GESTÃO DE SEGURANÇA DA INFORMAÇÃO Exercícios 2018

•

ESTÁCIO

9

1

9

1

0

Leo Soares

25/11/2018

Esta é uma pré-visualização de arquivo. Entre para ver o arquivo original

GESTÃO DE SEGURANÇA DA INFORMAÇÃO
1a aula

Lupa

Vídeo

PPT

MP3

Exercício: EDO0395_EX_A1_0000_V1 23/05/2018 00:14:50 (Finalizada)
Aluno(a): 2018.1
Disciplina: EDO0395 - GESTÃO DE SEGURANÇA DA INFORMAÇÃO

Ref.:

1a Questão

O Evento que tem potencial em si próprio para comprometer os objetivos da organização, seja
trazendo danos diretos aos ativos ou prejuízos decorrentes de situações inesperadas está
relacionado com qual conceito?

Impacto.

Risco.

Ameaça.

Vulnerabilidade.

Valor.

Ref.:

2a Questão

Qual das opções abaixo não é considerada como sendo um dos fatores fundamentais e que
possam impactar no estudo e implementação de um processo de gestão de segurança em uma
organização?

Vulnerabilidade.

Risco.

Ameaça.

Impacto .

insegurança

Ref.:

3a Questão

O propósito da informação é o de habilitar a empresa a alcançar seus objetivos pelo uso
eficiente dos recursos disponíveis (pessoas, materiais, equipamentos, tecnologia, dinheiro e
informação). Neste contexto podemos a afirmar que ________________________é o elemento
identificado em sua forma bruta e que por si só não conduz a uma compreensão de
determinado fato ou situação.

o arquivo

o registro

o dado

a informação

o conhecimento

Ref.:

4a Questão

Existe uma série de fatores que impactam na segurança de uma organização. A ausência de um
mecanismo de proteção ou falhas em um mecanismo de proteção existente está relacionada
com o conceito de?

Valor.

Ameaça.

Risco.

Vulnerabilidade.

Impacto.

Ref.:

5a Questão

Em meio a tantas mudanças tecnológicas, sociológicas e comportamentais surgem também
muitos desafios de negócios e gerenciais no desenvolvimento e implementação de novos usos
da tecnologia da informação em uma empresa. Neste contexto qual o objetivo fundamental da
¿Segurança da Informação¿?

Visam à proteção alguns poucos ativos de uma empresa que contêm informações.

Visa principalmente à proteção dos ativos patrimoniais que contêm informações.

Visa à proteção de todos os ativos de uma empresa que contêm informações.

Visa à proteção, com o foco na internet da empresa, dos ativos que contêm informações.

Visa à proteção dos equipamentos de uma empresa que contêm informações.

Ref.:

6a Questão

A segurança da informação diz respeito à proteção de determinados dados, com a intenção de
preservar seus respectivos valores para uma organização (empresa) ou um indivíduo. Um de
suas propriedades principais é a disponibilidade, qual das definições abaixo expressa melhor
este princípio:

Esta propriedade indica que quaisquer transações legítimas, efetuadas por usuários,
entidades, sistemas ou processos autorizados e aprovados, não deveriam ser passíveis de
cancelamento posterior.

Esta propriedade indica que o acesso aos serviços oferecidos pelo sistema deveria ser
sempre possível para um usuário, entidade, sistema ou processo autorizado e aprovado.

Esta propriedade indica a possibilidade de identificar e autenticar usuários, entidades,
sistemas ou processos.

Esta propriedade indica que os dados e informações não deveriam ser acessíveis a, ficar
disponíveis para ou ser divulgados a usuários, entidades, sistemas ou processos não
autorizados e aprovados.

Esta propriedade indica que os dados e informações não deveriam ser alterados ou
destruídos de maneira não autorizada e aprovada.

Ref.:

7a Questão

Tendo em vista a mudança de paradigma no modo como as empresas e as pessoas trabalham e
a forma como a tecnologia da informação apóia as operações e processos das empresas, qual
das opções abaixo poderá ser escolhida como sendo aquela que possui os elementos
fortemente responsáveis por este processo?

O crescimento explosivo da venda de computadores e sistemas livres;

O uso da internet para sites de relacionamento;

O crescimento explosivo da internet e das suas respectivas tecnologias e aplicações;

O crescimento explosivo dos cursos relacionados com a tecnologia da informação;

O Aumento no consumo de softwares licenciados;

Ref.:

8a Questão

O tamanho do prejuízo, medido através de propriedades mensuráveis ou abstratas, que a
concretização de uma determinada ameaça causará está relacionado com qual conceito de?

Ameaça.

Impacto.

Vulnerabilidade.

Valor.

Risco.

GESTÃO DE SEGURANÇA DA INFORMAÇÃO
2a aula

Lupa

Vídeo

PPT

MP3

Exercício: EDO0395_EX_A2__V1 23/05/2018 00:38:48 (Finalizada)
Aluno(a): 2018.1
Disciplina: EDO0395 - GESTÃO DE SEGURANÇA DA INFORMAÇÃO

Ref.:

1a Questão

Sobre o conceito: " [...] é restrita aos limites da empresa e cuja divulgação ou perda pode
acarretar em desiquilíbrio operacional e, eventualmente, a perdas financeiras ou de
confiabilidade perante o cliente externo". Tal conceituação refere-se a qual tipo de informação,
no que tange ao nível de prioridade da mesma, segundo Wadlow (2000)?

Informação Pública

Informação secreta

Informação Interna

Nenhuma das alternativas anteriores

Informação confidencial

Ref.:

2a Questão

O ciclo de vida de uma informação é composto e identificado pelos momentos vividos pela
informação que a colocam em risco. Os momentos são vivenciados justamente quando os
ativos físicos, tecnológicos e humanos fazem uso da informação, sustentando processos que
por sua vez, mantêm a operação da empresa. Estes momentos são denominados:

Iniciação, processamento, utilização e remoção

Criação, utilização, armazenamento e compartilhamento

Criação, compartilhamento, utilização e descarte

Manuseio, armazenamento, transporte e descarte

Manuseio, transporte, compartilhamento e remoção

Ref.:

3a Questão

Para auxiliar no processo de classificação das informações das organizações, podemos utilizar
que ferramenta?

Uma Analise Quantitativa dos níveis Alto, Médio e Baixo das Informações.

