Teste_ AO2 Substitutiva gestao

Prévia do material em texto

Qual a importância da gestão de riscos?
 
Como é possível perceber, a gestão de riscos busca manter a organização preparada para conseguir
aproveitar ao máximo as oportunidades que estejam no horizonte, fortalecendo a competitividade por
meio de ações estratégicas bem executadas.
Ao mesmo tempo, ela também prepara a empresa para possíveis situações negativas que podem vir
a ocorrer, de forma a já ter desenhados os caminhos mais adequados para minimizar os impactos de
ameaças e, nos casos em que for possível, evitar a ocorrência desses eventos.
A partir de um trabalho sério e dedicado, o amadurecimento da gestão de riscos tende a criar bons
hábitos a serem assimilados na rotina da empresa e tornar as lições aprendidas referências
concretas para toda a equipe.
Para que isso seja possível, deve-se registrar e dar a devida publicidade a tudo que for percebido e
que seja relevante no ambiente interno da organização.
 
Fonte: Vanessa. Entenda a importância da gestão de riscos. Administradores. 17/04/2019.
Disponível em: https://administradores.com.br/artigos/entenda-a-importancia-da-gestao-de-riscos.
Acesso em: 03 de junho de. 2020.
Em relação ao processo de gestão de riscos, considere as seguintes afirmações:
 
I. A gestão de riscos de segurança da informação deve ser apoiada pela alta direção e alinhada com
os requisitos de negócios.
 

Pergunta 2 0,6 pts
I e II, apenas.
I e III, apenas.
Leia o texto a seguir:
Planejamento de Respostas aos Riscos
No planejamento de respostas aos riscos, são definidas estratégias de respostas aos riscos, ou
seja, execução de um plano ou conjunto de medidas adequadas de redução do risco, com base no
processo de avaliação:
Prevenir / Evitar: quando o risco é elevado em termos de impacto e probabilidade, simplesmente
não pode ser aceito. Deve-se planejar uma forma de eliminá-lo completamente; mudar o plano do
projeto, não iniciar ou descontinuar a atividade que dá origem ao risco. Exemplo: adotar uma
abordagem tradicional em vez de uma inovadora; excluir do escopo a área sujeita a risco. Nesse
caso, o plano do projeto será necessariamente alterado. Se não for possível alterar o plano do
projeto, a opção será a transferência do risco.
Transferir / Compartilhar: se o risco é inaceitável, porém não há como alterar o planejamento do
projeto, procura-se transferir o impacto negativo e a responsabilidade da resposta terceirizando as
etapas do trabalho afetadas pelo risco. Indicado repassar as consequências do risco bem como a
responsabilidade de resposta para quem está mais bem-preparado para enfrentá-lo. Exemplo:
contratos com fornecedor contendo cláusulas específicas para tratamento dos riscos.
TABELA 4: Estratégia de Ação sugerida para a resposta aos Riscos
Fonte: TJPR – Tribunal de Justiça do Estado do Paraná. Segurança de TIC: sobre riscos de TI.
28/03/2017. Disponível em https://dtic.tjpr.jus.br/wiki/-/wiki/Governan%C3%A7a-
TIC/sobre+Risco+em+TI (https://dtic.tjpr.jus.br/wiki/-/wiki/Governan%C3%A7a-
TIC/sobre+Risco+em+TI) . Acesso em: 03 de junho de 2020.
Considerando essa estratégia de tratamento de riscos da Tribunal de Justiça do Paraná (TJPR),
avalie as afirmações a seguir:
 
I. Quando o tratamento de risco é dado por aceitar passivamente, não é necessária nenhuma ação
adicional para diminuir do risco, mas deve prever planos de Contingência.
II. A definição de um plano de ação ou conjunto de atividades para atuar caso o risco aconteça
efetivamente é uma ação corretiva ou de contingência.
III. No caso de um projeto com risco extremo, este projeto deve ser eliminado completamente, ou
deve-se alterar, mudar o plano do projeto para não iniciar a atividade que dá origem ao risco.
 
