Brainscape's Knowledge GenomeTM

Browse over 1 million classes created by top students, professors, publishers, and experts.


See full index

Trilha DPO EXIN > ISO 27001 > Flashcards

ISO 27001 Flashcards

1
Q

O que é um serviço?

A

Meio de fornecer algo que o cliente perceba como tendo certo valor, sem que tenha que arcar com certos custos e riscos para obtenção daquele resultado.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
2
Q

Como que um serviço é produzido e consumido ao mesmo tempo?

A

O cliente pode pedir algo, você precisa customizar.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
3
Q

O que é informação?

A

É o dado que tem significado em algum contexto para quem o recebe.
É um bem, um ativo de negócio, o qual permeia toda a jornada do seu cliente. Tem valor pra empresa, e como todo ativo precisa ser protegido.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
4
Q

Todas as informações devem ser protegidas?

A

Sim, a diferença é o nível de proteção que se dá.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
5
Q

Quais são os estados pelos quais passa a informação?

A

Armazenada - considerada em computadores, por ex
Em movimento - equipamentos que podem ser usados para usar essa informação ou transmitida pela rede
Em uso - dados que está processando a todo momento

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
6
Q

Em qual estado da informação estão as atividades de leitura e escrita?

A

Se enquadra em “em uso”.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
7
Q

Conceito de sistemas de informação

A

Aplicação, serviço, recursos de tecnologia da info ou qualquer outro componente de manejo da informação.
É meio que ajuda a transferir e processar informações.
Em sentido amplo, se refere a interação entre pessoas, processos, dados e tecnologia.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
8
Q

O que é processo?

A

Conjunto ordenado de atividades.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
9
Q

SGSI

A

A ISO ajuda a criar esse sistema. É a gestão da segurança, como você organizou a gestão na sua empresa, que usa o padrão PDCA.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
10
Q

PDCA

A

Plan-Do-Check-Act
É o ciclo de melhoria contínua, também conhecido como Kaizen.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
11
Q

Qual é o benefício mais imediato da SI?

A

Quando se tem uma diretriz e foi definida, escrita, aprovada, ela força todo mundo a segui-la. É de cima pra baixo.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
12
Q

Quais são os benefícios da SI?

A

Ajuda a atender as regras do setor, com as leis, e traz retorno sobre investimento (que muitas vezes não dá para calcular, pq o foco é prevenção).

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
13
Q

Verdadeiro ou Falso

O modelo conhecido como PDCA (plan-do-check-act) é utilizado e aplicado na estruturação de processos do SGSI

A

Verdadeiro

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
14
Q

Os termos e definições da ISO 27001 estão localizados em qual norma ISO?

A

27000

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
15
Q

Verdadeiro ou Falso:
Pela norma ISO 27001, informações tornadas públicas pela organização não requerem mecanismos de proteção para a sua visualização e modificação.

A

Falso

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
16
Q

Qual fator NÃO é importante para determinar o valor dos dados em uma organização para uma apólice de seguro de incêndio?

A

Conteúdo dos dados

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
17
Q

Verdadeiro ou Falso

Com base na ISO 27001, a política de segurança integra o SGSI, e a diretriz dessa implementação é detalhada na norma.

A

Falso

ISO 27002 Esta Norma fornece diretrizes para práticas de gestão de segurança da informação e normas de segurança da informação para as organizações, incluindo a seleção, implementação e o gerenciamento de controles, levando em consideração os ambientes de risco da segurança da informação da organização.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
18
Q

Verdadeiro ou Falso

Ao elaborar e melhorar um SGSI a organização deve considerar o negócio e o SGSI deve ser documentado para não envolver a direção da empresa.

A

Falso.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
19
Q

Verdadeiro ou Falso

A ISO 27002 traz recomendações de controles.

A

Verdadeiro. Ela é um “Código de Prática”.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
20
Q

Diferença entre dado e informação

A

Dado é matéria prima, informação é o que foi transformado a partir daquele dado

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
21
Q

O que é segurança da informação?

