INFORMATION 27 FOUNDATION

A diretoria deveria deixar claro por que notificar incidentes de segurança é de grande importância. Notificar incidentes de segurança tem vários objetivos. Qual é o objetivo principal da notificação de incidentes de segurança?. Determinar a capacidade e a disponibilidade do helpdesk. Informar a diretoria sobre tendências no número de incidentes de segurança. Aprender com os incidentes e evitar sua recorrência. Tomar medidas corretivas contra o funcionário que causou o incidente.

Muitas organizações tomam medidas técnicas para proteger sua informação. Que controle é necessário para que se possa investigar incidentes e detectar conduta inapropriada dos usuários?. Definir uma política. Implementar um registro (log) de eventos. Instalar um software antivírus. Usar uma ferramenta para rastrear as vulnerabilidades.

Uma organização deseja poder provar a ocorrência de um evento no caso de um incidente de segurança da informação. Qual é o nome desse requisito?. Autenticação. Integridade. Não-repúdio. Ameaça.

Medidas devem ter uma relação clara com os riscos identificados. A organização escolherá sua estratégia de risco com base nos riscos identificados. Que estratégia de risco é escolhida por uma organização que implementa apenas medidas repressivas de segurança?. Evitar o risco. Aceitar o risco. Reduzir o risco.

Tanto o gerenciamento estratégico quanto o gerenciamento operacional têm papel importante na segurança da informação. Qual é a principal diferença entre gerenciamento estratégico e gerenciamento operacional?. O gerenciamento estratégico é feito por gerentes executivos, enquanto o gerenciamento operacional é feito por gerentes de linha. O gerenciamento estratégico é feito para funções individuais na organização, enquanto o gerenciamento operacional é feito para os funcionários individuais. O gerenciamento estratégico foca as necessidades de curto prazo da organização, enquanto o gerenciamento operacional foca as necessidades de longo prazo. O gerenciamento estratégico foca as necessidades de toda a organização, enquanto o gerenciamento operacional foca as operações rotineiras dos times individuais.

O que é criptografia assimétrica?. Um método de criptografia que usa uma assinatura digital. Um método de criptografia em que a criptografia é realizada várias vezes. Um método de criptografia em que o emissor e o destinatário usam chaves diferentes. Um método de criptografia que usa apenas números primos.

O chief information security officer (CISO) de uma organização observa um aumento no número de incidentes de segurança da informação. A causa mais comum desses incidentes é o comportamento de funcionários internos. Qual é a reação mais apropriada para reduzir o número de incidentes de segurança da informação?. Criar um acordo de não divulgação (NDA) a ser assinado por todos os funcionários. Reescrever as políticas e os procedimentos de segurança da informação. Conduzir sessões adicionais de conscientização sobre segurança da informação para todos os funcionários. Usar processo disciplinar para todos os incidentes de segurança da informação.

Ataques phishing pedem às potenciais vítimas para clicar em um link em um e-mail. Qual é a forma mais eficaz de evitar que esses ataques tenham êxito?. Definir uma política em que a organização nunca pedirá a seus funcionários que cliquem em um link em um e-mail. Os funcionários saberão que não deverão clicar em um link em um e-mail. Implementar um software que filtre continuamente qualquer e-mail inapropriado. Posteriormente, os funcionários poderão clicar de modo seguro em um link em qualquer e-mail. Ensinar os funcionários a passar o mouse sobre o link para ver para onde o link os direciona. É fácil ver se um link direciona o usuário para um recurso da empresa. Avisar toda a empresa imediatamente quando qualquer e-mail inapropriado for identificado. Todos os funcionários serão informados para não clicar no link.

O que é responsabilização?. Avaliar os controles de qualidade. Ser responsável por atividades. Realizar o trabalho para demonstrar conformidade. Ter propriedade de ações.

Como uma análise qualitativa de risco ajuda uma organização a entender especificamente o valor de seus dados e informação?. Ela calcula a expectativa de perda por incidente (SLE) de uma violação de dados ou de informação. Ela estabelece controles para contribuir com um plano de segurança da informação. Ela estima a perda financeira causada por ameaças aos dados e à informação. Ela classifica a seriedade das ameaças aos dados e à informação.

Qual é uma ameaça humana intencional?. Conserto de um telhado mal feito que causa infiltração. Rótulo errado em um fusível que provoca um corte de energia. Funcionário que vende dados da empresa. Desconexão de um plugue que causa um desligamento.