Uma Matriz que utilize níveis Alto, Médio e Baixo versus a Confiabilidade, a Integridade e
a Disponibilidade das Informações.

Uma Analise Qualitativa dos níveis Alto, Médio e Baixo das Informações.

Uma Matriz que utilize níveis Alto, Médio e Baixo versus a Confidencialidade, a Integridade
e a Disponibilidade das Informações.

Uma Matriz que utilize níveis Alto, Médio e Baixo versus a Confidencialidade, a Integridade
e a Probabilidade das Informações.

Ref.:

4a Questão

Um fator importante em um processo de classificação da informação é o nível de ameaça
conhecido que cada informação tem. Quando uma informação é classificada como pública,
podendo ser utilizada por todos sem causar danos à organização, podemos afirmar que ela
possui qual nível de segurança?

As opções (a) e (c) estão corretas.
Irrestrito.

Confidencial.

Interna.

Secreta.

Ref.:

5a Questão

Maria trabalha na filial de São Paulo da empresa ABC e necessita transmitir um arquivo para
Pedro que trabalha na filial de Belém. Após receber o arquivo transmitido por Maria, Pedro
verificou que o arquivo possuia um tamanho maior do que quando Maria iniciou a transmissão.
Neste caso houve uma falha na segurança da informação relacionada à:

Integridade;

Auditoria;

Não-Repúdio;

Confidencialidade;

Autenticidade;

Ref.:

6a Questão

Cada empresa ao tratar segurança da informação e independentemente de sua área de negócio
e dos objetivos de segurança que deseje, normalmente irá utilizar um ou os três princípios
considerados como fundamentais para atingir os objetivos da Segurança da Informação:

Confidencialidade, Descrição e Integridade.

Confiabilidade, Disponibilidade e Intencionalidade.

Confidencialidade, Indisponibilidade e Integridade.

Confidencialidade, Disponibilidade e Integridade.

Confiabilidade, Disponibilidade e Integridade.

Ref.:

7a Questão

Segundo os princípios da Segurança da Informação, qual das opções abaixo representa melhor
o conceito de ¿Ativo de Informação¿?

São aqueles tratam, administram, isolam ou armazenam informações.

São aqueles que produzem, processam, transmitem ou armazenam informações.

São aqueles que produzem, processam, reúnem ou expõem informações.

São aqueles que constroem, dão acesso, transmitem ou armazenam informações.

São aqueles que organizam, processam, publicam ou destroem informações.

Ref.:

8a Questão

A informação é um ativo importante dentro da organização, e que deve ser protegido em todas
as fases do seu ciclo de vida. Aponte dentre as alternativas abaixo aquela que corresponde ao
correto ciclo de vida da informação:

Geração, Edição, Correção, Divulgação e Descarte

Criação, Edição, Correção, Manuseio e Descarte

Geração, Transporte, Armazenamento, Manuseio e Descarte.

Desarquivamento, Transporte, Edição, Manuseio e Descarte

Geração, Transporte, Publicação, Apreciação e Arquivamento.

GESTÃO DE SEGURANÇA DA INFORMAÇÃO
3a aula

Lupa

Vídeo

PPT

MP3

Exercício: EDO0395_EX_A3__V1 24/05/2018 00:54:03 (Finalizada)
Aluno(a): 2018.1
Disciplina: EDO0395 - GESTÃO DE SEGURANÇA DA INFORMAÇÃO

Ref.:

1a Questão

Relacione a primeira coluna com a segunda:
A. Área de armazenamento sem proteção 1. ativo
B. Estações de trabalho 2. vulnerabilidade
C. Falha de segurança em um software 3. ameaça
D. Perda de vantagem competitiva 4. impacto
E. Roubo de informações 5. medida de segurança
F. Perda de negócios
G. Não é executado o "logout" ao término do uso dos sistemas
H. Perda de mercado
I. Implementar travamento automático da estação após período de tempo sem uso
J. Servidores
K. Vazamento de informação

A2, B1, C2, D4, E3, F4, G2, H4, I5, J1, K3.

A2, B1, C3, D3, E4, F4, G2, H4, I5, J1, K3.

A2, B1, C3, D3, E3, F4, G2, H4, I5, J1, K4.

A2, B1, C2, D3, E3, F3, G2, H4, I5, J1, K4.

A2, B1, C2, D4, E4, F4, G2, H4, I5, J1, K3.

Ref.:

2a Questão

No ano passado um grupo de Anônimos coordenou uma ação em escala inédita, com a
justificativa de defender a liberdade de expressão. Seus integrantes lançaram ataques de
negação de serviço contra Amazon, PayPal, Visa, Mastercard e o banco suíço PostFinance. As
companhias sofreram represália por terem negado hospedagem, bloqueado recursos financeiros
ou vetado doações para o WikiLeaks, o serviço responsável pelo vazamento de mais de 250
000 documentos diplomáticos americanos, Qual você acha que seria a vulnerabilidade neste
ataque?

Vulnerabilidade de Software

Vulnerabilidade Natural

Vulnerabilidade de Comunicação

Vulnerabilidade Física

Vulnerabilidade Mídia

Ref.:

3a Questão

O departamento financeiro vai determinar os perigos aos quais a área está exposta. Neste
contexto o que chamamos de um possível evento que pode ter um efeito perturbador sobre a
confiabilidade da informação?

Problema

Vulnerabilidade

Dependência

Risco

Ameaça

Ref.:

4a Questão

Considere um sistema no qual existe um conjunto de informações disponível para um
determinado grupo de usuários denominados "engenheiros". Após várias consultas com
respostas corretas e imediatas, em um determinado momento, um usuário pertencente ao
grupo "engenheiros" acessa o sistema em busca de uma informação já acessada anteriormente
e não consegue mais acessá-la. Neste caso houve uma falha na segurança da informação para
este sistema na propriedade relacionada à:

Autenticidade

Confidencialidade

Disponibilidade

Integridade

Auditoria

Ref.:

5a Questão

Corrigir pontos vulneráveis ou pontos fracos que circulam em um setor que trabalha com a
informação, não acabará, mas reduzirá em muito os riscos em que ela estará envolvida. Logo
estará evitando como também prevenindo a concretização de possíveis ameaças. Baseado
neste fato podemos denominar como Vulnerabilidade Física:

Instalações prediais fora dos padrões de engenharia e salas de servidores mal planejadas.

