Exercícios Gestão de Segurança da Informação

Prévia do material em texto

1.
		O papel estratégico dos sistemas de informação nas empresas cresce a cada dia. Qual das opções abaixo não pode ser considerada como sendo um dos "Propósitos da Informação" dentro das empresas e organizações?
	
	
	
	Habilitar a empresa a alcançar seus objetivos pelo uso eficiente dos recursos materiais;
	
	
	Habilitar a empresa a alcançar seus objetivos pelo uso eficiente dos recursos financeiros;
	
	
	Habilitar a empresa a alcançar seus objetivos pelo uso eficiente dos equipamentos;
	
	
	Habilitar a empresa a alcançar seus objetivos de ineficácia nos processos;
	
	
	Habilitar a empresa a alcançar seus objetivos pelo uso eficiente da sua tecnologia;
	
	
	
	 
		
	
		2.
		Em relação as afirmações abaixo, assinale a opção que contenha apenas as corretas:
I-Segurança da informação é o conjunto de orientações, normas, procedimentos, políticas e demais ações que tem por objetivo proteger o recurso informação, possibilitando que o negócio da organização seja realizado e a sua missão seja alcançada.
II-A segurança da informação não minimiza os riscos da organização em relação à dependência do uso dos recursos de informação para o funcionamento da mesma.
III-Nos dias atuais é importante que a segurança da informação tenha como objetivo propor soluções técnicas que visem melhorias na política de segurança das informação das empresas.
	
	
	
	Todas estão erradas
	
	
	Somente I 
	
	
	Somente I e II
	
	
	Somente I e III
	
	
	Somente II e III
	
Explicação:
O certo seria:
A segurança da informação tem a função de minimizar os riscos da organização em relação à dependência do uso dos recursos de informação para o funcionamento da mesma.
	
	
	
	 
		
	
		3.
		Qual das opções abaixo não é considerada como sendo um dos fatores fundamentais e que possam impactar no estudo e implementação de um processo de gestão de segurança em uma organização?
	
	
	
	insegurança
	
	
	Risco.
	
	
	Vulnerabilidade.
	
	
	Ameaça.
	
	
	Impacto .
	
	
	
	 
		
	
		4.
		Foi noticiado na internet que um grande banco teve um incidente de segurança e que grandes vultos de dinheiro foram transferidos sem que os clientes soubessem. Apesar de não ser um fato verídico, este episódio comprometeu a imagem e a credibilidade deste banco. Neste caso qual o tipo de ativo foi envolvido nesta situação?
	
	
	
	Intangível
	
	
	Ativo
	
	
	Abstrato
	
	
	Tangível
	
	
	Passivo
	
	
	
	 
		
	
		5.
		Considere um sistema no qual existe um conjunto de informações disponível para um determinado grupo de usuários denominados ¿engenheiros¿. Após várias consultas com respostas corretas e imediatas, em um determinado momento, um usuário pertencente ao grupo ¿engenheiros¿ acessa o sistema em busca de uma informação já acessada anteriormente e não consegue mais acessá-la. Neste caso houve uma falha na segurança da informação para este sistema na propriedade relacionada à:
	
	
	
	Auditoria
	
	
	Disponibilidade
	
	
	Confidencialidade
	
	
	Privacidade
	
	
	Integridade
	
	
	
	 
		
	
		6.
		No contexto da Segurança da Informação, a medida que indica a probabilidade de uma determinada ameaça se concretizar, combinada com os impactos que ela trará está relacionada com qual conceito de?
	
	
	
	Impacto.
	
	
	Risco.
	
	
	Ameaça.
	
	
	Vulnerabilidade.
	
	
	Valor.
		
	Gabarito
Comentado
	
	
	
	
	 
		
	
		7.
		Em uma organização existem diversos tipos de ativos que podem ser organizados e classificados através de diversas propriedades. Qual das opções abaixo descreve o conceito de ¿Ativos¿ para a Segurança da Informação:
	
	
	
	Tudo aquilo que tem valor para a organização.
	
	
	Tudo aquilo que a empresa usa como inventario contábil.
	
	
	Tudo aquilo que não possui valor específico.
	
	
	Tudo aquilo que é utilizado no Balanço Patrimonial.
	
	
	Tudo aquilo que não manipula dados.
	
	
	
	 
		
	
		8.
		Política de segurança é composta por um conjunto de regras e padrões sobre o que deve ser feito para assegurar que as informações e serviços importantes para a empresa recebam a proteção conveniente, de modo a garantir a sua confidencialidade, integridade e disponibilidade. Após sua criação ela deve ser:
	
	
	
	Comunicada a toda a organização para os usuários de uma forma que seja relevante, acessível e compreensível para o público-alvo.
	
	
	Armazenada em local seguro com acesso apenas por diretores e pessoas autorizadas.
	
	
	Escondida de toda a organização para garantir sua confidencialidade, integridade e disponibilidade.
	
	
	Comunicada apenas ao setor de tecnologia da informação de maneria rápida para que todos possam se manter focados no trabalho.
	
	
	Comunicada apenas aos usuários que possuem acesso à Internet.
		
	Gabarito
Comentado
	
	
		1.
		Segundo os princípios da Segurança da Informação, qual das opções abaixo representa melhor o conceito de ¿Ativo de Informação¿?
	
	
	
	São aqueles que constroem, dão acesso, transmitem ou armazenam informações.
	
	
	São aqueles que organizam, processam, publicam ou destroem informações.
	
	
	São aqueles que produzem, processam, transmitem ou armazenam informações.
	
	
	São aqueles que produzem, processam, reúnem ou expõem informações.
	
	
	São aqueles tratam, administram, isolam ou armazenam informações.
		
	Gabarito
Comentado
	
	
		
	Gabarito
Comentado
	
	
	
	
	 
		
	
		2.
		Você está trabalhando em um projeto de classificação de informação e sua empresa trabalho no ramo financeiro, onde a divulgação de determinadas informações pode causar danos financeiros ou à imagem da sua empresa, além de gerar vantagens aos concorrentes e também possíveis perda de clientes. Neste caso você classificaria estas informações em qual nível de segurança?
	
	
	
	Pública.
	
	
	Interna.
	
	
	Secreta.
	
	
	Irrestrito.
	
	
	Confidencial.
	
	
	
	 
		
	
		3.
		Podemos dizer que os controles que reduzem a probabilidade de uma ameaça se concretizar ou diminuem o grau de vulnerabilidade do ambiente/ativo/sistema, reduzindo assim a probabilidade de um ataque e/ou sua capacidade de gerar efeitos adversos na organização são consideradas:
	
	
	
	Medidas Perceptivas
	
	
	Medidas Preventivas
	
	
	Métodos Quantitativos
	
	
	Medidas Corretivas e Reativas
	
	
	Métodos Detectivos
	
	
	
	 
		
	
		4.
		Sobre o conceito: " [...] é restrita aos limites da empresa e cuja divulgação ou perda pode acarretar em desiquilíbrio operacional e, eventualmente, a perdas financeiras ou de confiabilidade perante o cliente externo". Tal conceituação refere-se a qual tipo de informação, no que tange ao nível de prioridade da mesma, segundo Wadlow (2000)?
	
