Teste de Conhecimento em Gestão de Segurança da Informação

Prévia do material em texto

Disciplina: CCT0334 - GEST.SEG. INFORMAÇÃO 
	Período Acad.: 2016.2 (G) / EX
	Deseja carregar mais 3 novas questões a este teste de conhecimento?
	
Prezado (a) Aluno(a),
Você fará agora seu EXERCÍCIO DE FIXAÇÃO! Lembre-se que este exercício é opcional, mas não valerá ponto para sua avaliação. O mesmo será composto de questões de múltipla escolha (3).
Após a finalização do exercício, você terá acesso ao gabarito. Aproveite para se familiarizar com este modelo de questões que será usado na sua AV e AVS.
	
	
		1.
		A organização deve analisar criticamente seu SGSI em intervalos planejados para assegurar a sua contínua pertinência, adequação, eficácia, oportunidade de melhoria ou necessidade de mudanças. Qual das opções abaixo Não poderá ser considerada como um elemento para a realização desta análise:
		
	
	
	
	
	A realimentação por parte dos envolvidos no SGSI
	
	
	Vulnerabilidades ou ameaças não contempladas adequadamente nas análise/avaliações de risco anteriores
	
	 
	A avaliação dos riscos e incidentes desejados
	
	
	Os resultados das auditorias anteriores e análises críticas
	
	
	A avaliação das ações preventivas e corretivas
	 Gabarito Comentado
	
	
		2.
		A norma ISO 27001:2005 adota uma abordagem de processo para o estabelecimento e relacionamento com o SGSI, ou seja, a aplicação de um sistema de processos, a identificação e iterações destes processos, e a sua gestão e utiliza como modelo o Plan-Do-Check-Act (PDCA), aplicado para estruturar todos os processos do SGSI. Podemos dizer que uma das características da fase "Plan" é:
		
	
	
	
	
	A organização deve implementar procedimentos de monitoração e análise crítica para detectar erros nos resultados de processamento, identificar as tentativas e violações de segurança bem-sucedida, e os incidente de segurança da informação.
	
	 
	O escopo do SGSI alinhado com as características de negócio, da organização, sua localização, ativos e tecnologia.
	
	
	Os procedimentos de análise críticas da eficácia do SGSI, devem levar em consideração os resultados das auditorias de segurança, dos incidentes de segurança, dos resultados das medições e sugestões.
	
	
	A organização deve implementar e operar a política, controles, processos e procedimentos do SGSI, buscando não burocratizar o funcionamento das áreas.
	
	
	Deve formular e implementar um plano de tratamento de riscos para identificar a ação de gestão apropriada, implementar um plano de conscientização e treinamento e gerenciar as ações e os recursos do SGSI.
	 Gabarito Comentado
	
	
		3.
		Independente do tamanho, da natureza e do tipo da organização, os requisitos definidos pela norma são genéricos e podem ser aplicados a todas as organizações. Entretanto existem quatro itens que são obrigatórios de implementação da norma ISO/IEC 27001 em qualquer organização:
		
	
	
	
	
	Sistema de gestão de segurança da informação, classificação da informação, auditoria internas e análise de risco.
	
	
	Controle de registros, responsabilidade da direção, melhoria do SGSI e auditorias internas
	
	 
	Sistema de gestão de segurança da informação, responsabilidade da direção, análise crítica do SGSI pela direção e Melhoria do SGSI
	
	
	Sistema de gestão de segurança da informação, análise de risco, auditorias internas e melhoria do SGSI
	
	
	Responsabilidade da direção, auditorias internas, controle de registros, sistema de gestão de segurança da informação.
	 Gabarito Comentado
	
	
		4.
		A organização deve executar ações para melhorar continuamente a eficácia do SGSI. Estas ações ocorrem através: do uso da política de segurança, dos objetivos de segurança, resultados de auditorias, da análise dos eventos monitorados e através de ações:
		
	
	
	
	
	Corrigidas e Preventivas
	
	 
	Corretivas e Preventivas
	
	
	Corretivas e Corrigidas
	
	
	Prevenção e Preventivas
	
	
	Corretivas e Correção
	
	
	
		5.
		Em relação às normas NBR ISO/IEC 27001 e NBR ISO/IEC 27002, considere: 
I. Cada categoria principal de segurança da informação contém um objetivo de controle que define o que deve ser alcançado e um (ou mais) controle que pode ser aplicado para se alcançar o objetivo do controle. 
II. Especifica os requisitos para estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar um SGSI documentado dentro do contexto dos riscos de negócio globais da organização. 
III. Os requisitos definidos nessa norma são genéricos e é pretendido que sejam aplicáveis a todas as organizações, independentemente de tipo, tamanho e natureza. Qualquer exclusão de controles considerados necessários para satisfazer aos critérios de aceitação de riscos precisa ser justificada e as evidências de que os riscos associados foram aceitos pelas pessoas responsáveis precisam ser fornecidas. 
IV. Convém que a análise/avaliação de riscos de segurança da informação tenha um escopo claramente definido para ser eficaz e inclua os relacionamentos com as análises/avaliações de riscos em outras áreas, se necessário. 
Associadas à norma NBR ISO/IEC 27001, está correto o que consta APENAS em:
		
	
	
	
	
	III e IV.
	
	
	II.
	
	 
	II e III.
	
	
	I e II.
	
	
	I e III.
	 Gabarito Comentado
	
	
		6.
		Após a implantação do Sistema de Gestão de Segurança da Informação (SGSI) de acordo com a norma NBR ISO/IEC 27001, a equipe de técnicos em informática da organização XPTO deve Monitorar e Analisar criticamente o SGSI, que compreende a atividade de:
		
	
	
	
	
	Avaliar a probabilidade real de ocorrência de falhas de segurança à luz de ameaças e vulnerabilidades prevalecentes
	
	
	Aplicar as lições aprendidas de experiências de segurança da informação de outras organizações.
	
	
	Especificar a forma de medir a eficácia dos controles de modo a produzir resultados comparáveis.
	
	
	Definir e medir a eficácia dos controles ou grupos de controle selecionados.
	
	 
	Especificar os requisitos necessários para o estabelecimento, implementação, operação, monitoração, análise crítica, manutenção e melhoria de um Sistema de Gestão de Segurança da Informação (SGSI) dentro do contexto dos riscos de negócio da organização.
	
	
	
		7.
		Sobre a afirmação: ¿irá definir que a informação é originária de quem diz originar, de forma a impedir que alterações na mensagem original confundam as partes envolvidas na comunicação. E, mesmo que haja alguma alteração na mensagem original, que seja passível de ser detectada¿. Podemos afirmar que estamos conceituando:
		
	
	
	
	
	Confiança
	
	
	Auditoria
	
	
	Não-repúdio
	
	 
	Integridade
	
	
	Legalidade
	
	
	
		8.
		Segundo a ISO/IEC 27001, em relação à Provisão de Recursos, a organização deve determinar e prover os recursos necessários para:
		
	
	
	
	
	Avaliar a necessidade de ações para assegurar que as não conformidades não ocorram.
	
	
	Identificar os impactos que as perdas de confidencialidade, integridade e disponibilidade podem causar aos ativos.
	
	
	Transferir os riscos associados ao negócio a outras partes, por exemplo, seguradoras e fornecedores.
	
	
	Desenvolver critérios para a aceitação de riscos e identificar níveis aceitáveis de risco. 
	
	 
	Estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar um SGSI.