A

Preservação da confidencialidade, integridade e disponibilidade da informação.
É a proteção contra uma ampla gama de ameaças, a fim de garantir a continuidade dos negócios.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
22
Q

Quais são as propriedades da segurança da informação?

A

Autenticidade, responsabilidade, não repudio e confiabilidade.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
23
Q

Como sua empresa passa confiança?

A

Segurança da informação.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
24
Q

O que é não repúdio?

A

Não-negação, ato de contestá-lo. A pessoa não pode dizer que não foi ela.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
25
Q

Como decidir a forma de proteção da seg info entre manual ou automática?

A

Depende da necessidade do controle, do custo do controle, de cada empresa. A maior parte automático é a melhor forma possível.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
26
Q

Segurança de informação é diferente de segurança de TI?

A

Sim.
Segurança da informação é do todo, documentos digitais ou físicos.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
27
Q

Informação é fator de produção?

A

Sim, toda empresa utiliza informação como fator de produção. Sem informação ela não sobrevive (Ex: seguradora)

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
28
Q

A SI traz o que para os negócios?

A

Traz valor, é a segurança que vai dar também garantia, conforto.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
29
Q

Qual o pilar principal da SI que visa proteger a privacidade?

A

A confidencialidade.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
30
Q

Dentre as medidas de confidencialidade, qual visa evitar fraude?

A

A segregação de funções, que vem como forma de evitar o conflito de interesses.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
31
Q

Quais as características da integridade?

A

Exatidão (ainda que não verídica), integralidade, e integridade - não repúdio envolve esta última.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
32
Q

Quais as características da disponibilidade?

A

Pontualidade, continuidade, e robustez - como ele atende a sua demanda?

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
33
Q

Como seria uma forma melhor de controlar o gerenciamento da informação?

A

Gestão de indicadores

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
34
Q

O que significa o C na CID de Segurança da Informação?

A

Confidencialidade

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
35
Q

Segundo a ISO 27001, a organização deve determinar e prover os recursos para:

A

Estabelecer, implementar, melhorar o SGSI

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
36
Q

Verdadeiro ou Falso

As informações disponíveis para o público não precisam ser alvo da política de segurança, afinal são públicas.

A

Falso

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
37
Q

Entre as atividades para se estabelecer um SGSI, conforme a norma ISO/IEC 27.001, inclui-se a:

A

Definição do escopo e dos limites da SGSI

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
38
Q

Assinale a opção correta acerca de definições relacionadas à gestão de segurança da informação:

I. Evento de segurança ocorre de maneira indesejada e inesperada.

II. O SGSI se fundamenta na abordagem de risco do negócio.

III. Confidencialidade é classificar uma informação sigilosa confidencial.

A

II

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
39
Q

Em que parte do padrão você encontrará uma referência para objetivos e controles de controle:

I. Anexo A

II. Anexo SL

III. Clausula 9 da avaliação de desempenho

A

I

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
40
Q

O que NÃO é uma responsabilidade da alta gerência?

I. Promoção da melhoria contínua

II. Estabelecer a política de Segurança da Informação

III. Nomear um representante da gerência

A

I

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
41
Q

Qual o cálculo do risco?

A

Probabilidade X Impacto

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
42
Q

Como surge o risco?

A

Para chegar a uma situação de risco, é preciso que alguém explore uma fraqueza, uma vulnerabilidade

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
43
Q

O que te ajuda a desenvolver as medidas apropriadas para uma empresa?

A

Análise de risco

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
44
Q

Por que se faz análise de risco?

A

Identificar e estimar, ter compreensão dos pontos de riscos da empresa, para depois tomar decisões sobre o tratamento do risco.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
45
Q

O que é análise de risco?

A

Um processo para compreender a natureza do risco a fim de determinar seu nível.
Forma sistêmica de tomar pontos de risco para tratá-los

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
46
Q

Verdadeiro ou Falso

Somente se deve tratar os riscos após a realização da análise e avaliação dos riscos.

