REVISÃO DE SEGURANÇA DA INFORMAÇÃO

Prévia do material em texto

Aula 1 - 1a Questão
	
	
	
	O crescimento explosivo da internet e das tecnologias e aplicações a ela relacionadas revolucionou o modo de operação das empresas, o modo como as pessoas trabalham e a forma como a tecnologia da informação apóia as operações das empresas e as atividades de trabalho dos usuários finais. Qual das opções abaixo não pode ser considerada como razão fundamental para as aplicações de tecnologia da informação nas empresas?
		
	
	Apoio às Operações
	
	Apoio aos Processos
	
	Apoio às Estratégias para vantagem competitiva
	 
	Apoio ao uso da Internet e do ambiente wireless
	
	Apoio à tomada de decisão empresarial
	Respondido em 06/05/2020 08:30:43
	
	
	 
	
	 2a Questão
	
	
	
	
	Considere um sistema no qual existe um conjunto de informações disponível para um determinado grupo de usuários denominados ¿engenheiros¿. Após várias consultas com respostas corretas e imediatas, em um determinado momento, um usuário pertencente ao grupo ¿engenheiros¿ acessa o sistema em busca de uma informação já acessada anteriormente e não consegue mais acessá-la. Neste caso houve uma falha na segurança da informação para este sistema na propriedade relacionada à:
		
	
	Auditoria
	 
	Disponibilidade
	
	Privacidade
	
	Confidencialidade
	
	Integridade
	Respondido em 06/05/2020 08:32:24
	
	
	 
	
	 3a Questão
	
	
	
	
	Existe uma série de fatores que impactam na segurança de uma organização. A ausência de um mecanismo de proteção ou falhas em um mecanismo de proteção existente está relacionada com o conceito de?
		
	
	Ameaça.
	
	Impacto.
	
	Risco.
	
	Valor.
	 
	Vulnerabilidade.
	Respondido em 06/05/2020 08:32:39
	
	
	 
	
	 4a Questão
	
	
	
	
	Em relação as afirmações abaixo, assinale a opção que contenha apenas as corretas:
I-Segurança da informação é o conjunto de orientações, normas, procedimentos, políticas e demais ações que tem por objetivo proteger o recurso informação, possibilitando que o negócio da organização seja realizado e a sua missão seja alcançada.
II-A segurança da informação não minimiza os riscos da organização em relação à dependência do uso dos recursos de informação para o funcionamento da mesma.
III-Nos dias atuais é importante que a segurança da informação tenha como objetivo propor soluções técnicas que visem melhorias na política de segurança das informação das empresas.
		
	
	Somente I 
	 
	Somente I e III
	
	Todas estão erradas
	
	Somente I e II
	
	Somente II e III
	Respondido em 06/05/2020 08:34:19
	
Explicação:
O certo seria:
A segurança da informação tem a função de minimizar os riscos da organização em relação à dependência do uso dos recursos de informação para o funcionamento da mesma.
	
	
	 
	
	 5a Questão
	
	
	
	
	Em meio a tantas mudanças tecnológicas, sociológicas e comportamentais surgem também muitos desafios de negócios e gerenciais no desenvolvimento e implementação de novos usos da tecnologia da informação em uma empresa. Neste contexto qual o objetivo fundamental da ¿Segurança da Informação¿?
		
	
	Visam à proteção alguns poucos ativos de uma empresa que contêm informações.
	
	Visa à proteção dos equipamentos de uma empresa que contêm informações.
	
	Visa principalmente à proteção dos ativos patrimoniais que contêm informações.
	 
	Visa à proteção de todos os ativos de uma empresa que contêm informações.
	
	Visa à proteção, com o foco na internet da empresa, dos ativos que contêm informações.
	Respondido em 06/05/2020 08:35:53
	
	
	 
	
	 6a Questão
	
	
	
	
	Política de segurança é composta por um conjunto de regras e padrões sobre o que deve ser feito para assegurar que as informações e serviços importantes para a empresa recebam a proteção conveniente, de modo a garantir a sua confidencialidade, integridade e disponibilidade. Após sua criação ela deve ser:
		
	
	Armazenada em local seguro com acesso apenas por diretores e pessoas autorizadas.
	
	Comunicada apenas aos usuários que possuem acesso à Internet.
	
	Escondida de toda a organização para garantir sua confidencialidade, integridade e disponibilidade.
	 
	Comunicada a toda a organização para os usuários de uma forma que seja relevante, acessível e compreensível para o público-alvo.
	
	Comunicada apenas ao setor de tecnologia da informação de maneria rápida para que todos possam se manter focados no trabalho.
	Respondido em 06/05/2020 08:38:42
	
	
	Gabarito
Coment.
	
	 
	
	 7a Questão
	
	
	
	
	As informações devem cumprir alguns requisitos, dentre os quais:
I. Autenticação: refere-se a proteger a informação de ser lida ou copiada por qualquer um que não está explicitamente autorizado pelo proprietário da informação
II. Confidencialidade: irá definir que as partes envolvidas na comunicação sejam autenticadas, a fim de garantir que cada uma delas seja realmente quem diz ser
III. Consistência: assegura que o sistema comporta-se como esperado pelos usuários autorizados. Se o software ou hardware repentinamente começa a se comportar de maneira radicalmente diferente daquele que se costuma comportar, especialmente após uma atualização ou a reparação de um erro, pode ocorrer um "desastre"
IV. Disponibilidade: irá definir que as informações devidas estarão disponíveis para seus respectivos usuários. Aqui cabe uma ressalva: para garantir esta disponibilidade da informação somente para o usuário devido, deve-se implementar controles de acesso, a fim de conter usuários não autorizados
Após a leitura das asserções, assinale a alternativa correta.
		
	
	Somente as asserções I, II e IV estão corretas
	
	Somente as asserções I e II estão corretas
	
	Somente as asserções I, II e III estão corretas
	 
	Somente as asserções III e IV estão corretas
	
	Somente as asserções II, III e IV estão corretas
	Respondido em 06/05/2020 08:43:19
	
Explicação:
Autenticação: irá definir que as partes envolvidas na comunicação sejam autenticadas, a fim de garantir que cada uma delas seja realmente quem diz ser
Confidencialidade:refere-se a proteger a informação de ser lida ou copiada por qualquer um que não está explicitamente autorizado pelo proprietário da informação
Consistência: assegura que o sistema comporta-se como esperado pelos usuários autorizados. Se o software ou hardware repentinamente começa a se comportar de maneira radicalmente diferente daquele que se costuma comportar, especialmente após uma atualização ou a reparação de um erro, pode ocorrer um "desastre"
Disponibilidade: irá definir que as informações devidas estarão disponíveis para seus respectivos usuários. Aqui cabe uma ressalva: para garantir esta disponibilidade da informação somente para o usuário devido, deve-se implementar controles de acesso, a fim de conter usuários não autorizados
	
	
	 
	
	 8a Questão
	
	
	
	
	A segurança da informação diz respeito à proteção de determinados dados, com a intenção de preservar seus respectivos valores para uma organização (empresa) ou um indivíduo. Um de suas propriedades principais é a disponibilidade, qual das definições abaixo expressa melhor este princípio:
		
	
	Esta propriedade indica que quaisquer transações legítimas, efetuadas por usuários, entidades, sistemas ou processos autorizados e aprovados, não deveriam ser passíveis de cancelamento posterior.
	
	Esta propriedade indica que os dados e informações não deveriam ser acessíveis a, ficar disponíveis para ou ser divulgados a usuários, entidades, sistemas ou processos não autorizados e aprovados.
	 
	Esta propriedade indica que o acesso aos serviços oferecidos pelo sistema deveria ser sempre possível para um usuário, entidade, sistema ou processo autorizado e aprovado.
	
	Esta propriedade indica a possibilidade de identificar e autenticar usuários, entidades, sistemas ou processos.
	
	Esta propriedade indica que os dados e informações não deveriam ser alterados ou destruídos de maneira não autorizada e aprovada.
	Aula 2 - 1a Questão
	
	
	
	A assinaturadigital permite comprovar a autenticidade e ______________ de uma informação, ou seja, que ela foi realmente gerada por quem diz ter feito isto e que ela não foi alterada.
		
	
	a confidencialidade
	
	o não-repúdio
	 
	a integridade
	
	a legalidade
	
	a disponibilidade
	Respondido em 07/05/2020 15:16:14
	
	
	 
	
	 2a Questão
	
	
	
	
	Um fator importante em um processo de classificação da informação é o nível de ameaça conhecido que cada informação tem . Quando uma informação é classificada como aquela que a organização não tem interesse em divulgar, cujo acesso por parte de indivíduos externos a ela deve ser evitado, porém caso seja disponibilizada não causará danos sérios à organização, podemos afirmar que ela possui qual nível de segurança?
		
	
	Confidencial.
	
	Irrestrito.
	
	Pública Confidencial.
	
	Secreta.
	 
	Interna.
	Respondido em 07/05/2020 15:17:56
	
	
	Gabarito
Coment.
	