É correto o que se afirma em:
II e III, apenas.
https://dtic.tjpr.jus.br/wiki/-/wiki/Governan%C3%A7a-TIC/sobre+Risco+em+TI
https://dtic.tjpr.jus.br/wiki/-/wiki/Governan%C3%A7a-TIC/sobre+Risco+em+TI
https://dtic.tjpr.jus.br/wiki/-/wiki/Governan%C3%A7a-TIC/sobre+Risco+em+TI
https://dtic.tjpr.jus.br/wiki/-/wiki/Governan%C3%A7a-TIC/sobre+Risco+em+TI
https://dtic.tjpr.jus.br/wiki/-/wiki/Governan%C3%A7a-TIC/sobre+Risco+em+TI
objetivo da análise, e das informações, dados e recursos disponíveis. Os fatores que afetam a
probabilidade e consequências devem ser identificados. Esta análise pode ser qualitativa,
quantitativa ou a combinação das duas, dependendo das circunstâncias.
A estimativa de riscos é realizada de acordo com os critérios de risco definidos pela equipe de
análise durante o início dos trabalhos. É importante considerar a interdependência dos diferentes
riscos e suas fontes.
 
Fonte: BEZERRA, E. K. Gestão de riscos de TI: NBR 27005. Rio de Janeiro: RNP/ESR, 2013. p.
84.
Sobre a análise de riscos, considere as seguintes afirmações:
 
I. A etapa de Análise de Risco pode ser decomposta em Avaliação das consequências, Análise
qualitativa e Determinação do nível de risco.
II. Os ativos são ordenados em função da criticidade e importância para o negócio, utilizando o valor
de reposição do ativo ou do impacto nas operações do negócio.
III. A determinação do nível de risco é uma atividade, onde será mensurado o nível de risco e
independe das etapas anteriores.
 
É correto o que se afirma em:
I, apenas.
seu tratamento.
- Risco: combinação da probabilidade (chance da ameaça se concretizar) de um evento indesejado
ocorrer e de suas consequências para a organização. É a incerteza resultante da combinação da
probabilidade de ocorrência de um evento e suas consequências.
A pergunta “Qual o risco?” levanta dúvidas a respeito da ocorrência de algo incerto ou inesperado.
Em segurança da informação, esta incerteza reside nos aspectos tecnológicos envolvidos, nos
processos executados e, principalmente, nas pessoas que em algum momento interagem com a
tecnologia e se envolvem com os processos.
 
Fonte: BEZERRA, E. K. Gestão de riscos de TI: NBR 27005. Rio de Janeiro: RNP/ESR, 2013. p.
22.
De acordo com os princípios da gestão de riscos, a gestão de risco
é sempre eficaz quando é implantada seguindo todos as normas de gestão de risco.
considera somente o contexto externo, como leis, concorrentes, clientes e fatores econômicos que não pertencem
à organização.
é uma atividade autônoma separada das principais atividades e processos da organização.
contribui para tomadas de decisão mais conscientes, priorizando ações e distinguindo entre formas alternativas de
ação.
Confidencial
É o nível mais alto de segurança dentro deste padrão. As informações confidenciais são aquelas
que, se divulgadas interna ou externamente, têm potencial para trazer grandes prejuízos financeiros
ou à imagem da empresa. São protegidas, por exemplo, por criptografia.
 
Restrita
É o nível médio de confidencialidade. São informações estratégicas que devem estar disponíveis
apenas para grupos restritos de colaboradores. Podem ser protegidas, por exemplo, restringindo o
acesso à uma pasta ou diretório da rede.
 
Uso interno
Representa baixo nível de confidencialidade. Informações de uso interno são aquelas que não
podem ser divulgadas para pessoas de fora da organização, mas que, caso isso aconteça, não
causarão grandes prejuízos. A preocupação nesse nível está relacionada principalmente à
integridade da informação.
 