A

Verdadeiro

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
47
Q

Qual a diferença entre incidente de SI e o desastre de SI?

A

Incidente é o evento indesejado ou inesperado que tem probabilidade de comprometer a SI.
Depende da empresa, não é necessariamente quebrar um pilar ou mais de um pilar da SI

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
48
Q

Qual o objetivo da análise de risco?

A

Compartilhar a responsabilidade da segurança com todo mundo

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
49
Q

Quais os objetivos da análise de risco?

A

Identificar os bens/ativos e seus valores
Determinar vulnerabilidades e ameaças relevantes
Determinar um equilíbrio entre os custos de um incidente e os custos das medidas de segurança

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
50
Q

Verdadeiro ou Falso

Não existe risco zero.

A

Verdadeiro.
Gerenciamento do risco é um processo contínuo: identificados, eliminados, ou reduzidos a nível aceitável

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
51
Q

Qual o principal objetivo da análise de risco?

A

Objetivo é trazer o nível de risco para o aceitável.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
52
Q

Como podemos classificar as medidas de SI?

A

Preventivas, detectivas, repressivas e de recuperação/correção.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
53
Q

Phising é que tipo de ameaça?

A

Ameaça de engenharia social, que está dentro da ameaça humana e intencional.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
54
Q

O que é um ataque?

A

É um dano direto.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
55
Q

O que é o dado expectativa de perda única?

A

É o evento extraordinário, que acontece uma vez.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
56
Q

“Não existe segurança 100%, mas a gente precisa trazer um conforto”. Para esse nível aceitável de segurança, você precisa levar em consideração que….

A

Os riscos são aceitáveis. “O molho não deve ser mais caro que o peixe”.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
57
Q

Por que os riscos seriam aceitáveis?

A

Porque as medidas de segurança ou são muito caras, ou excedem os custos do possível dano, ou são de natureza repressiva.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
58
Q

Estratégia de risco do tipo “neutralizar”…

A

É para mitigar o risco.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
59
Q

Para realizar o tratamento do risco, META

A

Mitigar
Evitar
Transferir
Aceitar

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
60
Q

As decisões da empresa para seleção de controles de risco precisam levar em consideração

A

Critérios de aceitação de risco, opções de tratamento e na abordagem geral.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
61
Q

Verdadeiro ou Falso

Restrições operacionais precisam ser levadas em conta nos controles de tratamento de riscos

A

Verdadeiro

62
Q

Qual é o propósito do gerenciamento de risco?

I. Determinar probabilidade de materialização de um risco

II. Apontar as ameaças que estão expostos os recursos

III. Utilizar medidas para reduzir os riscos para um nível aceitavel

A

III

O Gerenciamento de Riscos visa reduzir ao mínimo possível os impactos dos riscos na organização, utilizando um conjunto de técnicas que visa minimizar os efeitos dos danos direcionando tratamento aos riscos que possam vir a causar danos. O gerenciamento de riscos corporativos possibilita aos administradores tratar com eficácia as incertezas, bem como os riscos e as oportunidades a elas associadas, a fim de melhorar a capacidade de gerar valor.

63
Q

Qual ação é uma ameaça humana não intencional?

I. Engenharia Social

II. Roubo de um laptop

III. Incêndio intencional

IV. Uso incorreto de equipamentos de extinção de fogo

A

IV

64
Q

Verdadeiro ou Falso

A organização, para o estabelecimento de um SGSI, deve definir o plano diretor de tecnologia da informação e a abordagem para a avaliação de riscos.

