Prova Normas

Prévia do material em texto

Pergunta 1 0,66 pts 
Com relação a estrutura, objetivos e conceitos da norma ABNT NBR ISO/IEC 
27002, é correto afirmar que: 
Assinale uma das alternativas abaixo: 
Grupo de respostas da pergunta 
 
Tem como objetivo geral especificar os requisitos para estabelecer, 
implementar, operar, monitorar, analisar criticamente, manter e melhorar um 
SGSI documentado dentro do contexto dos riscos de negócio globais da 
organização. 
 
Define política como sendo as intenções e diretrizes globais formalmente 
expressas pela direção e define risco como sendo a combinação da 
probabilidade de um evento e de suas consequências. 
 
Define avaliação de riscos como um conjunto de atividades coordenadas para 
direcionar e controlar uma organização no que se refere a riscos. Geralmente 
inclui o tratamento de riscos, a aceitação de riscos e a comunicação de riscos. 
 
Define segurança da informação como forma de gerenciar o risco, incluindo 
políticas, procedimentos, diretrizes, práticas ou estruturas organizacionais que 
podem ser de natureza administrativa, técnica, de gestão ou legal. 
 
Contém 21 seções de controles de segurança da informação, que juntas 
totalizam 59 categorias principais que abordam a análise/avaliação e o 
tratamento de riscos. 
 
Pergunta 2 0,66 pts 
De acordo com a NBR ISO/IEC 27002: 
Assinale uma das alternativas abaixo: 
Grupo de respostas da pergunta 
 
Convém que a análise/avaliação de riscos inclua um enfoque sistemático de 
estimular a magnitude do risco (análise de riscos) e o processo de comparar 
riscos estimados contra os critérios de risco para determinar a significância do 
risco (avaliação do risco). 
 
O escopo de uma análise/avaliação de riscos deve ser sempre em toda a 
organização, pois todas as áreas estão sujeitas aos riscos 
 
A análise /avaliação de riscos não deve ser feita periodicamente para não 
impactar nos custos dos projetos de software ou hardware. 
 
A seleção de controles de segurança da informação depende das decisões da 
organização, baseadas nos critérios para ignorar o risco, nas opções para 
tratamento do risco e no enfoque geral da gestão de risco aplicado à 
organização. Convém que esteja sujeito apenas às legislações e 
regulamentações nacionais relevantes. 
 
A gestão de riscos geralmente inclui a análise/avalição de riscos, o tratamento 
de riscos e a comunicação de riscos. Não inclui aceitação de riscos. 
 
Pergunta 3 0,66 pts 
Segundo a ISO/IEC 27001, em relação à Provisão de Recursos, a organização 
deve determinar e prover os recursos necessários para: 
Assinale uma das alternativas abaixo: 
Grupo de respostas da pergunta 
 
Avaliar a necessidade de ações para assegurar que as não conformidades não 
ocorram. 
 
Desenvolver critérios para a aceitação de riscos e identificar níveis aceitáveis 
de risco. 
 
Identificar os impactos que as perdas de confidencialidade, integridade e 
disponibilidade podem causar aos ativos. 
 
Estabelecer, implementar, operar, monitorar, analisar criticamente, manter e 
melhorar um SGSI. 
 
Transferir os riscos associados ao negócio a outras partes, por exemplo, 
seguradoras e fornecedores. 
 
Pergunta 4 0,66 pts 
Segurança da Informação é um tema que se reveste atualmente de alta 
importância para os negócios. Um de seus aspectos mais relevantes está 
associado à capacidade do sistema de permitir que alguns usuários acessem 
determinadas informações e paralelamente impede que outros, não 
autorizados, a vejam. O aspecto abordado é denominado: 
Assinale uma das alternativas abaixo: 
Grupo de respostas da pergunta 
 