Um funcionário decide que um colega necessita de uma página de informação. O colega não tem acesso a essa informação. Logo, o funcionário cria um documento compartilhado e dá ao colega direitos de acesso a esse documento compartilhado. Como se chama esse tipo de controle de acesso?. Controle de acesso baseado em solicitação (CBAC). Controle de acesso discricionário (DAC). Controle de acesso obrigatório (MAC). Controle de acesso baseado em função (RBAC).

Qual é um exemplo de informação?. Um relatório que indica uma redução nos gastos dos clientes. Um script do servidor usado para gerar um relatório. Uma linha de texto binário. A capacidade de um disco rígido.

Quais são os dois tipos de danos resultantes de incidentes?. Danos diretos e indiretos. Danos explícitos e implícitos. Danos financeiros e emocionais. Danos visíveis e invisíveis.

Qual é um controle importante que tratará especificamente da segurança de rede?. Nomear um gerente de segurança de redes para identificar vulnerabilidades e possíveis controles. Definir uma política de criptografia que inclua o gerenciamento de chaves criptográficas. Dividir a rede em segmentos menores com interfaces seguras entre os segmentos. Implementar gerenciamento da mudança para preservar a segurança da rede ao implantar mudanças.

Um banco de dados contém alguns milhões de registros de pacientes de um hospital. Um relatório médico de um único paciente foi gerado e enviado ao paciente. O que esse relatório contém para o paciente?. Dados. Informação. Dados e informação.

O que é um exemplo de controle físico?. Um código de conduta que exige que os funcionários sigam a política de mesa limpa. Um extintor de incêndio especial com gás inerte. Uma política de controle de acesso que determina que crachás devem ficar à vista. A criptografia de informações confidenciais.

Que medida assegura que informação valiosa não seja deixada sem vigilância?. Cartões de acesso. Política de mesa limpa. Acordo de não divulgação (NDA).

Baseado em uma análise de risco, um empresário decide tomar várias medidas. São feitos backups (cópias de segurança) diários, mantém-se trancada a sala de servidores e são instalados um sistema de alarme de intrusão e um sistema de sprinklers. Qual dessas medidas é uma medida detectiva?. Restrição de acesso. Fitas de backup. Alarme de intrusão. Instalação de sprinklers.

Uma organização ainda não implementou controles físicos. Qual é a ameaça mais provável de acontecer?. Um celular contendo informação confidencial ser perdido. Um servidor parar de funcionar por estar úmido demais. Um vírus infectar vários computadores porque o firewall está desatualizado. Um funcionário ler arquivos que não está autorizado a ler.

Alguém envia um e-mail. O emissor quer que o destinatário seja capaz de verificar quem escreveu e enviou o e-mail. O que o emissor anexa ao e-mail?. Uma assinatura digital. Um certificado de uma infraestrutura de chave pública (ICP). A chave privada do emissor. A chave pública do emissor.

Todos os sistemas implantados em um ambiente precisam considerar medidas e requisitos de segurança da informação. Qual é a melhor maneira de alcançar isso?. Considerar os requisitos de segurança da informação e descartar aqueles que prejudicarão o desempenho de um novo sistema. Assegurar que os funcionários de segurança da informação adicionem os controles corretos a um novo sistema uma vez que esteja implantado. Implementar um conjunto de controles padrão usados para outros sistemas para manter seguro o novo sistema durante a implantação. Tornar as especificações de segurança parte dos requisitos e critérios de aceitação do projeto ao desenvolver um novo sistema.

Como se pode reforçar a segurança da informação por meio de contratos e acordos?. Pela criptografia de todos os dados armazenados na cloud. Pela implementação de controles de acesso rigorosos para informações sensíveis. Pela exigência de acordos de não divulgação (NDAs) assinados. Pela atualização regular do software antivírus.

Um funcionário troca de função em uma organização. Ele é transferido de um departamento para outro. O que deve ser feito do ponto de vista da conscientização sobre segurança da informação?. O funcionário precisa fornecer informações para seu empregador para possibilitar uma nova verificação de antecedentes. O funcionário apenas precisa reler a política de segurança da informação da organização para atualizar seus conhecimentos. O funcionário deve ser informado sobre quaisquer requisitos de segurança da informação diferentes no novo departamento e cargo. O funcionário terá que fazer o treinamento anual de reciclagem de conscientização sobre segurança da informação.

Qual é o foco da norma ISO/IEC 27001?. Conceitos e termos de segurança da informação. Sistema de gestão de segurança da informação (SGSI). Gerenciamento de riscos. Medidas de controle de segurança.