	
	
	Informação Pública
	
	
	Nenhuma das alternativas anteriores
	
	
	Informação secreta
	
	
	Informação Interna
	
	
	Informação confidencial
	
	
	
	 
		
	
		5.
		As vulnerabilidades estão presentes no dia-a-dia das empresas e se apresentam nas mais diversas áreas de uma organização, a todo instante os negócios, seus processo e ativos físicos, tecnológicos e humanos são alvos de investidas de ameaças de toda ordem. Qual das opções abaixo descreve o melhor conceito de Vulnerabilidade na ótica da Segurança da Informação?
	
	
	
	Fragilidade presente ou associada a ativos que exploram ou processam informações .
	
	
	Fragilidade presente ou associada a ativos que manipulam ou processam informações .
	
	
	Fragilidade presente ou associada a ameaças que manipulam ou processam informações .
	
	
	Ameaça presente ou associada a ativos que manipulam ou processam informações.
	
	
	Impacto presente ou associada a ativos que manipulam ou processam informações.
		
	Gabarito
Comentado
	
	
	
	
	 
		
	
		6.
		Suponha que João deseja utilizar os serviços oferecidos via Internet por seu banco. Como o banco pode garantir-se de que, posteriormente, João venha a afirmarque não foi ele quem fez o acesso? Neste caso estamos falando de:
	
	
	
	Confidencialidade
	
	
	Disponibilidade
	
	
	Autenticação
	
	
	Integridade
	
	
	Não-repúdio
		
	Gabarito
Comentado
	
	
	
	
	 
		
	
		7.
		VULNERABILIDADE DE SEGURANÇA O ciclo de vida da informação Suponha que João deseja utilizar os serviços oferecidos via Internet por seu banco. Como João pode ter certeza de que está dialogando com seu banco e não com alguém que se faz passar por ele? Neste caso estamos falando de:
	
	
	
	Confidencialidade
	
	
	Não-repúdio
	
	
	Legalidade
	
	
	Disponibilidade
	
	
	Autenticação
	
	
	
	 
		
	
		8.
		Considere um sistema no qual existe um conjunto de informações disponível para um determinado grupo de usuários denominados ¿auditores¿. Um usuário de um outro grupo, o grupo ¿estudante¿, tenta acessar o sistema em busca de uma informação que somente o grupo ¿auditores¿ tem acesso e consegue. Neste caso houve uma falha na segurança da informação para este sistema na propriedade relacionada à:
	
	
	
	Disponibilidade;
	
	
	Confidencialidade;
	
	
	Auditoria;
	
	
	Integridade;
	
	
	Não-Repúdio;
	
		1.
		As vulnerabilidades mais exploradas nos dias de hoje, são as do tipo buffer overflow, que muitas vezes pode dar privilégios de administrador para o invasor, rodar códigos maliciosos remotamente, burlar particularidades de cada sistema, ataques de Negação de Serviços (DDoS), e acesso irestrito ao sistema. Em relação a Classificação das Vulnerabilidades podemos citar como exemploS de Vulnerabilidade de Hardware:
	
	
	
	Instalações prediais fora dos padrões de engenharia ou salas de servidores mal planejadas.
	
	
	Falha nos recursos tecnológicos (desgaste, obsolescência, mau uso) ou erros durante a instalação.
	
	
	Acessos não autorizados ou perda de comunicação ou a ausência de sistemas de criptografia nas comunicações.
	
	
	Radiação eletromagnética pode afetar diversos tipos de mídias magnéticas ou erro de fabricação.
	
	
	Possibilidade de desastres naturais (incêndios, enchentes, terremotos, tempestades, falta de energia).
		
	Gabarito
Comentado
	
	
	
	
	 
		
	
		2.
		Em março de 2011, as companhias de segurança Symantec e Kaspersky reportaram diversas tentativas de invasão aos seus bancos de dados. Porém, o grande afetado pela onda de ataques criminosos foi a RSA Security, que teve diversos de seus dados roubados por hackers não identificados. O ataque por sua vez foi Injection em seu banco de dados. Qual você acha que foi o tipo de vulnerabilidade utilizada neste caso?
	
	
	
	Vulnerabilidade de Software.
	
	
	Vulnerabilidade Física.
	
	
	Vulnerabilidade de Mídias.
	
	
	Vulnerabilidade de Comunicação.
	
	
	Vulnerabilidade Natural.
	
	
	
	 
		
	
		3.
		Vivemos em um mundo globalizado, com o espaço geográfico fragmentado, porém fortemente articulado pelas redes, onde a informação, independente do seu formato. Uma vez identificados quais os riscos que as informações estão expostas deve-se imediatamente iniciar um processo de segurança física e lógica, com o intuito de alcançar um nível aceitável de segurança. Quando falo em nível aceitável de segurança, me refiro ao ponto em que todas as informações devam estar guardadas de forma segura. Neste contexto como podemos definir o que são vulnerabilidades:
	
	
	
	Pontos fracos em que os ativos estão suscetíveis a ataques - fatores negativos internos. Permitem o aparecimento de ameaças potenciais à continuidade dos negócios das organizações.
	
	
	Método de ataque, onde alguém faz uso da persuasão, muitas vezes abusando da ingenuidade ou confiança do usuário, para obter informações que podem ser utilizadas para ter acesso não autorizado a computadores ou informações.
	
	
	São decorrentes de fenômenos da natureza, como incêndios naturais, enchentes, terremotos, tempestades eletromagnéticas, maremotos, aquecimento, poluição, etc.
	
	
	É um tipo de ameaça que se aproveita de falhas em sistemas que interagem com bases de dados através da utilização de SQL.
	
	
	Ameaças propositais causadas por agentes humanos como hackers, invasores, espiões, ladrões, criadores e disseminadores de vírus de computadores, incendiários.
	
	
	
	 
		
	
		4.
		Ataque feito em 2009 a um servidor de banda larga da empresa NET, o Vírtua, em São Paulo. Nesse ataque os hackers direcionavam os usuários que acessavam o site do banco Bradesco para uma página falsa e roubavam os dados e as senhas destes usuários. O site teve um problema nos servidores de DNS, que traduziram o endereço do Bradesco como sendo de outro servidor, no qual havia uma página falsa e eles puderam roubar os dados e as senhas. Qual você acha que seria a vulnerabilidade neste ataque?
	
	
	
	Vulnerabilidade de Comunicação
	
	
	Vulnerabilidade de Software
	
	
	Vulnerabilidade Natural
	
	
	Vulnerabilidade Mídia
	
	
	Vulnerabilidade Física
		
	Gabarito
Comentado
	
	
	
	
	 
		
	
		5.
		As vulnerabilidades mais exploradas nos dias de hoje, são as do tipo buffer overflow, que muitas vezes pode dar privilégios de administrador para o invasor, rodar códigos maliciosos remotamente, burlar particularidades de cada sistema, ataques de Negação de Serviços (DDoS), e acesso irestrito ao sistema. Em relação a Classificação das Vulnerabilidades podemos citar como exemploS de Vulnerabilidade de Software:
	
	
	
	Falha nos recursos tecnológicos (desgaste, obsolescência, mau uso) ou erros durante a instalação.
	
	
	Possibilidade de desastres naturais (incêndios, enchentes, terremotos, tempestades, falta de energia).
	
	
	Radiação eletromagnética pode afetar diversos tipos de mídias magnéticas ou erro de fabricação.
	
	
	Instalações prediais fora dos padrões de engenharia ou salas de servidores mal planejadas.
	
	
	Erros de instalação ou de configuração possibilitando acessos indevidos, vazamento de informações, perda de dados ou indisponibilidade de recursos quando necessários.
	
