INFORMATION 27 FOUNDATION

"Uma concepção que tem como foco organizar, estruturar e rotular o conteúdo de maneira eficaz. O objetivo é ajudar os usuários a encontrar informações para que possam concluir suas tarefas." Que conceito de gestão de segurança da informação está descrito aqui?. Tríade da CIA. Arquitetura da informação. Informação como fator de produção. Classificação da informação.

Um funcionário troca de função em uma organização. Ele é transferido de um departamento para outro. O que deve ser feito do ponto de vista da conscientização sobre segurança da informação?. O funcionário precisa fornecer informações para seu empregador para possibilitar uma nova verificação de antecedentes. O funcionário apenas precisa reler a política de segurança da informação da organização para atualizar seus conhecimentos. O funcionário deve ser informado sobre quaisquer requisitos de segurança da informação diferentes no novo departamento e cargo. O funcionário terá que fazer o treinamento anual de reciclagem de conscientização sobre segurança da informação.

Todos os sistemas implantados em um ambiente precisam considerar medidas e requisitos de segurança da informação. Qual é a melhor maneira de alcançar isso?. Considerar os requisitos de segurança da informação e descartar aqueles que prejudicarão o desempenho de um novo sistema. Assegurar que os funcionários de segurança da informação adicionem os controles corretos a um novo sistema uma vez que esteja implantado. Implementar um conjunto de controles padrão usados para outros sistemas para manter seguro o novo sistema durante a implantação. Tornar as especificações de segurança parte dos requisitos e critérios de aceitação do projeto ao desenvolver um novo sistema.

A classificação da informação influenciará o tipo e a intensidade das medidas de segurança necessárias. Em uma organização, um documento é classificado como confidencial. Que medida de segurança é um possível resultado da classificação da informação?. Todas as noites, às 2h, um backup (cópia de segurança) do documento é feito e armazenado em um servidor separado. Informação extra é acrescentada ao arquivo para que qualquer modificação no conteúdo do arquivo não passe despercebida. O compartilhamento do documento é permitido apenas com colegas que tenham necessidade de saber seu conteúdo e permissão apropriada.

Qual é uma boa medida para evitar o risco?. Instalar patches de software. Ligar para o helpdesk. Extinguir um incêndio. Usar uma ferramenta para monitoramento da internet.

Uma organização manipula muita personally identifiable information (PII). A organização quer evitar que a informação possa ser relacionada a alguém em caso de divulgação não autorizada. Qual é o método apropriado para proteger especificamente essa PII?. Criptografia. Mascaramento de dados. Backup (cópia de segurança) de informação. Proteção contra malware.

Por que treinamento sobre segurança da informação é recomendado para todos os funcionários de uma organização?. Porque eles precisam ter certificação da norma ISO/IEC 27001. Porque eles precisam saber como e por que devem agir de determinado modo. Porque eles precisam aprender como responder aos auditores durante auditorias internas e externas.

A diretoria deveria deixar claro por que notificar incidentes de segurança é de grande importância. Notificar incidentes de segurança tem vários objetivos. Qual é o objetivo principal da notificação de incidentes de segurança?. Determinar a capacidade e a disponibilidade do helpdesk. Informar a diretoria sobre tendências no número de incidentes de segurança. Aprender com os incidentes e evitar sua recorrência. Tomar medidas corretivas contra o funcionário que causou o incidente.

Alex possui uma pequena empresa em uma área industrial remota. Ultimamente, o alarme tem disparado regularmente no meio da noite. Leva-se um tempo considerável para reagir ao alarme, que sempre parece ser alarme falso. Alex decide instalar uma câmera escondida. Como se chama essa medida?. Medida detectiva. Medida preventiva. Medida repressiva (supressiva).

Alguém envia um e-mail. O emissor quer que o destinatário seja capaz de verificar quem escreveu e enviou o e-mail. O que o emissor anexa ao e-mail?. Uma assinatura digital. Um certificado de uma infraestrutura de chave pública (ICP). A chave privada do emissor. A chave pública do emissor.

Que medida assegura que informação valiosa não seja deixada sem vigilância?. Cartões de acesso. Política de mesa limpa. Acordo de não divulgação (NDA).

Qual documento melhor assegura a confidencialidade da informação?. Carta de nomeação. Acordo de não divulgação (NDA). Política. Procedimento operacional padrão (POP).

Qual é a diferença entre dados e informação?. Dados são tudo o que uma organização possui. Informação é como uma organização coleta, utiliza, controla, difunde e descarta esses dados. Dados são um ativo da organização. Informação usa os dados para definir a intenção e a direção da organização. Dados são introduzidos e armazenados em um computador. Informação corresponde a dados que foram processados para que tenham sentido para os usuários.

Lara é consultora e terceirizou a administração da sua empresa para funcionários temporários. Ela não quer que os funcionários temporários tenham acesso a seus relatórios. Que aspecto de confiabilidade da informação nos relatórios Lara deve proteger?. Disponibilidade. Confidencialidade. Integridade.