Problemas nos equipamentos de apoio (acúmulo de poeira, aumento de umidade e de
temperatura).

Possibilidade de desastres naturais (incêndios, enchentes, terremotos, tempestades, falta
de energia).

Terrorismo ou vandalismo (ameaça de bomba, sabotagem, distúrbios civis, greves, roubo,
furto, assalto, destruição de propriedades ou de dados, invasões, guerras, etc.).

Acessos não autorizados ou perda de comunicação e a ausência de sistemas de
criptografia nas comunicações.

Ref.:

6a Questão

As ________________________ por si só não provocam acidentes, pois são elementos
__________, para que ocorra um incidente de segurança é necessário um agente causador ou
uma condição favorável que são as ___________________.

Ameaças, passivos, vulnerabilidades

Vulnerabilidades, ativos, ameaças

Ameaças, ativos, vulnerabilidades

Vulnerabilidades, passivos, ameaças

Ameaças, essenciais, vulnerabilidades

Ref.:

7a Questão

Em relação às vulnerabilidades de protocolos e aplicações de acesso remotos, assinale a
afirmativa correta:

O Telnet é um padrão para acesso a terminais na Internet, que provê segurança por meio
da autenticação de usuários, além de manter uma conexão com tráfego criptografado.

Utilizando ferramentas específicas, é possível explorar a possibilidade de enviar mensagens
anônimas a partir do IRC, gerando uma espécie de spoofing de mensagens, se o endereço
IP e a porta IRC da vítima forem conhecidos.

Bots são softwares maliciosos e autônomos que se conectam por meio de um componente
ICQ. Normalmente, o software usado para gerenciamento destes canais é modifi cado de
forma
que sirvam a mais bots e que não revelem a quantidade de bots associados.

Kerberos e SSH (Secure Shell) são soluções para autenticação remota com uso de
criptografia, eliminando os problemas de soluções tais como o Telnet.

É aconselhável colocar servidores de Terminal (Terminal Servers) fora da DMZ (De-
Militarized Zone) para proteger a rede interna da organização.

Ref.:

8a Questão

Assinale a opção que, no âmbito da segurança da informação, NÃO é um exemplo de
vulnerabilidade.

Funcionário desonesto.

Rede elétrica instável.

Links sem contingência.

Sistema operacional desatualizado.

Firewall mal configurado.

GESTÃO DE SEGURANÇA DA INFORMAÇÃO
4a aula

Lupa

Vídeo

PPT

MP3

Exercício: EDO0395_EX_A4_0000_V1 24/05/2018 01:04:13 (Finalizada)
Aluno(a): 2018.1
Disciplina: EDO0395 - GESTÃO DE SEGURANÇA DA INFORMAÇÃO

Ref.:

1a Questão

Qual o nome do código malicioso ou ataque que tem o objetivo de capturar tudo que é digitado
pelo teclado do usuário e é enviado para o invasor ?

Phishing

Spyware

Defacement

Keylogger

Backdoor

Ref.:

2a Questão

Um tipo de software especificamente projetado para apresentar propagandas, seja através de
um browser, seja através de algum outro programa instalado em um computador pode ser
descrito como sendo um:

Spyware

Active-x

Java Script

Worm

Adware

Ref.:

3a Questão

Desde o aparecimento do primeiro spam, em 1994, a prática de enviar e-mails não solicitados
tem sido aplicada com vários objetivos distintos e também utilizando diferentes aplicativos e
meios de propagação na rede. Os tipos de spam identificados até o momento são: correntes,
boatos, lendas urbanas, propagandas, ameaças, pornografia, códigos maliciosos, fraudes e
golpes.
É muito importante que se saiba como identificar os spams, para poder detectá-los mais
facilmente e agir adequadamente. Dentre as afirmativas abaixo marque aquelas que podemos
assinalar como sendo as principais características dos spams:
I. Apresentam cabeçalho suspeito.
II. Apresentam no campo Assunto palavras com grafia errada ou suspeita.
III. Apresentam no campo Assunto textos alarmantes ou vagos.
IV. Oferecem opção de remoção da lista de divulgação.
V. Prometem que serão enviados "uma única vez.
VI. Baseiam-se em leis e regulamentações inexistentes.
Estão corretas:

Todas as afirmativas estão corretas

II, IV e VI

I, III e V

Nenhuma afirmativa está correta

I, II, III, V e VI

Ref.:

4a Questão

Qual das ameaças abaixo não é uma função diretiva primária realizada por um Spyware?

Alteração da página inicial apresentada no browser do usuário;

Alteração ou destruição de arquivos;

Captura de outras senhas usadas em sites de comércio eletrônico;

Monitoramento de URLs acessadas enquanto o usuário navega na Internet

Captura de senhas bancárias e números de cartões de crédito;

Ref.:

5a Questão

Ao analisarmos a afirmativa: ¿Devemos levar em consideração que diferentes ameaças
possuem impactos diferentes e que dependendo do ativo afetado, podemos ter também
impactos diferentes para uma mesma ameaça¿. Podemos dizer que é:

falsa, pois não depende do ativo afetado.

falsa, pois os impactos são sempre iguais para ameaças diferentes.

verdadeira

parcialmente verdadeira, pois sempre temos impactos diferentes para uma mesma
ameaça.

falsa, pois não devemos considerar que diferentes ameaças existem .

Ref.:

6a Questão

A mídia costuma generalizar e chamar os responsáveis por qualquer ataque virtual de hackers
mas na verdade estas pessoas tem amplo conhecimento de programação e noções de rede e
internet, não desenvolvem vulnerabilidades e não tem intenção de roubar informações, estes
na verdade são os crackers que invadem sistemas em rede ou computadores para obter
vantagens muitas vezes financeiras. Verifique nas sentenças abaixo as que estão corretas em
relação a descrição dos potenciais atacantes: I - Wannabes ou script kiddies São aqueles que
acham que sabem, dizem para todos que sabem, se anunciam, divulgam abertamente suas
façanhas e usam 99% dos casos de scripts conhecidos. II- Defacers Pessoa que Interferem com
o curso normal das centrais telefônicas, realizam chamadas sem ser detectados ou realizam
chamadas sem tarifação. III- Pheakres São organizados em grupo, usam seus conhecimentos
para invadir servidores que possuam páginas web e modificá-las.

As sentenças I e III estão corretas.