Privacidade 
 
Integridade 
 
Vulnerabilidade 
 
Confidencialidade 
 
Disponibilidade 
 
Pergunta 5 0,66 pts 
“Segurança da informação é a proteção de um conjunto de dados, no sentido 
de preservar o valor que possuem para um indivíduo ou organização. O 
conceito de Segurança da Informática ou Segurança de Computadores está 
intimamente relacionado ao de Segurança da Informação, incluindo não 
apenas a segurança dos dados/informação, mas também a dos sistemas em 
si". 
Os principais atributos que orientam a análise, o planejamento e a 
implementação da segurança para um grupo de informações que se deseja 
proteger são: 
Assinale uma das alternativas abaixo: 
Grupo de respostas da pergunta 
 
Confiabilidade, Integridade, Disponibilidade 
 
Confidencialidade, Integridade, Durabilidade 
 
Confidencialidade, Integridade, Disponibilidade 
 
Confidencialidade, Persistência, Disponibilidade 
 
Consistência, Integridade, Disponibilidade 
 
Pergunta 6 0,67 pts 
O processo de análise de riscos, em conformidade com a estrutura de gestão 
de riscos, é precedido e sucedido, respectivamente: 
Assinale uma das alternativas abaixo: 
Grupo de respostas da pergunta 
 
Pela identificação de riscos e pela avaliação de riscos. 
 
Pela identificação de riscos e pelo tratamento de riscos. 
 
Pelo tratamento de riscos e pela avaliação de riscos. 
 
Pela avaliação de riscos e pelo tratamento de riscos. 
 
Pela avaliação de riscos e pela identificação de riscos. 
 
Pergunta 7 0,67 pts 
Segundo a Norma ABNT NBR ISO/IEC 27002:2005 – Código de Prática para a 
Gestão de Segurança da Informação, para cada um dos riscos identificados, 
seguindo a análise/avaliação de riscos, uma decisão sobre o tratamento do 
risco precisa ser tomada. As alternativas abaixo apresentam possíveis opções 
para o tratamento do risco, exceto: 
Assinale uma das alternativas abaixo: 
Grupo de respostas da pergunta 
 
Identificar os riscos de segurança presentes. 
 
Transferir os riscos associados para outras partes, por exemplo, seguradoras 
ou fornecedores. 
 
Conhecer e objetivamente aceitar os riscos, sabendo que eles atendem 
claramente à política da organização e aos critérios para a aceitação do risco. 
 
Aplicar controles apropriados para reduzir os riscos. 
 
Evitar riscos, não permitindo ações que poderiam causar a ocorrência de 
riscos. 
 
Pergunta 8 0,67 pts 
Com relação à NBR 27005, assinale a opção correta no que se refere à gestão 
de riscos de segurança da informação. 
Assinale uma das alternativas abaixo: 
Grupo de respostas da pergunta 
 
Aceitar ou reter um risco durante o seu tratamento equivale a transferi-lo. 
 
Os riscos residuais são conhecidos antes da comunicação do risco. 
 
A definição do contexto da gestão de riscos deve preceder a identificação dos 
ativos de valor. 
 
Qualquer atividade de comunicação do risco de segurança da informação deve 
ocorrer apenas após a aceitação do plano de tratamento do risco pelos 
gestores da organização. 
 
Os riscos são reduzidos ou mitigados sem que ocorra a seleção de controles. 
 
 
 
Pergunta 9 0,67 pts 
Assinale a opção correta acerca da análise de riscos de segurança da 
informação, de acordo com a ABNT NBR ISO/IEC 27005. 
Assinale uma das alternativas abaixo: 
Grupo de respostas da pergunta 
 
A identificação dos ativos ocorre durante a análise de riscos e está sujeita ao 
escopo previamente estabelecido. 
 
As ameaças, que podem afetar mais de um ativo são identificadas durante a 
fase de avaliação de riscos. 
 
O ativo que tem o maior risco de disponibilidade é também aquele que tem o 
maior nível de risco. 
 
As vulnerabilidades identificadas para a gestão de riscos são aquelas oriundas 
de ameaças de origem humana. 
 
Na estimativa qualitativa de riscos, são utilizadas escalas numéricas para medir 
a probabilidade de incidentes de segurança. 
 