	
	
	 
		
	
		6.
		O departamento financeiro vai determinar os perigos aos quais a área está exposta. Neste contexto o que chamamos de um possível evento que pode ter um efeito perturbador sobre a confiabilidade da informação?
	
	
	
	Risco
	
	
	Vulnerabilidade
	
	
	Ameaça
	
	
	Dependência
	
	
	Problema
		
	Gabarito
Comentado
	
	
	
	
	 
		
	
		7.
		Assinale a opção que, no âmbito da segurança da informação, NÃO é um exemplo de vulnerabilidade.
	
	
	
	Funcionário desonesto.
	
	
	Links sem contingência.
	
	
	Rede elétrica instável.
	
	
	Sistema operacional desatualizado.
	
	
	Firewall mal configurado.
		
	Gabarito
Comentado
	
	
	
	
	 
		
	
		8.
		Vulnerabilidades são as fraquezas presentes nos ativos de informação que poderiam ser exploradas, intencionalmente ou não, resultando na quebra de um ou mais princípios de segurança da informação. Com base nessa informação, analise os itens a seguir.
I. Computadores são vulneráveis por serem construídos para troca e armazenamento de dados. Isto pode ser explorado por vírus, cavalos de troia, negação de serviço entre outros.
II. As pessoas não são vulneráveis, pois não guardam informações relevantes para ataques aos ativos de informação.
III. Os ambientes são suscetíveis de incêndios, enchentes, terremotos.
IV. Poluentes diversos eventualmente podem danificar equipamentos e meios de armazenamento.
Representam vulnerabilidades dos ativos de informação o que consta em:
	
	
	
	I, III e IV, somente.
	
	
	I, II, III e IV.
	
	
	II e III, somente.
	
	
	I e III, somente.
	
	
	I, II e IV, somente.
		1.
		João é analista de segurança da empresa Ypisol e percebeu que alguém está tentando obter acesso à rede através do envio de um grande número de requisições de conexão (pacotes SYN) para o servidor WEB da empresa. Qual o tipo de ataque que o invasor está tentando utilizar?
	
	
	
	Ip Spoofing
	
	
	SYN Flooding
	
	
	FragglePort Scanning
	
	
	Fragmentação de pacotes IP
	
	
	
	 
		
	
		2.
		A empresa Ypisilon foi invadida através do seu sistema de e-commerce. O ataque ocorreu através do envio de informações inconsistentes para um campo de entrada de dados da tela principal do sistema. Neste caso, foi utilizado um ataque de:
	
	
	
	SQL injection
	
	
	Smurf
	
	
	Fragmentação de pacotes IP
	
	
	Fraggle
	
	
	Buffer Overflow
		
	Gabarito
Comentado
	
	
	
	
	 
		
	
		3.
		Em relação as afirmativas abaixo assinale apenas a opção que contenha apenas as afirmações VERDADEIRAS:
I-Phishing é um tipo de fraude em que o atacante obtém informações privativas de uma pessoa. Essas informações podem ser números de cartão de crédito, senhas, números da conta bancaria, etc.
II- Phishing é um tipo de ataque que tem como objetivo adquirir identidades através de e-mails ou mensagens instantâneas.
III-Phreaking é um expressão utilizada pra denominar um grupo de pessoas que pesquisam e exploram equipamentos dos sistemas de telefonia e sistemas conectados à rede pública de telefone.
	
	
	
	Apenas I
	
	
	Apenas I e II
	
	
	Apenas III
	
	
	I, II e III
	
	
	Apenas II e III
	
Explicação:
Todas estão corretas
	
	
	
	 
		
	
		4.
		Pedro construiu uma página igual a página de uma grande empresa de comércio eletrônico com o objetivo de capturar as informações de usuário e senha e número do cartão de crédito de usuários desavisados. Para obter sucesso enviou mensagem não solicitada com o intuito de induzir o acesso a esta página fraudulenta. Neste caso podemos afirmar que Pedro pratica um ataque de:
	
	
	
	Phishing scan
	
	
	Força bruta
	
	
	SYN Flooding
	
	
	Buffer Overflow
	
	
	IP Spoofing
	
	
	
	 
		
	
		5.
		Existem diferentes caminhos que um atacante pode seguir para obter acesso ao sistema. Normalmente o atacante irá explorar uma vulnerabilidade ou fraqueza do sistema. O ataque que tem como objetivo a verificação do lixo em busca de informações que possam facilitar o ataque é denominado:
	
	
	
	Ataque smurf
	
	
	Packet Sniffing
	
	
	IP Spoofing
	
	
	SQL Injection
	
	
	Dumpster diving ou trashing
	
	
	
	 
		
	
		6.
		Um dos principais tipos de ataques à Segurança das informações funciona da seguinte forma: O ataque  explora a metodologia de estabelecimento de conexões do protocoloTCP, baseado no three-way-handshake. Desta forma  um grande número de requisições de conexão (pacotes SYN) é enviando, de tal maneira que o servidor não seja capaz de responder a todas elas. A pilha de memória sofre então um overflow e as requisições de conexões de usuários legítimos são, desta forma, desprezadas, prejudicando a disponibilidade do sistema.. Qual seria este ataque:
	
	
	
	Syn Flooding.
	
	
	Packet Sniffing.
	
	
	Fraggle.
	
	
	Port Scanning.
	
	
	Ip Spoofing.
		
	Gabarito
Comentado
	
	
	
	
	 
		
	
		7.
		Existem diferentes caminhos que um atacante pode seguir para obter acesso aos sistemas. Qual das opções abaixo Não representa um destes tipos de ataques?
	
	
	
	Ataque aos Sistemas Operacionais
	
	
	Ataques Genéricos
	
	
	Ataque para Obtenção de Informações
	
	
	Ataque de Configuração mal feita
	
	
	Ataque à Aplicação
	
	
	
	 
		
	
		8.
		Um dos principais tipos de ataques à Segurança das informações funciona da seguinte forma: Se dá através do envio de mensagem não solicitada com o intuito de induzir o acesso a páginas fraudulentas, projetadas para furtar dados pessoais e financeiros da vítima ou ainda o preenchimento de formulários e envio de dados pessoais e financeiros. Normalmente as mensagens enviadas se passam por comunicação de uma instituição conhecida, como um banco, empresa ou site popular. Qual seria este ataque:
	
	
	
	Port Scanning.
	
	
	Packet Sniffing.
	
	
	Phishing Scam.
	
	
	Dumpster diving ou trashing.
	
	
	Ip Spoofing.
		1
          Questão
	
	
	Além de classificar as ameaças quando a sua intencionalidade, também podemos classificá-las quanto a sua origem, neste caso quais das opções abaixo apresenta a classificação quanto a origem para as ameaças ?
		
	
	Conhecida e Externa
	
	Secreta e Externa
	 
	Interna e Externa
	
	Secreta e Oculta
	
	Interna e Oculta
	Respondido em 09/05/2021 22:00:58
	
	
	 
		2
          Questão
	
	
	Uma das primeiras ameaças que as redes estão susceptíveis são os vírus. Os vírus são programadas desenvolvidos para alterar de forma nociva softwares instalados em uma rede. Sobre os vírus assinale apenas a opção que contenha apenas as opções verdadeiras:
I-O vírus é um programa normalmente malicioso que propaga-se na rede realizando cópias de si mesmo.
II-Para que o vírus se torne ativo é necessário que o mesmo seja executado pelo programa infectado.
III- Um vírus executa diretamente suas cópias e explora diretamente as vulnerabilidades existentes na rede de computadores
		
	 
	Apenas I e II
	
	I, II e III
	
	Apenas I e III
	
	Apenas II
	
	Apenas I
	Respondido em 09/05/2021 22:08:53
	
Explicação:
A afirmativa III refere-se a um WORM
	
	
	 
		3
          Questão
	
	
	O que são exploits?
		