Todas as sentenças estão corretas.

As sentenças II e III estão corretas.

As sentenças I e II estão corretas.

Apenas a sentença I está correta.

Ref.:

7a Questão

Pedro construiu um software malicioso capaz de se propagar automaticamente pelas redes,
enviando cópias de si mesmo de computador para computador. Neste caso o programa poderá
afetar o desempenho da rede e a utilização do computador. Neste caso podemos afirmar que
Pedro construiu um:

Keylogger

Backdoor

Trojan

Worm

Screenlogger

Ref.:

8a Questão

Um programa ou parte de um programa de computador, normalmente malicioso, que se
propaga infectando, isto é, inserindo cópias de si mesmo e se tornando parte de outros
programas e arquivos de um computador pode ser descrito como sendo um:

keylogger

spyware

exploit

vírus

backdoor

GESTÃO DE SEGURANÇA DA INFORMAÇÃO
5a aula

Lupa

Vídeo

PPT

MP3

Exercício: EDO0395_EX_A5_0000_V1 24/05/2018 01:11:27 (Finalizada)
Aluno(a): 2018.1
Disciplina: EDO0395 - GESTÃO DE SEGURANÇA DA INFORMAÇÃO

Ref.:

1a Questão

Qual das opções abaixo descreve um tipo de ataque que consiste em enviar um excessivo
número de pacotes PING para o domínio de broadcast da rede? Neste tipo de ataque o
endereço de origem utilizado é o endereço IP da vítima desejada, de forma que todos os hosts
do domínio de broadcast irão responder para este endereço IP , que foi mascarado pelo
atacante.

Phishing Scan

Shrink Wrap Code

Fraggle

Dumpster Diving ou Trashing

Smurf

Ref.:

2a Questão

Um dos principais tipos de ataques à Segurança das informações funciona da seguinte forma:
Consiste na verificação do lixo em busca de informações que possam facilitar o ataque. É uma
técnica eficiente e muito utilizada e que pode ser considerada legal visto que não existem leis a
respeito dos lixos. Neste caso é interessante que as informações críticas da organização
(planilhas de custos, senhas e outros dados importantes) sejam triturados ou destruídos de
alguma forma. Qual seria este ataque:

Port Scanning.

Packet Sniffing.

Syn Flooding.

Dumpster diving ou trashing.
Ip Spoofing.

Ref.:

3a Questão

João é analista de segurança da empresa Ypisol e percebeu que alguém está tentando obter
acesso à rede através do envio de um grande número de requisições de conexão (pacotes SYN)
para o servidor WEB da empresa. Qual o tipo de ataque que o invasor está tentando utilizar?

Port Scanning

Fragmentação de pacotes IP

Fraggle

SYN Flooding

Ip Spoofing

Ref.:

4a Questão

Antônio deseja obter informações sigilosas de uma importante empresa da área financeira. Para
isso implementou um programa que que irá coletar informações pessoais e financeiros da
vítima. Para obter sucesso no ataque, Antônio irá induzir o acesso a página fraudulenta através
do envio de uma mensagem não solicitada. Neste caso estavamos nos referindo ao ataque do
tipo

DDos

Source Routing

Shrink wrap code

SQL Injection

Phishing Scan

Ref.:

5a Questão

Qual o nome do ataque é foi utilizado em guerras na Grécia, é hoje é aplicado como conceito a
área computacional. O ataque é enviado um possível programa, mas que na verdade é um
código malicioso. Qual o nome desse código malicioso ?

Backdoor

Adware

Trojan

Spyware

Rootkit

Ref.:

6a Questão

Qual o nome do ataque que tem como objetivo desfigurar a página de um site ?

Spam

Worm

Defacement

Backdoor

Disfiguration

Ref.:

7a Questão

Existem diferentes caminhos que um atacante pode seguir para obter acesso aos sistemas.
Qual das opções abaixo Não representa um destes tipos de ataques?

Ataque aos Sistemas Operacionais

Ataques Genéricos

Ataque de Configuração mal feita

Ataque à Aplicação

Ataque para Obtenção de Informações

Ref.:

8a Questão

Qual a forma de fraude eletrônica, caracterizada por tentativas de roubo de identidade e que
ocorre de várias maneiras, principalmente por e-mail, mensagem instantânea, SMS, dentre
outros, e, geralmente, começa com uma mensagem de e-mail semelhante a um aviso oficial de
uma fonte confiável, como um banco, uma empresa de cartão de crédito ou um site de
comércio eletrônico.

Wabbit.

Hijackers.

Phishing.

Trojans.

Exploits.

GESTÃO DE SEGURANÇA DA INFORMAÇÃO
6a aula

Lupa

Vídeo

PPT

MP3

Exercício: EDO0395_EX_A6_0000_V1 03/06/2018 00:17:06 (Finalizada)
Aluno(a 2018.1
Disciplina: EDO0395 - GESTÃO DE SEGURANÇA DA INFORMAÇÃO

Ref.:

1a Questão

É essencial determinar o propósito da gestão de riscos a ser implementada na organização, pois
ele afeta o processo em geral e a definição do contexto em particular. Qual das opções abaixo
Não representa um destes propósitos?

Preparação de um plano de continuidade de negócios.

Preparação de um plano de respostas a incidentes.

Preparação de um plano para aceitar todos os Riscos

Descrição dos requisitos de segurança da informação para um produto.

Conformidade Legal e a evidência da realização dos procedimentos corretos

Ref.:

2a Questão

Tratando-se da segurança da informação, há diversos tipos de ataque, um deles afeta
especificamente um dos três elementos da tríade da segurança da informação. Qual é o ataque
?

0day

Spyware

Backdoor

DoS/DDoS

Adware

Ref.:

3a Questão

Qual o nome do processo malicioso que tem o intuito de infectar uma ou várias máquinas e
utilizá-las posteriormente como máquinas para destinar um ataque que seja o alvo do atacante
?

Rootkit

Phishing

Bot/Botnet

Spyware

Spammer

Ref.:

4a Questão

Qual o nome do código malicioso que tem o intuito de infectar uma ou várias máquinas e
utilizá-las posteriormente como máquinas para destinar um ataque que seja o alvo do atacante
?

Bot/Botnet

Spyware

Spammer

Phishing

Rootkit

Ref.:

5a Questão

Qual o nome da técnica/ataque ou maneira de identificar trafego de dados que "passam" em
uma rede de computadores ?