	 
	
	 3a Questão
	
	
	
	
	A assinatura digital permite comprovar ______________ e Integridade de uma informação, ou seja, que ela foi realmente gerada por quem diz ter feito isto e que ela não foi alterada.
		
	 
	A autenticidade
	
	A Confidencialidade
	
	A Disponibilidade
	
	O Não-repúdio
	
	A Legalidade
	Respondido em 07/05/2020 15:17:58
	
	
	 
	
	 4a Questão
	
	
	
	
	Segundo os princípios da Segurança da Informação, qual das opções abaixo representa melhor o conceito de ¿Ativo de Informação¿?
		
	 
	São aqueles que produzem, processam, transmitem ou armazenam informações.
	
	São aqueles tratam, administram, isolam ou armazenam informações.
	
	São aqueles que constroem, dão acesso, transmitem ou armazenam informações.
	
	São aqueles que organizam, processam, publicam ou destroem informações.
	
	São aqueles que produzem, processam, reúnem ou expõem informações.
	Respondido em 07/05/2020 15:18:46
	
	
	Gabarito
Coment.
	
	
	Gabarito
Coment.
	
	 
	
	 5a Questão
	
	
	
	
	O advento da internet e a globalização transformaram completamente o mundo que vivemos e consequentemente estão revolucionando o modo de operação das empresas . A demanda gradual por armazenamento de conhecimento tem levado à necessidade de administração desses dados de forma confiável. Por que as organizações devem proteger as suas informações?
		
	
	Somente pelo seu valor financeiro .
	
	Somente pelos seus valores qualitativos e financeiros.
	
	Pelos seus valores internos e qualitativos.
	 
	Pelos seus valores estratégicos e financeiros.
	
	Pelos seus valores estratégicos e qualitativos.
	Respondido em 07/05/2020 15:20:46
	
	
	 
	
	 6a Questão
	
	
	
	
	As vulnerabilidades estão presentes no dia-a-dia das empresas e se apresentam nas mais diversas áreas de uma organização, a todo instante os negócios, seus processo e ativos físicos, tecnológicos e humanos são alvos de investidas de ameaças de toda ordem. Qual das opções abaixo descreve o melhor conceito de Vulnerabilidade na ótica da Segurança da Informação?
		
	 
	Fragilidade presente ou associada a ativos que manipulam ou processam informações .
	
	Fragilidade presente ou associada a ameaças que manipulam ou processam informações .
	
	Impacto presente ou associada a ativos que manipulam ou processam informações.
	
	Fragilidade presente ou associada a ativos que exploram ou processam informações .
	
	Ameaça presente ou associada a ativos que manipulam ou processam informações.
	Respondido em 07/05/2020 15:23:05
	
	
	 
	
	 7a Questão
	
	
	
	
	Considere um sistema no qual existe um conjunto de informações disponível para um determinado grupo de usuários denominados ¿auditores¿. Após várias consultas com respostas corretas e imediatas, em um determinado momento, um usuário pertencente ao grupo ¿auditores¿ acessa o sistema em busca de uma informação já acessada anteriormente e não consegue mais acessá-la. Neste caso houve uma falha na segurança da informação para este sistema na propriedade relacionada à:
		
	
	Confidencialidade;
	
	Privacidade;
	
	Não-repúdio;
	 
	Disponibilidade;
	
	Integridade;
	Respondido em 07/05/2020 15:23:32
	
	
	 
	
	 8a Questão
	
	
	
	
	Um fator importante em um processo de classificação da informação é o nível de ameaça conhecido que cada informação tem. Quando uma informação é classificada como pública, podendo ser utilizada por todos sem causar danos à organização, podemos afirmar que ela possui qual nível de segurança?
		
	
	Confidencial.
	
	Secreta.
	
	Interna.
	
	As opções (a) e (c) estão corretas.
	 
	Irrestrito.
	Aula 3 - 1a Questão
	
	
	
	Em setembro de 2012, o sistemas militar que controla armas nucleares, localizado na Casa Branca. Os Hackers invadiram através de servidores localizados na China. Neste ataque foi utilizada a técnica conhecida como spear-phishing, que é um ataque muito utilizado, e que consiste em enviar informações que confundam o usuário e o mesmo execute um código malicioso. Essa técnica geralmente ocorre através de envio de e-mails falsos, porém com aparência de confiáveis.. Qual você acha que foi o tipo de vulnerabilidade utilizada neste caso?
		
	 
	Vulnerabilidade Humana.
	
	Vulnerabilidade de Hardware.
	
	Vulnerabilidade Natural.
	
	Vulnerabilidade Física.
	
	Vulnerabilidade de Mídias.
	Respondido em 07/05/2020 15:11:49
	
	
	Gabarito
Coment.
	
	 
	
	 2a Questão
	
	
	
	
	Assinale a opção correta acerca da análise de vulnerabilidades e riscos de segurança da informação, de acordo com a ABNT NBR ISO/IEC 27005.
		
	
	Na estimativa qualitativa de riscos, são utilizadas escalas numéricas para medir a probabilidade de incidentes de segurança.
	
	As vulnerabilidades identificadas para a gestão de riscos são aquelas oriundas de ameaças de origem humana.
	
	A identificação dos ativos ocorre durante a análise de riscos e está sujeita ao escopo previamente estabelecido.
	
	As ameaças, que podem afetar mais de um ativo, são identificadas durante a fase de avaliação de riscos.
	 
	O ativo que tem o maior risco de disponibilidade é também aquele que tem o maior nível de risco.
	Respondido em 07/05/2020 15:10:22
	
	
	Gabarito
Coment.
	
	 
	
	 3a Questão
	
	
	
	
	Uma pesquisa realizada pelos organizadores da Conferência Infosecurity Europe 2003 com trabalhadores de escritórios, que distribuía um brinde (de baixo valor) aos entrevistados, revelou que 75% deles se dispunham a revelar suas senhas em resposta a uma pergunta direta ("Qual é a sua senha?"), e outros 15% responderam a perguntas indiretas que levariam à determinação da senha. Esse experimento evidencia a grande vulnerabilidade dos ambientes computacionais a ataques de que tipo?
		
	
	Cavalos de tróia.
	
	Acesso físico.
	
	Vírus de computador.
	 
	Engenharia social.
	
	Back doors.
	Respondido em 07/05/2020 15:09:29
	
	
	Gabarito
Coment.
	
	 
	
	 4a Questão
	
	
	
	
	As contas do Gmail de jornalistas estrangeiros de pelo menos duas agências de notícias que operam em Pequim foram sequestradas, em (18/1/10) de acordo com uma associação de profissionais de imprensa que atuam na China. A notícia chega uma semana após o Google afirmar ter sido alvo de ataques cibernéticos destinados a acessar as contas de e-mail de ativistas chineses de direitos humanos. As contas do Gmail que eram utilizadas pelos jornalistas em Pequim foram invadidas e programadas para reenviar as mensagens para contas desconhecidas. Qual você acha que foi a vulnerabilidade para este ataque?
		
	
	Vulnerabilidade Física
	
	Vulnerabilidade Comunicação
	 
	Vulnerabilidade de Software
	
	Vulnerabilidade Mídia
	
	Vulnerabilidade Natural
	Respondido em 07/05/2020 15:05:06
	
	
	 
	
	 5a Questão
	
	
	
	
	Considere um sistema no qual existe um conjunto de informações disponível para um determinado grupo de usuários denominados "engenheiros". Após várias consultas com respostas corretas e imediatas, em um determinado momento, um usuário pertencente aogrupo "engenheiros" acessa o sistema em busca de uma informação já acessada anteriormente e não consegue mais acessá-la. Neste caso houve uma falha na segurança da informação para este sistema na propriedade relacionada à:
		
	 
	Disponibilidade
	
	Auditoria
	
	Confidencialidade
	
	Autenticidade
	
	Integridade
	Respondido em 07/05/2020 15:05:47
	
	
	Gabarito
Coment.
	
	
	Gabarito
Coment.
	
	 
	
	 6a Questão
	
	
	
	
	Assinale a opção que, no âmbito da segurança da informação, NÃO é um exemplo de vulnerabilidade.
		
	
	Links sem contingência.
	
	Sistema operacional desatualizado.
	
	Firewall mal configurado.
	 
	Funcionário desonesto.
	
	Rede elétrica instável.
	Respondido em 07/05/2020 15:06:11
	
	
	Gabarito
Coment.
	
	 
	
	 7a Questão
	
	
	
	
	Analise o trecho abaixo:
"Além da falta de água nas torneiras, a crise hídrica começa agora a afetar também a distribuição de energia elétrica no país. Cidades de ao menos sete unidades federativas do Brasil e no Distrito Federal registraram cortes severos, na tarde desta segunda-feira." Jornal O DIA, em 19/01/2015.
Neste caso as empresas de Tecnologia que estão localizadas no município apresentam a vulnerabilidade do tipo:
		
	
	Comunicação
	 
	Natural
	
	Hardware
	
	Mídia
	
	Física
	Respondido em 07/05/2020 15:07:10
	
	
	Gabarito
Coment.
	