	
	São programas utilizados para descobrir as senhas dos usuários. Estes programas geralmente são muito lentos, pois usam enormes dicionários com o máximo de combinações possíveis de senhas e ficam testando uma a uma até achar a senha armazenada no sistema
	
	Consiste em mandar sucessivos Pings para um endereço de broadcast fingindo-se passar por outra máquina, utilizando a técnica de Spoofing. Quando estas solicitações começarem a ser respondidas, o sistema alvo será inundado (flood) pelas respostas do servidor.
	
	É um programa auto-replicante, semelhante a um vírus. O vírus infecta um programa e necessita deste programa hospedeiro para se propagar, o worm é um programa completo e não precisa de outro programa para se propagar.
	 
	Consiste no software de computador que recolhe a informação sobre um usuário do computador e transmite então esta informação a uma entidade externa sem o conhecimento ou o consentimento informado do usuário.
	 
	São pequenos programas escritos geralmente em linguagem C que exploram vulnerabilidades conhecidas. Geralmente são escritos pelos ¿verdadeiros hackers¿ e são utilizados por pessoas sem conhecimento da vulnerabilidade.
	Respondido em 09/05/2021 22:28:58
	
		
	Gabarito
Comentado
	
	
	 
		4
          Questão
	
	
	Programa que parece útil mas possui código destrutivo embutido, e além de executar funções para as quais foi projetado, também executa outras funções normalmente maliciosas e sem o conhecimento do usuário poderá ser melhor descrito como sendo um:
		
	
	worm
	
	active-x
	
	vírus
	 
	cavalo de tróia (trojan horse)
	
	exploit
	Respondido em 09/05/2021 22:29:26
	
	
	 
		5
          Questão
	
	
	Qual dos exemplos abaixo não pode ser considerado como sendo claramente um código malicioso ou Malware ?
		
	 
	active-x
	
	worm
	
	keyloggers
	
	rootkit
	
	trojan horse
	Respondido em 09/05/2021 22:29:46
	
	
	 
		6
          Questão
	
	
	Qual o nome do código malicioso ou ataque que tem o objetivo de capturar tudo que é digitado pelo teclado do usuário e é enviado para o invasor ?
		
	
	Spyware
	
	Backdoor
	 
	Keylogger
	
	Phishing
	
	Defacement
	Respondido em 09/05/2021 22:30:03
	
	
	 
		7
          Questão
	
	
	Podemos dizer que os controles que reduzem a probabilidade de uma ameaça se concretizar ou diminuem o grau de vulnerabilidade do ambiente/ativo/sistema, reduzindo assim a probabilidade de um ataque e/ou sua capacidade de gerar efeitos adversos na organização são consideradas:
		
	
	Medidas Corretivas e Reativas
	
	Métodos Detectivos
	 
	Medidas Preventivas
	
	Medidas Perceptivas
	
	Métodos Quantitativos
	Respondido em 09/05/2021 22:30:31
	
		
	Gabarito
Comentado
	
	
	 
		8
          QuestãoPedro construiu um software malicioso capaz de se propagar automaticamente pelas redes, enviando cópias de si mesmo de computador para computador. Neste caso o programa poderá afetar o desempenho da rede e a utilização do computador. Neste caso podemos afirmar que Pedro construiu um:
		
	 
	Worm
	
	Backdoor
	
	Trojan
	
	Screenlogger
	
	Keylogger
		1
          Questão
	
	
	Qual das opções abaixo descreve melhor conceito de "Ameaça" quando relacionado com a Segurança da Informação:
		
	
	Tudo aquilo que tem potencial de causar algum tipo de falha aos incidentes.
	
	Tudo aquilo que tem percepção de causar algum tipo de dano aos ativos
	 
	Tudo aquilo que tem potencial de causar algum tipo de dano aos ativos
	
	Tudo aquilo que tem origem para causar algum tipo de erro nos ativos
	
	Tudo aquilo que tem a necessidade de causar algum tipo de dano aos ativos
	Respondido em 09/05/2021 22:37:58
	
	
	 
		2
          Questão
	
	
	Qual das opções abaixo descreve melhor conceito de ¿Risco¿ quando relacionado com a Segurança da Informação:
		
	
	Probabilidade de uma ameaça explorar um incidente.
	
	Probabilidade de um incidente ocorrer mais vezes.
	 
	Probabilidade de uma ameaça explorar uma vulnerabilidade
	
	Probabilidade de um ativo explorar uma vulnerabilidade.
	
	Probabilidade de um ativo explorar uma ameaça.
	Respondido em 09/05/2021 22:38:22
	
	
	 
		3
          Questão
	
	
	Sobre a Gestão de Riscos, leia as afirmações e, a seguir, assinale a correta:
I. O risco tem duas dimensões: a probabilidade de ocorrência e o impacto sobre o projeto.
II. Dificilmente as chances de um risco podem ser eliminadas totalmente sem que o projeto seja reformulado.
III. A gestão de riscos só visa o monitoramento para detecção de ameaças.
		
	
	Somente a afirmação I está correta
	 
	Somente as afirmações I e II estão corretas
	
	Somente as afirmações I e III estão corretas
	
	Somente a afirmação II está correta
	
	Somente a afirmação III está correta
	Respondido em 09/05/2021 22:39:11
	
Explicação:
Em função do monitoramento contínuo do ambiente organizacional externo e interno, a gestão de riscos pode detectar oportunidades e determinar como aproveitá-las. Portanto, o foco é minimizar o impacto de potenciais eventos negativos e obter plena vantagem de oportunidades com vistas a melhoramentos. O risco tem duas dimensões: a probabilidade de sua ocorrência e o impacto sobre o projeto. Portanto, é necessáriocompreender dimensões para que se possa administrar o risco. Importante ressaltar que dificilmente as chances de um risco podem ser eliminadas totalmente sem que o projeto seja reformulado.
	
	
	 
		4
          Questão
	
	
	A gestão da continuidade do negócio está associada, a não permitir a interrupção das atividades do negócio e proteger os processos críticos contra efeitos de falhas ou desastres significativos.
Analise:
I. Registros importantes devem ser protegidos contra perda, destruição e falsificação, de acordo com os requisitos regulamentares, estatutários, contratuais e do negócio;
II. Os planos de continuidade do negócio devem ser testados e atualizados regularmente, de forma a assegurar sua permanente atualização e efetividade;
III. Deve ser desenvolvida e implementada uma política para o uso de controles criptográficos para a proteção da informação.
IV. Devem ser identificados os eventos que podem causar interrupções aos processos de negócio, junto à probabilidade e impacto de tais interrupções e as conseqüências para a segurança de informação;
Quanto aos controles relacionados à gestão da continuidade do negócio, marque a opção correta:
		
	
	I, II e IV, somente
	
	I e II, somente
	 
	II e IV, somente
	
	I e III, somente
	 
	I, II e III, somente
	Respondido em 09/05/2021 22:40:35
	
Explicação:
.
	