Spyware

Sniffer

Monitor

DoS

Keylogger

Ref.:

6a Questão

Qual das opções abaixo Não representa um benefício proveniente de uma Gestão de Risco:

Melhorar a eficácia no controle de riscos

Manter a reputação e imagem da organização

Melhorar a efetividade das decisões para controlar os riscos

Entender os riscos associados ao negócio e a gestão da informação

Eliminar os riscos completamente e não precisar mais tratá-los

Ref.:

7a Questão

Qual das opções abaixo representa o tipo de Método utilizado para a análise e avaliação dos
riscos onde são utilizados termos numéricos para os componentes associados ao risco.

Método Numérico.

Método Quantitativo

Método Exploratório.

Método Classificatório

Método Qualitativo

Ref.:

8a Questão

Qual o nome do ataque que o objetivo de "forjar" uma página falsa de um site verdadeiro com
o intuito de obter informações pessoais de usuários de sites da Internet ou site corporativo ?

Phishing

Rootkit

Backdoor

Spyware

Defacement

EDO0395_EX_A7_0000_V1

GESTÃO DE SEGURANÇA DA INFORMAÇÃO
7a aula

Lupa

Vídeo

PPT

MP3

Exercício: EDO0395_EX_A7_0000_V1 03/06/2018 00:27:43 (Finalizada)
Aluno(a): 2018.1
Disciplina: EDO0395 - GESTÃO DE SEGURANÇA DA INFORMAÇÃO

Ref.:

1a Questão

De acordo com as normas ABNT NBR 27001, 27002 e 27005, o documento da política de
segurança da informação deve:

apresentar uma declaração de aplicabilidade dos controles de segurança da informação,
além de definir como será o processo de gestão de riscos.

revelar informações sensíveis da organização.

ser aprovado pela direção, bem como publicado e comunicado para todos que tenham
contato com a organização.

conter uma declaração de comprometimento elaborada por todos aqueles que atuam na
organização, inclusive pela direção.

conter o registro dos incidentes de segurança da organização.

Ref.:

2a Questão

Com relação à estrutura, objetivos e conceitos gerais da NBR ISO/IEC 27000 é correto afirmar:

Um incidente de segurança da informação é indicado por um evento de segurança da
informação esperado, que tenha uma grande probabilidade de comprometer as operações
do negócio e ameaçar a segurança da informação.

A gestão de riscos consiste no processo de seleção e implementação de medidas para
modificar um risco. Inclui a análise, o tratamento e a comunicação de riscos e exclui
a
aceitação de riscos.

Apresentar a descrição, vocabulário e correspondência entre a família de normas que
tratam de um Sistema de Gestão de Segurança da Informação (SGSI), proporcionando os
fundamentos sobre os quais toda a família está baseada e se integra.

Contém 9 seções de controles de segurança da informação, que juntas totalizam 59
categorias principais de segurança e uma seção introdutória que aborda a questões de
contingência.

Os objetivos de controle e os controles desta Norma têm como finalidade ser
implementados para atender aos requisitos identificados exclusivamente por meio da
classificação das informações.

Ref.:

3a Questão

Porque as organizações devem realizar auditorias internas do SGSI em intervalos regulares?

Para determinar se os objetivos de riscos, processos e procedimentos atendem aos
requisitos da norma NBR ISO/IEC 27001.

Para determinar se os objetivos de risco, processos e incidentes atendem aos requisitos
da norma NBR ISO/IEC 27001.

Para determinar se os objetivos de controle, processos e procedimentos atendem aos
requisitos da norma NBR ISO/IEC 27001.

Para determinar se os objetivos de ameaças, vulnerabilidades e procedimentos atendem
aos requisitos da norma NBR ISO/IEC 27001.

Para determinar se os objetivos de controle, processos e incidentes atendem aos
requisitos da norma NBR ISO/IEC 27001.

Ref.:

4a Questão

Certificações de organizações que implementaram a NBR ISO/IEC 27001 é um meio de garantir
que a organização certificada:

implementou um sistema para gerência da segurança da informação de acordo com os
padrões nacionais das empresas de TI.

implementou um sistema para gerência da segurança da informação de acordo com os
padrões e melhores práticas de segurança reconhecidas no mercado.

implementou um sistema para gerência da segurança da informação de acordo com os
padrões de segurança de empresas de maior porte reconhecidas no mercado.

implementou um sistema para gerência da segurança da informação de acordo
fundamentado nos desejos de segurança dos Gerentes de TI.

implementou um sistema para gerência da segurança da informação de acordo com os
desejos de segurança dos funcionários e padrões comerciais.

Ref.:

5a Questão

Para a implementação de uma regulamentação de monitoramento eletrônico, necessitamos
atentar a alguns pontos, EXCETO:

Caso ocorra a divulgação de quaisquer informações confidenciais da empresa, estarão
sujeitos às sanções cabíveis.

Colaboradores deverão estar cientes de que a empresa poderá a vir inspecionar todo o e
qualquer arquivo trafegado na rede.

Ciência por parte dos colaboradores acerca dos sistemas de monitoramento implantados.

Os colaboradores poderão utilizar a internet corporativa para atividades lícitas em seu
horário de descanso.

Os colaboradores estão cientes que podem copiar ferramentas disponibilizados pela
empresa para uso externo.

Ref.:

6a Questão

Segundo a NBR ISO/IEC 27002 (antiga 17799), a segurança da informação visa proteger os
ativos de informação de diversos tipos de ameaças para garantir a continuidade dos negócios,
minimizar os danos e maximizar o retorno dos investimentos. Para isso a segurança da
informação pode ser caracterizada por três princípios básicos:

Autenticidade, originalidade e abrangência

Flexibilidade, agilidade e conformidade

Integridade, confidencialidade e disponibilidade

Prevenção, proteção e reação

Integridade, prevenção e proteção

Ref.:

7a Questão

Um Firewall pode ser definido como uma coleção de componentes, colocada entre duas redes,
que coletivamente possua propriedades que:

garantem que todo o tráfego de dentro para fora da rede e vice-versa deve ser bloqueado,
independentemente da política de segurança adotada. Todo firewall deve ser à prova de
violação.

garantem que apenas o tráfego de dentro para fora da rede deve passar por ele. Somente
o tráfego autorizado pela política de segurança pode atravessar o firewall e, finalmente, ele
deve ser à prova de violação.

independentemente da política de segurança adotada, tem como objetivo principal impedir
a entrada de vírus em um computador, via arquivos anexados a e-mails.

garantem que apenas o tráfego de fora para dentro da rede deve passar por ele. Somente
o tráfego autorizado pela política de segurança pode atravessar o firewall e, finalmente, ele
deve ser à prova de violação.

garantem que todo o tráfego de dentro para fora da rede, e vice-versa, passe por ele.
Somente o tráfego autorizado pela política de segurança pode atravessar o firewall e,
finalmente, ele deve ser à prova de violação.