	 
	
	 8a Questão
	
	
	
	
	Maio/2011 - A Sony sofre invasão de hackers com o vazamento de informações de mais de 100 milhões de usuários da rede online de games PlayStation Network. O ataque à base de dados de clientes se realizou desde um servidor de aplicações conectado com ela, e que está depois de um servidor site e dois firewalls. Segundo a companhia, os hackers encobriram o ataque como uma compra na plataforma online de Sony e depois de passar do servidor site, O ataque, que foi considerado um dos maiores, no sentido do vazamento de dados confidenciais, da história obrigou a Sony a reconstruir grande parte da sua rede, causado um prejuízo de 171 milhões de Dólares. A rede também ficou fora do ar por 28 dias, sendo que alguns serviços menos essenciais foram reestabelecidos primeiro e regionalmente antes do reestabelecimento total de todos os serviços. . Qual você acha que foi a vulnerabilidade para este ataque?
		
	
	Vulnerabilidade de Mídias
	
	Vulnerabilidade Natural
	
	Vulnerabilidade de Comunicação
	
	Vulnerabilidade Física
	 
	Vulnerabilidade de Software
	Aula 4 - 1a Questão
	
	
	
	Qual tipo de ataque envolve alguma modificação do fluxo de dados ou a criação de um fluxo falso?
		
	
	Secreto
	 
	Ativo
	
	Forte
	
	Fraco
	
	Passivo
	Respondido em 07/05/2020 19:36:04
	
	
	Gabarito
Coment.
	
	 
	
	 2a Questão
	
	
	
	
	Os ataques a computadores são ações praticadas por softwares projetados com intenções danosas. As consequências são bastante variadas, algumas têm como instrução infectar ou invadir computadores alheios para, em seguida, danificar seus componentes de hardware ou software, através da exclusão de arquivos, alterando o funcionamento da máquina ou até mesmo deixando o computador vulnerável a outros tipos de ataques. Em relação a classificação das ameaças podemos definir como ameaças involuntárias:
		
	
	Acessos não autorizados ou perda de comunicação ou a ausência de sistemas de criptografia nas comunicações.
	
	Erros propositais de instalação ou de configuração possibilitando acessos indevidos.
	
	Ameaças propositais causadas por agentes humanos como crackers, invasores, espiões, ladrões e etc.
	
	Ameaças decorrentes de fenômenos da natureza, como incêndios naturais, enchentes, terremotos e etc.
	 
	Danos quase sempre internos - são uma das maiores ameaças ao ambiente, podem ser ocasionados por falha no treinamento, acidentes, erros ou omissões.
	Respondido em 07/05/2020 19:21:55
	
	
	 
	
	 3a Questão
	
	
	
	
	Com relação as ameaças aos sistema de informação, assinale a opção correta:
		
	
	Worm é um programa ou parte de um programa de computador, usualmente malicioso, que se propaga ao criar cópias de si mesmo e, assim, se torna parte de outros programas e arquivos.
	
	Spyware é um programa que permite o controle remoto do agente invasor e é capaz de se propagar automaticamente, pois explora vulnerabilidades existentes em programas instalados em computadores.
	
	Bot é um programa capaz de se propagar, automaticamente, por rede, pois envia cópias de si mesmo de computador para computador, por meio de execução direta ou por exploração automática das vulnerabilidades existentes em programas instalados em computadores.
	
	Vírus é um programa que monitora as atividades de um sistema e envia informações relativas a essas atividades para terceiros. Um exemplo é o vírus keylogger que é capaz de armazenar os caracteres digitados pelo usuário de um computador.
	 
	Backdoor é um programa que permite o acesso de uma máquina a um invasor de computador, pois assegura a acessibilidade a essa máquina em modo remoto, sem utilizar, novamente, os métodos de realização da invasão.
	Respondido em 07/05/2020 19:25:42
	
	
	Gabarito
Coment.
	
	 
	
	 4a Questão
	
	
	
	
	Alguns conceitos relacionados à segurança da informação estão disponibilizados na Coluna I. Faça a correta correspondência com seus significados dispostos na Coluna II .
Coluna I
1. Spyware
2. Adware
3. Engenharia Social
4. Backdoor
5. Phishing
Coluna II
( ) Técnica que visa enganar um usuário induzindo-o a clicar em um link que o levará a uma página clonada ou a um arquivo malicioso.
( ) Software que insere propagandas em outros programas.
( ) Brecha inserida pelo próprio programador de um sistema para uma invasão.
( ) Técnica utilizada para obter informações preciosas com base em uma relação de confiança.
( ) Programa espião.
A sequencia correta é:
		
	
	3, 2, 4, 5, 1.
	
	5,1,4,3,2.
	 
	5, 2, 4, 3, 1.
	
	3, 1, 4, 5, 2.
	
	3, 1, 5, 2, 4.
	Respondido em 07/05/2020 19:27:14
	
	
	 
	
	 5a Questão
	
	
	
	
	Uma das primeiras ameaças que as redes estão susceptíveis são os vírus. Os vírus são programadas desenvolvidos para alterar de forma nociva softwares instalados em uma rede. Sobre os vírus assinale apenas a opção que contenha apenas as opções verdadeiras:
I-O vírus é um programa normalmente malicioso que propaga-se na rede realizando cópias de si mesmo.
II-Para que o vírus se torne ativo é necessário que o mesmo seja executado pelo programa infectado.
III- Um vírus executa diretamente suas cópias e explora diretamente as vulnerabilidades existentes na rede de computadores
		
	
	Apenas I e III
	
	Apenas II
	
	I, II e III
	
	Apenas I
	 
	Apenas I e II
	Respondido em 07/05/2020 19:29:43
	
Explicação:
A afirmativa III refere-se a um WORM
	
	
	 
	
	 6a Questão
	
	
	
	
	O programa que é capaz de capturar e armazenar as teclas digitadas pelo usuário no teclado de um computador que podem ser desde o texto de um e-mail, até informações mais sensíveis, como senhas bancárias e números de cartões de crédito é conhecido como:
		
	
	exploit
	
	backdoor
	
	vírus
	
	Spyware
	 
	Keylogger
	Respondido em 07/05/2020 19:32:59
	
	
	 
	
	 7a Questão
	
	
	
	
	Podemos dizer que os controles que reduzem a probabilidade de uma ameaça se concretizar ou diminuem o grau de vulnerabilidade do ambiente/ativo/sistema, reduzindo assim a probabilidade de um ataque e/ou sua capacidade de gerar efeitos adversos na organização são consideradas:
		
	 
	Medidas Preventivas
	
	Medidas Perceptivas
	
	Métodos Quantitativos
	
	Medidas Corretivas e Reativas
	
	Métodos Detectivos
	Respondido em 07/05/2020 19:32:01
	
	
	Gabarito
Coment.
	
	 
	
	 8a Questão
	
	
	
	
	Pedro construiu um software malicioso capaz de se propagar automaticamente pelas redes, enviando cópias de si mesmo de computador para computador. Neste caso o programa poderá afetar o desempenho da rede e a utilização do computador. Neste caso podemos afirmar que Pedroconstruiu um:
		
	
	Backdoor
	
	Keylogger
	
	Trojan
	 
	Worm
	
	Screenlogger
	Aula 5 - 1a Questão
	
	
	
	Qual o nome do ataque é foi utilizado em guerras na Grécia, é hoje é aplicado como conceito a área computacional. O ataque é enviado um possível programa, mas que na verdade é um código malicioso. Qual o nome desse código malicioso ?
		
	 
	Trojan
	
	Rootkit
	
	Spyware
	
	Adware
	
	Backdoor
	Respondido em 07/05/2020 20:53:49
	
	
	Gabarito
Coment.
	
	 
	
	 2a Questão
	
	
	
	
	Após o crescimento do uso de sistemas de informação, comércio eletrônico e tecnologia digital as empresas se viram obrigadas a pensar na segurança de suas informações para evitar ameaças e golpes. Assim, a segurança da informação surgiu para reduzir possíveis ataques aos sistemas empresariais e domésticos. Resumindo, a segurança da informação é uma maneira de proteger os sistemas de informação contra diversos ataques, ou seja, mantendo documentações e arquivos. Podemos citar como ítens básicos, reconhecidos, de um ataque a sistemas de informação:
		
	
	Scaming de protocolos, Pedido de informações e Invasão do sistema.
	
	Estudo do atacante, Descoberta de informações e Formalização da invasão.
	 
	Levantamento das informações, Exploração das informações e Obtenção do acesso.
	
	Engenharia Social, Invasão do sistema e Alteração das informções.
	
	Adequação das informações, Pressão sobre os funcionários e Descoberta de senhas.
	Respondido em 07/05/2020 20:50:15
	
	
	Gabarito
Coment.
	
	 
	
	 3a Questão
	
	
	
	
	João é analista de segurança da empresa Ypisol e percebeu que alguém está tentando obter acesso à rede através do envio de um grande número de requisições de conexão (pacotes SYN) para o servidor WEB da empresa. Qual o tipo de ataque que o invasor está tentando utilizar?
		