	
	 
		5
          Questão
	
	
	Qual das opções abaixo não representa uma das etapas da Gestão de Risco:
		
	 
	Manter e melhorar os riscos identificados nos ativos
	
	Selecionar, implementar e operar controles para tratar os riscos.
	
	Identificar e avaliar os riscos.
	
	Manter e melhorar os controles
	
	Verificar e analisar criticamente os riscos.
	Respondido em 09/05/2021 22:40:59
	
	
	 
		6
          Questão
	
	
	Segundo a Norma ABNT NBR ISO/IEC 27002:2005 ¿ Código de Prática para a Gestão de Segurança da Informação, para cada um dos riscos identificados, seguindo a análise/avaliação de riscos, uma decisão sobre o tratamento do risco precisa ser tomada. As alternativas abaixo apresentam possíveis opções para o tratamento do risco, exceto:
		
	
	Aplicar controles apropriados para reduzir os riscos.
	
	Conhecer e objetivamente aceitar os riscos, sabendo que eles atendem claramente à política da organização e aos critérios para a aceitação do risco.
	
	Evitar riscos, não permitindo ações que poderiam causar a ocorrência de riscos.
	
	Transferir os riscos associados para outras partes, por exemplo, seguradoras ou fornecedores.
	 
	Identificar os riscos de segurança presentes.
	Respondido em 09/05/2021 22:42:13
	
Explicação:
Identificar os riscos de segurança presentes.===> FALSO. Não só presentes como existentes em qualquer situação.
Aplicar controles apropriados para reduzir os riscos.===> VERDADE
Conhecer e objetivamente aceitar os riscos, sabendo que eles atendem claramente à política da organização e aos critérios para a aceitação do risco.===> VERDADE
Evitar riscos, não permitindo ações que poderiam causar a ocorrência de riscos.===> VERDADE
Transferir os riscos associados para outras partes, por exemplo, seguradoras ou fornecedores. ===> VERDADE
 
 
 
	
	
	 
		7
          Questão
	
	
	É essencial determinar o propósito da gestão de riscos a ser implementada na organização, pois ele afeta o processo em geral e a definição do contexto em particular. Qual das opções abaixo Não representa um destes propósitos?
		
	 
	Preparação de um plano para aceitar todos os Riscos
	
	Conformidade Legal e a evidência da realização dos procedimentos corretos
	
	Preparação de um plano de respostas a incidentes.
	
	Preparação de um plano de continuidade de negócios.
	
	Descrição dos requisitos de segurança da informação para um produto.
	Respondido em 09/05/2021 22:42:49
	
		
	Gabarito
Comentado
	
	
	 
		8
          Questão
	
	
	Assinale a opção correta acerca da análise de vulnerabilidades e riscos de segurança da informação, de acordo com a ABNT NBR ISO/IEC 27005.
		
	
	As ameaças, que podem afetar mais de um ativo, são identificadas durante a fase de avaliação de riscos
	
	Na estimativa qualitativa de riscos, são utilizadas escalas numéricas para medir a probabilidade de incidentes de segurança.
	
	A identificação dos ativos ocorre durante a análise de riscos e está sujeita ao escopo previamente estabelecido.
	
	As vulnerabilidades identificadas para a gestão de riscos são aquelas oriundas de ameaças de origem humana.
	 
	O ativo que tem o maior risco de disponibilidade é também aquele que tem o maior nível de risco.
	Respondido em 09/05/2021 22:43:11
	
Explicação:
O ativo que tem o maior risco de disponibilidade, ou seja, aquele que tem maior acessibilidade, por conseguinte é também aquele que tem a maior possibilidade de risco.
		1
          Questão
	
	
	Quando devem ser executadas as ações corretivas?
		
	
	Devem ser executadas para garantir as causas da não-conformidade com os requisitos do SGSI de forma a evitar a sua repetição
	
	Devem ser executadas para garantir as causas da conformidade com os requisitos do SGSI de forma a evitar a sua repetição
	
	Devem ser executadas somente para eliminar o resultado da não-conformidade com os requisitos do SGSI de forma a evitar a sua repetição
	
	Devem ser executadas para eliminar todas conformidades com os requisitos do SGSI de forma a evitar a sua repetição
	 
	Devem ser executadas para eliminar as causas da não-conformidade com os requisitos doSGSI de forma a evitar a sua repetição
	Respondido em 09/05/2021 22:45:00
	
		
	Gabarito
Comentado
	
	
	 
		2
          Questão
	
	
	Marque a alternativa que NÃO representa uma alternativa a mitigação de risco:
		
	
	Transferência de risco
	
	Limitação de risco
	
	Prevenção de risco
	
	Suposição de risco
	 
	Aceitação de risco
	Respondido em 09/05/2021 22:44:15
	
	
	 
		3
          Questão
	
	
	A seção Gestão de Incidentes de Segurança da Informação da Norma ABNT NBR ISO/IEC 27002 tem como objetivo apresentar recomendações para:
		
	
	Evitar violação de qualquer lei criminal ou civil, estatutos, regulamentações ou obrigações contratuais e de quaisquer requisitos de segurança da informação.
	 
	Assegurar que fragilidades e eventos de segurança da informação associados aos sistemas de informação sejam comunicados, permitindo a tomada de ação corretiva em tempo hábil
	
	Não permitir a interrupção das atividades do negócio, proteger os processos críticos contra efeitos de falhas ou desastres significativos e assegurar a sua retomada em tempo hábil, se for o caso
	
	Resolver de forma definitiva os problemas causados por incidentes de segurança da informação estabelecendo e executando as ações necessárias para minimizar efeitos causados aos dados dos sistemas de informação e comunicação.
	
	Garantir conformidade dos sistemas com as políticas e normas organizacionais de segurança da informação e detectar e resolver incidentes de segurança da informação em tempo hábil
	Respondido em 09/05/2021 22:45:26
	
Explicação:
O principal objetivo da ISO 27002 é estabelecer diretrizes e princípios gerais para iniciar, implementar, manter e melhorar a gestão de segurança da informação em uma organização. Isso também inclui a seleção, a implementação e o gerenciamento de controles, levando em conta os ambientes de risco encontrados na empresa.
	
	
	 
		4
          Questão
	
	
	Porque as organizações devem realizar auditorias internas do SGSI em intervalos regulares?
		
	
	Para determinar se os objetivos de controle, processos e incidentes atendem aos requisitos da norma NBR ISO/IEC 27001.
	
	Para determinar se os objetivos de riscos, processos e procedimentos atendem aos requisitos da norma NBR ISO/IEC 27001.
	
	Para determinar se os objetivos de ameaças, vulnerabilidades e procedimentos atendem aos requisitos da norma NBR ISO/IEC 27001.
	
	Para determinar se os objetivos de risco, processos e incidentes atendem aos requisitos da norma NBR ISO/IEC 27001.
	 
