Prova - Continuidade de Negócios

Prévia do material em texto

· Pergunta 1
0,5 em 0,5 pontos
	
	
	
	Um incidente pode ser definido como?
	
	
	
	
		Resposta Selecionada:
	c. Pode ser definido como a concretização de uma ameaça.
	Respostas:
	a. É uma avaliação detalhada do ambiente da instituição, verificando se o ambiente atual fornece condições de segurança compatíveis com a importância estratégica dos serviços realizados.
	
	b. Uma fraqueza de um ativo ou grupo de ativos que pode ser explorada por uma ou mais ameaças.
	
	c. Pode ser definido como a concretização de uma ameaça.
	
	d. É uma medida provável de ocorrência de uma determinada ameaça se concretizar em um incidente durante o período pré-determinado.
	
	e. É uma medida numérica ou de sensibilidade a qual está exposto um grau menor ou maior de um determinado ativo.
	Comentário da resposta:
	Pode ser definido como a concretização de uma ameaça.
	
	
	
· Pergunta 2
0 em 0,5 pontos
	
	
	
	O que é um Impacto?
	
	
	
	
		Resposta Selecionada:
	b. É a probabilidade de que uma ameaça em potencial explora uma vulnerabilidade.
	Respostas:
	a. É o uso de uma ameaça para conceber uma vulnerabilidade.
	
	b. É a probabilidade de que uma ameaça em potencial explora uma vulnerabilidade.
	
	c. É uma mudança adversa no nível obtido dos objetivos de negócio.
	
	d. Furto de um ativo tangível.
	
	e. É uma fraqueza que quando explorada gera uma vulnerabilidade.
	
	
	
· Pergunta 3
0 em 0,5 pontos
	
	
	
	I - Danos são consequências de um incidente e podem ser diretos e indiretos;
II - Um dano indireto refere-se aos bens e serviços que deixam de ser produzidos ou prestados durante o lapso de tempo logo depois de um incidente;
III - Danos diretos são aqueles sofridos pelos ativos imobilizados, destruídos ou danificados em um incidente.
Sobre o conceito de Dano, está correto apenas o que se afirma em:
	
	
	
	
		Resposta Selecionada:
	a. I e II.
	Respostas:
	a. I e II.
	
	b. I, II e III.
	
	c. I.
	
	d. II e III.
	
	e. III.
	
	
	
· Pergunta 4
0 em 0,5 pontos
	
	
	
	Considerando o conceito de Vulnerabilidade, como se pode definir “Probabilidade de ocorrência”?
	
	
	
	
		Resposta Selecionada:
	b. É uma medida numérica ou de sensibilidade a qual está exposto um grau menor ou maior de um determinado ativo.
	Respostas:
	a. É uma medida provável de ocorrência de uma determinada ameaça se concretizar em um incidente durante o período pré-determinado.
	
	b. É uma medida numérica ou de sensibilidade a qual está exposto um grau menor ou maior de um determinado ativo.
	
	c. Uma fraqueza de um ativo ou grupo de ativos que pode ser explorada por uma ou mais ameaças.
	
	d. Pode ser definido como a concretização de uma ameaça.
	
	e. É uma verificação detalhada do ambiente da instituição, verificando se o ambiente atual fornece condições de segurança compatíveis com a importância estratégica dos serviços realizados.
	
	
	
· Pergunta 5
0,5 em 0,5 pontos
	
	
	
	Uma vulnerabilidade pode ser definida como?
	
	
	
	
		Resposta Selecionada:
	c. Uma fraqueza de um ativo ou grupo de ativos que podem ser explorada por uma ou mais ameaças.
	Respostas:
	a. Pode ser definida como a concretização de uma ameaça.
	
	b. É uma medida numérica ou de sensibilidade a qual está exposto um grau menor ou maior de um determinado ativo.
	
	c. Uma fraqueza de um ativo ou grupo de ativos que podem ser explorada por uma ou mais ameaças.
	
	d. É uma reficação detalhada do ambiente da instituição, verificando se o ambiente atual fornece condições de segurança compatíveis com a importância estratégica dos serviços realizados.
	
	e. É uma medida provável de ocorrência de uma determinada ameaça se concretizar em um incidente durante o período pré-determinado.
	Comentário da resposta:
	Vulnerabilidade é uma fraqueza que pode ser também considerada do ponto de vista tecnológico, dos processos e das pessoas. Uma ameaça se concebe a partir de uma vulnerabilidade.
	
	
	
· Pergunta 6
0,5 em 0,5 pontos
	
	
	
	A seguinte equação:
Ameaça x vulnerabilidade x valor do ativo = risco
	
	
	
	
		Resposta Selecionada:
	b. Pode ser utilizada para representar o que é risco.
	Respostas:
	a. Qualifica um tipo de risco em relação ao seu grau de prioridade.
	
	b. Pode ser utilizada para representar o que é risco.
	
	c. Consolida o valor da ameaça.
	
	d. É sugerida pela ISO 27037 para definir risco.
	
	e. Não tem relação com a análise de risco.
	Comentário da resposta:
	Trata-se de uma fórmula para definir risco e mensurar o produto de ameaça, vulnerabilidade e valor do ativo.
	