	
	Fragmentação de pacotes IP
	
	Port Scanning
	
	Ip Spoofing
	 
	SYN Flooding
	
	Fraggle
	Respondido em 07/05/2020 20:48:48
	
	
	 
	
	 4a Questão
	
	
	
	
	O ataque é derivado de uma ameaça que tenta violar os serviços de segurança de um sistema usando uma técnica eficienteOs ataques podem ser divididos em passivo e ativo. Em relação aos ataques assinale a opção que contenha apenas afirmações verdadeiras:
I-Ataques passivos: o atacante apenas intercepta e monitora as informações transmitidas. No ataque passivo as informações não são modificadas.
II-Um ataque terá sucesso quando conseguir explorar um ativo de rede de um sistema computacional.
III-Ataques passivos: o atacante apenas intercepta e monitora as informações transmitidas. No ataque passivo as informações não são modificadas.
		
	
	Apenas I
	
	Apenas I e II
	
	Apenas II e III
	 
	I , II e III
	
	Apenas III
	Respondido em 07/05/2020 20:47:47
	
Explicação:
Todas são corretas
	
	
	 
	
	 5a Questão
	
	
	
	
	Qual das opções abaixo descreve um tipo de ataque que consiste em enviar um excessivo número de pacotes PING para o domínio de broadcast da rede? Neste tipo de ataque o endereço de origem utilizado é o endereço IP da vítima desejada, de forma que todos os hosts do domínio de broadcast irão responder para este endereço IP , que foi mascarado pelo atacante.
		
	
	Phishing Scan
	
	Shrink Wrap Code
	
	Dumpster Diving ou Trashing
	 
	Fraggle
	
	Smurf
	Respondido em 07/05/2020 20:45:46
	
	
	Gabarito
Coment.
	
	 
	
	 6a Questão
	
	
	
	
	Recente pesquisa realizada pela ESET no País identificou que 73% das corporações consultadas foram vítimas de algum incidente relacionado à segurança da informação nos últimos meses, o que sugere falhas nas políticas e ferramentas voltadas a combater esse tipo de problema, ao mesmo tempo em que exige uma reflexão urgente dos gestores. Todo ataque segue de alguma forma uma receita nossa conhecida, qual seria a melhor forma de definir a fase de "Levantamento das informações" nesta receita:
		
	
	Nesta fase o atacante tenta manter seu próprio domínio sobre o sistema. Poderá também protege-lo de outros atacantes através da utilização de ¿acessos exclusivos¿ obtidos através de rootkits, backdoors ou trojans.
	 
	É uma fase preparatória onde o atacante procura coletar o maior número possível de informações sobre o ¿alvo em avaliação¿ antes do lançamento do ataque.
	
	Esta fase consiste na penetração do sistema propriamente dita. Nesta fase são exploradas as vulnerabilidades encontradas no sistema.
	
	Fase onde o atacante explora a rede baseado nas informações obtidas na fase de reconhecimento.
	
	Esta fase consiste na atividade realizada pelo atacante de tentar camuflar seus atos não autorizados com o objetivo de prolongar sua permanência na máquina hospedeira, na utilização indevida dos recursos computacionais.
	Respondido em 07/05/2020 20:44:36
	
	
	 
	
	 7a Questão
	
	
	
	
	Existem diferentes caminhos que um atacante pode seguir para obter acesso aos sistemas. Qual das opções abaixo Não representa um destes tipos de ataques?
		
	
	Ataque à Aplicação
	 
	Ataques Genéricos
	
	Ataque aos Sistemas Operacionais
	
	Ataque de Configuração mal feita
	
	Ataque para Obtenção de Informações
	Respondido em 07/05/2020 20:40:12
	
	
	 
	
	 8a Questão
	
	
	
	
	Um dos principais tipos de ataques à Segurança das informações funciona da seguinte forma: Ocorre na camada de transporte do modelo OSI. É realizado um mapeamento das portas do protocolos TCP e UDP abertas em um determinado host, e partir daí, o atacante poderá deduzir quais os serviços estão ativos em cada porta. Qual seria este ataque:
		
	
	Syn Flooding.
	
	Ip Spoofing.
	
	Packet Sniffing.
	
	Fraggle.
	 
	Port Scanning.
	Aula 6 - 1a Questão
	
	
	
	Em relação à avaliação de riscos, analise as afirmações abaixo:
I-A  primeira etapa do processo será de avaliar e dimensionar os riscos.
II-Essa avaliação possui como foco determinar a extensão dos potenciais de ameaças e quais são os riscos associados.
III-O resultado dessa análise não promoverá viabilidade a gestão de riscos e assim será possível identificar maneiras para controlar e/ou minimizar os riscos.
 
Assinale apenas a opção com afirmações corretas:
		
	
	I , II e III
	
	Apenas II e III
	
	Apenas I e III
	 
	Apenas I e II
	
	Apenas III
	Respondido em 08/05/2020 16:36:45
	
Explicação:
o certo será:
III-O resultado dessa análise promoverá viabilidade a gestão de riscos e assim será possível identificar maneiras para controlar e/ou minimizar os riscos.
	
	
	 
	
	 2a Questão
	
	
	
	
	Referente ao processo de Gestão de incidentes, quais é a sequência que compõem o processo de gestão de incidentes sequencialmente ?
		
	 
	Ameaça, incidente, impacto e recuperação
	
	Incidente, impacto, ameaça e recuperação
	
	Incidente, recuperação, impacto e ameaça
	
	Impacto, ameaça, incidente e recuperação
	
	Ameaça, impacto, incidente e recuperação
	Respondido em 08/05/2020 16:35:46
	
	
	Gabarito
Coment.
	
	 
	
	 3a Questão
	
	
	
	
	Você trabalha na área de segurança da sua empresa e com objetivo de reduzir os riscos na área de infra-estrutura, pretende instalar algumas câmeras de vídeo, além da colocação de avisos sobre a existência de alarmes. Neste caso que tipo de barreira você está implementando?
		
	
	Deter
	 
	Desencorajar
	
	Detectar
	
	Discriminar
	
	Dificultar
	Respondido em 08/05/2020 16:32:33
	
	
	 
	
	 4a Questão
	
	
	
	
	A segurança da informação deve ser vista como algo estratégico dentro da organização. E a organização deve saber como ela está exposta sobre riscos. Dessa forma, uma maneira da organização criar um plano de gestão voltado para riscos é criando um Plano de Gestão de Risco (PGI). O PGI é composto por 4 fases, quais são elas?
		
	
	Análise de impacto; Mapeamento de vulnerabilidades; Tratamento das vulnerabilidades; Comunicação do impacto
	
	Análise de risco, Análise de impacto; Aceitação de impacto; Comunicação do risco
	
	Mapeamento de ameaças; Mapeamento de ativos;Mapeamento de vulnerabilidades; Mapeamento de impacto
	
	Mapeamento do risco; Analise de vulnerabilidades; Comunicação do risco e Aceitação do risco
	 
	Análise e avaliação do risco; Tratamento do risco; Aceitação do risco; Comunicação do risco
	Respondido em 08/05/2020 16:37:33
	
	
	Gabarito
Coment.
	
	 
	
	 5a Questão
	
	
	
	
	Sobre a Gestão de Riscos, leia as afirmações e, a seguir, assinale a correta:
I. O risco tem duas dimensões: a probabilidade de ocorrência e o impacto sobre o projeto.
II. Dificilmente as chances de um risco podem ser eliminadas totalmente sem que o projeto seja reformulado.
III. A gestão de riscos só visa o monitoramento para detecção de ameaças.
		
	
	Somente as afirmações I e III estão corretas
	 
	Somente as afirmações I e II estão corretas
	
	Somente a afirmação II está correta
	
	Somente a afirmação III está correta
	
	Somente a afirmação I está correta
	Respondido em 08/05/2020 16:33:58
	
Explicação:
Em função do monitoramento contínuo do ambiente organizacional externo e interno, a gestão de riscos pode detectar oportunidades e determinar como aproveitá-las. Portanto, o foco é minimizar o impacto de potenciais eventos negativos e obter plena vantagem de oportunidades com vistas a melhoramentos. O risco tem duas dimensões: a probabilidade de sua ocorrência e o impacto sobre o projeto. Portanto, é necessáriocompreender dimensões para que se possa administrar o risco. Importante ressaltar que dificilmente as chances de um risco podem ser eliminadas totalmente sem que o projeto seja reformulado.
	
	
	 
	
	 6a Questão
	
	
	
	
	Referente ao processo de Gestão de incidentes, qual é a sequência na ordem que compõem o processo de gestão de incidentes ?
		
	
	Incidente, impacto, ameaça e recuperação
	 
	Ameaça, incidente, impacto e recuperação
	
	Ameaça, impacto, incidente e recuperação
	
	Impacto, ameaça, incidente e recuperação
	
	Incidente, recuperação, impacto e ameaça
	Respondido em 08/05/2020 16:35:03
	
	
	Gabarito
Coment.
	
	 
	
	 7a Questão
	
	
	
	
	Você trabalha na área de segurança da sua empresa e com objetivo de reduzir os riscos na área de Banco de Dados, pretende instalar dispositivos de autenticação de acesso físico, que será implementado através de dispositivo biométrico. Neste caso que tipo de barreira você está implementando?
		