Como uma análise qualitativa de risco ajuda uma organização a entender especificamente o valor de seus dados e informação?. Ela calcula a expectativa de perda por incidente (SLE) de uma violação de dados ou de informação. Ela estabelece controles para contribuir com um plano de segurança da informação. Ela estima a perda financeira causada por ameaças aos dados e à informação. Ela classifica a seriedade das ameaças aos dados e à informação.

Qual é a finalidade de uma avaliação independente da segurança da informação?. Checar a completude e a exatidão da documentação de uma organização em relação a seus objetivos e metas. Avaliar se os controles de segurança estão alinhados com os requisitos de segurança e se estão implementados e operando de maneira eficaz. Determinar o número de incidentes de segurança da informação e como são gerenciados para garantir que eles não se repitam. Testar se o negócio pode continuar a operar no caso de um grave incidente de segurança da informação.

Muitas organizações tomam medidas técnicas para proteger sua informação. Que controle é necessário para que se possa investigar incidentes e detectar conduta inapropriada dos usuários?. Definir uma política. Implementar um registro (log) de eventos. Instalar um software antivírus. Usar uma ferramenta para rastrear as vulnerabilidades.

Quais são os dois tipos de danos resultantes de incidentes?. Danos diretos e indiretos. Danos explícitos e implícitos. Danos financeiros e emocionais. Danos visíveis e invisíveis.

A segurança física deve proteger uma organização contra o acesso não autorizado a seus ativos. Isso é ilustrado ao se pensar em termos de anéis de proteção. Qual anel de proteção lida com a proteção do acesso à propriedade?. Prédio. Anel externo. Área segura. Espaço de trabalho.

O que é um aspecto importante da segurança da informação quando se trabalha com fornecedores?. Os fornecedores devem concordar em ter controles auditáveis para proteger os dados da organização do cliente. Os fornecedores devem sempre ser responsáveis pela segurança dos dados da organização do cliente. Os fornecedores devem fazer parte do sistema de gestão de segurança da informação (SGSI) da organização do cliente. Os fornecedores devem ter a liberdade de decidir como proteger as informações dos seus clientes.

Qual é a finalidade do gerenciamento da informação na organização?. Ponderar os riscos para a organização tanto a curto quanto a longo prazo. Criar modelos de informação para atividades que requerem detalhes de sistemas complexos. Assegurar que operações rotineiras sejam realizadas de forma efetiva e eficiente. Identificar e explorar ao máximo o valor da informação.

O que tem como foco específico a proteção de informações pessoais em um sistema de gestão de segurança da informação (SGSI)?. Regulamento Geral sobre a Proteção de Dados (GDPR). Norma do Instituto de Engenheiros Eletricistas e Eletrônicos (IEEE). Padrão do Instituto Nacional de Padrões e Tecnologia (NIST). Lei Sarbanes-Oxley (SOX).

Um funcionário decide que um colega necessita de uma página de informação. O colega não tem acesso a essa informação. Logo, o funcionário cria um documento compartilhado e dá ao colega direitos de acesso a esse documento compartilhado. Como se chama esse tipo de controle de acesso?. Controle de acesso baseado em solicitação (CBAC). Controle de acesso discricionário (DAC). Controle de acesso obrigatório (MAC). Controle de acesso baseado em função (RBAC).

Sue trabalha no escritório de uma grande empresa. Ela recebe uma ligação de uma pessoa que diz ser do helpdesk. A pessoa pede a senha de Sue. Que tipo de ameaça é essa?. Ameaça natural. Ameaça organizacional. Engenharia social. Ameaça ao ambiente físico.

A autenticação forte é necessária para acessar áreas altamente protegidas. No caso da autenticação forte, a identidade de uma pessoa é verificada com o uso de múltiplos fatores. Que fator é verificado quando alguém deve usar um cartão de acesso?. Algo que faz parte da pessoa. Algo que a pessoa tem. Algo que a pessoa sabe.

Quando os funcionários estão em suas mesas, eles querem que o sistema de informação e as informações necessárias estejam disponíveis. Eles querem poder acessar a rede e os arquivos compartilhados. Qual é a melhor descrição de disponibilidade nesse caso?. O grau em que um sistema de informação está disponível para os usuários. O grau em que se garante a continuidade de uma organização. O grau em que a capacidade do sistema é suficiente para todos os usuários. A quantidade total de tempo que um sistema de informação está acessível aos usuários.

Uma empresa sofreu um grande ataque de ransomware em que o responsável pelo ataque circulou livremente dentro da rede para sabotar os sistemas. Que medida de rede poderia ter sido usada para evitar que o responsável pelo ataque circulasse livremente dentro da rede?. Firewall entre a internet e a rede local. Monitoramento da atividade da rede. Segregação em redes. Rede privada virtual (VPN). Filtro web.

Onde as mídias de backup (cópia de segurança) devem ser armazenadas?. Em um dispositivo do tipo "battle box", que deve ser mantido na casa da pessoa responsável. Em um cofre à prova d'água e à prova de fogo trancado em um centro de dados. Em outro local que seja adequadamente seguro e protegido. Em outro lugar da rede ao qual apenas o proprietário tenha acesso.

