N2 - Sistema de gestão de segurança da informação

Prévia do material em texto

· Pergunta 1
1 em 1 pontos
	
	
	
	De acordo com a NBR ISO/IEC 27001, a etapa de monitoração e análise crítica do Sistema de Gestão de Segurança da Informação (SGSI) leva em consideração os resultados de auditorias de segurança da informação, incidentes de segurança da informação, resultados da eficácia das medições, as sugestões e a realimentação de todas as partes interessadas.
ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. ABNT NBR ISO/IEC 27001 : Tecnologia da informação — Técnicas de segurança — Sistemas de gestão da segurança da informação — Requisitos. Rio de Janeiro: ABNT, 2011.
Considerando o contexto apresentado, avalie as seguintes asserções sobre a etapa de monitoração e análise crítica do SGSI.
I. A execução de procedimentos de monitoração e análise crítica não permite determinar se as ações tomadas para solucionar uma violação de segurança da informação foram eficazes.
PORQUE
II. A realização de uma análise crítica do SGSI pela direção da empresa garante que o escopo definido permaneça adequado e identifica melhorias nos processos do SGSI.
	
	
	
	
		Resposta Selecionada:
	 
A asserção I é uma proposição falsa, e a II é uma proposição verdadeira.
	Resposta Correta:
	 
A asserção I é uma proposição falsa, e a II é uma proposição verdadeira.
	Comentário da resposta:
	Resposta correta. A asserção I é uma proposição falsa, e a II é uma proposição verdadeira. A execução de procedimentos de monitoração e análise crítica permite determinar se as ações tomadas para solucionar uma violação de segurança da informação foram eficazes. A realização de uma análise crítica do SGSI pela direção da empresa garante que o escopo definido permaneça adequado e identifica melhorias nos processos do SGSI.
	
	
	
· Pergunta 2
1 em 1 pontos
	
	
	
	Na definição do escopo, uma das atividades que compõe a etapa de estabelecimento do Sistema de Gestão de Segurança da Informação (SGSI) é a definição de quem serão as pessoas e quais serão os setores e os processos da empresa beneficiados com a implantação do SGSI.
Em relação às informações sobre a definição do escopo do SGSI, analise as afirmações a seguir.
I - A definição do escopo garante uma melhor compreensão do contexto geral de uma empresa, além de priorizar os setores que serão atendidos com a implantação do SGSI.
II - A redução do escopo para reduzir riscos é feita por muitas empresas e, com isso, podem acontecer problemas, como diferentes setores na companhia não seguirem um padrão de segurança.
III - A norma ISO 27001 define a elaboração de um documento para registrar todos os processos do escopo do SGSI.
IV - A definição do escopo nos termos das características do negócio garante à organização sua localização, os ativos e a tecnologia, além das justificativas para quaisquer exclusões do escopo.
Agora, assinale a alternativa que apresenta a resposta correta
	
	
	
	
		Resposta Selecionada:
	 
Todas as alternativas estão corretas.
	Resposta Correta:
	 
Todas as alternativas estão corretas.
	Comentário da resposta:
	Resposta correta. Todas as alternativas estão corretas, já que a definição do escopo garante melhor compreensão do contexto geral de uma organização, além do priorizar os setores que serão atendidos com a implantação do SGSI. Para reduzir custos, muitas empresas reduzem o escopo e, com isso, podem acontecer problemas, como diferentes setores na companhia não seguirem um padrão de segurança. A norma ISO 27001 define a elaboração de um documento para registrar todos os processos do escopo do SGSI. A definição do escopo nos termos das características do negócio garante à organização sua localização, os ativos e a tecnologia, além das justificativas para quaisquer exclusões do escopo.
	
	
	
· Pergunta 3
1 em 1 pontos
	
	
	
	“Gestão de riscos é o processo de organizar e planejar recursos humanos e materiais de uma empresa de forma a reduzir ao mínimo possível os impactos dos riscos na organização, utilizando um conjunto de técnicas que visa minimizar os efeitos dos danos acidentais direcionando o tratamento aos riscos que possam causar danos ao projeto, às pessoas, ao meio ambiente e à imagem da empresa. O principal objetivo da Gestão de Riscos é avaliar as incertezas de forma a tomar a melhor decisão possível”.
PINTAN, J. Sistema de Gestão de Segurança da Informação (SGSI) – Parte I. TI Especialistas , [ s. l. ], 29 nov. 2011. Disponível em: https://www.tiespecialistas.com.br/o-principal-objetivo-da-gestao-de-riscos-e-avaliar-as-incertezas-do-projeto/. Acesso em: 01 out. 2020.
 