	
	Deter
	
	Desencorajar
	
	Detectar
	
	Discriminar
	 
	Dificultar
	Respondido em 08/05/2020 16:38:09
	
	
	 
	
	 8a Questão
	
	
	
	
	Qual das opções abaixo descreve melhor o conceito de "Risco" quando relacionado com a Segurança da Informação:
		
	
	Probabilidade de um incidente ocorrer mais vezes.
	
	Probabilidade de um ativo explorar uma vulnerabilidade
	
	Probabilidade de um ativo explorar uma ameaça.
	 
	Probabilidade de uma ameaça explorar uma vulnerabilidade
	
	Probabilidade de uma ameaça explorar um incidente.
	Aula 7 - 1a Questão
	
	
	
	Os processos que envolvem a gestão de risco são, exceto:
		
	 
	Gerenciar as respostas aos riscos
	
	Realizar a análise quantitativa do risco
	
	Planejar o gerenciamento de risco
	
	Realizar a análise qualitativa do risco
	
	Identificar os riscos
	Respondido em 10/05/2020 16:31:09
	
	
	 
	
	 2a Questão
	
	
	
	
	Segundo a Norma ISSO/IEC 27002, é essencial que a organização identifique os requisitos de segurança da informação, através de três fontes principais:
		
	
	Análise de vulnerabilidades, requisitos legais e classificação da informação
	
	Análise de risco, análise do impacto de negócio (BIA), classificação da informação
	 
	Requisitos de negócio, Análise de risco, Requisitos legais
	
	Classificação da informação, requisitos de negócio e análise de risco
	
	Requisitos de negócio, análise do impacto de negócio (BIA), requisitos legais
	Respondido em 10/05/2020 16:31:02
	
	
	 
	
	 3a Questão
	
	
	
	
	Com relação à NBR 27005, assinale a opção correta, no que se refere à gestão de riscos de segurança da informação.
		
	
	Qualquer atividade de comunicação do risco de segurança da informação deve ocorrer apenas após a aceitação do plano de tratamento do risco pelos gestores da organização.
	
	Os riscos são reduzidos ou mitigados sem que ocorra a seleção de controles.
	 
	A definição do contexto da gestão de riscos deve preceder a identificação dos ativos de valor.
	
	Os riscos residuais são conhecidos antes da comunicação do risco.
	
	Aceitar ou reter um risco durante o seu tratamento equivale a transferi-lo.
	Respondido em 10/05/2020 16:33:42
	
	
	Gabarito
Coment.
	
	 
	
	 4a Questão
	
	
	
	
	Para realizar o login da rede da sua empresa, Pedro necessita digitar além do usuário, também a sua senha como forma de validação do usuário digitado. Neste caso Pedro está utilizado qual propriedade de segurança?
		
	
	Não-Repúdio;
	
	Auditoria;
	
	Integridade;
	
	Confidencialidade;
	 
	Autenticidade;
	Respondido em 10/05/2020 16:12:03
	
	
	Gabarito
Coment.
	
	 
	
	 5a Questão
	
	
	
	
	Sobre a segurança da informação no ambiente corporativo, leia as asserções a seguir:
I. Antes de se estabelecer qual a melhor política de segurança, faz-se necessário analisar e planejar, qual a real necessidade da mesma, pois, dessa forma, implantações de mecanismos de segurança não serão adotados, inadequadamente.
II. Os administradores precisam de procedimentos para conduzir uma avaliação periódica sobre segurança da informação, revisar os resultados e tomar as medidas necessárias, treinar e educar seus funcionários sobre o assunto.
III. Antigamente a atenção dada à segurança da informação estava focada apenas nas pessoas. Atualmente, notamos que o desafio está na tecnologia.
Após a leitura, analise a alternativas e assinale a correta.
		
	
	Somente as asserções II e III estão corretas
	
	Somente as asserções I e III estão corretas
	
	Somente a asserção II está correta
	
	Somente a asserção III está correta
	 
	Somente as asserções I e II estão corretas
	Respondido em 10/05/2020 16:23:11
	
Explicação:
I. Antes de se estabelecer qual a melhor política de segurança, faz-se necessário analisar e planejar, qual a real necessidade da mesma, pois, dessa forma, implantações de mecanismos de segurança não serão adotados, inadequadamente.
II. Os administradores precisam de procedimentos para conduzir uma avaliação periódica sobre segurança da informação, revisar os resultados e tomar as medidas necessárias, treinar e educar seus funcionários sobre o assunto.
III. Antigamente a atenção dada à segurança da informação estava focada apenas na tecnologia. Atualmente, notamos que o desafio vai além desta amplitude e engloba, também, a construção de uma relação de confiabilidade com os clientes e parceiros da empresa.
	
	
	 
	
	 6a Questão
	
	
	
	
	O grande objetivo da norma NBR ISO/IEC 27002  é estabelecer diretrizes e princípios para iniciar, implementar, manter e melhorar a gestão de segurança de informação em uma empresa. Analise as afirmativas abaixo:
I-A norma NBR ISO/IEC 27002 deve ser aplicada a todos os tipos de organizações seja, por exemplo, empreendimentos comerciais, agências governamentais ou mesmo organizações sem fins lucrativos.
II-A norma especifica os requisitos para implementação de controles de segurança adaptados as particularidades de cada organização.
III-A norma NBR ISO/IEC 27002 poderá ser consultada por você como um guia prático, que o auxiliará a desenvolver os procedimentos de segurança da informação da empresa e as práticas mais eficazes de gestão de segurança.
 
	Aula 8 - 1a Questão
	
	
	
	A empresa XPTO optou como forma de complementar seu projeto de Segurança da Informação, a instalação de camêras de vídeo, sendo algumas falsas, e a utilização de avisos da existência de alarmes, neste caso qual o tipo de proteção que está sendo utilizada ?
		
	 
	Desencorajamento
	
	Preventiva
	
	Reação
	
	Correção
	
	Limitação
	Respondido em 10/05/2020 16:35:282a Questão
	
	
	
	
	Não se pode dizer que há segurança da informação, a menos que ela seja controladae gerenciada. A segurança da informação é um processo que visa minimizar os riscos a níveis aceitáveis. Um Sistema de Gerenciamento de Segurança da Informação (SGSI), é uma série de ações tomadas com o objetivo de gerenciar a segurança da informação, incluindo pessoas, infraestrutura e negócios, reduzindo os riscos a um nível aceitável, enquanto mantém em perspectiva os objetivos do negócio e as expectativas do cliente.Para estabelecer o SGSI- SISTEMA DE GESTÃO DE SEGURANÇA DA INFORMAÇÃO - a organização deve inicialmente definir:
		
	
	A abordagem de análise/avaliação das vulnerabilidades da organização.
	 
	Identificar, Analisar e avaliar os riscos.
	
	A politica de gestão de continuidade de negócio.
	
	Identificar e avaliar as opções para o tratamento das vulnerabilidades.
	
	A política do BIA.
	Respondido em 10/05/2020 16:46:38
	
	
	 
	
	 3a Questão
	
	
	
	
	Realizar a certificação do SGSI pela ISO/IEC 27001 proporciona muitos benefícios para as empresas. Qual do beneficios abaixo são promovidos?
I-Demonstração e garantia de que os requisitos de governança corporativa e de continuidade do negócio estejam sendo atendidos.
II-Demonstrar que as normas e os regulamentos aplicáveis estão sendo conduzidos;
III-Promover a avaliação e identificação dos riscos organizacionais. Essa análise vai permitir entender se os riscos estão sendo gerenciados de forma correta. Dessa forma, será possível que os documentos dos processos de segurança da informação sejam formalizados.
 
Assinale a opção que contenha apenas afirmações corretas:
		
	
	Apenas II e III
	
	Apenas III
	
	Apenas I e III
	
	Apenas I
	 
	I, II e III
	Respondido em 10/05/2020 16:39:26
	
Explicação:
Todas estão corretas
	
	
	 
	
	 4a Questão
	
	
	
	
	A utilização de crachás de identificação de colaboradores numa organização está fundamentalmente associado a que tipo de proteção ?
		
	
	Correção.
	
	Limitação.
	 
	Preventiva.
	
	Recuperação .
	
	Reação.
	Respondido em 10/05/2020 16:39:56
	
	
	 
	
	 5a Questão
	
	
	
	
	A norma ISO 27001:2005 adota uma abordagem de processo para o estabelecimento e relacionamento com o SGSI, ou seja, a aplicação de um sistema de processos, a identificação e iterações destes processos, e a sua gestão e utiliza como modelo o Plan-Do-Check-Act (PDCA), aplicado para estruturar todos os processos do SGSI. Podemos dizer que uma das características da fase "Plan" é:
		
	
	Deve formular e implementar um plano de tratamento de riscos para identificar a ação de gestão apropriada, implementar um plano de conscientização e treinamento e gerenciar as ações e os recursos do SGSI.
	