	
	
· Pergunta 7
0 em 0,5 pontos
	
	
	
	Norma é
	
	
	
	
		Resposta Selecionada:
	e. Um documento que define a política de segurança da empresa, estabelecendo as regras que deverão ser seguidas pelos colaboradores e fornecedores da organização.
	Respostas:
	a. Uma metodologia que define a forma como a corporação deve adquirir e implementar determinada tecnologia.
	
	b. Um documento que fornece recomendações para a gestão da segurança da informação, sugerindo controles importantes que devem ser implementados.
	
	c. Qualquer documento de boa prática que sugere procedimentos para organizar ações dentro de uma organização.
	
	d. A construção de processos que ajudam gestores na tomada de decisão para a aquisição de tecnologias.
	
	e. Um documento que define a política de segurança da empresa, estabelecendo as regras que deverão ser seguidas pelos colaboradores e fornecedores da organização.
	
	
	
· Pergunta 8
0,5 em 0,5 pontos
	
	
	
	Considere as seguintes afirmativas:
I A análise de risco é uma ferramenta importante para possibilitar ao especialista de segurança da informação realizar o gerenciamento de riscos.
II O processo de análise de risco é fundamental para a realização de outros processos de segurança da informação, tais como BIA, PCN e PRD.
III O devido investimento em tecnologias para segurança, como firewall, IDS, antivírus etc.,
bastam para garantir a segurança.
É VERDADEIRO o que se afirmar em
	
	
	
	
		Resposta Selecionada:
	a. I e II, apenas.
	Respostas:
	a. I e II, apenas.
	
	b. I, II e III.
	
	c. I, apenas.
	
	d. I e III, apenas.
	
	e. II, apenas.
	Comentário da resposta:
	A Análise de Risco acaba sendo um requisito importante para outros processos de Segurança de informação, dando subsídio para a liderança avaliar os aspectos pertinentes que podem gerar impacto ao negócio como também dar suporte na decisão das ações de mitigação e até mesmo na priorização dessas ações.
Diante disso deve se ter em mente que não seria correto pensar em BIA, PCN ou mesmo PRD sendo que se tenha feito uma Análise de Risco.
	
	
	
· Pergunta 9
0,5 em 0,5 pontos
	
	
	
	Sobre os seguintes pontos:
• Identificação e classificação dos processos e negócios;
• Identificação e classificação dos ativos;
• Análise de ameaças e danos;
• Análise de vulnerabilidade;
• Análise de risco.
Pode-se afirmar que
	
	
	
	
		Resposta Selecionada:
	a. São processos importantes e que, se isolados, podem representar poucos avanços; mas se devidamente combinados, podem apontar o caminho a seguir, sustentando tomadas de decisão para elevar o grau de segurança da informação de uma organização.
	Respostas:
	a. São processos importantes e que, se isolados, podem representar poucos avanços; mas se devidamente combinados, podem apontar o caminho a seguir, sustentando tomadas de decisão para elevar o grau de segurança da informação de uma organização.
	
	b. São partes importantes do processo de segurança de redes de uma organização, mas cada processo citado é independente.
	
	c. São processos importantes para a gestão de vulnerabilidades em uma organização, possibilitando a tomada de decisão exclusiva na aquisição de tecnologias para segurança cibernética.
	
	d. Não têm relação com análise de risco.
	
	e. São processos opcionais para a implementação de uma política de segurança.
	Comentário da resposta:
	A segurança da informação tem sua maturidade ou grau elevado a partir da combinação dos vários processos coligados. Assim, se um processo for implementadode forma isolada, pode até promover alguma melhoria, mas a partir da ótica do negócio seria uma ação pouco eficiente.
	
	
	
· Pergunta 10
0 em 0,5 pontos
	
	
	
	Fazer análise e gerenciamento de risco
	
	
	
	
		Resposta Selecionada:
	b. É fundamental para a política de segurança.
	Respostas:
	a. É o único jeito de mitigar vulnerabilidades e apoiar decisões inerentes à aquisição de tecnologia.
	
	b. É fundamental para a política de segurança.
	
	c. Sustenta o processo de análise de impacto.
	
	d. Não é possível se não houver análise de vulnerabilidade.
	
	e. Não é possível se não se pensar em outros processos importantes para a segurança da informação como, por exemplo, Plano de Continuidade de Negócios (PCN).
	
	
	
· Pergunta 11
0,5 em 0,5 pontos
	
	
	
	É assumido que o processo de elaboração da Análise de Impacto ao Negócio (BIA) é fundamental para que seja possível mapear os impactos que podem motivar interrupção de um ou mais processos críticos ao negócio. Dessa forma, a elaboração também é importante para dar suporte ao processo cuja sigla é
	
	
	
	
		Resposta Selecionada:
	e. PCN.
	Respostas:
	a. ROI.
	
	b. ALE.
	
	c. ROSI.
	
	d. TCO.
	
	e. PCN.
	Comentário da resposta:
	Plano de Continuidade de Negócio (PCN) – importante processo que define ações para garantir o retorno da operação diante de uma ameaça concretizada
	
	
	
· Pergunta 12
0 em 0,5 pontos
	
	
	
	Qual padrão de backup-site tem o menor tempo de RPO, mas, consequentemente, apresenta o maior custo?
	