Ataques phishing pedem às potenciais vítimas para clicar em um link em um e-mail. Qual é a forma mais eficaz de evitar que esses ataques tenham êxito?. Definir uma política em que a organização nunca pedirá a seus funcionários que cliquem em um link em um e-mail. Os funcionários saberão que não deverão clicar em um link em um e-mail. Implementar um software que filtre continuamente qualquer e-mail inapropriado. Posteriormente, os funcionários poderão clicar de modo seguro em um link em qualquer e-mail. Ensinar os funcionários a passar o mouse sobre o link para ver para onde o link os direciona. É fácil ver se um link direciona o usuário para um recurso da empresa. Avisar toda a empresa imediatamente quando qualquer e-mail inapropriado for identificado. Todos os funcionários serão informados para não clicar no link.

Dois amigos desejam trocar um documento confidencial entre si. É importante que outras pessoas não consigam ver essa informação. Além disso, o destinatário deve ser capaz de validar quem é o emissor e que a informação não tenha sido alterada durante o envio. Os dois amigos utilizam uma combinação de criptografia assimétrica. Que chave deve ser usada antes da transmissão para garantir a autenticidade do documento?. Chave privada do destinatário. Chave privada do emissor. Chave pública do destinatário. Chave pública do emissor.

Frida detecta um comportamento anormal em seu computador e notifica isso para o administrador de sistemas. O administrador de sistemas realiza uma primeira investigação e decide pedir ajuda à equipe de resposta a emergências de computadores. Que tipo de escalação é aqui descrita?. Escalação funcional. Escalação hierárquica. Escalação de privilégios. Escalação vertical.

Uma organização deseja certificar seu sistema de gestão de segurança da informação (SGSI). Que norma internacional pode ser usada como base para essa certificação?. ISO/IEC 27000. ISO/IEC 27001. ISO/IEC 27002. ISO/IEC 27017.

Tanto o gerenciamento estratégico quanto o gerenciamento operacional têm papel importante na segurança da informação. Qual é a principal diferença entre gerenciamento estratégico e gerenciamento operacional?. O gerenciamento estratégico é feito por gerentes executivos, enquanto o gerenciamento operacional é feito por gerentes de linha. O gerenciamento estratégico é feito para funções individuais na organização, enquanto o gerenciamento operacional é feito para os funcionários individuais. O gerenciamento estratégico foca as necessidades de curto prazo da organização, enquanto o gerenciamento operacional foca as necessidades de longo prazo. O gerenciamento estratégico foca as necessidades de toda a organização, enquanto o gerenciamento operacional foca as operações rotineiras dos times individuais.

Um banco de dados contém alguns milhões de registros de pacientes de um hospital. Um relatório médico de um único paciente foi gerado e enviado ao paciente. O que esse relatório contém para o paciente?. Dados. Informação. Dados e informação.

Por que é importante ter uma política de segurança da informação como ponto de partida para organizar a segurança da informação?. Ela orienta os esforços relacionados à segurança da informação. Ela é necessária para a obtenção de uma certificação ISO/IEC 27002. Ela fornece instruções para a prática diária da segurança da informação. Ela mostra quem é responsável por cada área da segurança da informação.

Para reduzir o acesso não autorizado à informação, podem ser implementadas proteção de senha e segregação de funções. Que risco é especificamente reduzido com a implementação de segregação de funções?. Um funcionário usando resultados financeiros para negociar na bolsa de valores com conhecimento prévio. Tentativa de recuperação de informações de negócios por hackers externos, por meio de links externos da rede. Vazamento de informação através de canais de comunicação ocultos. Exclusão intencional de informações de negócios por um funcionário interno.

Uma empresa possui um centro de dados em uma área remota raramente visitada por pessoas que não sejam funcionários da empresa. A empresa deseja implementar controles de entrada que possam ser monitorados remotamente. Que controle de entrada é o menos apropriado?. Autenticação biométrica. Circuito fechado de televisão (CCTV). Fechaduras com leitores de crachá. Guardas de segurança.

O que a norma ISO/IEC 27005 descreve?. Controles de segurança da informação em detalhes. Requisitos do sistema de gestão de segurança da informação (SGSI). Técnicas obrigatórias de segurança da informação. Técnicas para lidar com riscos de segurança da informação.

O que é responsabilização?. Avaliar os controles de qualidade. Ser responsável por atividades. Realizar o trabalho para demonstrar conformidade. Ter propriedade de ações.

Arjun é proprietário de uma empresa em expansão que fornece serviços de entrega expressa (courier). Ele deseja elaborar uma análise de risco para seu sistema de informação. Isso inclui um levantamento das ameaças e riscos. Qual é a relação entre ameaça, risco e análise de risco?. Uma análise de risco esclarece quais ameaças são relevantes e identifica os riscos associados. Uma análise de risco ajuda a encontrar um equilíbrio apropriado entre ameaças e riscos. Uma análise de risco identifica objetivos de negócios a partir das ameaças e riscos conhecidos. Uma análise de risco é usada para eliminar os riscos de diferentes ameaças ao negócio.