Questões de Concurso Para tce-ac

Com base na Lei n.º 13.709/2018 (Lei Geral de Proteção de Dados Pessoais), julgue o item que se segue.

O controlador poderá implementar programa de governança em privacidade que preveja, no mínimo, planos de resposta a incidentes e remediação.

Julgue o seguinte item, a respeito de segurança de aplicativos web.  

A OWASP recomenda que as empresas implementem o OWASP Top 10 como um padrão obrigatório para garantir a segurança de seus aplicativos web.

Julgue o seguinte item, a respeito de segurança de aplicativos web.  

A implementação de HTTPS em uma aplicação web é suficiente para protegê-la contra todos os tipos de ataques cibernéticos.

Julgue o seguinte item, a respeito de segurança de aplicativos web.  

A análise de vulnerabilidades em aplicações web deve ser realizada apenas durante a fase de desenvolvimento do aplicativo.

Com base na NBR ISO/IEC 27005, julgue o item a seguir, a respeito de gestão de riscos e continuidade de negócio.

Convém que a alta direção da organização avalie os riscos e aceite uma parcela dos riscos de forma consciente e calculada, para evitar custos excessivos em segurança.

Com base na NBR ISO/IEC 27005, julgue o item a seguir, a respeito de gestão de riscos e continuidade de negócio.

Para estabelecer o valor dos seus ativos, a organização deve primeiramente identificá-los, distinguindo-os em dois tipos: primários ou secundários.

Com base na NBR ISO/IEC 27005, julgue o item a seguir, a respeito de gestão de riscos e continuidade de negócio.

Ferramentas automatizadas de procura por vulnerabilidades são utilizadas, em computador ou em rede de computadores, para a busca de serviços reconhecidamente vulneráveis que possam gerar falsos positivos.

Com base na NBR ISO/IEC 27005, julgue o item a seguir, a respeito de gestão de riscos e continuidade de negócio.

No processo de avaliação de ameaças, as ameaças intencionais indicam ações de origem humana que podem comprometer os ativos de informação.

Julgue o item que se segue, tendo em vista a NBR ISO/IEC 27002.

No gerenciamento de mídias removíveis, quando houver a necessidade de seu uso, convém que a transferência da informação contida na mídia (incluídos documentos em papel) seja monitorada pela organização. 

Julgue o item que se segue, tendo em vista a NBR ISO/IEC 27002.

Convém que os incidentes de segurança da informação de uma organização sejam reportados e, assim que eles tenham sido tratados, seu registro seja mantido, mesmo que informalmente.

No que se refere à segurança da informação, julgue o item subsecutivo.

Referências diretas inseguras a objetos, ou IDOR (insecure direct object reference), são vulnerabilidades resultantes de controle de acesso interrompido em aplicativos da Web. Um tipo de ataque é a passagem de diretório, que é a maneira mais simples de explorar uma vulnerabilidade IDOR, bastando simplesmente alterar o valor de um parâmetro na barra de endereço do navegador.

No que se refere à segurança da informação, julgue o item subsecutivo.

Ocorre quebra de autenticação e gerenciamento de sessões quando, por exemplo, um atacante obtém acesso a uma conta bancária, modifica ou exclui informações do sistema ou altera as configurações de segurança, podendo causar perdas financeiras significativas e até mesmo a quebra de confiança da entidade no cliente dono da conta.

No que se refere à segurança da informação, julgue o item subsecutivo.

No cross-site scripting refletido (não persistente), a carga útil do invasor deve fazer parte da solicitação enviada ao servidor da Web. Em seguida, é refletida de volta, de maneira que a resposta HTTP inclua a carga útil da solicitação HTTP. Os invasores usam técnicas de engenharia social para induzir a vítima a fazer uma solicitação ao servidor. A carga útil XSS refletida é, então, executada no navegador do usuário.

No que se refere à segurança da informação, julgue o item subsecutivo.

Uma das formas de prevenção à vulnerabilidade SQL injection consiste em realizar a validação dos dados digitados pelo usuário mediante a aceitação de somente dados que sejam conhecidamente válidos.  

Acerca de ameaças e vulnerabilidades em aplicações, julgue o item subsequente. 

Um ataque de XSS (cross-site scripting) não tem como alvo direto o próprio aplicativo, mas sim os usuários do aplicativo da Web. 

Acerca de ameaças e vulnerabilidades em aplicações, julgue o item subsequente. 

A injeção de LDAP é um vetor de ciberataque sofisticado que visa às vulnerabilidades da camada de aplicação dos sistemas que utilizam o protocolo LDAP. Particularmente, aplicações Web com backends LDAP estão imunes a esse tipo de ataque, e os riscos associados à injeção de LDAP se limitam à exposição de dados.

Acerca de ameaças e vulnerabilidades em aplicações, julgue o item subsequente. 

Em função de muitos sites e aplicativos da Web dependerem de bancos de dados SQL, um ataque SQL injection pode gerar sérias consequências, porque boa parte dos formulários da Web não consegue impedir a entrada de informações adicionais, o que propicia a exploração desse ponto fraco e o uso das caixas de entrada no formulário para envio de solicitações maliciosas ao banco de dados. 

Acerca de ameaças e vulnerabilidades em aplicações, julgue o item subsequente. 

Uma aplicação torna-se vulnerável pelo armazenamento inseguro de dados criptografados quando, por exemplo: dados sensíveis não são cifrados; a criptografia é usada de forma incorreta; o armazenamento das chaves é feito de forma imprudente; ou utiliza-se um hash sem salt para proteger senhas.

Acerca de ameaças e vulnerabilidades em aplicações, julgue o item subsequente. 

Para que um ataque de cross-site request forgery funcione em aplicações web, basta que a vítima tenha conectado, em algum momento, sua conta original ao disparar a requisição maliciosa.

Julgue o item seguinte, relativo a métodos e protocolos de autenticação.

Um aplicativo cliente que realiza a autenticação de um usuário mediante um servidor de autorização que adota o OpenID Connect recebe de volta um token de acesso e um token de identidade com algumas informações adicionais do usuário, seguindo o fluxo de autenticação representado a seguir.