	Para determinar se os objetivos de controle, processos e procedimentos atendem aos requisitos da norma NBR ISO/IEC 27001.
	Respondido em 09/05/2021 22:46:00
	
	
	 
		5
          Questão
	
	
	De acordo com as normas ABNT NBR 27001, 27002 e 27005, o documento da política de segurança da informação deve:
		
	
	conter uma declaração de comprometimento elaborada por todos aqueles que atuam na organização, inclusive pela direção.
	
	revelar informações sensíveis da organização.
	 
	ser aprovado pela direção, bem como publicado e comunicado para todos que tenham contato com a organização.
	
	conter o registro dos incidentes de segurança da organização.
	
	apresentar uma declaração de aplicabilidade dos controles de segurança da informação, além de definir como será o processo de gestão de riscos.
	Respondido em 09/05/2021 22:46:47
	
		
	Gabarito
Comentado
	
	
	 
		6
          Questão
	
	
	Qual das opções abaixo apresenta o documento integrante da Política de Segurança da Informação onde são definidas as regras de alto nível que representam os princípios básicos que a organização resolveu incorporar à sua gestão de acordo com a visão estratégica da alta direção?
		
	
	Relatório Estratégico.
	
	Manuais.
	 
	Diretrizes.
	
	Procedimentos.
	
	Normas.
	Respondido em 09/05/2021 22:47:10
	
		
	Gabarito
Comentado
	
	
	 
		7
          Questão
	
	
	Os processos que envolvem a gestão de risco são, exceto:
		
	
	Identificar os riscos
	 
	Realizar a análise qualitativa do risco
	
	Planejar o gerenciamento de risco
	
	Realizar a análise quantitativa do risco
	 
	Gerenciar as respostas aos riscos
	Respondido em 09/05/2021 22:47:26
	
	
	 
		8
          Questão
	
	
	Certificações de organizações que implementaram a NBR ISO/IEC 27001 é um meio de garantir que a organização certificada:
		
	
	implementou um sistema para gerência da segurança da informação de acordo com os desejos de segurança dos funcionários e padrões comerciais.
	
	implementou um sistema para gerência da segurança da informação de acordo fundamentado nos desejos de segurança dos Gerentes de TI.
	 
	implementou um sistema para gerência da segurança da informação de acordo com os padrões e melhores práticas de segurança reconhecidas no mercado.
	
	implementou um sistema para gerência da segurança da informação de acordo com os padrões nacionais das empresas de TI.
	
	implementou um sistema para gerência da segurança da informação de acordo com os padrões de segurança de empresas de maior porte reconhecidas no mercado.
		1
          Questão
	
	
	A norma ABNT NBR ISO/IEC 27001 adota o ciclo PDCA (Plan, Do, Check, Act) a fim de estruturar todos os processos envolvidos em um sistema de gestão da segurança da informação. O ciclo PDCA é uma ferramenta de gestão que promove uma melhora nos processos da organização e uma solução eficiente para os problemas.
Sobre a etapa "PLAN" do ciclo PDCA, qual alternativa descreve essa etapa:
		
	
	Nenhuma das opções anteriores.
	
	Esta etapa implementa através de programas de conscientização e treinamento para os funcionários em relação as operações e recursos do SGSI.
	 
	Estabelece uma política, metas e processos de um sistema de gestão da segurança da informação. Esta etapa deve definir os critérios para a aceitação dos riscos e qual nível de aceitação.
	
	Nesta etapa são colocadas em prática as ações corretivas e preventivas que foram identificadas nas etapas anteriores.
	
	É realizado o monitoramento e avaliação do sistema SGSI a fim de analisar a eficácia dos controles e políticas de segurança estabelecidos.
	Respondido em 09/05/2021 22:48:35
	
Explicação:
A primeira etapa do PDCA é o Plan (planejamento), que estabelece uma política, metas e processos de um sistema de gestão da segurança da informação. Esta etapa deve definir os critérios para a aceitação dos riscos e qual nível de aceitação.
	
	
	 
		2
          Questão
	
	
	A certificação de organizações que implementaram a NBR ISO/IEC 27001 é um meio de garantir que a organização certificada:
		
	 
	implementou um sistema para gerência da segurança da informação de acordo com os padrões e melhores práticas de segurança reconhecidas no mercado
	
	implementou um sistema para gerência da segurança da informação de acordo com os padrões nacionais das empresas de TI.
	
	implementou um sistema para gerência da segurança da informação de acordo fundamentado nos desejos de segurança dos Gerentes de TI.
	
	implementou um sistema para gerência da segurança da informação de acordo com os desejos de segurança dos funcionários e padrões comerciais.
	
	implementou um sistema para gerência da segurança da informação de acordo com os padrões de segurança de empresas de maior porte reconhecidas no mercado.
	Respondido em 09/05/2021 22:48:41
	
	
	 
		3
          Questão
	
	
	A empresa XPTO optou como forma de complementar seu projeto de Segurança da Informação, a instalação de camêras de vídeo, sendo algumas falsas, e a utilização de avisos da existência de alarmes, neste caso qual o tipo de proteção que está sendo utilizada ?
		
	
	Limitação
	
	Correção
	
	Reação
	 
	Desencorajamento
	
	Preventiva
	Respondido em 09/05/2021 22:49:03
	
	
	 
		4
          Questão
	
	
	A norma ABNT NBR ISO/IEC 27001 adota o ciclo PDCA (Plan, Do, Check, Act) a fim de estruturar todos os processosenvolvidos em um sistema de gestão da segurança da informação. O ciclo PDCA é uma ferramenta de gestão que promove uma melhora nos processos da organização e uma solução eficiente para os problemas.
Em relaçao a etapa "Check", qual das alternativas abaixo descreve essa etapa:
		
	
	São colocadas em prática as ações corretivas e preventivas que foram identificadas nas etapas anteriores.
	 
	É realizado o monitoramento e avaliação do sistema SGSI a fim de analisar a eficácia dos controles e políticas de segurança estabelecidos.
	
	Nenhuma das opções anteriores.
	
	Estabelece uma política, metas e processos de um sistema de gestão da segurança da informação. Esta etapa deve definir os critérios para a aceitação dos riscos e qual nível de aceitação.
	
	Nesta etapa implementa-se através de programas de conscientização e treinamento para os funcionários em relação as operações e recursos do SGSI.
	Respondido em 09/05/2021 22:49:16
	
Explicação:
Na fase Check (checar) é realizado o monitoramento e avaliação do sistema SGSI a fim de analisar a eficácia dos controles e políticas de segurança estabelecidos. Esse monitoramento dos riscos é muito importante, já que raramente os riscos permaneceram estáticos. Dessa forma, esse processo evitará que ameaças aumentem o nível de riscos.
	
	
	 
		5
          Questão
	
	
	A organização deve analisar criticamente seu SGSI em intervalos planejados para assegurar a sua contínua pertinência, adequação, eficácia, oportunidade de melhoria ou necessidade de mudanças. Qual das opções abaixo Não poderá ser considerada como um elemento para a realização desta análise:
		
	 
	A avaliação dos riscos e incidentes desejados
	
	A avaliação das ações preventivas e corretivas
	
	Vulnerabilidades ou ameaças não contempladas adequadamente nas análise/avaliações de risco anteriores
	
	Os resultados das auditorias anteriores e análises críticas
	
	A realimentação por parte dos envolvidos no SGSI
	Respondido em 09/05/2021 22:49:21
	
		
	Gabarito
Comentado
	
	
	 
		6
          Questão
	
	
	A organização deve executar ações para melhorar continuamente a eficácia do SGSI. Estas ações ocorrem através: do uso da política de segurança, dos objetivos de segurança, resultados de auditorias, da análise dos eventos monitorados e através de ações:
		
	
	Corretivas e Correção.
	
	Corrigidas e Preventivas.
	 
	Corretivas e Preventivas.
	
	Corretivas e Corrigidas.
	