Ref.:

8a Questão

Quando devem ser executadas as ações corretivas?

Devem ser executadas somente para eliminar o resultado da não-conformidade com os
requisitos do SGSI de forma a evitar a sua repetição

Devem ser executadas para garantir as causas da não-conformidade com os requisitos do
SGSI de forma a evitar a sua repetição

Devem ser executadas para garantir as causas da conformidade com os requisitos do
SGSI de forma a evitar a sua repetição

Devem ser executadas para eliminar todas conformidades com os requisitos do SGSI de
forma a evitar a sua repetição

Devem ser executadas para eliminar as causas da não-conformidade com os requisitos do
SGSI de forma a evitar a sua repetição

EDO0395_EX_A8_0000_V1

GESTÃO DE SEGURANÇA DA INFORMAÇÃO
8a aula

Lupa

Vídeo

PPT

MP3

Exercício: EDO0395_EX_A8_0000_V1 03/06/2018 00:44:05 (Finalizada)
Aluno(a): 2018.1
Disciplina: EDO0395 - GESTÃO DE SEGURANÇA DA INFORMAÇÃO

Ref.:

1a Questão

Independente do tamanho, da natureza e do tipo da organização, os requisitos definidos pela
norma são genéricos e podem ser aplicados a todas as organizações. Entretanto existem quatro
itens que são obrigatórios de implementação da norma ISO/IEC 27001 em qualquer
organização:

Controle de registros, responsabilidade da direção, melhoria do SGSI e auditorias
internas

Sistema de gestão de segurança da informação, análise de risco, auditorias internas e
melhoria do SGSI

Sistema de gestão de segurança da informação, classificação da informação, auditoria
internas e análise de risco.

Responsabilidade da direção, auditorias internas, controle de registros, sistema de gestão
de segurança da informação.

Sistema de gestão de segurança da informação, responsabilidade da direção, análise
crítica do SGSI pela direção e Melhoria do SGSI

Ref.:

2a Questão

A certificação de organizações que implementaram a NBR ISO/IEC 27001 é um meio de
garantir que a organização certificada:

implementou um sistema para gerência da segurança da informação de acordo com os
desejos de segurança dos funcionários e padrões comerciais.

implementou um sistema para gerência da segurança da informação de acordo com os
padrões nacionais das empresas de TI.

implementou um sistema para gerência da segurança da informação de acordo
fundamentado nos desejos de segurança dos Gerentes de TI.

implementou um sistema para gerência da
segurança da informação de acordo com os
padrões e melhores práticas de segurança reconhecidas no mercado

implementou um sistema para gerência da segurança da informação de acordo com os
padrões de segurança de empresas de maior porte reconhecidas no mercado.

Ref.:

3a Questão

A organização deve executar ações para melhorar continuamente a eficácia do SGSI. Estas
ações ocorrem através: do uso da política de segurança, dos objetivos de segurança, resultados
de auditorias, da análise dos eventos monitorados e através de ações:

Corretivas e Preventivas.

Prevenção e Preventivas.

Corretivas e Corrigidas.

Corretivas e Correção.

Corrigidas e Preventivas.

Ref.:

4a Questão

A organização deve analisar criticamente seu SGSI em intervalos planejados para assegurar a
sua contínua pertinência, adequação, eficácia, oportunidade de melhoria ou necessidade de
mudanças. Qual das opções abaixo Não poderá ser considerada como um elemento para a
realização desta análise:

Vulnerabilidades ou ameaças não contempladas adequadamente nas análise/avaliações
de risco anteriores

A avaliação dos riscos e incidentes desejados

A realimentação por parte dos envolvidos no SGSI

A avaliação das ações preventivas e corretivas

Os resultados das auditorias anteriores e análises críticas

Ref.:

5a Questão

Segundo os conceitos de Segurança da Informação as proteções são medidas que visam livrar
os ativos de situações que possam trazer prejuízo. Neste contexto qual das opções abaixo
apresenta os tipos proteção possíveis de serem aplicadas às organizações?

Lógica, Administrativa e Contábil.

Administrativa, Contábil e Física.

Administrativa, Física e Programada.

Lógica, Física e Programada.

Administrativa, Física e Lógica.

Ref.:

6a Questão

A empresa XPTO optou como forma de complementar seu projeto de Segurança da Informação,
a instalação de camêras de vídeo, sendo algumas falsas, e a utilização de avisos da existência
de alarmes, neste caso qual o tipo de proteção que está sendo utilizada ?

Limitação

Reação

Desencorajamento

Preventiva

Correção

Ref.:

7a Questão

O SGSI torna-se pré-requisito à ser implementado em ambientes corporativos, educacionais,
industriais, governamentais e qualquer outro que tenha por objetivo resguardar ambientes que
criam, manipulam ou destroem informações relevantes. O sistema será informatizado, caso
seja necessário, conforme a peculiaridade de cada negócio (ambiente). Pois a Segurança da
Informação (SI) é norteada por boas práticas, mudança de hábitos e cultura e não apenas
definidas por bons softwares e ferramentas de apoio. O SGSI utiliza o modelo Plan-Do-Check-
Act. Podemos dizer que a empresa deve implementar na etapa Do:

Selecionar objetivos de controle e controles para o tratamento de riscos.

O escopo do SGSI alinhado com as características de negócio, da organização, sua
localização, ativos e tecnologia.

A organização deve implementar procedimentos de monitoração e análise crítica para
detectar erros nos resultados de processamento e identificar os incidentes de segurança
da informação.

A organização deve implementar as melhorias identificadas no SGSI. Deve ainda executar
as ações preventivas e corretivas necessárias para o bom funcionamento do SGSI.

A organização deve implementar e operar a política, controles, processos e procedimentos
do SGSI, buscando não burocratizar o funcionamento das áreas.

