Julgue os itens a seguir com base na norma NBR ISO/IEC n.º 2...

Gabarito: Errado

A questão aborda um ponto específico da norma NBR ISO/IEC 27002, que é uma norma internacionalmente reconhecida e adotada pela ABNT (Associação Brasileira de Normas Técnicas) para gestão da segurança da informação.

A ISO 27002 oferece diretrizes e princípios para a implementação de controles de segurança da informação. Um dos focos dessa norma é a proteção de informações sensíveis e a garantia de que as práticas de segurança sejam seguidas rigorosamente durante operações como testes de intrusão.

Neste contexto, a questão está relacionada à prática de testes de intrusão, que são testes conduzidos para identificar e corrigir vulnerabilidades em um sistema de segurança de TI.

Justificativa da alternativa incorreta:

A alternativa está incorreta porque, de acordo com as boas práticas e recomendações da norma ISO 27002, as informações operacionais que são introduzidas no ambiente de teste antes dos testes de intrusão não devem ser mantidas no ambiente após a conclusão desses testes. Isso ocorre por vários motivos:

- Segurança da Informação: Manter essas informações no ambiente de teste pode criar vulnerabilidades adicionais, permitindo que dados sensíveis sejam acessados indevidamente.

- Integridade do Sistema: Remover as informações operacionais após o teste ajuda a garantir que a integridade do sistema seja mantida, evitando que dados de teste interfiram em operações futuras.

- Conformidade: Seguir a norma ISO 27002 é crucial para estar em conformidade com padrões internacionais de segurança, o que inclui a remoção de informações operacionais após testes de intrusão.

Portanto, a resposta correta é "E - Errado", pois a manutenção dessas informações no ambiente após o teste de intrusão vai contra as diretrizes da ISO 27002.

Espero que esta explicação tenha esclarecido suas dúvidas sobre o tema. Se precisar de mais informações ou tiver outras dúvidas, sinta-se à vontade para perguntar!

Errei a questão devido a interpretação que dei a informações operacionais. Ora, se estas forem as informações do funcionamento da empresa elas devem ser mantidas após o teste. A questão deveria ter deixado explícito que essas informações foram inseridas pelos profissionais altamente qualificados em segurança de redes APENAS para encontrar/verificar/avaliar as possíveis vulnerabilidades, no teste conhecido como Testes de Intrusão. A questão merecia recurso!

Encontrei uma referência sobre o tema em : http://blog.andradesoto.com.br/index.php/teste-de-intrusao-como-entrada-para-o-processo-de-gestao-de-riscos/.

"Teste de intrusão é uma atividade na qual profissionais altamente especializados utilizam seus conhecimentos para detectar falhas de segurança em equipamentos e softwares de TI (computadores, sistemas, equipamentos de rede, etc.).

O resultado (saída) dos testes de intrusão, traz como principais informações as vulnerabilidades dos ativos testados. Esses ativos podem ser serviços de infraestrutura, aplicações, sistemas operacionais, entre outros. Então neste caso temos dois componentes (ativos e vulnerabilidades) muito importantes para o conhecimento de riscos, ou para a associação dos riscos já existentes."

Bons estudos!

Quem encontrar a resposta na norma ANBT ISO/IEC 27002 entrem em contato comigo por favor, porque não consegui encontrar na norma. =]

Creio que a resposta seja essa:

14.3 Dados para teste 

Objetivo: Assegurar a proteção dos dados usados para teste. 

14.3.1 Proteção dos dados para teste 

c) convém que a informação operacional seja apagada do ambiente de teste, imediatamente após finalizar os testes; 

Norma ISO 27002:2013 página 88