gestão de segurança da informação - teste 08

Prévia do material em texto

Após a implantação do Sistema de Gestão de Segurança da Informação (SGSI) de acordo com a norma NBR ISO/IEC 27001, a
equipe de técnicos em informática da organização XPTO deve Monitorar e Analisar criticamente o SGSI, que compreende a atividade
de:
Especificar a forma de medir a eficácia dos controles de modo a produzir resultados comparáveis.
Aplicar as lições aprendidas de experiências de segurança da informação de outras organizações.
Avaliar a probabilidade real de ocorrência de falhas de segurança à luz de ameaças e vulnerabilidades prevalecentes
Especificar os requisitos necessários para o estabelecimento, implementação, operação, monitoração, análise crítica,
manutenção e melhoria de um Sistema de Gestão de Segurança da Informação (SGSI) dentro do contexto dos riscos de
negócio da organização.
Definir e medir a eficácia dos controles ou grupos de controle selecionados.
Respondido em 10/04/2021 14:46:27
A norma ISO/IEC 27001 aborda de forma sistemática a proteção e gestão da segurança da informação das
organizações. Nessa norma é apresentado os requisitos necessários que uma organização necessitará na
estruturação de seu sistema de gestão da segurança da informação. Sobre essa norma analise as afirmativas
abaixo:
I-Nesta norma podemos incorporar a classificação dos riscos quanto aos possíveis danos causados, e assim
implantar controles para minimizá-los
II-A norma não possibilita que as organizações no mundo todo possam se certificar de suas práticas de
gestão de segurança da informação.
III-A norma fornece suporte para que as organizações possam utilizar as melhores técnicas de
monitoramento e controles, que envolvam recursos tecnológicos e humanos.
Assinale a opção que contenha apenas afirmações corretas:
Apenas III
Apenas II e III
Apenas I e III
I, II e III
Apenas I 
Respondido em 10/04/2021 14:46:32
Explicação:
A afirmativa II é falsa
Independente do tamanho, da natureza e do tipo da organização, os requisitos definidos pela norma são genéricos e podem ser
aplicados a todas as organizações. Entretanto existem quatro itens que são obrigatórios de implementação da norma ISO/IEC
27001 em qualquer organização:
Sistema de gestão de segurança da informação, responsabilidade da direção, análise crítica do SGSI pela direção e Melhoria
do SGSI
Sistema de gestão de segurança da informação, análise de risco, auditorias internas e melhoria do SGSI
Responsabilidade da direção, auditorias internas, controle de registros, sistema de gestão de segurança da informação.
Controle de registros, responsabilidade da direção, melhoria do SGSI e auditorias internas
Sistema de gestão de segurança da informação, classificação da informação, auditoria internas e análise de risco.
Respondido em 10/04/2021 14:46:37
Gabarito
Comentado
A utilização de crachás de identificação de colaboradores numa organização está fundamentalmente associado a que tipo de
proteção ?
Reação.
Preventiva.
Recuperação .
Correção.
Limitação.
Respondido em 10/04/2021 14:46:42
A empresa XPTO optou como forma de complementar seu projeto de Segurança da Informação, a instalação de camêras de vídeo,
sendo algumas falsas, e a utilização de avisos da existência de alarmes, neste caso qual o tipo de proteção que está sendo utilizada
?
Limitação
Preventiva
Desencorajamento
Reação
Correção
Respondido em 10/04/2021 14:46:50
Realizar a certificação do SGSI pela ISO/IEC 27001 proporciona muitos benefícios para as empresas. Qual do
beneficios abaixo são promovidos?
I-Demonstração e garantia de que os requisitos de governança corporativa e de continuidade do negócio
estejam sendo atendidos.
II-Demonstrar que as normas e os regulamentos aplicáveis estão sendo conduzidos;
III-Promover a avaliação e identificação dos riscos organizacionais. Essa análise vai permitir entender se os
riscos estão sendo gerenciados de forma correta. Dessa forma, será possível que os documentos dos
processos de segurança da informação sejam formalizados.
Assinale a opção que contenha apenas afirmações corretas:
I, II e III
Apenas I e III
Apenas III
Apenas I
Apenas II e III
Respondido em 10/04/2021 14:46:55
Explicação:
Todas estão corretas
Em relação às normas NBR ISO/IEC 27001 e NBR ISO/IEC 27002, considere:
I. Cada categoria principal de segurança da informação contém um objetivo de controle que define o que deve ser alcançado e um
(ou mais) controle que pode ser aplicado para se alcançar o objetivo do controle.
II. Especifica os requisitos para estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar um SGSI
documentado dentro do contexto dos riscos de negócio globais da organização.
III. Os requisitos definidos nessa norma são genéricos e é pretendido que sejam aplicáveis a todas as organizações,
independentemente de tipo, tamanho e natureza. Qualquer exclusão de controles considerados necessários para satisfazer aos
critérios de aceitação de riscos precisa ser justificada e as evidências de que os riscos associados foram aceitos pelas pessoas
responsáveis precisam ser fornecidas.
IV. Convém que a análise/avaliação de riscos de segurança da informação tenha um escopo claramente definido para ser eficaz e
inclua os relacionamentos com as análises/avaliações de riscos em outras áreas, se necessário.
Associadas à norma NBR ISO/IEC 27001, está correto o que consta APENAS em:
I e II.
II e III.
I e III.
II.
III e IV.
Respondido em 10/04/2021 14:47:00
Gabarito
Comentado
O SGSI torna-se pré-requisito à ser implementado em ambientes corporativos, educacionais, industriais, governamentais e qualquer
outro que tenha por objetivo resguardar ambientes que criam, manipulam ou destroem informações relevantes. O sistema será
informatizado, caso seja necessário, conforme a peculiaridade de cada negócio (ambiente). Pois a Segurança da Informação (SI) é
norteada por boas práticas, mudança de hábitos e cultura e não apenas definidas por bons softwares e ferramentas de apoio. O
SGSI utiliza o modelo Plan-Do-Check-Act. Podemos dizer que a empresa deve implementar na etapa Do:
A organização deve implementar e operar a política, controles, processos e procedimentos do SGSI, buscando não
burocratizar o funcionamento das áreas.
O escopo do SGSI alinhado com as características de negócio, da organização, sua localização, ativos e tecnologia.
Selecionar objetivos de controle e controles para o tratamento de riscos.
A organização deve implementar as melhorias identificadas no SGSI. Deve ainda executar as ações preventivas e corretivas
necessárias para o bom funcionamento do SGSI.
A organização deve implementar procedimentos de monitoração e análise crítica para detectar erros nos resultados de
processamento e identificar os incidentes de segurança da informação.
Respondido em 10/04/2021 14:47:05
Gabarito
Comentado