Ref.:

8a Questão

Em relação às normas NBR ISO/IEC 27001 e NBR ISO/IEC 27002, considere:

I. Cada categoria principal de segurança da informação contém um objetivo de controle que
define o que deve ser alcançado e um (ou mais) controle que pode ser aplicado para se
alcançar o objetivo do controle.

II. Especifica os requisitos para estabelecer, implementar, operar, monitorar, analisar
criticamente, manter e melhorar um SGSI documentado dentro do contexto dos riscos de
negócio globais da organização.

III. Os requisitos definidos nessa norma são genéricos e é pretendido que sejam aplicáveis a
todas as organizações, independentemente de tipo, tamanho e natureza. Qualquer exclusão de
controles considerados necessários para satisfazer aos critérios de aceitação de riscos precisa
ser justificada e as evidências de que os riscos associados foram aceitos pelas pessoas
responsáveis precisam ser fornecidas.

IV. Convém que a análise/avaliação de riscos de segurança da informação tenha um escopo
claramente definido para ser eficaz e inclua os relacionamentos com as análises/avaliações de
riscos em outras áreas, se necessário.

Associadas à norma NBR ISO/IEC 27001, está correto o que consta APENAS em:

II e III.

III e IV.

I e II.

II.

I e III.

EDO0395_EX_A9_0000_V1

GESTÃO DE SEGURANÇA DA INFORMAÇÃO
9a aula

Lupa

Vídeo

PPT

MP3

Exercício: EDO0395_EX_A9_0000_V1 03/06/2018 00:55:40 (Finalizada)
Aluno(a): 2018.1
Disciplina: EDO0395 - GESTÃO DE SEGURANÇA DA INFORMAÇÃO

Ref.:

1a Questão

O ciclo de vida da Gestão de continuidade de negócios é composto por seis elementos
obrigatórios e que podem ser implementados em todos os tipos de organizações de diferentes
tamanhos e setores. Cada organização ao implementar a gestão da continuidade de negócios
deverá adaptar as suas necessidades: o escopo, a estrutura do programa de GCN e o esforço
gasto. Como podemos definir o elemento "Entendendo a Organização"?

Para o estabelecimento do programa de GCN é necessário entender a organização para
definir a priorização dos produtos e serviços da organização e a urgência das atividades que
são necessárias para fornecê-los.

O desenvolvimento e implementação de uma resposta de GCN resulta na criação de uma
estrutura de gestão e uma estrutura de gerenciamento de incidentes, continuidade de
negócios e planos de recuperação que irão detalhar os passos a serem tomados durante e
após um incidente , para manter ou restaurar as operações.

A organização precisa verificar se suas estratégicas e planos estão completos, atualizados e
precisos. O GCN deverá ser testado, mantido, analisado criticamente, auditado e ainda
identificada as oportunidades de melhorias possíveis.

A determinação da estratégia de continuidade de negócio permite que uma resposta
apropriada seja escolhida para cada produto ou serviço, de modo que a organização possa
continuar fornecendo seus produtos e serviços em um nível operacional e quantidade de
tempo aceitável durante e logo após uma interrupção.

Para que às partes interessadas tenham confiança quanto à capacidade da organização de
sobreviver a interrupções, a Gestão de continuidade de negócio deverá torna-se parte dos
valores da organização, através da sua inclusão na cultura da empresa.

Ref.:

2a Questão

Ocorreu um incidente na sua organização e a mesma possui a norma NBR ISO/IEC 15999
implementada. Qual das opções abaixo não está em conformidade com as orientações da
norma citada?

Tomar controle da situação

Controlar o incidente

Afastar o incidente do cliente

Comunicar-se
com as partes interessadas

Confirmar a natureza e extensão do incidente

Ref.:

3a Questão

Qual a principal diferença entre um Plano de Continuidade de Negócios (PCN) e um Plano de
Recuperação de Desastres (PRD)?

O PCN foca-se no funcionamento contínuo dos processos enquanto que o PRD é destinado
à reparação dos danos causados.

O PRD é mais abrangente que o PCN.

O PCN só pode ser implementado se o PRD já tiver em uso.

O PCN é direcionado para a recuperação de todos os ativos da empresa enquanto que o
PRD cobre somente os ativos de informação.

O PRD é responsável pela continuidade dos processos de Tecnologia da Informação
enquanto que o PCN foca-se na continuidade para todos os processos.

Ref.:

4a Questão

A gestão de continuidade de negócio envolve prioritariamente os seguintes processos:

Investigação e diagnóstico; resolução de problemas; recuperação

Plano de redundância; análise de risco; planejamento de capacidade

Gestão de configuração; planejamento de capacidade; gestão de mudança

Análise de impacto no negócio; avaliação de risco; plano de contingência

Tratamento de incidentes; solução de problemas; acordo de nível de operação

Ref.:

5a Questão

Você está trabalhando em um projeto de implantação da continuidade de negócios em sua
organização. Você está na fase do projeto que é a análise de impacto nos negócios. Analise a
opção que melhor retrata as ações que você deve realizar:

Levantar o grau de relevância dos processos ou hardware que compõe a entrega de
produtos e serviços fundamentais para a organização.

Levantar o grau de dificuldade dos processos ou atividades que compõe a entrega de
produtos e serviços desnecessários para a organização.

Levantar o grau de relevância dos usuários ou atividades que compõe a entrega de
produtos e serviços desnecessários para a organização.

Levantar o grau de relevância dos processos ou atividades que compõe a entrega de
produtos e serviços fundamentais para a organização.

Levantar o grau de dificuldade dos processos ou atividades da área de TI que compõe a
entrega de produtos e serviços fundamentais para a organização.

Ref.:

6a Questão

Qual das opções abaixo apresenta as fases da implementação da continuidade de negócio nas
organizações ?