A

Falso

65
Q

A prioridade das ações preventivas deve ser determinada com base nos resultados do(a):

I. Avaliação da capacitação da equipe.

II. Plano de gestão do conhecimento.

III. Parecer de viabilidade das ações preventivas.

IV. Análise/avaliação de riscos.

A

IV

66
Q

Na ISO/IEC 27001, o processo de comparar o risco estimado com critérios de risco predefinidos para determinar a importância do risco é o processo de:

I. Gerir riscos.

II. Avaliar riscos.

III. Analisar riscos.

A

II

67
Q

Na ISO 27001: 2013, qual das seguintes opções deve ser documentada:

I. Avaliação de risco

II. Tratamento de risco

III. Gestão de riscos

IV. SGSI

A

I

A organização deve definir e aplicar um processo de avaliação de riscos de segurança da informação que estabeleça e mantenha critérios de riscos de segurança da informação

68
Q

Verdadeiro ou Falso

Tratamento de risco vira controle de segurança.

A

Verdadeiro

69
Q

A avaliação de riscos precisa ser definida e aplicada como:

I. Processo

II. Procedimento

A

I

A organização deve definir e aplicar um -> processo <- de avaliação de riscos de segurança da informação que estabeleça e mantenha critérios de riscos de segurança da informação

70
Q

O que faz a Política de Segurança da Informação (PSI)?

A

Prove direcionamento de segurança da informação. Ela é um processo. Quem prove procedimento é regra

71
Q

Quais os três papeis principais dos profissionais de SI?

A

CISO - diretor de segurança;
ISO - especialista, ponto focal de segurança;
ISM - gerente de segurança

72
Q

Qual o papel do CISO?

A

Ele quem define a estratégia geral para toda a empresa. É ele que desenvolve estratégia global de segurança

73
Q

Acima do CISO existe alguém?

A

Apenas o CEO da empresa

74
Q

Qual o papel do Information Security Officer?

A

Política para unidade específica de negócio, para um setor da empresa

75
Q

Verdadeiro ou Falso

Código de conduta é comportamental

A

Verdadeiro

76
Q

Verdadeiro ou Falso

Devo classificar os meus ativos de informação, APÓS INVENTÁRIO PARA GARANTIR UM NÍVEL ADEQUADO DE PROTEÇÃO

A

Verdadeiro

77
Q

O que é incidente de segurança?

A

Quebra um dos pilares do CID e atrapalha os negócios da empresa

78
Q

Escalação de incidentes

A

Escalação hierárquica, manda para alguém que pode tomar essa decisão
Escalação funcional - envia para quem tem mais especialidade para resolver aquele problema

79
Q

Diferença entre escalação funcional e hierárquica

A

Escalação funcional pode ser para qualquer nível, desde que resolva o problema

80
Q

Quando acionar medidas repressivas?

A

Entre o incidente e o dano. Depois que aconteceu o incidente é preciso repreender.

81
Q

Qual destes incidentes NÃO é um incidente de segurança?

I. Um alarme de incêndio não funciona.

II. A rede é invadida.

III. Alguém finge ser um membro do quadro de pessoal.

IV. Um arquivo no computador não pode ser convertido em um arquivo PDF.

A

IV

82
Q

Verdadeiro ou Falso

O anexo A estabelece que a análise crítica de direitos de acesso dos usuários deve ser feita por meio de um processo formal em intervalos regulares.

A

Verdadeiro

83
Q

Uma ocorrência identificada de um estado de serviço ou rede, indicando uma possível violação da política de segurança da informação ou falha é:

I. Incidente de segurança da informação

II. Incidente identificado de segurança da informação

III. Evento de segurança da informação

IV. Problema de segurança de informação

A

III

84
Q

Foi instalada uma porta com controle de acesso por cartão e somente os colaboradores autorizados podem acessar esse ambiente. Essa medida associa-se:

I. ao controle de perímetro de segurança física

II. à validação de dados de saída

III. ao controle de vulnerabilidades

IV. à cordenação de segurança da informação

A

I

85
Q

Política de mesa limpa e tela protegida objetiva que tipo de controle?