Pública
São dados que não necessitam de proteção sofisticada contra vazamentos, pois podem ser de
conhecimento público. No entanto, sempre cabe lembrar dos outros dois pilares: a disponibilidade e
a integridade.
Fonte: Classificação das informações: como definir níveis de segurança? Alleasy. 19/06/2018.
Disponível em: https://www.alleasy.com.br/2018/06/19/classificacao-de-informacoes/
https://www.alleasy.com.br/2018/06/19/classificacao-de-informacoes/
https://www.alleasy.com.br/2018/06/19/classificacao-de-informacoes/
https://www.alleasy.com.br/2018/06/19/classificacao-de-informacoes/

Pergunta 6 0,6 pts
I, apenas.
II, apenas.
II e III, apenas.
I e III, apenas.
Leia o texto a seguir:
 
As 4 opções de tratamento mais comuns
 
Uma vez que vocêtenha uma lista de riscos inaceitáveis, você tem que verificar um a um, e decidir
como tratá-los – geralmente, estas opções são aplicadas:
Diminuir o risco – esta opção é a mais comum, e ela inclui a implementação de salvaguardas
(controles) – como sistemas de supressão de incêndio etc.
Evitar o risco – parar de realizar certas tarefas ou processos se eles incorrem em riscos que são
simplesmente muito grandes para mitigar com quaisquer outras opções – e.g., você pode decidir
banir o uso de laptops fora das instalações da empresa se o risco de acesso não autorizado para
e 03 de ju o de 0 0
Durante o processo de gestão de riscos de uma empresa, foram identificadas como ameaças
incêndio no local do no servidor, acessos indevidos por pessoas não autorizadas e ataques de
malwares. Considere as seguintes afirmações.
 
I. Para a ameaça de incêndios, uma opção para diminuir o risco é a compra de extintores de
incêndio e uma ação para compartilhar o risco é a aquisição de uma apólice de seguro contra
incêndio.
II. Para acesso por pessoas não autorizadas, uma forma de diminuir o risco de senhas inadequada
que podem ser descobertas por invasores é a elaboração de uma política de senhas.
III. É possível eliminar totalmente o risco de ataques de malwares com a aquisição e firewalls.
 
É correto o que se afirma em:
I, II e III.
I e II, apenas.
II e III, apenas.
I e III, apenas.
https://advisera.com/27001academy/pt-br/blog/2016/05/19/4-opcoes-de-mitigacao-no-tratamento-de-riscos-de-acordo-com-iso-27001/
https://advisera.com/27001academy/pt-br/blog/2016/05/19/4-opcoes-de-mitigacao-no-tratamento-de-riscos-de-acordo-com-iso-27001/
https://advisera.com/27001academy/pt-br/blog/2016/05/19/4-opcoes-de-mitigacao-no-tratamento-de-riscos-de-acordo-com-iso-27001/
https://advisera.com/27001academy/pt-br/blog/2016/05/19/4-opcoes-de-mitigacao-no-tratamento-de-riscos-de-acordo-com-iso-27001/
https://advisera.com/27001academy/pt-br/blog/2016/05/19/4-opcoes-de-mitigacao-no-tratamento-de-riscos-de-acordo-com-iso-27001/
passa por eles, inclusive senhas e nomes de usuários não criptografados. Dessa forma, os hackers
com acesso a um sniffer terão acesso também a qualquer conta que passar por ele. Além disso, um
sniffer pode ser instalado em qualquer computador conectado a uma rede local. Ele não precisa ser
instalado no próprio aparelho que se deseja monitorar. Em outras palavras, ele pode permanecer
oculto durante a conexão.
 
Fonte: AVAST academy team. Sniffers. 25/09/2019. Disponível em: https://www.avast.com/pt-br/c-
sniffer (https://www.avast.com/pt-br/c-sniffer) . Acesso em: 03 de junho de 2020.
Considerando as informações apresentadas, analise as afirmações a seguir:
 
I. É simples a detecção de um sniffer.
II. É inseguro se conectar a redes desconhecidas wi-fi em cafeterias e hotéis.
III. O sniffer é uma técnica maliciosa.
 