	
	
	
		Resposta Selecionada:
	d. Warm.
	Respostas:
	a. Cold.
	
	b. Cold.
	
	c. Hot.
	
	d. Warm.
	
	e. Red.
	
	
	
· Pergunta 13
0,5 em 0,5 pontos
	
	
	
	Quais são, NA ORDEM DE OCORRÊNCIA, as quatro etapas do ciclo de vida do incidente de segurança da informação?
	
	
	
	
		Resposta Selecionada:
	e. Ameaça, incidente, dano, recuperação.
	Respostas:
	a. Ameaça, dano, incidente, recuperação.
	
	b. Incidente, dano, ameaça, recuperação.
	
	c. Incidente, ameaça, dano, recuperação.
	
	d. Incidente, recuperação, dano, ameaça.
	
	e. Ameaça, incidente, dano, recuperação.
	Comentário da resposta:
	Classicamente: ameaça, incidente, dano e recuperação são as quatro etapas de vida de um incidente de segurança.
	
	
	
· Pergunta 14
0,5 em 0,5 pontos
	
	
	
	Qual é o processo cuja realização é baseada em entrevistas aos líderes das áreas de negócio e à alta direção da empresa, com o objetivo de mapear os possíveis impactos ao negócio?
	
	
	
	
		Resposta Selecionada:
	a. BIA.
	Respostas:
	a. BIA.
	
	b. ROI
	
	c. PCN.
	
	d. ROSI.
	
	e. ALE.
	Comentário da resposta:
	Análise de Impacto ao Negócio (BIA) – processo responsável pela avaliação do impacto nas áreas de negócio da empresa.
	
	
	
· Pergunta 15
0 em 0,5 pontos
	
	
	
	Assinale a alternativa que apresenta o termo atribuído a qualquer evento adverso, confirmado ou sob suspeita, relacionado à segurança de sistemas de computação ou de redes de computadores:
	
	
	
	
		Resposta Selecionada:
	a. Dano.
	Respostas:
	a. Dano.
	
	b. Incidente de segurança.
	
	c. Política de segurança.
	
	d. Risco.
	
	e. Acaso.
	
	
	
· Pergunta 16
0,5 em 0,5 pontos
	
	
	
	Como se calcula o Single Loss Expectancy (SLE)?
	
	
	
	
		Resposta Selecionada:
	e. AV x EF.
	Respostas:
	a. SLE x ARO.
	
	b. ARO x AV.
	
	c. EF x ARO.
	
	d. SLE x EF.
	
	e. AV x EF.
	Comentário da resposta:
	O valor do SLE pode ser definido a partir do produto de Asset Value (AV) por Exposure Factor (EF).
	
	
	
· Pergunta 17
0,5 em 0,5 pontos
	
	
	
	Assinale a alternativa que apresenta uma metodologia de análise de risco qualitativa:
	
	
	
	
		Resposta Selecionada:
	d. Matriz de GUT.
	Respostas:
	a. ALE.
	
	b. SLE.
	
	c. Análise de vulnerabilidade.
	
	d. Matriz de GUT.
	
	e. OWASP.
	Comentário da resposta:
	A matriz de GUT é uma metodologia que vem da Administração e que pode ser usada para qualificar riscos.
	
	
	
· Pergunta 18
0 em 0,5 pontos
	
	
	
	Qual é a sigla para a métrica de fator de exposição?
	
	
	
	
		Resposta Selecionada:
	a. SLE.
	Respostas:
	a. SLE.
	
	b. ARO.
	
	c. ALE.
	
	d. AV.
	
	e. EF.
	
	
	
· Pergunta 19
0,5 em 0,5 pontos
	
	
	
	Assinale a alternativa que apresenta uma metodologia de análise de risco quantitativa?
	
	
	
	
		Resposta Selecionada:
	e. SLE e ALE.
	Respostas:
	a. ROI e ROSI.
	
	b. OWASP.
	
	c. Matriz de GUT.
	
	d. Análise de vulnerabilidade.
	
	e. SLE e ALE.
	Comentário da resposta:
	Single Loss Expectancy (SLE) é uma métrica quantitativa para mensurar o valor de perda motivado por um determinado risco. Annualized Loss Expectancy (ALE) é a métrica para mensurar o valor do risco dentro de uma janela de tempo, normalmente um ano.
	
	
	
· Pergunta 20
0,5 em 0,5 pontos
	
	
	
	Qual é a sigla para a métrica de taxa de ocorrência anual?
	
	
	
	
		Resposta Selecionada:
	a. ARO
	Respostas:
	a. ARO
	
	b. SLE.
	
	c. AV.
	
	d. ALE.
	
	e. EF.
	Comentário da resposta:
	Sigla que define a métrica de taxa de ocorrência anual.