I. segurança de recursos humanos

II. gestão de incidentes de segurança da informação

III. acessos

A

III

86
Q

O acesso da informação devem ser controlados com base nos requisitos de negócio. Assim, convém:

I. fornecer senhas aos usuários

II. que as questões de acesso estejam em um documento próprio

III. tudo seja permitido a menos que expressamente proibido

IV. que o controle de acesso estejam descritos nos direitos de acesso

A

IV

87
Q

Segundo a ISO 27001 a segurança da informação é um conjunto de medidas de proteção, com exceção da:

I. autenticidade

II. compatibilidade

III. irretratabilidade

IV. integridade

A

II

88
Q

Quando são aplicadas as medidas para tratar ameaças de segurança?

A

Depois da avaliação de riscos

89
Q

Quais são as medidas que precisamos lembrar para as provas?

A

De prevenção, redução, detecção e repressão.

90
Q

O que é segurança física?

A

Combinação de medidas estruturais, organizacionais e controles eletrônicos.

91
Q

O que significa controle de acesso?

A

Controlar a informação e garantir que será usada pelas pessoas que você permitir

92
Q

Verdadeiro ou Falso

“A pessoa certa deve ter acesso à informação certa.”

A

Verdadeiro

93
Q

Verdadeiro ou Falso

Criptografia simétrica = Chave de casa

A

Verdadeiro

94
Q

Qual a diferença entre dados e informação?

A

A informação é um bem que tem valor para uma organização e necessita ser protegido.

95
Q

Qual o objetivo da classificação da informação?

A

O objetivo da classificação das informações é de manter uma proteção adequada. Determinar quais tipos de informações podem requerer diferentes níveis de proteção.

96
Q

O que é criptografia?

A

É uma medida técnica que impede que pessoas não autorizadas leiam as informações.

97
Q

O que é assinatura digital?

A

…

98
Q

O que é certificado?

A

…

99
Q

O que é identificação?

A

Identificação é o processo de tornar uma identidade conhecida.
São métodos para prover um sujeito (entidade que solicita acessos) com uma identidade reconhecível (e.g., conta de usuário, VAT, número de seguro social, passaporte, etc.).

100
Q

O que é autenticação?

A

Definir se a identidade de alguém é correta.
São métodos para assegurar que um sujeito é quem ele diz ser (e.g., senha, token, impressão digital, etc.).

101
Q

O que é autorização?

A

É a concessão da permissão de direitos específicos, tal como acesso seletivo para uma pessoa.
São métodos para controlar quais ações um sujeito pode realizar em um objeto (entidade que está sendo acessada) (e.g., lista de permissões do sujeito e lista de permissões do objeto).

102
Q

O que é confiabilidade?

A

Propriedade de consistência dos comportamentos e resultados desejados.

103
Q

O que é tratamento de riscos?

A

Processo de seleção e implementação de medidas para modificar o risco.
Tratamentos que lidam com consequências negativas são referenciados como “mitigação”, “eliminação”, “prevenção” e “redução” de riscos.

104
Q

O que é retenção de riscos?

A

É a assunção de riscos, quando nenhuma ação positiva é tomada no sentido de evitar ou transferir o risco.

105
Q

Verdadeiro ou Falso.

Dados críticos para processos comerciais são, por esse motivo, valiosos.

A

Verdadeiro

106
Q

Quais as etapas do ciclo do incidente?

A

Ameaça
Incidente
Dano
Recuperação

107
Q

Qual o conteúdo mínimo de um formulário de registro de incidentes?

A

Data e hora
Nome do local
Pessoa que reportou
Localização
O que ocorreu
Como foi descoberto

108
Q

O que é um sistema stand by?

A

É uma das medidas de repressão, com o objetivo de minimizar consequências após detecção do incidente. É capaz de assumir as funções de um sistema que falhou automaticamente.

109
Q

Qual fator é verificado quando é preciso fornecer um código PII ou uma senha?

I. Algo que você é
II. Algo que você tem
III. Algo que você sabe

A

III, algo que você sabe

110
Q

Qual fator é verificado quando é preciso fornecer a biometria com impressão digital ou scanner da íris?