	Prevenção e Preventivas.
	Respondido em 09/05/2021 22:49:28
	
	
	 
		7
          Questão
	
	
	A norma ISO 27001:2005 adota uma abordagem de processo para o estabelecimento e relacionamento com o SGSI, ou seja, a aplicação de um sistema de processos, a identificação e iterações destes processos, e a sua gestão e utiliza como modelo o Plan-Do-Check-Act (PDCA), aplicado para estruturar todos os processos do SGSI. Podemos dizer que uma das características da fase "Plan" é:
		
	 
	O escopo do SGSI alinhado com as características de negócio, da organização, sua localização, ativos e tecnologia.
	
	Deve formular e implementar um plano de tratamento de riscos para identificar a ação de gestão apropriada, implementar um plano de conscientização e treinamento e gerenciar as ações e os recursos do SGSI.
	
	A organização deve implementar e operar a política, controles, processos e procedimentos do SGSI, buscando não burocratizar o funcionamento das áreas.
	
	A organização deve implementar procedimentos de monitoração e análise crítica para detectar erros nos resultados de processamento, identificar as tentativas e violações de segurança bem-sucedida, e os incidente de segurança da informação.
	
	Os procedimentos de análise críticas da eficácia do SGSI, devem levar em consideração os resultados das auditorias de segurança, dos incidentes de segurança, dos resultados das medições e sugestões.
	Respondido em 09/05/2021 22:49:35
	
		
	Gabarito
Comentado
	
	
	 
		8
          Questão
	
	
	Após a implantação do Sistema de Gestão de Segurança da Informação (SGSI) de acordo com a norma NBR ISO/IEC 27001, a equipe de técnicos em informática da organização XPTO deve Monitorar e Analisar criticamente o SGSI, que compreende a atividade de:
		
	 
	Especificar os requisitos necessários para o estabelecimento, implementação, operação, monitoração, análise crítica, manutenção e melhoria de um Sistema de Gestão de Segurança da Informação (SGSI) dentro do contexto dos riscos de negócio da organização.
	
	Avaliar a probabilidade real de ocorrência de falhas de segurança à luz de ameaças e vulnerabilidades prevalecentes
	
	Especificar a forma de medir a eficácia dos controles de modo a produzir resultados comparáveis.
	
	Definir e medir a eficácia dos controles ou grupos de controle selecionados.
	
	Aplicar as lições aprendidas de experiências de segurança da informação de outras organizações.
		1
          Questão
	
	
	De acordo com as normas NBR 15999 e ABNT NBR 15999-2, assinale a opção correta acerca da gestão de continuidade do negócio (GCN).
		
	 
	A análise de impacto no negócio resulta em melhor entendimento acerca dos produtos, serviços e(ou) atividades críticas e recursos de suporte de uma organização.
	
	GCN é uma abordagem alternativa à gestão de riscos de segurança da informação.
	
	A definição da estratégia de continuidade determina o valor dos períodos máximos toleráveis de interrupção das atividades críticas da organização.
	
	A implementação da resposta de GCN compreende a realização dos testes dos planos de resposta a incidentes, de continuidade e de comunicação.
	
	GCN é a fase inicial da implantação da gestão de continuidade em uma organização.
	Respondido em 09/05/2021 22:50:29
	
		
	Gabarito
Comentado
	
	
	 
		2
          Questão
	
	
	Maria trabalha na filial de São Paulo da empresa ABC e necessita transmitir um arquivo para Pedro que trabalha na filial de Belém. Após receber o arquivo transmitido por Maria, Pedro verificou que o arquivo possuia um tamanho maior do que quando Maria iniciou a transmissão. Neste estava houve uma falha na segurança da informação relacionada à:
		
	
	Confidencialidade;
	
	Autenticidade;
	
	Não-Repúdio;
	
	Auditoria;
	 
	Integridade;
	Respondido em 09/05/2021 22:50:47
	
	
	 
		3
          Questão
	
	
	Qual a principal diferença entre um Plano de Continuidade de Negócios (PCN) e um Plano de Recuperação de Desastres (PRD)?
		
	
	O PCN só pode ser implementado se o PRD já tiver em uso.
	
	O PRD é responsável pela continuidade dos processos de Tecnologia da Informação enquanto que o PCN foca-se na continuidade para todos os processos.
	
	O PRD é mais abrangente que o PCN.
	 
	O PCN foca-se no funcionamento contínuo dos processos enquanto que o PRD é destinado à reparação dos danos causados.
	
	O PCN é direcionado para a recuperação de todos os ativos da empresa enquanto que o PRD cobre somente os ativos de informação.
	Respondido em 09/05/2021 22:51:01
	
	
	 
		4
          Questão
	
	
	A norma NBR ISO/IEC 22313 também adota o ciclo PDCA a fim de utilizar essa ferramenta para planejar, implementar, analisar e melhor a eficiência do sistema de gestão de continuidade do negócio.
Sobre a etapa "DO", qual das alternativas descreve essa etapa:
		
	
	Nenhuma das opções anteriores
	
	 Estabelece uma política, metas e processos de um sistema de gestão da segurança da informação.
	
	São colocadas em prática as ações corretivas e preventivas que foram identificadas nas etapas anteriores
	
	É realizado o monitoramento e avaliação do sistema SGSI a fim de analisar a eficácia dos controles e políticas de segurança estabelecidos.
	 
	Ocorre a implementação e operação da política de continuidade de negócios, controles, processos e procedimentos.
	Respondido em 09/05/2021 22:51:10
	
Explicação:
A segunda etapa do PDCA é o DO (fazer), que implementa-se o que foi estabelecido na etapa anterior, através de programas de conscientizaçãoe treinamento para os funcionários em relação as operações e recursos do SGSI.
	
	
	 
		5
          Questão
	
	
	BIA, Business Impact Analysis é o nome em inglês de um relatório executivo chamado Análise de Impactos no Negócio que tem por finalidade apresentar todos os prováveis impactos de forma ............................e........................... dos principais processos de negócios mapeados e entendidos na organização, no caso de interrupção dos mesmos. É o coração do Programa de Continuidade de Negócios pois, norteia todos os esforços e a tomada de decisões para a implementação da Continuidade de Negócios.
		
	
	Clara e Intelegível
	
	Simples e Objetiva.
	
	Estatística e Ordenada
	 
	Qualitativa e Quantitativa
	
	Natural e Desordenada
	Respondido em 09/05/2021 22:51:24
	
	
	 
		6
          Questão
	
	
	A gestão de continuidade de negócios (GCN) faz parte de um processo que possibilita que uma organização lide com os incidentes de interrupção que poderiam impedi-la de atingir seus objetivos.  Sobre a GCN analise as afirmativas abaixo:
I-A continuidade de negócios pode ser descrita pela capacidade de continuar a entregar seus produtos e serviços em níveis aceitáveis após a ocorrência de um incidente de interrupção.
II-Através da integração da gestão de continuidade de negócios (GCN) e de uma estrutura sistêmica de gestão da organização é que criamos um Sistema de Gestão de Continuidade de Negócios (SGCN).
III-O SGCN pode ser aplicado apenas em empresas de porte grande.
 
Assinale a opção que contenha apenas afirmações verdadeiras:
		
	
	Apenas I
	
	I, II e III
	
	Apenas III
	
	Apenas I e III
	 
	Apenas I e II
	Respondido em 09/05/2021 22:51:30
	
Explicação:
O SGCN pode ser aplicado em empresas de porte grande, médio e pequeno e que operem em setores industrial, comercial, público e sem fins lucrativos.
	