Considerando o contexto apresentado, avalie as seguintes asserções sobre a gestão de riscos.
I. Os riscos podem e devem ser identificados, analisados e tratados da melhor forma. Não é aceitável que um risco pegue a equipe do projeto de surpresa, provocando ações reativas por parte dela.
PORQUE
II. Para todos os riscos, é necessário que haja um plano de ação desenhado. A equipe deve estar pronta e alinhada quanto a ele sempre que um risco ocorrer no projeto, proporcionando uma entrega o mais exata possível.
A respeito dessas asserções, assinale a alternativa CORRETA.
	
	
	
	
		Resposta Selecionada:
	 
As asserções I e II são proposições verdadeiras, e a II é uma justificativa da I.
	Resposta Correta:
	 
As asserções I e II são proposições verdadeiras, e a II é uma justificativa da I.
	Comentário da resposta:
	Resposta correta. As asserções I e II são proposições verdadeiras, e a II é uma justificativa da I. De fato, os riscos podem e devem ser identificados, analisados e tratados da melhor forma. Não é aceitável que um risco pegue a equipe do projeto de surpresa, provocando ações reativas por parte dela. Para todos os riscos, é necessário que haja um plano de ação desenhado. A equipe deve estar pronta e alinhada quanto a ele sempre que um risco ocorrer no projeto, proporcionando uma entrega o mais exata possível. A gestão de riscos deve estar baseada em ações coordenadas, previamente planejadas.
	
	
	
· Pergunta 4
1 em 1 pontos
	
	
	
	A etapa de estabelecimento do Sistema de Gestão de Segurança da Informação (SGSI) consiste em definir as estratégias que a empresa usará de acordo com a sua política e seus objetivos, conforme a norma NBR ISO/IEC 27001. Os requisitos da etapa são: a definição do escopo e os limites do SGSI; a definição da política do SGSI; a definição da abordagem da análise/avaliação de riscos; a seleção dos objetivos de controle e dos controles para o tratamento de riscos; e a declaração de aplicabilidade.
Em relação às informações sobre a etapa de estabelecimento do SGSI, assinale a alternativa correta.
	
	
	
	
		Resposta Selecionada:
	 
A definição de quem serão as pessoas, os setores e os processos da empresa beneficiados com a implantação do SGSI é feita na etapa de definição do escopo e dos limites do SGSI.
	Resposta Correta:
	 
A definição de quem serão as pessoas, os setores e os processos da empresa beneficiados com a implantação do SGSI é feita na etapa de definição do escopo e dos limites do SGSI.
	Comentário da resposta:
	Resposta correta. A definição de quem serão as pessoas, os setores e os processos da empresa beneficiados com a implantação do SGSI é feita na etapa de definição do escopo e dos limites do SGSI.
	
	
	
· Pergunta 5
1 em 1 pontos
	
	
	
	Os riscos são ameaças ou vulnerabilidades internas ou externas que geram incertezas nos negócios de uma empresa. Uma ameaça é um agente ou uma condição que gera um incidente de segurança da informação, como programas maliciosos (vírus), por exemplo. Já a vulnerabilidade inclui as falhas que podem acontecer nas informações, no hardware ou no software e nas pessoas que utilizam esses sistemas, gerando fragilidades nestes, como um sistema de antivírus desatualizado. Para evitar incertezas e prejuízos aos negócios, as empresas devem saber gerenciar os riscos.
Em relação às atividades da gestão de riscos e suas características, analise as afirmações a seguir.
I - As pessoas envolvidas devem estar empenhadas para o sucesso da atividade, a fim de aplicar o que foiplanejado na implantação do controle de risco.
II - Os backups dos dados são realizados na etapa de planejamento do tratamento do risco, observando o risco e o imobilizando.
III - A identificação do risco verifica as falhas que ocorreram em determinado período.
IV - A análise do risco avalia o nível de impacto de cada risco e as potenciais ameaças da empresa.
V - Ao se definir os objetivos, os custos dos processos ou as vulnerabilidades do sistema, por exemplo, são definidos para serem gerenciados.
 Assinale a alternativa que apresenta a resposta correta.
	