I. Algo que você é
II. Algo que você tem
III. Algo que você sabe

A

I, algo que você é

111
Q

Quais são os quatro aneis de proteção da segurança física?

A

Anel externo, de prédio, de local de trabalho e de objeto.

112
Q

Qual o objetivo das medidas físicas?

A

Implantar a segurança física para impedir acesso físico não autorizado, dano ou interferências nas instalações de informação e informação da organização.

113
Q

O que são identificações que facilitem o reconhecimento das informações?

A

A identificação das informações é uma designação, uma forma especial de categorizar as informações, o que ocorre após a classificação.

114
Q

Qual é o objetivo da classificação da informação?

A

A classificação de informações é utilizada para definir os diferentes níveis de confidencialidade nos quais as informações podem ser estruturadas.

115
Q

Quem é autorizado a mudar a classificação de um documento?

A

O proprietário deve assegurar que o ativo seja classificado ou reclassificado, se necessário; portanto, está autorizado a alterar a classificação de um documento.

116
Q

Verdadeiro ou Falso

A política de segurança da informação deve ter um proprietário autorizado com a responsabilidade de gestão para o desenvolvimento, revisão e avaliação da política de segurança.

A

Verdadeiro

117
Q

Verdadeiro ou Falso

Ativos não precisam ter proprietário nomeado.

A

Falso

Todos os ativos precisam ser contabilizados e terem um proprietário nomeado. Um proprietário do ativo é responsável pela sua proteção no dia a dia e pela implementação e manutenção de controles adequados.

118
Q

Quais são os controles contra malware?

A

Controles de medidas técnicas, contra ameaças e softwares mal-intencionados, no nível de segurança da operação.
Controles de detecção, prevenção e recuperação, combinados com o conhecimento adequado do usuário.

119
Q

Quais são os tipos de malware?

A

Vírus
Worms
Trojans
Spyware

120
Q

Quais as contramedidas padrão contra malware?

A

Usar scanner antivírus e um firewall.

121
Q

Verdadeiro ou Falso

A política de controle de acesso é uma medida organizacional, que abrange apenas o
acesso a edifícios ou sistemas de TI.

A

Verdadeiro

122
Q

Qual a diferença entre avaliação e análise de risco?

A

A análise de risco proporciona a base para estimativa do risco e para as decisões de tratamento.
Avaliação do risco é o processo geral de identificação, análise e estimativa do risco. É a soma total da análise quantitativa e qualitativa.

123
Q

Qual o foco da gestão da informação?

A

Garantir que o valor da informação seja identificado e explorado em toda sua extensão.

124
Q

Qual a prioridade do Planejamento de Continuidade de Negócios (BCP)?

A

Manter o funcionamento da empresa, ainda que parcialmente, a partir do desastre até quando a empresa estiver totalmente recuperada e apta a operar.

125
Q

Cite exemplos de medidas de segurança física

A

Definir perímetros de segurança física
Implantar controles físicos de entrada, protegendo o acesso
Definir áreas seguras de acesso público e áreas comuns

126
Q

Qual o objetivo de um plano de continuidade de negócios (PCN)?

A

Voltar a situação ao estado em que se encontrava antes do desastre

127
Q

Qual o conceito de ameaça?

A

Causa potencial de um incidente indesejado, a qual pode resultar no dano a um sistema ou organização.

Uma ameaça é um evento possível que pode ter um efeito perturbador na confiabilidade da informação.

128
Q

Dê exemplos de regulamentações relacionadas à segurança da informação.

A

…

129
Q

Indique as medidas que podem ser tomadas para atender aos requisitos da legislação e das regulamentações.

A

…

130
Q

O que é uma análise de risco qualitativa?

A

Uma análise de risco qualitativa envolve a definição de diversas ameaças, determinando a extensão das vulnerabilidades e elaborando contramedidas, caso ocorra um ataque.

131
Q

Que medida não ajuda contra software mal-intencionado?