	Os procedimentos de análise críticas da eficácia do SGSI, devem levar em consideração os resultados das auditorias de segurança, dos incidentes de segurança, dos resultados das medições e sugestões.
	 
	O escopo do SGSI alinhado com as características de negócio, da organização, sua localização, ativos e tecnologia.
	
	A organização deve implementar e operar a política, controles, processos e procedimentos do SGSI, buscando não burocratizar o funcionamento das áreas.
	
	A organização deve implementar procedimentos de monitoração e análise crítica para detectar erros nos resultados de processamento, identificar as tentativas e violações de segurança bem-sucedida, e os incidente de segurança da informação.
	Respondido em 10/05/2020 16:44:39
	
	
	Gabarito
Coment.
	
	 
	
	 6a Questão
	
	
	
	
	A organização deve executar ações para melhorar continuamente a eficácia do SGSI. Estas ações ocorrem através: do uso da política de segurança, dos objetivos de segurança, resultados de auditorias, da análise dos eventos monitorados e através de ações:
		
	
	Corretivas e Corrigidas
	 
	Corretivas e Preventivas
	
	Corrigidas e Preventivas
	
	Corretivas e Correção
	
	Prevenção e Preventivas
	Respondido em 10/05/2020 16:42:30
	
	
	 
	
	 7a Questão
	
	
	
	
	Independente do tamanho, da natureza e do tipo da organização, os requisitos definidos pela norma são genéricos e podem ser aplicados a todas as organizações. Entretanto existem quatro itens que são obrigatórios de implementação da norma ISO/IEC 27001 em qualquer organização:
		
	
	Sistema de gestão de segurança da informação, análise de risco, auditorias internas e melhoria do SGSI
	
	Sistema de gestão de segurança da informação, classificação da informação, auditoria internas e análise de risco.
	 
	Sistema de gestão de segurança da informação, responsabilidade da direção, análise crítica do SGSI pela direção e Melhoria do SGSI
	
	Controle de registros, responsabilidade da direção, melhoria do SGSI e auditorias internas
	
	Responsabilidade da direção, auditorias internas, controle de registros, sistema de gestão de segurança da informação.
	Respondido em 10/05/2020 16:43:26
	
	
	Gabarito
Coment.
	
	 
	
	 8a Questão
	
	
	
	
	O SGSI torna-se pré-requisito à ser implementado em ambientes corporativos, educacionais, industriais, governamentais e qualquer outro que tenha por objetivo resguardar ambientes que criam, manipulam ou destroem informações relevantes. O sistema será informatizado, caso seja necessário, conforme a peculiaridade de cada negócio (ambiente). Pois a Segurança da Informação (SI) é norteada por boas práticas, mudança de hábitos e cultura e não apenas definidas por bons softwares e ferramentas de apoio. O SGSI utiliza o modelo Plan-Do-Check-Act. Podemos dizer que a empresa deve implementar na etapa Do:
		
	
	Selecionar objetivos de controle e controles para o tratamento de riscos.
	
	O escopo do SGSI alinhado com as características de negócio, da organização, sua localização, ativos e tecnologia.
	
	A organização deve implementar as melhorias identificadas no SGSI. Deve ainda executar as ações preventivas e corretivas necessárias para o bom funcionamento do SGSI.
	
	A organização deve implementar procedimentos de monitoração e análise crítica para detectar erros nos resultados de processamento e identificar os incidentes de segurança da informação.
	 
	A organização deve implementar e operar a política, controles, processos e procedimentos do SGSI, buscando não burocratizar o funcionamento das áreas.
Assinale a opção que contenha apenas afirmações corretas:
		
	
	Apenas I
	
	Apenas I e III
	
	Apenas I e II
	 
	I, II e III
	
	Apenas III
	Respondido em 10/05/2020 16:16:01
	
Explicação:
Todas estão corretas
	
	
	 
	
	 7a Questão
	
	
	
	
	Segundo a norma ABNT NBR 27002 é essencial que a organização identifique os requisitos de segurança da informação. Assinale a opção correta.
		
	 
	Os requisitos de segurança da informação de uma organização são obtidos por três fontes principais, sendo a análise de riscos uma delas.
	
	Visando reduzir os riscos a um nível aceitável, a seleção de controles apropriados para implementação da segurança da informação é efetuada imediatamente após a identificação dos fatores de risco.
	
	No escopo legal da segurança da informação, há três controles essenciais para uma organização: o documento da política de segurança da informação, a atribuição de responsabilidades pela segurança da informação e o processamento correto das aplicações.
	
	A segurança da informação é alcançada por meio da adoção de um conjunto de tecnologias adequadas.
	
	A cultura organizacional não influencia a adoção de abordagem e estrutura para implementação, monitoramento e melhoria da segurança da informação.
	Respondido em 10/05/2020 16:18:55
	
	
	 
	
	 8a Questão
	
	
	
	
	Com relação à NBR 27005, assinale a opção correta, no que se refere à gestão de riscos de segurança da informação.
		
	
	Aceitar ou reter um risco durante o seu tratamento equivale a transferi-lo.
	
	Os riscos residuais são conhecidos antes da comunicação do risco.
	
	Qualquer atividade de comunicação dorisco de segurança da informação deve ocorrer apenas após a aceitação do plano de tratamento do risco pelos gestores da organização.
	
	Os riscos são reduzidos ou mitigados sem que ocorra a seleção de controles.
	 
	A definição do contexto da gestão de riscos deve preceder a identificação dos ativos de valor.
	Aula 9 - 1a Questão
	
	
	
	Por que as melhores práticas orientam sobre a importância de que a Gestão de Continuidade de Negócio (GCN) esteja no nível mais alto da organização?
		
	
	Para garantir que as metas e objetivos da política de segurança não sejam comprometidos por interrupções inesperadas.
	
	Para garantir que as metas e objetivos da TI não sejam comprometidos por interrupções inesperadas.
	 
	Para garantir que as metas e objetivos definidos não sejam comprometidos por interrupções inesperadas.
	
	Para garantir que as metas e objetivos dos usuários não sejam comprometidos por interrupções inesperadas.
	
	Para garantir que as metas e objetivos dos clientes não sejam comprometidos por interrupções inesperadas.
	Respondido em 10/05/2020 21:18:02
	
	
	Gabarito
Coment.
	
	 
	
	 2a Questão
	
	
	
	
	Ocorreu um incidente na sua organização e a mesma possui a norma NBR ISO/IEC 15999 implementada. Qual das opções abaixo não está em conformidade com as orientações da norma citada?
		
	
	Comunicar-se com as partes interessadas
	
	Controlar o incidente
	
	Confirmar a natureza e extensão do incidente
	
	Tomar controle da situação
	 
	Afastar o incidente do cliente
	Respondido em 10/05/2020 21:16:52
	
	
	Gabarito
Coment.
	
	 
	
	 3a Questão
	
	
	
	
	Para realizar o login da rede da sua empresa, Pedro necessita digitar além do usuário, também a sua senha como forma de validação do usuário digitado. Neste caso Pedro está utilizado qual propriedade de segurança?
		
	
	Confidencialidade;
	
	Não-Repúdio;
	 
	Autenticidade;
	
	Integridade;
	
	Auditoria;
	Respondido em 10/05/2020 18:18:23
	
	
	Gabarito
Coment.
	
	 
	
	 4a Questão
	
	
	
	
	Maria trabalha na filial de São Paulo da empresa ABC e necessita transmitir um arquivo para Pedro que trabalha na filial de Belém. Após receber o arquivo transmitido por Maria, Pedro verificou que o arquivo possuia um tamanho maior do que quando Maria iniciou a transmissão. Neste estava houve uma falha na segurança da informação relacionada à:
		
	
	Autenticidade;
	 
	Integridade;
	
	Auditoria;
	
	Não-Repúdio;
	
	Confidencialidade;
	Respondido em 10/05/2020 18:19:24
	
	
	 
	
	 5a Questão
	
	
	
	
	Você está trabalhando em um projeto de implantação da continuidade de negócios em sua organização. Você está na fase do projeto que é necessário determinar a estratégia de continuidade de negócios. Analise a opção que melhor retrata a estratégia a ser definida:
		
	
	A organização deve liberar todas as medidas apropriadas para impedir a ocorrência de incidentes e seus efeitos.
	 
	A organização deve implementar medidas apropriadas para reduzir a probabilidade de ocorrência de incidentes e seus efeitos.
	
	A organização deve somente considerar as medidas apropriadas para reduzir a probabilidade de ocorrência de incidentes e seus efeitos.
	
	A organização deve liberar medidas urgentes para reduzir a probabilidade de ocorrência de incidentes e seus efeitos.
	