É correto o que se afirma em:
I, apenas.
II e III, apenas.
I e II, apenas.
https://www.avast.com/pt-br/c-sniffer
https://www.avast.com/pt-br/c-sniffer
https://www.avast.com/pt-br/c-sniffer
https://www.avast.com/pt-br/c-sniffer
operar e aprimorar controles.
Por ser uma consumidora de recursos não relacionada à realização das atividades fim de uma
organização, a segurança cria um aparente paradoxo.
Por um lado, existe uma quantidade infinita de eventos negativos que podem ocorrer, e a adoção de
controles de segurança para neutralizar cada um destes eventos levaria uma organização a
comprometer todos os seus recursos, levando-a à morte por esgotamento de recursos.
A segurança excessiva não garante a continuidade da vida.
Por outro lado, a inexistência de quaisquer controles de segurança, onde a organização observa e
aproveita apenas os eventos positivos para a realização de negócios, conduz tal organização à
exposição a situações que a levarão à morte prematura.
A falta de segurança garante que a vida será descontinuada. A preocupação com segurança
aumenta na medida em que uma organização vive mais.
Fonte: FERNANDES, J. H. C. Introdução à Gestão De Riscos De Segurança Da Informação.
CEGSIC 2009-2011 v1.2. Brasília: UnB, 2009. pp. 14-15.
Considerando as informações apresentadas, avalie as asserções a seguir e a relação entre elas:
 
I. Relevantes investimentos de recursos em segurança garantem a sobrevivência em situações
difíceis.
PORQUE
II. Com muitos dispositivos de controle, a empresa terá melhores resultados financeiros.
 
Leia o texto a seguir:
 
A norma ABNT NBR ISO/IEC 27005/2011 por sua vez apresenta diretrizes para o processo de
Gestão de Riscos de Segurança da Informação (GRSI) e pode ser aplicada em organizações
públicas que pretendam gerir riscos relacionados à segurança da informação organizacional.
Segundo a referida norma, o processo de GRSI pode ser utilizado de forma iterativa na avaliação ou
para atividades de tratamento de risco. Seu enfoque iterativo torna possível o detalhamento da
avaliação a cada repetição, minimizando o tempo e esforço necessários na identificação de
controles, assegurando que riscos de alto impacto e probabilidade sejam adequadamente avaliados.
Conforme destaca Nist (2006), a gestão de risco pode ser vista, portanto, como uma atividade
holística que envolve todos os aspectos da organização, e seu processo de gestão busca fornecer
uma base sólida para que seja possível determinar quais riscos são aceitáveis, assim como obter
informações necessárias ao seu tratamento (PURDY, 2010).
Fonte: Gestão de riscos de segurança da informação e sua apresentação na governança de TI da
administração pública. X WORKSHOP DE PÓS-GRADUAÇÃO E PESQUISA DO CENTRO PAULA
SOUZA. São Paulo, 6 – 8 de outubro de 2015. ISSN: 2175-1897.
Existem duas etapas do processo de gestão de risco que ocorrem simultaneamente com as demais
fases. Assinale a alternativa que contenha essas duas fases.
Tratamento do Risco e Aceitação do Risco.
Avaliação do Risco e Monitoramento do Risco.
comum ouvir que o ransomware “sequestra computadores”.
Há malwares do tipo ransom que cifram pastas e arquivos pessoais (documentos, planilhas, fotos e
vídeos), outros que bloqueiam a tela do computador, há ainda aqueles que encriptam todo o HD ou
um número considerável de arquivos e, além disso, há variantes para dispositivos móveis, sobretudo
Android, por meio de aplicativos falsos. 
Quando acontece, você não consegue recuperar os seus dados sem pagar o resgate. Especialistas
afirmam que, mesmo após o pagamento, a recuperação não é garantida e orientam a vítima a não
pagar, para que não se propague o crime de extorsão.
Fonte: COSSETTI, M. C. Como recuperar arquivos encriptados por ransomware. Tecnoblog.
Disponível em: https://tecnoblog.net/251522/como-recuperar-arquivos-encriptados-por-
https://tecnoblog.net/251522/como-recuperar-arquivos-encriptados-por-ransomware/
Salvo em 10:54 
 
Estão corretas apenas as afirmativas:
II, III e IV.
III e IV.
I, II e III.
II e IV.
II e III.
Enviar teste
https://tecnoblog.net/251522/como-recuperar-arquivos-encriptados-por-ransomware/
https://tecnoblog.net/251522/como-recuperar-arquivos-encriptados-por-ransomware/
https://tecnoblog.net/251522/como-recuperar-arquivos-encriptados-por-ransomware/