	
	
	
		Resposta Selecionada:
	 
As afirmativas I, II, III, IV e V estão corretas.
	Resposta Correta:
	 
As afirmativas I, II, III, IV e V estão corretas.
	Comentário da resposta:
	Resposta correta. As afirmativas I, II, III, IV e V estão corretas. As pessoas envolvidas devem estar empenhadas para o sucesso da atividade, a fim de aplicar o que foi planejado na implantação do controle de risco. Os backups dos dados são realizados na etapa de planejamento do tratamento do risco, observando o risco e o imobilizando. A identificação do risco verifica as falhas que ocorreram em determinado período. A análise do risco avalia o nível de impacto de cada risco e as potenciais ameaças da empresa. Ao definir os objetivos, os custos dos processos ou as vulnerabilidades do sistema são definidos para serem gerenciados, por exemplo.
	
	
	
· Pergunta 6
1 em 1 pontos
	
	
	
	A segurança da informação abrange um conjunto de ações que garantem a confiabilidade, integridade e disponibilidade das informações de pessoas ou organizações.
Nesse sentido, assinale a alternativa que apresenta, de forma correta, no que consiste a confiabilidade, integridade e disponibilidade das informações.
	
	
	
	
		Resposta Selecionada:
	 
a confiabilidade garante que somente pessoas autorizadas tenham acesso aos dados e às informações. A integridade garante que os dados de hardware
e s oftware não sejam modificados por pessoas não autorizadas e que as informações sejam consistentes. Já a disponibilidade deve garantir que os dados e as informações estejam disponíveis para serem acessadas quando solicitadas.
	Resposta Correta:
	 
a confiabilidade garante que somente pessoas autorizadas tenham acesso aos dados e às informações. A integridade garante que os dados de hardware
e s oftware não sejam modificados por pessoas não autorizadas e que as informações sejam consistentes. Já a disponibilidade deve garantir que os dados e as informações estejam disponíveis para serem acessadas quando solicitadas.
	Comentário da resposta:
	Resposta correta. A segurança da informação abrange um conjunto de ações que garantem a confiabilidade, a integridade e a disponibilidade das informações de pessoas ou organizações. A confiabilidade garante que somente pessoas autorizadas tenham acesso aos dados e às informações. A integridade garante que os dados de hardware e software
não sejam modificados por pessoas não autorizadas e que as informações sejam consistentes. Já a disponibilidade deve garantir que os dados e as informações estejam disponíveis para serem acessadas quando solicitadas.
	
	
	
· Pergunta 7
1 em 1 pontos
	
	
	
	A companhia Prov Service NET é uma prestadora de serviços de banda larga que atua como provedor de internet para pequenas empresas de cidades do interior. Sua missão é prestar um serviço de internet com qualidade, alinhado aos objetivos estratégicos de negócios de seus clientes. A empresa ainda não possui um Sistema de Gestão de Segurança da Informação (SGSI) e deseja realizar a implementação para garantir a segurança, confiabilidade, integridade e disponibilidade das informações nas transações on-line de seus consumidores.
Em relação às etapas necessárias para implantar o SGSI na empresa Prov Service NET, assinale a alternativa correta.
	
	
	
	
		Resposta Selecionada:
	 
As etapas que compõem a implantação do SGSI são: a definição do escopo, a elaboração da política do SGSI, a abordagem de gestão, os objetivos de controle e a monitoração do SGSI.
	Resposta Correta:
	 
As etapas que compõem a implantação do SGSI são: a definição do escopo, a elaboração da política do SGSI, a abordagem de gestão, os objetivos de controle e a monitoração do SGSI.
	Comentário da resposta:
	Resposta correta. As etapas que compõem a implantação do SGSI são: a definição do escopo, a elaboração da política do SGSI, a abordagem de gestão, os objetivos de controle e a monitoração do SGSI.
	
	
	
· Pergunta 8
1 em 1 pontos
	
	
	
	A gestão de riscos inclui ações coordenadas que direcionam e controlam uma empresa em relação aos riscos (ABNT, 2006). Suas atividades componentes são:  definição dos objetivos; identificação dos riscos; análise dos riscos; planejamento e tratamento do risco; implantação do controle do risco; e avaliação e revisão dos riscos.
 
ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. ABNT NBR ISO/IEC 27001 : Tecnologia da informação — Técnicas de segurança — Sistemas de gestão da segurança da informação — Requisitos. Rio de Janeiro: ABNT, 2011.
 
 
Em relação à gestão de riscos, analise as afirmações a seguir.
 
I - Os riscos, na etapa de definição dos objetivos, são mapeados para que as falhas sejam identificadas e não ocorram novamente em determinado período.
II - As potenciais ameaças da empresa e o nível de impacto de cada risco são avaliados na etapa de avaliação e revisão dos riscos.
III - A implantação do controle de risco aplica o que foi planejado para evitar os riscos em uma empresa, e todos os envolvidos devem estar empenhados para o sucesso da atividade.
IV - O planejamento do tratamento de risco elimina, reduz, imobiliza e transfere o risco para ser gerenciado por uma empresa terceirizada.
Agora, assinale a alternativa que apresenta a resposta correta.
	
	
	
	
		Resposta Selecionada:
	 
Apenas as afirmativas III e IV estão corretas.
	Resposta Correta:
	 
Apenas as afirmativas III e IV estão corretas.
	Comentário da resposta:
	Resposta correta. Apenas as afirmativas III e IV estão corretas. A implantação do controle de risco aplica o que foi planejado para evitar os riscos em uma empresa e todos os envolvidos devem estar empenhados para o sucesso da atividade. Com relação ao planejamento do tratamento de risco, podem ser várias as ações: eliminar, reduzir, imobilizar e transferir o risco para ser gerenciado por uma empresa terceirizada.
	
	
	
· Pergunta 9
0 em 1 pontos
	
	
	
	O Sistema de Gestão de Segurança da Informação (SGSI) é um sistema de gestão corporativo que gerencia a segurança da informação de uma empresa com base na confiabilidade, integridade e disponibilidade das informações e nos riscos de negócio, sendo de responsabilidade da empresa definir quais informações serão protegidas.
Em relação às informações sobre o SGSI, analise as afirmações a seguir.
I -  O SGSI atua na melhoria contínua com base nos resultados obtidos durante a análise crítica dos gestores da empresa.
II - A empresa deve estabelecer quais informações serão protegidas e, uma vez feito isso, o SGSI irá qualificar e tratar tais informações. 
III - As informações a serem protegidas, definidas pela empresa, compreendem os processos de negócio que as geram tais informações.
IV - O SGSI garante a preservação das informações geradas, mas não consegue manter 100% da segurança delas na empresa.
Agora, assinale a alternativa que apresenta a resposta correta.
	
	
	
	
		Resposta Selecionada:
	 
Apenas as afirmativas III e IV estão corretas.
	Resposta Correta:
	 
Apenas as afirmativas I, II e III estão corretas.
	Comentário da resposta:
	Resposta incorreta. Apenas as afirmativas I, II e III estão corretas. O SGSI atua na melhoria contínua com base nos resultados obtidos durante a análise crítica dos gestores da empresa. Esta deve estabelecer quais informações serão protegidas e uma vez feito isso, o SGSI irá qualificar e tratá-las. As informações a serem protegidas compreendem os processos de negócio que as geram. A informação IV está incorreta, pois O SGSI garantea preservação e integridade das informações geradas e mantidas em uma empresa.
	
	
	
· Pergunta 10
1 em 1 pontos
	
	
	
	Uma ameaça é um agente ou uma condição que gera um incidente de segurança da informação, como programas maliciosos (vírus), por exemplo. Já a vulnerabilidade inclui as falhas que podem acontecer nas informações, no hardware ou no software e nas pessoas que utilizam esses sistemas, gerando fragilidades nestes, como um sistema de antivírus desatualizado.
Para evitar essas incertezas, as empresas devem:
	
	
	
	
		Resposta Selecionada:
	 
gerenciar os riscos para evitar prejuízos aos negócios.
	Resposta Correta:
	 
gerenciar os riscos para evitar prejuízos aos negócios.
	Comentário da resposta:
	Resposta correta. De fato, para evitar incertezas e prejuízos aos negócios, é necessário gerenciar os riscos.