	A organização deve implementar medidas apropriadas diminuir o impacto da ocorrência de incidentes e seus efeitos.
	Respondido em 10/05/2020 21:15:53
	
	
	 
	
	 6a Questão
	
	
	
	
	A gestão de continuidade de negócios (GCN) faz parte de um processo que possibilita que uma organização lide com os incidentes de interrupção que poderiam impedi-la de atingir seus objetivos.  Sobre a GCN analise as afirmativas abaixo:
I-A continuidade de negócios pode ser descrita pela capacidade de continuar a entregar seus produtos e serviços em níveis aceitáveis após a ocorrência de um incidente de interrupção.
II-Através da integração da gestão de continuidade de negócios (GCN) e de uma estrutura sistêmica de gestão da organização é que criamos um Sistema de Gestão de Continuidade de Negócios (SGCN).
III-O SGCN pode ser aplicado apenas em empresas de porte grande.
 
Assinale a opção que contenha apenas afirmações verdadeiras:
		
	
	Apenas I e III
	
	I, II e III
	 
	Apenas I e II
	
	Apenas I
	
	Apenas III
	Respondido em 10/05/2020 21:08:57
	
Explicação:
O SGCN pode ser aplicado em empresas de porte grande, médio e pequeno e que operem em setores industrial, comercial, público e sem fins lucrativos.
	
	
	 
	
	 7a Questão
	
	
	
	
	Na implantação da Getsão de Continuidade de Negócios. É importante que a GCN esteja no nível mais alto da organização para garantir que:
		
	
	As metas e objetivos da alta Direção sejam comprometidos por interrupções inesperadas
	
	As metas e objetivos dos clientes sejam comprometidos por interrupções inesperadas
	
	As metas e objetivos definidos sejam comprometidos por interrupções inesperadas
	 
	As metas e objetivos definidos não sejam comprometidos por interrupções inesperadas
	
	As metas e objetivos dos usuários sejam comprometidos por interrupções inesperadas
	Respondido em 10/05/2020 21:14:17
	
	
	 
	
	 8a Questão
	
	
	
	
	A norma NBR ISO/IEC 22313 também adota o ciclo PDCA a fim de utilizar essa ferramenta para planejar, implementar, analisar e melhor a eficiência do sistema de gestão de continuidade do negócio.
Sobre a etapa "DO", qual das alternativas descreve essa etapa:
		
	
	É realizado o monitoramento e avaliação do sistema SGSI a fim de analisar a eficácia dos controles e políticas de segurança estabelecidos.
	 
	Ocorre a implementação e operação da política de continuidade de negócios, controles, processos e procedimentos.
	
	São colocadas em prática as ações corretivas e preventivas que foram identificadas nas etapas anteriores
	
	 Estabelece uma política, metas e processos de um sistema de gestão da segurança da informação.
	
	Nenhuma das opções anteriores
	Respondido em 10/05/2020 21:21:02
	
Explicação:
A segunda etapa do PDCA é o DO (fazer), que implementa-se o que foi estabelecido na etapa anterior, através de programas de conscientização e treinamento para os funcionários em relação as operações e recursos do SGSI.
	Aula 10 - 1a Questão
	
	
	
	Dentre as vantagens de utilização de normas, podemos destacar as seguintes, EXCETO:
		
	 
	Compartilhamento de informações com os stakeholders
	
	Demonstração de liderança de mercado
	
	Criação de vantagens competitivas
	
	Atrair e manter clientes
	
	Desenvolvimento e manutenção das melhores práticas
	Respondido em 10/05/2020 21:37:05
	
	
	 
	
	 2a Questão
	
	
	
	
	Uma empresa teve a sua sala de servidores incendiadas e com isso perdeu todos os dados importantes para a empresa, mas ela estava preparada para a continuidade dos negócios, o que você acha que foi importante para a recuperação destes dados:
		
	 
	Na empresa haviam Backups ou cópias de segurança que são itens muito importantes na administração de sistemas devendo fazer parte da rotina de operação dos sistemas da organização, através de uma política pré-determinada.
	
	Eles tinham um IDS que tem como principal objetivo reconhecer um comportamento ou uma ação intrusiva, através da análise das informações disponíveis em um sistema de computação ou rede.
	
	A empresa possuía um FIREWALL que isolam a rede interna da organização da área pública da Internet, permitindo que alguns pacotes passem e outros não, prevenindo ataques de negação de serviço ou modificações e acessos ilegais aos dados internos.
	
	Eles dispunham de uma DMZ que são pequenas redes que geralmente contém serviços públicos que são conectados diretamente ao firewall ou a outro dispositivo de filtragem e que recebem a proteção deste dispositivo.
	
	Havia uma VPN interligando várias Intranets através da Internet.
	Respondido em 10/05/2020 21:23:08
	
	
	 
	
	 3a QuestãoEm relação a firewalls, analise as assertivas abaixo:
I.Firewalls em estado de conexão mapeiam pacotes e usam campos cabeçalhos TCP/IP para cuidar da conectividade.
II.Firewalls podem implementar gateways em nível de aplicação que examinam os pacotes por dentro, além do cabeçalho TCP/IP, para ver o que a aplicação está fazendo.
III. Um problema fundamental com firewalls é que eles oferecem um único perímetro de defesa, o qual, se rompido, deixará comprometida toda a segurança.
É correto o que se afirma em :
		
	
	I, apenas
	 
	I, II e III
	
	III, apenas
	
	II, apenas
	
	I e II, apenas
	Respondido em 10/05/2020 21:23:58
	
	
	 
	
	 4a Questão
	
	
	
	
	A política de segurança da informação define qual é a filosofia da organização em relação aos acessos dos usuários a fim de assegurar que todas as informações da organização e de seus clientes estejam protegidas contra possíveis danos.A política de segurança da informação define qual é a filosofia da organização em relação aos acessos dos usuários a fim de assegurar que todas as informações da organização e de seus clientes estejam protegidas contra possíveis danos.De quem é a responsabilidade de proteger as informações?
		
	
	Apenas o gerente
	 
	De todos os funcionários da organização.
	
	Apenas do gestor de informação.
	
	Apenas do estagiário.
	
	Apenas do presidente da empresa
	Respondido em 10/05/2020 21:25:09
	
Explicação:
A proteção das informações é de responsabilidade de todos dentro da organização, independentemente de seu nível hierárquico.
	
	
	 
	
	 5a Questão
	
	
	
	
	Qual das opções abaixo NÃO é correta quando tratamos do conceito de Perímetro de segurança e seus componentes ?
		
	
	Redes Não Confiáveis - Não possuem controle da administração.
	
	Redes Desconhecidas - Não é possível informar, de modo explícito, se a rede é confiável ou não confiável.
	
	Redes Confiáveis - Localizadas no perímetro de segurança da rede, portanto necessitam de proteção
	 
	Redes Não Confiáveis - Não é possível informar se necessitam de proteção.
	
	Redes Não Confiáveis - Não possuem políticas de segurança.
	Respondido em 10/05/2020 21:28:23
	
	
	 
	
	 6a Questão
	
	
	
	
	Analise as seguintes afirmações relacionadas à Segurança da Informação e os objetivos do controle de acesso:
I. A disponibilidade é uma forma de controle de acesso que permite identificar os usuários legítimos da informação para que lhes possa ser liberado o acesso, quando solicitado.
II. A confidencialidade é uma forma de controle de acesso que evita que pessoas não autorizadas tenham acesso à informação para criá-la, destruí-la ou alterá-la indevidamente.
III. O IDS (Intrusion Detection System) é um dispositivo complementar à proteção contra invasão de redes, que inspeciona uma rede de dentro para fora, identifica e avalia padrões suspeitos que podem identificar um ataque à rede e emite um alarme quando existe a suspeita de uma invasão. IV. A integridade é uma forma de controle de acesso que evita o acesso de pessoas não autorizadas a informações confidenciais, salvaguardando segredos de negócios e protegendo a privacidade de dados pessoais.
Indique a opção que contenha todas as afirmações verdadeiras.
		
	
	I e II.
	 
	I e III.
	
	II e III.
	
	III e IV.
	
	II e IV.
	Respondido em 10/05/2020 21:35:26
	
	
	Gabarito
Coment.
	
	 
	
	 7a Questão
	
	
	
	
	A rede delimitadora que tem como objetivo principal segregar o ambiente interno (seguro) do ambiente externo (inseguro), é conhecida como:
		
	 
	zona desmilitarizada (DMZ).
	
	wi-fi.
	
	backbone.
	
	pki.
	
	tcp/ip.
	Respondido em 10/05/2020 21:32:50
	
	
	 
	
	 8a Questão
	
	
	
	
	Você está trabalhando em um projeto de implantação da continuidade de negócios em sua organização. Você está na fase do projeto que é necessário determinar a estratégia de continuidade de negócios. Analise a opção que melhor retrata a estratégia a ser definida:
		
	
	A organização deve somente considerar as medidas apropriadas para reduzir a probabilidade de ocorrência de incidentes e seus efeitos.
	 
	A organização deve implementar medidas apropriadas para reduzir a probabilidade de ocorrência de incidentes e seus efeitos.
	
	A organização deve liberar medidas urgentes para reduzir a probabilidade de ocorrência de incidentes e seus efeitos.
	
	A organização deve liberar todas as medidas apropriadas para impedir a ocorrência de incidentes e seus efeitos.
	
