av 10 10

Prévia do material em texto

Durante a implantação do COBIT, na fase de levantamento de informações e 
entrevistas, foram registradas diversas queixas das áreas negocias relativas à falta 
de transparência nos projetos e na operação de TI. Qual área do domínio do 
COBIT deve ser implementada para solucionar esta dificuldade? 
Escolha uma: 
a. Avaliar, Dirigir e Monitorar. 
b. Processos de Monitorar, Avaliar e Medir. 
c. Processos de Alinhar, Planejar e Organizar. 
d. Processos de Construir, Adquirir e Implementar. 
Feedback 
Sua resposta está correta. 
O COBIT é dividido em 5 (cinco) domínios, sendo eles: Avaliar, Dirigir e Monitorar 
(EDM); Alinhar, planejar e organizar (APO); Construir, adquirir e implementar (BAI) 
e Entregar, servir e suportar (DSS); O domínio Monitorar, avaliar e medir (MEA), 
tem como um de seus processos de boa prática Assegurar a Entrega de 
Benefícios. 
A resposta correta é: Avaliar, Dirigir e Monitorar.. 
Questão 2 
Correto 
Atingiu 1,00 de 1,00 
Marcar questão 
Texto da questão 
A alta gestão da empresa levantou a necessidade de inovar para concorrer e gerar 
diferencial no mercado atual. O diretor ficou com a responsabilidade de propor 
boas práticas para uma melhor gestão da área de inovação de TI alinhada com os 
negócios da empresa. Qual domínio do COBIT foi proposto pelo diretor de TI? 
Escolha uma: 
a. Avaliar, Dirigir e Monitorar. 
b. Processos de Monitorar, Avaliar e Medir. 
c. Processos de Alinhar, Planejar e Organizar. 
d. Processos de Construir, Adquirir e Implementar. 
Feedback 
Sua resposta está correta. 
O COBIT é dividido em 5 (cinco) domínios, sendo eles: Avaliar, Dirigir e Monitorar 
(EDM); Alinhar, planejar e organizar (APO); Construir, adquirir e implementar (BAI) 
e Entregar, servir e suportar (DSS); O domínio de Processos de Alinhar, Planejar 
e Organizar, tem como um de seus processos Gerenciar a Inovação. 
A resposta correta é: Processos de Alinhar, Planejar e Organizar.. 
Questão 3 
Correto 
Atingiu 1,00 de 1,00 
Marcar questão 
Texto da questão 
Um consultor de segurança da informação foi contratado para propor melhorias 
nos processos e no ambiente da empresa visando a redução de problemas 
relativos aos erros humanos, fraudes e roubos que estão acontecendo com grande 
frequência. Identifique abaixo qual das áreas ou domínios da norma ISO 27001 
pode ser utilizada para este fim? 
Escolha uma: 
a. Segurança sobre pessoas. 
b. Gestão da continuidade do negócio. 
c. Desenvolvimento e manutenção de sistemas. 
d. Gerenciamento das operações e comunicações. 
Feedback 
Sua resposta está correta. 
Na ISO 27001 a área de conformidade de “Segurança sobre pessoas” define 
recomendações para a atribuição de responsabilidades de segurança a pessoas 
da organização, visando reduzir problemas como erro humano, roubo, fraude etc. 
A resposta correta é: Segurança sobre pessoas.. 
Questão 4 
Correto 
Atingiu 1,00 de 1,00 
Marcar questão 
Texto da questão 
Um consultor de segurança da informação foi contratado para propor melhorias 
nos processos e no ambiente de segurança da rede e de computadores da 
empresa visando a diminuição de acionamentos do service desk. Identifique 
abaixo qual das áreas ou domínios da norma ISO 27001 pode ser utilizada para 
este fim? 
Escolha uma: 
a. Segurança sobre pessoas. 
b. Gestão da continuidade do negócio. 
c. Desenvolvimento e manutenção de sistemas. 
d. Gerenciamento das operações e comunicações. 
Feedback 
Sua resposta está correta. 
Na ISO 27001 a área de conformidade de “Gerenciamento e manutenção de 
sistemas” define recomendações para garantir o funcionamento seguro e correto 
dos recursos computacionais e da comunicação entre eles. Inclui a segurança dos 
computadores individualmente e da rede. 
A resposta correta é: Gerenciamento das operações e comunicações.. 
Questão 5 
Correto 
Atingiu 1,00 de 1,00 
Marcar questão 
Texto da questão 
Uma empresa de segurança foi contratada para apoiar na segurança da 
informação de um banco, dentre suas responsabilidades deve propor um 
planejamento para: i) proteger as informações de portadores de cartão de crédito; 
ii) gerenciamento de vulnerabilidades e iii) manter a rede de dados segura. Qual 
das normas e/ou frameworks de melhores práticas deve ser proposto pela 
empresa contratada? 