Pergunta 10 0,67 pts 
O conjunto de procedimentos, métodos ou rotinas com os objetivos de proteger 
os ativos, produzir dados contábeis confiáveis e ajudar a administração na 
condução ordenada dos negócios da empresa é representada pela área de: 
Assinale uma das alternativas abaixo: 
Grupo de respostas da pergunta 
 
Contabilidade ou Finanças 
 
Auditoria Interna 
 
Controladoria 
 
Controles Internos 
 
Auditoria Externa 
 
Pergunta 11 0,67 pts 
Uma informação de um Tribunal foi classificada como secreta. De acordocom 
as normas de segurança, em relação 
Assinale uma das alternativas abaixo: 
Grupo de respostas da pergunta 
 
à transmissão escrita, deve ser criptografada em mais de um arquivo, para 
dificultar o trabalho de análise mal intencionada de tentativa de descobrir a(s) 
chave(s). 
 
ao armazenamento, deve ser utilizado um arquivo de segurança total. Como o 
arquivo é inviolável, pode ficar armazenado em local público e ser acessado 
por todos. 
 
à transmissão por voz, pode ser transmitida através de linhas telefônicas fixas 
ou móveis, em ambientes controlados. 
 
ao controle da divulgação, só deve ser divulgada para quem faz parte de uma 
lista de autorização, de conhecimento público, elaborada pelo custodiante da 
informação. 
 
ao transporte e expedição, deve ser entregue internamente em malotes e 
externamente pelo correio com a inscrição top secret, por qualquer funcionário, 
mas com registro de protocolo. 
 
 
Pergunta 12 0,67 pts 
Os mecanismos de proteção aos ambientes computacionais destinados a 
garantir a segurança da informação incluem: 
Assinale uma das alternativas abaixo: 
Grupo de respostas da pergunta 
 
Política de segurança, criptografia e rootkit 
 
Adware, bloqueador de pop-ups e bloqueador de cookies 
 
Controle de acesso físico, token e keyloggers 
 
Assinatura digital, política de chaves e senhas, e honeypots 
 
Firewall, spyware e antivirus 
 
Pergunta 13 0,67 pts 
Considere as duas situações em que a proteção e a segurança da informação 
foram violadas: 
I. O número do CPF de um trabalhador foi alterado, deixando seu CPF inválido. 
II. Um dado sigiloso de uma ação trabalhista foi acessado por pessoa não 
autorizada. 
Nas situações I e II ocorreram, respectivamente, violação da <> Assinale uma 
das alternativas abaixo: 
Grupo de respostas da pergunta 
 
confidencialidade e da disponibilidade das informações. 
 
integridade e da confidencialidade das informações. 
 
confidencialidade e da integridade das informações. 
 
autenticação e da autorização das informações. 
 
identificação e da autorização das informações. 
 
 
Pergunta 14 0,67 pts 
Com relação à segurança da informação, assinale a opção correta. 
Assinale uma das alternativas abaixo: 
Grupo de respostas da pergunta 
 
Controles físicos são barreiras que limitam o contato ou acesso direto à 
informação ou à infraestrutura que a suporta. 
 
A assinatura digital garante a confidencialidade do documento ao qual ela 
esteja associada. 
 
Para se obter um nível aceitável de segurança, é suficiente reunir as melhores 
ferramentas de software e implementá-las de acordo com as práticas 
recomendáveis. 
 
Independentemente de outros fatores, as empresas devem sempre optar pelo 
nível mais alto de segurança da informação. 
 
A principal vantagem dos servidores de arquivos na Internet é que eles 
desprezam a proteção de arquivos locais. 
 
 
Pergunta 15 0,67 pts 
A informação é um dos ativos mais importantes em uma empresa. Proteger os 
processos mais críticos do negócio corporativo, reduzir a probabilidade de 
ocorrência de incidentes relacionados à segurança e recuperar os danos em 
casos de desastres e incidentes são objetivos, entre outros, da implementação 
de um(a) 
Assinale uma das alternativas abaixo: 
Grupo de respostas da pergunta 
 
política de informação. 
 
rotina de backup. 
 
plano de segurança. 
 
plano de desenvolvimento. 
 
controle de acesso.