NORMAS E MELHORES PRÁTICAS DE SEGURANÇA DA INFORMAÇÃO - N2

Prévia do material em texto

1 - A experiência tem demonstrado que há requisitos fundamentais para a implementação bem-sucedida da Segurança da Informação dentro de uma instituição.
 Dentre eles, a norma ISO 27002 evidencia:
R: a política de Segurança da Informação, os processos que correspondem aos objetivos do negócio e o fornecimento de recursos financeiros para as atividades da gestão de Segurança da Informação.
2 - Com relação ao uso da criptografia de chave simétrica e da criptografia de chave pública, é correto dizer que:
R: A criptografia de chave simétrica possui maior desempenho e, por isso, é recomendada para grandes volumes de informação. Já a criptografia de chave pública possui desempenho inferior, sendo recomendada para assinaturas digitais e troca de chaves.
3 - Um termo de compromisso ou um aditivo ao contrato de trabalho deve ser estabelecido pela política de segurança da organização para definir:
R: a responsabilização dos usuários pelo uso dos recursos de TI.
4 - Por política de Segurança da Informação entende-se:
R: Política planejada, instalada em processo cíclico de atualização, abrangente a toda instituição, com as normas mais claras e simples possíveis e estrutura gerencial e material de suporte a essa política, explicitamente apoiada e sustentada pela alta direção.
5 - As assinaturas digitais são fundamentadas por dois princípios básicos. O primeiro determina que:
R: a chave privada seja restrita e que apenas o detentor da chave tenha acesso a ela. A segunda deve garantir que não seja possível o processamento inverso para compor uma assinatura digital sem a utilização da chave privada.
6 - O gerenciamento de riscos corresponde a processos coordenados para nortear e controlar uma instituição no que se refere a riscos. Considere e assinale a alternativa correta depois de avaliar os seguintes itens.
I. As análises/verificações de riscos devem ser realizadas regularmente para abranger as modificações nos requisitos de Segurança da Informação e nas situações de risco, ou seja, em ativos, ameaças, vulnerabilidades, impactos, análises do risco e quando uma mudança relevante acontecer.
II. O escopo de uma análise/avaliação de riscos pode ser toda a instituição, partes da instituição, um sistema de informação determinado, módulos de um sistema determinado ou processos específicos em que isto seja praticável, viável e útil.
III.Antes de julgar o tratamento de um risco, a instituição deve definir os critérios para decidir se eles podem ser ou não aceitos. O risco pode ser aceito se, por exemplo, for avaliado que é pequeno ou que o desembolso para o tratamento não é financeiramente viável para a instituição.
É correto o que se afirma em:
R: I, II e III.
7 - Com relação à criptografia, avalie os itens a seguir. Depois, assinale a alternativa com as afirmativas corretas.
 I. Em sistemas de chaves simétricas, as chaves do emissor e do receptor da informação criptografada são idênticas e secretas. Em sistemas de chaves públicas, é utilizado um par de chaves, uma delas de posse tanto do emissor quanto do receptor e a outra de posse de apenas um deles.
II. A tecnologia de chave pública é fundamentada no padrão X.509, sendo composta de programas, formatos de dados, procedimentos, protocolos de comunicação, políticas de segurança e mecanismos criptográficos de chave pública, de forma a viabilizar autenticação, a confidencialidade, o não-repúdio e a integridade às informações compartilhadas.
III. Os seguintes itens são fundamentais para que a criptografia e a descriptografia sejam viáveis: software, protocolos, algoritmos e chaves. Durante o processo de autenticação, os dois componentes selecionam a chave que será usada para prover a privacidade durante a comunicação posterior. Pode-se utilizar também um servidor de autenticação como terceiro ente confiável.
IV. Assinatura digital é uma ferramenta para provar que os dados foram gerados pelo detentor de uma chave específica. Trata-se de um caso especial de código de integridade de mensagens, em que o código pode ter sido composto por apenas um dos participantes.
 É correto o que se afirma em:
R: I, II, III, IV.
8 - O gerenciamento de riscos consiste em um dos procedimentos que são de alta relevância quando o assunto é a política de Segurança da Informação de uma organização. De modo a funcionar, suas etapas devem ser organizadas, mensuradas e administradas com peculiaridade - só assim é possível atingir os objetivos propostos.
Consistem em etapas que compõe o processo de levantamento de riscos:
I. Concepção dos objetivos.
II. Reconhecimento de riscos.
III. Exame de riscos.
IV. Planejamento do tratamento de risco.
V.  Formação de controles.
É correto o que consta em:
R: I, II, III, IV, V