	A organização deve implementar medidas apropriadas diminuir o impacto da ocorrência de incidentes e seus efeitos.
		1a
          Questão
	Acerto: 0,0  / 1,0
	
	Em relação aos conceitos abaixo, assinale as opções que tenha apenas as afirmações corretas:
I-"Os dados são variáveis sem significado qualitativo e representam variáveis brutas. O termo "informação"  é um meio de coletar os dados e gerenciá-los de forma a ter significado uteis a um usuário e assim construir um conhecimento".
II- "A informação é o mesmo que um conjunto de dados. Transformar esses dados em informação é transformar algo com pouco significado em um recurso de menor valor para a nossa vida pessoal ou profissional"
III-"O termo "conhecimento" pode ser entendido como um processo no qual uma crença pessoal é justificada em relação a verdade".
		
	
	Somente I e II
	 
	Somente I
	
	Somente II e III
	
	I, II e III
	 
	Somente I e III
	Respondido em 11/05/2020 16:05:17
	
		2a
          Questão
	Acerto: 1,0  / 1,0
	
	Como qualquer bem ou recurso organizacional, a informação também possui seu conceito de valor . Qual das opções abaixo não representa um dos possíveis conceitos fundamentais do valor atribuído às informações para as organizações quando tratamos de Segurança da Informação?
		
	
	Valor de propriedade.
	 
	Valor de orçamento.
	
	Valor de uso.
	
	Valor de troca.
	
	Valor de restrição.
	Respondido em 11/05/2020 16:06:39
	
	
	Gabarito
Coment.
	
	
		3a
          Questão
	Acerto: 1,0  / 1,0
	
	Em março de 2011, as companhias de segurança Symantec e Kaspersky reportaram diversas tentativas de invasão aos seus bancos de dados. Porém, o grande afetado pela onda de ataques criminosos foi a RSA Security, que teve diversos de seus dados roubados por hackers não identificados. O ataque por sua vez foi Injection em seu banco de dados. Qual você acha que foi o tipo de vulnerabilidade utilizada neste caso?
		
	
	Vulnerabilidade Natural.
	
	Vulnerabilidade de Mídias.
	 
	Vulnerabilidade de Software.
	
	Vulnerabilidade de Comunicação.
	
	Vulnerabilidade Física.
	Respondido em 11/05/2020 15:51:40
	
		4a
          Questão
	Acerto: 1,0  / 1,0
	
	Os ataques a computadores são ações praticadas por softwares projetados com intenções danosas. As consequências são bastante variadas, algumas têm como instrução infectar ou invadir computadores alheios para, em seguida, danificar seus componentes de hardware ou software, através da exclusão de arquivos, alterando o funcionamento da máquina ou até mesmo deixando o computador vulnerável a outros tipos de ataques. Em relação a classificação das ameaças podemos definir como ameaças involuntárias:
		
	
	Ameaças decorrentes de fenômenos da natureza, como incêndios naturais, enchentes, terremotos e etc.
	
	Erros propositais de instalação ou de configuração possibilitando acessos indevidos.
	 
	Danos quase sempre internos - são uma das maiores ameaças ao ambiente, podem ser ocasionados por falha no treinamento, acidentes, erros ou omissões.
	
	Acessos não autorizados ou perda de comunicação ou a ausência de sistemas de criptografia nas comunicações.
	
	Ameaças propositais causadas por agentes humanos como crackers, invasores, espiões, ladrões e etc.
	Respondido em 11/05/2020 16:03:24
	
		5a
          Questão
	Acerto: 1,0  / 1,0
	
	Recente pesquisa realizada pela ESET no País identificou que 73% das corporações consultadas foram vítimas de algum incidente relacionado à segurança da informaçãonos últimos meses, o que sugere falhas nas políticas e ferramentas voltadas a combater esse tipo de problema, ao mesmo tempo em que exige uma reflexão urgente dos gestores. Todo ataque segue de alguma forma uma receita nossa conhecida, qual seria a melhor forma de definir a fase de "Manutenção do acesso" nesta receita:
		
	 
	Nesta fase o atacante tenta manter seu próprio domínio sobre o sistema. Poderá também protege-lo de outros atacantes através da utilização de ¿acessos exclusivos¿ obtidos através de rootkits, backdoors ou trojans.
	
	Fase onde o atacante explora a rede baseado nas informações obtidas na fase de reconhecimento.
	
	É uma fase preparatória onde o atacante procura coletar o maior número possível de informações sobre o ¿alvo em avaliação¿ antes do lançamento do ataque.
	
	Esta fase consiste na atividade realizada pelo atacante de tentar camuflar seus atos não autorizados com o objetivo de prolongar sua permanência na máquina hospedeira, na utilização indevida dos recursos computacionais.
	
	Esta fase consiste na penetração do sistema propriamente dita. Nesta fase são exploradas as vulnerabilidades encontradas no sistema.
	Respondido em 11/05/2020 16:14:48
	
	
	Gabarito
Coment.
	
	
		6a
          Questão
	Acerto: 1,0  / 1,0
	
	Assinale a opção correta acerca da análise de vulnerabilidades e riscos de segurança da informação, de acordo com a ABNT NBR ISO/IEC 27005.
		
	
	Na estimativa qualitativa de riscos, são utilizadas escalas numéricas para medir a probabilidade de incidentes de segurança.
	
	A identificação dos ativos ocorre durante a análise de riscos e está sujeita ao escopo previamente estabelecido.
	
	As vulnerabilidades identificadas para a gestão de riscos são aquelas oriundas de ameaças de origem humana.
	 
	O ativo que tem o maior risco de disponibilidade é também aquele que tem o maior nível de risco.
	
	As ameaças, que podem afetar mais de um ativo, são identificadas durante a fase de avaliação de riscos
	Respondido em 11/05/2020 15:56:39
	
		7a
          Questão
	Acerto: 1,0  / 1,0
	
	Com relação à NBR 27005, assinale a opção correta, no que se refere à gestão de riscos de segurança da informação.
		
	 
	A definição do contexto da gestão de riscos deve preceder a identificação dos ativos de valor.
	
	Os riscos residuais são conhecidos antes da comunicação do risco.
	
	Os riscos são reduzidos ou mitigados sem que ocorra a seleção de controles.
	
	Aceitar ou reter um risco durante o seu tratamento equivale a transferi-lo.
	
	Qualquer atividade de comunicação do risco de segurança da informação deve ocorrer apenas após a aceitação do plano de tratamento do risco pelos gestores da organização.
	Respondido em 11/05/2020 16:01:29
	
	
	Gabarito
Coment.
	
	
		8a
          Questão
	Acerto: 1,0  / 1,0
	
	Independente do tamanho, da natureza e do tipo da organização, os requisitos definidos pela norma são genéricos e podem ser aplicados a todas as organizações. Entretanto existem quatro itens que são obrigatórios de implementação da norma ISO/IEC 27001 em qualquer organização:
		
	
	Responsabilidade da direção, auditorias internas, controle de registros, sistema de gestão de segurança da informação.
	
	Controle de registros, responsabilidade da direção, melhoria do SGSI e auditorias internas
	
	Sistema de gestão de segurança da informação, análise de risco, auditorias internas e melhoria do SGSI
	
	Sistema de gestão de segurança da informação, classificação da informação, auditoria internas e análise de risco.
	 
	Sistema de gestão de segurança da informação, responsabilidade da direção, análise crítica do SGSI pela direção e Melhoria do SGSI
	Respondido em 11/05/2020 16:11:30
	
	
	Gabarito
Coment.
	
	
		9a
          Questão
	Acerto: 1,0  / 1,0
	
	Para realizar o login da rede da sua empresa, Pedro necessita digitar além do usuário, também a sua senha como forma de validação do usuário digitado. Neste caso Pedro está utilizado qual propriedade de segurança?
		
	
	Auditoria;
	 
	Autenticidade;
	
	Confidencialidade;
	
	Não-Repúdio;
	
	Integridade;
	Respondido em 11/05/2020 15:59:15
	
	
	Gabarito
Coment.
	
	
		10a
          Questão
	Acerto: 1,0  / 1,0
	
	Uma empresa teve a sua sala de servidores incendiadas e com isso perdeu todos os dados importantes para a empresa, mas ela estava preparada para a continuidade dos negócios, o que você acha que foi importante para a recuperação destes dados:
		
	
	Eles dispunham de uma DMZ que são pequenas redes que geralmente contém serviços públicos que são conectados diretamente ao firewall ou a outro dispositivo de filtragem e que recebem a proteção deste dispositivo.
	
	Havia uma VPN interligando várias Intranets através da Internet.
	
	A empresa possuía um FIREWALL que isolam a rede interna da organização da área pública da Internet, permitindo que alguns pacotes passem e outros não, prevenindo ataques de negação de serviço ou modificações e acessos ilegais aos dados internos.
	 
	Na empresa haviam Backups ou cópias de segurança que são itens muito importantes na administração de sistemas devendo fazer parte da rotina de operação dos sistemas da organização, através de uma política pré-determinada.
	
	Eles tinham um IDS que tem como principal objetivo reconhecer um comportamento ou uma ação intrusiva, através da análise das informações disponíveis em um sistema de computação ou rede.