor privado para proteger as infraestruturas críticas.

Está correto o que se afirma apenas em

Políticas de segurança definem os direitos e as responsabilidades de cada um em relação à segurança dos recursos computacionais que utiliza e as penalidades às quais está sujeito, caso não as cumpram (Cartilha de Segurança da Internet, 2012). Sobre os tipos de políticas de segurança, marque V para as afirmativas verdadeiras e F para as falsas.

( ) Política de confidencialidade: não define como são tratadas as informações institucionais, ou seja, se elas podem ser repassadas a terceiros.

( ) Política de senhas: define as regras sobre o uso de senhas nos recursos computacionais, como tamanho mínimo e máximo, regra de formação e periodicidade de troca.

( ) Política de privacidade: define como são tratadas as informações pessoais, sejam elas de clientes, usuários ou funcionários.

( ) Política de uso aceitável: não define as regras de uso dos recursos computacionais, os direitos e as responsabilidades de quem os utiliza e as situações que são consideradas abusivas.

( ) Política de backup: define as regras sobre a realização de cópias de segurança, como tipo de mídia utilizada, período de retenção e frequência de execução.

A sequência está correta em

Saídas de sistemas que fornecem informações classificadas como críticas devem receber rótulo apropriado na classificação da informação.

Segundo a Norma ISO/IEC 27002, segurança da informação é definida como sendo a preservação da confidencialidade, da integridade e da disponibilidade da informação. Considerando os conceitos abordados nesta normativa, assinale a afirmativa correta.

De acordo com a Norma ISO/IEC 27.001/2013, a gerência superior deve demonstrar liderança e comprometimento com o gerenciamento da segurança da informação. A esse respeito, assinale a alternativa que apresenta uma demonstração desse tipo de liderança e de comprometimento.

A norma ABNT NBR ISO/IEC 27002:2013 (Tecnologia da informação – Técnicas de segurança – Código de prática para controles de segurança da informação) estabelece, em seu Capítulo 9, condições para um sistema de gerenciamento de senha, contendo, explicitamente, como diretriz

Uma empresa de consultoria foi chamada para implementar o processo de gestão de risco, com atividades coordenadas para dirigir e controlar o risco de uma organização. Nesta tarefa, essa empresa de consultoria deve aplicar os itens de uma norma NBR-ISO específica. Para essa situação, a norma NBR-ISO a ser utilizada é a:

Segundo a norma ABNT NBR ISO/IEC 27001:2013, quem deve estabelecer a política de segurança da informação, atribuir responsabilidades e autoridade para assegurar que o Sistema de Gestão da Segurança da Informação (SGSI) esteja em conformidade com os requisitos dessa norma e, ainda, relatar sobre o desempenho do sistema de gestão da segurança da informação é

A integridade é uma propriedade que visa aplicar conhecimentos e habilidades para garantir a assinatura digital.

Sobre a política de segurança da informação de uma organização, é INCORRETO afirmar que:

Para o registro de todos os acessos físicos aos ambientes da organização são convenientes a manutenção e o monitoramento seguros de trilha de auditoria eletrônica ou de livro de registro físico.

Qual deve ser a primeira etapa quando da implementação da ISO 27001?

Competências e responsabilidades, apesar de serem importantes, não devem constar da POSIN, pois sua definição é restrita à alta administração da organização.

Gestão de riscos é o processo de natureza permanente, estabelecido, direcionado e monitorado pela alta administração, que contempla as atividades de identificar, avaliar e gerenciar potenciais eventos que possam afetar a organização, destinado a fornecer segurança razoável quanto à realização de seus objetivos.

(Disponível em: https://www.gov.br/governodigital/pt-br/seguranca-e-protecao-de-dados/gestao-riscos. Acesso em: 20/04/2023.)

Para reduzir os riscos é necessário implementar controles adequados, isso inclui políticas, procedimentos, diretrizes, práticas ou estruturas organizacionais, que podem ser de natureza administrativa, técnica, de gestão, ou legal. Podem ser selecionados a partir de normas preestabelecidas ou de conjunto de controles específicos como, por exemplo, as normas: Normas ABNT NBR ISO/IEC 27001:2013 e ABNT NBR ISO/IEC 27002:2013, ABNT NBR ISO/IEC 22301, ABNT NBR ISO 31000:2018.

Sobre a norma ABNT NBR ISO/IEC 27001:2013, analise as afirmativas a seguir.

I. Especifica requisitos para um Sistema de Gestão de Segurança da Informação (SGSI).

II. Busca de forma objetiva e genérica apresentar os requisitos aplicáveis a todas as organizações, independentemente do tipo, tamanho ou natureza.

III. Ao utilizar a norma na organização, não é necessário utilizar todos os requisitos para satisfazer os critérios de aceitação de riscos; isso varia de acordo com cada empresa.

IV. Os requisitos são divididos em sete categorias: contexto da organização; liderança; planejamento; apoio; operações; avaliação do desempenho; e, melhoria.

Está correto o que se afirma apenas em

Na área de Tecnologia da Informação as normas da ISO são de grande ajuda a manter a segurança cibernética das empresas. Seu entendimento e adoção na prática nos ajudam. Dentro do conjunto de normas temos várias normas, sendo que a ______ tem a seguinte proposta: Segurança da informação, segurança cibernética e proteção da privacidade: controles de segurança da informação.

Assinale a alternativa que preencha corretamente a lacuna.

Qual é o objetivo principal da norma ISO 27001:2013?

No âmbito da implantação da norma NBR ISO/EC nº 27001:2013 para garantir uma maior segurança da informação, qual das seguintes alternativas descreve corretamente um dos principais requisitos desta norma?

O documento de política de segurança da informação tem como diretriz de implementação a necessidade de a direção da organização emitir uma declaração de comprometimento, que deve ser previamente registrada em órgão competente e anexada à política de segurança da informação.