Questões de Concurso
Sobre norma 27005 em segurança da informação
Foram encontradas 318 questões
A identificação dos controles existentes, para assegurar se são ou não efetivos, não deve limitar-se apenas aos documentos como planos de tratamentos de riscos, devendo ser feita também junto às pessoas responsáveis pela segurança da informação.
A avaliação dos riscos deve ser feita com base em uma lista dos riscos com valores já atribuídos a eles e com critérios de avaliação já definidos.
(1) Comunicação do risco. (2) Estimativa de riscos. (3) Transferência do risco. (4) Retenção do risco.
( ) Aceitação do ônus da perda ou do benefício do ganho associado a um determinado risco. ( ) Troca ou compartilhamento de informação sobre risco entre o tomador de decisão e outras partes interessadas. ( ) Processo utilizado para atribuir valores à probabilidade e às consequências de um risco. ( ) Compartilhamento com uma outra entidade do ônus da perda ou do benefício do ganho associado a um risco.
Um dos resultados da avaliação de riscos é a produção de uma declaração de atividades críticas.
Os processos de preparação e manutenção de resposta devem ser definidos segundo uma política de gestão de continuidade de negócios.
Toda informação sobre ativos, ameaças, vulnerabilidades e cenários de risco levantada durante as análises/avaliações de risco deve ser comunicada por meio de uma wiki web acessível no escopo da intranet na organização.
A gestão de continuidade de negócios é complementar à gestão de riscos e tem como foco o desenvolvimento de uma resposta a uma interrupção causada por um incidente de difícil previsão, materializada na forma de um plano de continuidade de negócios.
A norma NBR ISO/IEC 27005 prescreve que o gerenciamento de incidentes pode ser realizado iniciando-se com uma definição de contexto, seguido por uma análise e avaliação, tratamento, aceitação, comunicação, monitoramento e análise crítica dos incidentes.
Texto 4A04-I
Um hacker invadiu o sistema computacional de determinada instituição e acessou indevidamente informações pessoais dos colaboradores e servidores. Durante a ação, foram alterados os registros de logs do sistema operacional e das aplicações, a fim de dificultar o trabalho de auditoria. Após o ocorrido, identificaram-se as seguintes ações do hacker.
I Exploração, a partir da Internet, de uma vulnerabilidade da página de notícias do portal da instituição localizada no servidor web, o que permitiu o acesso não autorizado à rede interna.
II Utilização de um script para alteração dos registros dos logs, com a troca dos endereços IP reais por fictícios.
III Quebra das credenciais administrativas do servidor de banco de dados dos sistemas internos, a partir do servidor web e utilização da técnica de ataques de dicionário.
IV Acesso de forma não autorizada ao servidor de banco de dados dos sistemas internos, para efetuar a extração das informações pessoais de colaboradores e servidores.
A equipe incumbida de analisar o caso concluiu que o risco era conhecido e considerado alto, já tendo sido comunicado à alta gestão da instituição; a vulnerabilidade explorada e sua correção eram conhecidas havia mais de seis meses, bem como a inexistência de dependências e da troca de dados entre os servidores de web e banco de dados; o incidente poderia ter sido evitado com o uso eficaz dos controles de segurança da informação.
Considerando-se o que dispõe a ISO 27005 sobre as diretrizes para a implementação quando da abordagem sobre a transferência de risco, analisar os itens abaixo:
I - A transferência do risco jamais criará novos riscos ou modificará riscos existentes e já identificados.
II - A transferência do risco envolve a decisão de se compartilhar certos riscos com entidades externas.
III - A transferência pode ser feita por um seguro que cubra as consequências ou através da subcontratação de um parceiro cujo papel seria o de monitorar o sistema de informação e tomar medidas imediatas que impeçam um ataque antes que ele possa causar um determinado nível de dano ou prejuízo.
Está(ão) CORRETO(S):
Baseando-se na ISO 27005, em relação ao processo de gestão de risco de segurança da informação, analisar a sentença abaixo:
Durante o processo de gestão de riscos de segurança da informação, é importante que os riscos e a forma com que são tratados sejam comunicados ao pessoal das áreas operacionais e gestores apropriados. Mesmo antes do tratamento do risco, informações sobre riscos identificados podem ser muito úteis para o gerenciamento de incidentes e ajudar a reduzir possíveis prejuízos (1ª parte). A conscientização dos gestores e pessoal no que diz respeito aos riscos, à natureza dos controles aplicados para mitigá-los e às áreas definidas como de interesse pela organização auxilia a lidar com os incidentes e eventos não previstos da maneira mais efetiva. Convém que os resultados detalhados de cada atividade do processo de gestão de riscos de segurança da informação, assim como as decisões sobre a análise/avaliação de riscos e sobre o tratamento do risco, sejam documentados (2ª parte). Em um processo de gestão de risco de segurança da informação, primeiramente, deve-se estabelecer o contexto. Em seguida, executa-se uma análise/avaliação de riscos. Se ela fornecer informações suficientes para que se determinem de forma eficaz as ações necessárias para reduzir os riscos a um nível aceitável, então a tarefa está completa e o tratamento de risco pode suceder-se. Por outro lado, se as informações forem insuficientes, executa-se uma outra iteração da análise/avaliação de risco, revisando-se o contexto (por exemplo, os critérios de avaliação de risco, de aceitação do risco ou de impacto), possivelmente em partes limitadas do escopo (3ª parte).
A sentença está:
Segundo as definições da ISO 27005, a análise/avaliação de riscos de segurança da informação, entre outros:
I - Determina o valor dos ativos de informação.
II - Identifica as ameaças e vulnerabilidades aplicáveis existentes (ou que poderiam existir).
III - Identifica os controles existentes e seus efeitos no risco identificado.
IV - Determina as consequências passíveis, prioriza os riscos derivados e ordena-os de acordo com os critérios de avaliação de riscos estabelecidos na definição do contexto.
Estão CORRETOS:
Julgue o próximo item, relativo à gestão de segurança da informação.
De acordo com a norma NBR ISO/IEC 27005, considera-se
risco residual aquele remanescente após o tratamento do risco,
podendo o risco residual conter riscos não identificados.
Conheça nossos planos