I. Uma política ativa de correções
II. Um programa anti-spyware
III. Um filtro anti-spam
IV. Uma senha

A

IV

Uma senha é um meio de autenticação. Ela não bloqueia qualquer tipo de software malicioso. A mais eficaz forma de ser capaz de combater qualquer software malicioso, é a implementação de camadas de segurança que atrapalham a exploração de diferentes vulnerabilidades que cada organização pode ter.

132
Q

Quatro membros do pessoal do departamento de TI compartilham um mesmo crachá.
A que risco este fato pode levar?

I. Se alguma coisa desaparecer da sala de informática, não vai ficar claro quem é responsável.
II. Pessoas não autorizadas podem ter acesso à sala de computadores sem serem vistas.

A

I

Embora fosse claro que alguém do departamento de TI teria entrado na sala, não se saberia ao certo quem foi. A obrigatoriedade do não compartilhamento de acesso devem seguir as regras descritas por normas internas e externas que devem ser insistentemente sustentadas pelos responsáveis da Segurança da Informação com o apoio direito das áreas de apoio tais como Recursos Humanos, Gestão de Risco, Compliance e inclusive pela alta Direção.

133
Q

Verdadeiro ou Falso

O anexo A estabelece que a análise crítica de direitos de acesso dos usuários deve ser feita por meio de um processo formal e conduzida em intervalos regulares.

A

Verdadeiro

134
Q

O que é um evento de segurança da informação?

A

Uma ocorrência identificada de um estado de sistema, serviço ou rede, indicando uma possível violação da política de segurança da informação ou falha de controles, ou uma situação previamente desconhecida, que possa ser relevante para a segurança da informação.

135
Q

Verdadeiro ou Falso

A execução de procedimentos e controles para identificar tentativas e falhas de segurança e incidentes que foram bem-sucedidos faz parte da etapa de implementação e operação do SGSI.

A

Falso

136
Q

A adoção de um Sistema de Gestão de Segurança da Informação (SGSI) é uma decisão estratégica para as organizações.
De acordo com a ISO/IEC 27001, quando ocorre uma não conformidade no SGSI, a organização deve:

I. evitar reagir à não conformidade de modo a controlá-la ou corrigi-la
II. impedir mudanças no Sistema de Gestão de Segurança da Informação para assegurar que auditorias internas possam ser realizadas
III. determinar se não conformidades similares existem, ou podem potencialmente ocorrer

A

III

Avaliar se existem outras situações de risco semelhantes.

137
Q

Por que a conformidade é importante para a confiabilidade das informações?

A

Ao cumprir os requisitos legislativos e os regulamentos do governo e da gestão interna, uma organização mostra que gerencia suas informações de maneira adequada.

138
Q

Na maioria das organizações, o acesso ao computador ou à rede é concedido somente após o usuário inserir um nome de usuário e uma senha corretos. Este processo consiste em 3 etapas: identificação, autenticação e autorização.
Qual é o objetivo da segunda etapa, autenticação?

I. Na segunda etapa, você torna sua identidade conhecida, o que significa que você tem acesso ao sistema.
II. O sistema determina se o acesso pode ser concedido determinando se o token usado é autêntico.

A

II

Durante a identificação o usuário diz ao sistema quem ele é (normalmente através de um nome de usuário). Durante a autenticação a identidade é verificada através de uma credencial (uma senha, por exemplo) fornecida pelo usuário.

139
Q

Quando estamos na nossa mesa, queremos que o sistema de informação e as informações necessárias estejam disponíveis. Queremos poder trabalhar com o computador e acessar a rede e nossos arquivos.
Qual é a definição correta de disponibilidade?

I. O grau em que a capacidade do sistema é suficiente para permitir que todos os usuários trabalhem com ele
II. O grau em que um sistema de informação está disponível para os usuários

A

II

O conceito principal de disponibilidade relaciona-se ao acesso às informações e processos que são fundamentais para o funcionamento das operações da empresa, uma vez que permite que estes itens estejam disponíveis sempre que necessário.