Escolha uma: 
a. O framework de boas práticas do COBIT. 
b. O padrão PCI-DSS desenvolvido pela indústria. 
c. A norma de segurança da informação ISO 27001. 
d. A RFC 2196: Site Security Handbook de boas práticas de segurança. 
Feedback 
Sua resposta está correta. 
A ISO 27001, a RFC 2196 e PCI-DSS tratam da segurança da informação, 
entretanto o padrão PCI-DSS é especializado e desenvolvido pela indústria de 
pagamentos de cartões. Tem como objetivos: Manter a rede de dados segura; 
Proteger as informações de portadores de cartão de crédito; Manter um programa 
de gerenciamento de vulnerabilidades; Implementar forte controle de acessos e 
Manter política de segurança de informações. 
A resposta correta é: O padrão PCI-DSS desenvolvido pela indústria.. 
Questão 6 
Correto 
Atingiu 1,00 de 1,00 
Marcar questão 
Texto da questão 
Genário ocupa atualmente a direção de TI do ministério XPTO, tendo como uma 
de suas incumbências a conformidade com as normas vigentes do GSI/DSIC. Para 
iniciar os trabalhos preferiu-se um diagnóstico acerca do risco com objetivo de ter 
um mapeamento macro dos ativos, das possíveis ameaças e vulnerabilidades. 
Diante do exposto, qual norma ou framework deve ser inicialmente abordado pelo 
diretor de TI? 
Escolha uma: 
a. Norma Complementar 05 que disciplina a criação de Equipes de Tratamento e 
Respostas a Incidentes. 
b. A norma complementar 2 que trata da metodologia de Gestão de Segurança da 
Informação e Comunicações. 
c. A norma de segurança da informação ISO 27001. 
d. A Norma Complementar 04 que trata das diretrizes para o processo de Gestão 
de Riscos de Segurança da Informação e Comunicações. 
Feedback 
Sua resposta está correta. 
A Norma Complementar 04 trata das diretrizes para o processo de Gestão de 
Riscos de Segurança da Informação e Comunicações – GRSIC nos órgãos e 
entidades da Administração Pública Federal. 
A resposta correta é: A Norma Complementar 04 que trata das diretrizes para o 
processo de Gestão de Riscos de Segurança da Informação e Comunicações.. 
Questão 7 
Correto 
Atingiu 1,00 de 1,00 
Marcar questão 
Texto da questão 
Um banco Colombiano iniciou o processo de conformidade para atendimento a lei 
SOX (Sarbanes Oxley) com objetivo de lançar-se na bolsa de valores americana. 
Para atendimento da lei foi gerado um grupo de trabalho multidisciplinar sendo 
representado por diversas áreas da empresa, inclusive de TI. O representante de 
TI levantou todas as normas e melhores práticas necessárias para suporta a lei. 
Dado o cenário, analise as questões abaixo e indique qual norma e/ou melhores 
práticas foi proposta pelo representante de TI? 
Escolha uma: 
a. O framework de boas práticas do COBIT. 
b. O padrão PCI-DSS desenvolvido pela indústria. 
c. A norma de segurança da informação ISO 27001. 
d. A RFC 2196: Site Security Handbook de boas práticas de segurança. 
Feedback 
Sua resposta está correta. 
O COBIT é um framework de melhores práticas que visa uma melhor governança 
de TI, estando alinhado com negócio e dando-lhe transparência. Os processos e 
controles do COBIT são o casamento perfeito para atendimento da conformidade 
da lei SOX. A lei por sua vez diz respeito à responsabilidade corporativa pela 
veracidade de conteúdo dos relatórios financeiros produzidos e pelo 
gerenciamento e avaliação dos controles internos, sendo voltada principalmente 
para companhias de capital aberto com ações nas bolsas de valores ou com 
negociação na Nasdaq (bolsa de valores das empresas de tecnologia). 
A resposta correta é: O framework de boas práticas do COBIT.. 
Questão 8 
Correto 
Atingiu 1,00 de 1,00 
Marcar questão 
Texto da questão 
Um servidor foi invadido e tevearquivos criptografados extraídos por um hacker. 
Ao findar seu ataque desligou o equipamento desabilitando temporariamente o 
serviço. Diante do cenário, indique qual dos itens abaixo melhor representa a 
quebra dos princípios basilares da segurança da informação. 