	
	 
		7
          Questão
	
	
	O ciclo de vida da Gestão de continuidade de negócios é composto por seis elementos obrigatórios e que podem ser implementados em todos os tipos de organizações de diferentes tamanhos e setores. Cada organização ao implementar a gestão da continuidade de negócios deverá adaptar as suas necessidades: o escopo, a estrutura do programa de GCN e o esforço gasto. Como podemos definir o elemento "Entendendo a Organização"?
		
	
	A determinação da estratégia de continuidade de negócio permite que uma resposta apropriada seja escolhida para cada produto ou serviço, de modo que a organização possa continuar fornecendo seus produtos e serviços em um nível operacional e quantidade de tempo aceitável durante e logo após uma interrupção.
	
	Para que às partes interessadas tenham confiança quanto à capacidade da organização de sobreviver a interrupções, a Gestão de continuidade de negócio deverá torna-se parte dos valores da organização, através da sua inclusão na cultura da empresa.
	 
	Para o estabelecimento do programa de GCN é necessário entender a organização para definir a priorização dos produtos e serviços da organização e a urgência das atividades que são necessárias para fornecê-los.
	
	A organização precisa verificar se suas estratégicas e planos estão completos, atualizados e precisos. O GCN deverá ser testado, mantido, analisado criticamente, auditado e ainda identificada as oportunidades de melhorias possíveis.
	
	O desenvolvimento e implementação de uma resposta de GCN resulta na criação de uma estrutura de gestão e uma estrutura de gerenciamento de incidentes, continuidade de negócios e planos de recuperação que irão detalhar os passos a serem tomados durante e após um incidente , para manter ou restaurar as operações.
	Respondido em 09/05/2021 22:51:38
	
		
	Gabarito
Comentado
	
	
	 
		8
          Questão
	
	
	O Plano de Continuidade do Negócio......
		
	
	deve ser elaborado com base em premissas departamentais particulares do que é considerado importante ou não.
	
	não precisa ser testado antes que se torne realmente necessário, pois testes por si só implicam em riscos aos ativos de informação.
	
	define uma ação de continuidade imediata e temporária.
	 
	prioriza e estabelece as ações de implantação como resultado de uma ampla análise de risco.
	
	precisa ser contínuo, evoluir com a organização, mas não precisa ser gerido sob a responsabilidade de alguém como os processos organizacionais.
		1
          Questão
	
	
	Que cuidado deve ser tomado no armazenamento de fitas de backup fora da organização?
		
	 
	O local de armazenamento deve estar protegido contra acessos não autorizados.
	
	O local de armazenamento deve ser de fácil acesso durante o expediente.
	
	O local de armazenamento deve estar protegido por guardas armados.
	
	O local de armazenamento deve estar a, no mínimo, 40 quilômetros da organização.
	
	O local de armazenamento deve estar a, no mínimo, 25 quilômetros da organização.
	Respondido em 09/05/2021 22:52:57
	
	
	 
		2
          Questão
	
	
	Qual o dispositivo que tem por objetivo aplicar uma política de segurança a um determinado ponto de controle da rede de computadores de uma empresa sendo sua função a de regular o tráfego de dados entre essa rede e a internet e impedir a transmissão e/ou recepção de acessos nocivos ou não autorizados.
		
	
	Antivírus.
	
	Spyware.
	
	Adware.
	 
	Firewall.
	
	Mailing.
	Respondido em 09/05/2021 22:53:42
	
	
	 
		3
          Questão
	
	
	Você está trabalhando em um projeto de rede para a empresa XPTO. A empresa pretende implantar um servidor de banco de dados somente para consulta dos usuários internos da organização. Em qual tipo de rede você localizaria este servidor considerando que você irá utilizar o conceito de perímetro de segurança?
		
	
	na Zona Demilitarizada (DMZ) suja
	
	em uma subrede externa protegida por um proxy
	 
	na rede interna da organização
	
	na Zona Demilitarizada (DMZ) protegida
	
	ligado diretamente no roteador de borda
	Respondido em 09/05/2021 22:54:29
	
		
	Gabarito
Comentado
	
	
	 
		4
          Questão
	
	
	Considerando que um usuário deseje enviar um e-mail criptografado, assinale a alternativa que apresenta a chave do destinatário que esse usuário deverá conhecer para realizar corretamente a criptografia.
		
	
	Chave criptografada pública
	 
	Chave pública
	
	Chave criptografada privada
	
	Chave certificada
	
	Chave privada
	Respondido em 09/05/2021 22:55:04
	
	
	 
		5
          Questão
	
	
	Você está trabalhando em um projeto de rede para a empresa XPTO. A empresa pretende implantar um servidor Internet para que os clientes possam acessar as informações oferecidas pela empresa à seus clientes. Em qual tipo de rede você localizaria este servidor considerando que você irá utilizar o conceito de perímetro de segurança?
		
	
	na Zona Desmilitarizada (DMZ) suja
	
	em uma subrede interna protegida por um proxy
	 
	na Zona Desmilitarizada (DMZ) protegida
	
	ligado diretamente no roteador de borda
	
	na rede interna da organização
	Respondido em 09/05/2021 22:55:11
	
	
	 
		6
          Questão
	
	
	O CAPTCHA, muito utilizado em aplicações via Internet, tem a finalidade de:
		
	
	criptografar os dados enviados através do formulário para impedir que os mesmos sejam interceptados em curso.
	
	controlar a expiração da sessão do usuário, caso o mesmo possua cookies desabilitados em seu navegador.
	 
	confirmar que o formulário está sendo preenchido por um usuário humano e não por um computador.
	
	testar a aptidão visual do usuário para decidir sobre a folha de estilo CSS a ser utilizada nas páginas subseqüentes.
	
	confirmar a identidade do usuário.
	Respondido em 09/05/2021 22:55:27
	
	
	 
		7
          Questão
	
	
	A sub-rede, também conhecida como rede de perímetro, utilizada para transmitir informações entre uma rede confiável e uma não confiável, mantendo os serviços que possuem acesso externo separados darede local, é chamada de:
		
	
	VPN
	
	Firewall
	
	Proxy
	 
	DMZ
	
	Intranet
	Respondido em 09/05/2021 22:55:59
	
		
	Gabarito
Comentado
	
	
	 
		8
          Questão
	
	
	Quem é o responsavel por liberar o acesso as informações?
		
	
	O estagiário é a pessoa que tem autoridade para liberar ou negar o acesso de qualquer usuário a uma determinada informação.
	
	A secretária é a pessoa que tem autoridade para liberar ou negar o acesso de qualquer usuário a uma determinada informação.
	
	O gerente de compras é a pessoa que tem autoridade para liberar ou negar o acesso de qualquer usuário a uma determinada informação.
	
	O presidente é a pessoa que tem autoridade para liberar ou negar o acesso de qualquer usuário a uma determinada informação.
	 
	O gestor da informação é a pessoa que tem autoridade para liberar ou negar o acesso de qualquer usuário a uma determinada informação.
	Respondido em 09/05/2021 22:56:12
	
Explicação:
O gestor da informação é a pessoa que tem autoridade para liberar ou negar o acesso de qualquer usuário a uma determinada informação.
O gestor deve levar em consideração se o usuário realmente necessita da informação para executar suas funções dentro da organização.