140
Q

Verdadeiro ou Falso

Disponibilidade é um aspecto não crítico da garantia do serviço, cujo propósito é permitir que os serviços e processos realizados pela empresa possam ser executados de forma rápida, eficiente e sem impactos.

A

Falso

141
Q

O que é uma medida corretiva?

A

Ações corretivas são medidas tomadas para eliminar a(s) causa(s)-raiz de não-conformidades, acidentes ou incidentes identificados, a fim de prevenir sua repetição.

142
Q

Quem está autorizado a alterar a classificação de um documento?

I. O dono do documento
II. O administrador do documento

A

I

Convém que os proprietários de ativos de informação sejam responsáveis por sua classificação.

143
Q

Uma ameaça não humana para os sistemas de computador é uma inundação.
Em que situação uma inundação é sempre uma ameaça relevante?

I. Quando os sistemas de computador são mantidos em um porão abaixo do nível do solo.
II. Quando a organização está localizada perto de um rio.

A

I

11.1.4 Proteção contra ameaças externas e do meio-ambiente - Convém que orientações de especialistas sejam obtidas sobre como evitar danos oriundos de fogo, inundação, terremoto, explosão, manifestações civis e outras formas de desastre natural ou provocado pela natureza.

144
Q

O que são áreas seguras?

A

Áreas seguras são sites onde você lida com informações sensíveis ou abriga equipamentos de TI e pessoal valiosos para atingir os objetivos do negócio. No contexto da segurança física, o termo “site” significa prédios, salas ou escritórios que hospedam todos os serviços e facilidades (eletricidade, aquecimento, ar-condicionado).

145
Q

Verdadeiro ou Falso

Uma análise de risco é usada para garantir que as medidas de segurança sejam implementadas de maneira econômica e oportuna.

A

Verdadeiro

146
Q

Qual regulamentação é aplicável apenas para empresas públicas dos Estados Unidos (listadas na Bolsa de Valores de Nova York)?

A

A Lei Sarbanes-Oxley (SOX) é a lei que se aplica para bancos e empresas listadas na Bolsa de Valores de Nova York NYSE.

147
Q

Uma empresa holandesa está processando informações de civis holandeses; isso implica a aplicabilidade de alguns regulamentos holandeses em relação à privacidade desses civis. A empresa é obrigada a implementar medidas de segurança.
Qual medida ajuda melhor a empresa a comprovar a conformidade com os regulamentos aplicáveis?

I. Transmitir os acordos de não divulgação (NDAs) que são assinados por todos os funcionários.
II. Entrega dos resultados de uma auditoria de segurança.

A

II

Convém que os requisitos e atividades de auditoria envolvendo verificação nos sistemas operacionais sejam cuidadosamente planejados e acordados para minimizar interrupção dos processos do negócio.

148
Q

O que é uma ameaça humana à confiabilidade das informações no site da sua empresa?

I. Um de seus funcionários comete um erro no preço de um produto em seu site.
II. O computador que hospeda seu site está sobrecarregado e trava. Seu site está offline.

A

I

Situações a serem consideradas para notificar um evento de segurança da informação incluem: … c) erros humanos;

149
Q

Qual é a relação entre uma ameaça, risco e análise de risco?

A

Uma análise de risco é usada para esclarecer quais ameaças são relevantes e quais riscos envolvem.

150
Q

Ela é uma ferramenta que ajuda a prever as consequências de interrupções de sistemas e/ou processos para uma empresa. Isso ajuda a determinar planos de ação efetivos, que minimizam as perdas materiais e/ou de imagem. A ideia desse documento é te ajudar a entender quais são os processos mais sensíveis do seu negócio e que mais afetam a empresa, caso parem de funcionar. Além de estimar um prazo requerido para a sua recuperação.

O que está descrito?

A

Análise de risco

Trilha DPO EXIN (4 decks)

Brainscape helps you reach your goals faster, through stronger study habits.
© 2024 Bold Learning Solutions. Terms and Conditions