Escolha uma: 
a. Como houve uma invasão ao servidor com extração de dados, pode-se afirmar 
que a principal quebra na segurança foi da confidencialidade. 
b. Como houve uma invasão ao servidor com extração de dados, deixando-o 
posteriormente desabilitado pode-se afirmar que houve quebra da segurança nos 
princípios da confidencialidade e disponibilidade. 
c. Apesar do hacker ter extraído os dados, havia uma camada de criptografia não 
permitindo assim a quebra de confidencialidade, tendo danos somente relativos à 
indisponibilidade d o serviço. 
d. Como houve uma invasão ao servidor com extração de dados, deixando-o 
posteriormente desabilitado pode-se afirmar que houve quebra da segurança nos 
princípios da confidencialidade e disponibilidade. 
Feedback 
Sua resposta está correta. 
A ação do hacker de roubar dados criptografados não indica necessariamente a 
quebra de confidencialidade, haja vista que se bem aplicado o controle de 
criptografia demorara centenas ou milhares de anos para ser quebrado. Em 
relação ao desligamento do servidor evidencia-se a indisponibilidade de serviço 
quebrando o princípio da disponibilidade da informação. Logo não houve garantia 
de que os usuários autorizados obtenham acesso à informação e aos ativos 
correspondentes, sempre que necessário. 
A resposta correta é: Como houve uma invasão ao servidor com extração de 
dados, deixando-o posteriormente desabilitado pode-se afirmar que houve quebra 
da segurança nos princípios da confidencialidade e disponibilidade.. 
Questão 9 
Correto 
Atingiu 1,00 de 1,00 
Marcar questão 
Texto da questão 
Um hacker interceptou a informação digital trocada pela internet entre um 
correntista do banco e os servidores do banco. Neste momento foi possível 
quebrar a criptografia original e analisar as informações. Diante do exposto, 
indique nas questões abaixo em que fase do ciclo da informação houve a quebra 
da segurança da informação? 
Escolha uma: 
a. A quebra de segurança ocorreu na fase de manuseio, pois o usuário estava 
utilizando a informação. 
b. A quebra de segurança ocorreu na fase de armazenamento, pois o usuário 
estava salvaguardando a informação em seu computador. 
c. A quebra de segurança ocorreu na fase de transporte, pois o usuário estava 
enviando e recendo informações através da internet com o servidor de dados do 
banco. 
d. A quebra ocorreu na intercessão de duas fases: armazenamento e transporte. 
No mesmo momento que o usuário estava solicitando a informação, armazenando-
a localmente e na sequência sendo interceptada durante a comunicação. 
Feedback 
Sua resposta está correta. 
A fase de transporte é uma importante etapa que inclui conectividade da rede (e-
mail, fax, carta etc.), sendo a divulgação parte dessa etapa, pois transporta a 
informação de um ponto a outro. 
A resposta correta é: A quebra de segurança ocorreu na fase de transporte, pois o 
usuário estava enviando e recendo informações através da internet com o servidor 
de dados do banco.. 
Questão 10 
Correto 
Atingiu 1,00 de 1,00 
Marcar questão 
Texto da questão 
O CGU audito o ministério XPTO e identificou a falta de conformidade com 
algumas normas do DSIC. Dentro as inconformidades analisaram-se a falta de 
uma política de segurança da informação e uma equipe de tratamento de 
incidente. Diante do cenário proposto, analise as opções abaixo e assinale a(as) 
norma(s) fora da conformidade. 
Escolha uma: 
a. A inconformidade foi apontada na norma complementar 05 que disciplina a 
criação de Equipes de Tratamento e Respostas a Incidentes. 
b. A inconformidade foi apontada na norma complementar 02 que trata da 
metodologia de Gestão de Segurança da Informação e Comunicações. 
c. As normas fora da conformidade foram as normas: i) 02 que trata da 
metodologia de Gestão de Segurança da Informação e Comunicações e ii) 
complementar 05 que disciplina a criação de Equipes de Tratamento e Respostas 
a Incidentes. 
d. As normas fora da conformidade foram as normas: i) Complementar 03: 
Diretrizes para a Elaboração de Política de Segurança da Informação e 
Comunicações nos Órgãos e Entidades da Administração Pública e ii) 
complementar 05 que disciplina a criação de Equipes de Tratamento e Respostas 
a Incidentes. 
Feedback 
Sua resposta está correta. 
A política de segurança é tratada na norma complementar 03 – Diretrizes para a 
Elaboração de Política de Segurança da Informação e Comunicações nos Órgãos 
e Entidades da Administração Pública, sendo a equipe de resposta a incidente 
tratada em complementar 05 que disciplina a criação de Equipes de Tratamento e 
Respostas a Incidentes. 
A resposta correta é: As normas fora da conformidade foram as normas: i) 
Complementar 03: Diretrizes para a Elaboração de Política de Segurança da 
Informação e Comunicações nos Órgãos e Entidades da Administração Pública e 
ii) complementar 05 que disciplina a criação de Equipes de Tratamento e 
Respostas a Incidentes..