Questões de Segurança da Informação - Análise de Vulnerabilidade e Gestão de Riscos para Concurso

A análise de vulnerabilidade não requer revisão regular, pois as vulnerabilidades do sistema são geralmente estáticas.

A análise de vulnerabilidade é um processo que visa corrigir imediatamente todas as falhas encontradas em um sistema.

A análise de vulnerabilidade inclui a identificação, quantificação e priorização de vulnerabilidades em um sistema.

A análise de vulnerabilidade é apenas relevante para grandes organizações e pode ser ignorada por pequenas empresas.

A análise de vulnerabilidade não envolve testes de penetração, pois são processos completamente distintos.

Um pentest é focado na conformidade com regulamentos, enquanto uma avaliação de vulnerabilidade é focada na performance dos sistemas.

Um pentest é realizado apenas internamente, enquanto uma avaliação de vulnerabilidade é sempre feita por terceiros.

Um pentest tenta explorar vulnerabilidades, enquanto uma avaliação de vulnerabilidade apenas identifica e classifica vulnerabilidades.

Um pentest é realizado apenas em redes externas, enquanto uma avaliação de vulnerabilidade é feita apenas em redes internas.

Um pentest é um processo automatizado, enquanto uma avaliação de vulnerabilidade é realizada manualmente.

Detectar vulnerabilidades em sistemas antes que sejam explorados por atacantes reais.

Realizar auditorias contínuas das políticas de segurança.

Implementar soluções de firewall e sistemas de prevenção de intrusão.

Responder a incidentes de segurança e restaurar sistemas comprometidos.

Coordenar treinamentos de segurança para pessoal técnico e não técnico.

Realizar varreduras de vulnerabilidades uma vez ao ano.

Utilizar uma abordagem manual e estatística para identificar vulnerabilidades em grandes redes, analisando pequenos trechos de logs.

Priorizar todas as vulnerabilidades de acordo com a facilidade de correção, independentemente do impacto.

Integrar a gestão de vulnerabilidades ao ciclo de vida de desenvolvimento de software (SDLC).

Tratar todas as vulnerabilidades com a mesma urgência, aumentando a equipe de acordo com a quantidade de vulnerabilidade encontrada.

A detecção e a correção de incidentes de segurança da informação não fazem parte da cadeia de entrega de valor, mas sim do gerenciamento de serviços.

Processos de segurança da informação extremamente rigorosos sempre devem ser prioridade diante dos objetivos de inovação da organização.

O time de desenvolvimento pode atuar ativamente no processo de identificação e correção de incidentes de segurança, e, portanto, não deve ser percebido como um potencial ponto de vulnerabilidade.

O gerenciamento da segurança da informação não deve se estender aos clientes da organização, que não participam do processo de definição de políticas e podem ser um ponto de vulnerabilidade.

O não repúdio consiste em assegurar a identidade de qualquer agente que executa uma ação dentro da organização.