Controles físicos não têm como foco apenas cercas, paredes e janelas antirroubo. Qual é um outro exemplo de controle físico?. Um certificado digital para autenticação. Controles biométricos para acessar um laptop. Controles biométricos para acessar uma sala de servidores. Triagem pré-contratação.

Durante uma análise de risco, um administrador de sistemas menciona que, devido à falta de comunicação entre a gestão de recursos humanos (RH) e os administradores de sistemas, ex-funcionários ainda conseguem acessar os servidores da empresa a partir de casa. Que característica do risco está faltando aqui?. Impacto. Controle de segurança. Agente de ameaça. Vulnerabilidade.

Qual área não faz parte do gerenciamento da informação?. Gestão geral. Recursos humanos (RH). Tecnologia da informação. Gerenciamento de registros.

Qual é a finalidade de uma avaliação independente da segurança da informação?. Checar a completude e a exatidão da documentação de uma organização em relação a seus objetivos e metas. Avaliar se os controles de segurança estão alinhados com os requisitos de segurança e se estão implementados e operando de maneira eficaz. Determinar o número de incidentes de segurança da informação e como são gerenciados para garantir que eles não se repitam. Testar se o negócio pode continuar a operar no caso de um grave incidente de segurança da informação.

Uma organização manipula muita personally identifiable information (PII). A organização quer evitar que a informação possa ser relacionada a alguém em caso de divulgação não autorizada. Qual é o método apropriado para proteger especificamente essa PII?. Criptografia. Mascaramento de dados. Backup (cópia de segurança) de informação. Proteção contra malware.

Quem está autorizado a reduzir a classificação de um documento sem permissão adicional?. O administrador do documento. O autor do documento. O gerente do proprietário do documento. O proprietário do documento.

Lara é consultora e terceirizou a administração da sua empresa para funcionários temporários. Ela não quer que os funcionários temporários tenham acesso a seus relatórios. Que aspecto de confiabilidade da informação nos relatórios Lara deve proteger?. Disponibilidade. Confidencialidade. Integridade.

Qual é a finalidade de uma política de segurança da informação?. Evitar que, acidentalmente, os funcionários não cumpram com regulamentações e legislação. Demonstrar a operação do ciclo Plan, Do, Check, Act (PDCA) em uma organização. Garantir que todos saibam quem é responsável por realizar os procedimentos de backup (cópia de segurança). Fornecer orientação e suporte à organização em relação à segurança da informação.

O que é um aspecto importante da segurança da informação quando se trabalha com fornecedores?. Os fornecedores devem concordar em ter controles auditáveis para proteger os dados da organização do cliente. Os fornecedores devem sempre ser responsáveis pela segurança dos dados da organização do cliente. Os fornecedores devem fazer parte do sistema de gestão de segurança da informação (SGSI) da organização do cliente. Os fornecedores devem ter a liberdade de decidir como proteger as informações dos seus clientes.

Frida detecta um comportamento anormal em seu computador e notifica isso para o administrador de sistemas. O administrador de sistemas realiza uma primeira investigação e decide pedir ajuda à equipe de resposta a emergências de computadores. Que tipo de escalação é aqui descrita?. Escalação funcional. Escalação hierárquica. Escalação de privilégios. Escalação vertical.

Qual regulamento de privacidade é aplicável a todos os residentes da União Europeia (UE)?. Regulamento Geral sobre a Proteção de Dados (GDPR). Sistema de Gestão de Segurança da Informação (SGSI). Padrão de Segurança de Dados da Indústria de Cartões de Pagamento (PCI-DSS). Lei Sarbanes-Oxley (SOX).

A segurança física deve proteger uma organização contra o acesso não autorizado a seus ativos. Isso é ilustrado ao se pensar em termos de anéis de proteção. Qual anel de proteção lida com a proteção do acesso à propriedade?. Prédio. Anel externo. Área segura. Espaço de trabalho.

Uma organização deseja certificar seu sistema de gestão de segurança da informação (SGSI). Que norma internacional pode ser usada como base para essa certificação?. ISO/IEC 27000. ISO/IEC 27001. ISO/IEC 27002. ISO/IEC 27017.

Além de confidencialidade e integridade, qual é o principal aspecto da confiabilidade de informação?. Responsabilidade. Autenticidade. Autorização. Disponibilidade.

O que não é um critério no processo de avaliação em que se determina se a segregação de funções é aplicável a um funcionário?. Em que locais a pessoa está ativa. Em que processos de controle a pessoa está envolvida. Em que processos de tomada de decisão a pessoa está envolvida.