Planejamento, maturação e desenvolvimento

Planejamento, estudo e implementação do programa

Planejamento, desenvolvimento e implementação do programa

Manutenção, implementação do programa e maturação

Manutenção, desenvolvimento e implementação do programa

Ref.:

7a Questão

Maria trabalha na filial de São Paulo da empresa ABC e necessita transmitir um arquivo para
Pedro que trabalha na filial de Belém. Após receber o arquivo transmitido por Maria, Pedro
verificou que o arquivo possuia um tamanho maior do que quando Maria iniciou a transmissão.
Neste estava houve uma falha na segurança da informação relacionada à:

Não-Repúdio;

Autenticidade;

Integridade;

Auditoria;

Confidencialidade;

Ref.:

8a Questão

Um plano de contingência se situa no contexto dos resultados da criação de uma estrutura de
gestão e numa estrutura de gerenciamento de incidentes, continuidade de negócios e planos de
recuperação de negócios que detalhem os passos a serem tomados durante e após um
incidente para manter ou restaurar as operações.
No ciclo de vida da Gestão de Continuidade de Negócio, tal afirmação está associada ao
elemento:

Determinando a estratégia de continuidade de negócios.

Entendendo a organização.

Desenvolvendo e implementando uma resposta de GCN.

Testando, mantendo e analisando criticamente os preparativos de GCN.

Incluindo a GCN na cultura da organização.

File failed to load: http://ead.estacio.br/ckeditor/MathJax/a11y/accessibility-menu.js

EDO0395_EX_A10_0000_V1

GESTÃO DE SEGURANÇA DA INFORMAÇÃO
10a aula

Lupa

Vídeo

PPT

MP3

Exercício: EDO0395_EX_A10_0000_V1 03/06/2018 01:08:23 (Finalizada)
Aluno(a): 2018.1
Disciplina: EDO0395 - GESTÃO DE SEGURANÇA DA INFORMAÇÃO

Ref.:

1a Questão

Você trabalha na área de administração de rede está percebendo que a rede tem apresentado
um comportamento diferente do normal. Você desconfia que possam estar ocorrendo ataques a
alguns servidores, e precisa utilizar alguma ferramenta para realizar o levantamento periódico
do que está ocorrendo no tráfego da rede. Neste caso você irá utilizar:

Um sniffer de rede, para analisar o tráfego da rede

Um filtro de pacotes, para verificar quais pacotes estão sendo verificados pelos firewall

Um analisador de protocolo para auxiliar na análise do tráfego da rede

Um detector de intrusão para realizar a análise do tráfego da rede

Um servidor proxy para filtrar o fluxo de dados que entram e saem da rede

Ref.:

2a Questão

Considerando que um usuário deseje enviar um e-mail criptografado, assinale a alternativa que
apresenta a chave do destinatário que esse usuário deverá conhecer para realizar corretamente
a criptografia.

Chave certificada

Chave criptografada privada

Chave criptografada pública

Chave pública

Chave privada

Ref.:

3a Questão

Você está trabalhando em um projeto de implantação da continuidade de negócios em sua
organização. Você está na fase do projeto que é necessário determinar a estratégia de
continuidade de negócios. Analise a opção que melhor retrata a estratégia a ser definida:

A organização deve liberar todas as medidas apropriadas para impedir a ocorrência de
incidentes e seus efeitos.

A organização deve implementar medidas apropriadas para reduzir a probabilidade de
ocorrência de incidentes e seus efeitos.

A organização deve liberar medidas urgentes para reduzir a probabilidade de ocorrência
de incidentes e seus efeitos.

A organização deve implementar medidas apropriadas diminuir o impacto da ocorrência
de incidentes e seus efeitos.

A organização deve somente considerar as medidas apropriadas para reduzir a
probabilidade de ocorrência de incidentes e seus efeitos.

Ref.:

4a Questão

Você está trabalhando em um projeto de rede para a empresa XPTO. A empresa pretende
implantar um servidor de banco de dados somente para consulta dos usuários internos da
organização. Em qual tipo de rede você localizaria este servidor considerando que você irá
utilizar o conceito de perímetro de segurança?

na rede interna da organização

em uma subrede externa protegida por um proxy

ligado diretamente no roteador de borda

na Zona Demilitarizada (DMZ) protegida

na Zona Demilitarizada (DMZ) suja

Ref.:

5a Questão

Você está trabalhando em um projeto de rede para a empresa XPTO. A empresa pretende
implantar um servidor Internet para que os clientes possam acessar as informações oferecidas
pela empresa à seus clientes. Em qual tipo de rede você localizaria este
servidor considerando
que você irá utilizar o conceito de perímetro de segurança?

em uma subrede interna protegida por um proxy

na Zona Desmilitarizada (DMZ) suja

ligado diretamente no roteador de borda

na Zona Desmilitarizada (DMZ) protegida

na rede interna da organização

Ref.:

6a Questão

Uma empresa teve a sua sala de servidores incendiadas e com isso perdeu todos os dados
importantes para a empresa, mas ela estava preparada para a continuidade dos negócios, o
que você acha que foi importante para a recuperação destes dados:

Na empresa haviam Backups ou cópias de segurança que são itens muito importantes na
administração de sistemas devendo fazer parte da rotina de operação dos sistemas da
organização, através de uma política pré-determinada.

Eles tinham um IDS que tem como principal objetivo reconhecer um comportamento ou
uma ação intrusiva, através da análise das informações disponíveis em um sistema de
computação ou rede.

Eles dispunham de uma DMZ que são pequenas redes que geralmente contém serviços
públicos que são conectados diretamente ao firewall ou a outro dispositivo de filtragem e
que recebem a proteção deste dispositivo.

Havia uma VPN interligando várias Intranets através da Internet.

A empresa possuía um FIREWALL que isolam a rede interna da organização da área pública
da Internet, permitindo que alguns pacotes passem e outros não, prevenindo ataques de
negação de serviço ou modificações e acessos ilegais aos dados internos.

Ref.:

7a Questão

Seja qual for o objeto da contingência : uma aplicação, um processo de negócio, um ambiente
físico e, até mesmo uma equipe de funcionários, a empresa deverá selecionar a estratégia de
contingência que melhor conduza o objeto a operar sob um nível de risco controlado. Nas
estratégias de contingência possíveis de implementação, qual a estratégia que está pronta para
entrar em operação assim que uma situação de risco ocorrer?

Realocação de operação

Cold-site

Acordo de reciprocidade

Hot-site

Warm-site

Ref.:

8a Questão

Que cuidado deve ser tomado no armazenamento de fitas de backup fora da organização?

O local de armazenamento deve estar protegido contra acessos não autorizados.

O local de armazenamento deve estar a, no mínimo, 25 quilômetros da organização.

O local de armazenamento deve ser de fácil acesso durante o expediente.

O local de armazenamento deve estar a, no mínimo, 40 quilômetros da organização.