INFORMATION 27 FOUNDATION

Que tipo de malware é um programa que coleta informação do usuário de um computador e a envia para terceiros?. Bomba lógica. Spyware. Trojan. Worm.

Registros (logs) permitem a visibilidade de atividades que podem identificar condições de erro ou ser usadas para evitar a ocorrência de incidentes. Para que isso seja possível, o registro deve documentar os 5W, que incluem: -O que (What) aconteceu? -Quando (When) aconteceu? -Onde (Where) aconteceu? -De onde (Where from) vem? Qual é o quinto W que precisa ser incluído no registro?. Qual (Which) ativo foi impactado?. Quem (Who) estava envolvido?. Por que (Why) isso aconteceu?.

Além de confidencialidade e integridade, qual é o principal aspecto da confiabilidade de informação?. Responsabilidade. Autenticidade. Autorização. Disponibilidade.

Como uma análise qualitativa de risco ajuda uma organização a entender especificamente o valor de seus dados e informação?. Ela calcula a expectativa de perda por incidente (SLE) de uma violação de dados ou de informação. Ela estabelece controles para contribuir com um plano de segurança da informação. Ela estima a perda financeira causada por ameaças aos dados e à informação. Ela classifica a seriedade das ameaças aos dados e à informação.

Qual regulamento de privacidade é aplicável a todos os residentes da União Europeia (UE)?. Regulamento Geral sobre a Proteção de Dados (GDPR). Sistema de Gestão de Segurança da Informação (SGSI). Padrão de Segurança de Dados da Indústria de Cartões de Pagamento (PCI-DSS). Lei Sarbanes-Oxley (SOX).

Qual é um exemplo de informação?. Um relatório que indica uma redução nos gastos dos clientes. Um script do servidor usado para gerar um relatório. Uma linha de texto binário. A capacidade de um disco rígido.

Qual é o foco da norma ISO/IEC 27001?. Conceitos e termos de segurança da informação. Sistema de gestão de segurança da informação (SGSI). Gerenciamento de riscos. Medidas de controle de segurança.

Que aspecto de confiabilidade se refere a registros serem bem organizados, completos e em conformidade?. Responsabilização. Verificabilidade. Responsabilidade. Auditabilidade.

Tanto o gerenciamento estratégico quanto o gerenciamento operacional têm papel importante na segurança da informação. Qual é a principal diferença entre gerenciamento estratégico e gerenciamento operacional?. O gerenciamento estratégico é feito por gerentes executivos, enquanto o gerenciamento operacional é feito por gerentes de linha. O gerenciamento estratégico é feito para funções individuais na organização, enquanto o gerenciamento operacional é feito para os funcionários individuais. O gerenciamento estratégico foca as necessidades de curto prazo da organização, enquanto o gerenciamento operacional foca as necessidades de longo prazo. O gerenciamento estratégico foca as necessidades de toda a organização, enquanto o gerenciamento operacional foca as operações rotineiras dos times individuais.

Onde as mídias de backup (cópia de segurança) devem ser armazenadas?. Em um dispositivo do tipo "battle box", que deve ser mantido na casa da pessoa responsável. Em um cofre à prova d'água e à prova de fogo trancado em um centro de dados. Em outro local que seja adequadamente seguro e protegido. Em outro lugar da rede ao qual apenas o proprietário tenha acesso.

Qual é a finalidade de uma política de segurança da informação?. Evitar que, acidentalmente, os funcionários não cumpram com regulamentações e legislação. Demonstrar a operação do ciclo Plan, Do, Check, Act (PDCA) em uma organização. Garantir que todos saibam quem é responsável por realizar os procedimentos de backup (cópia de segurança). Fornecer orientação e suporte à organização em relação à segurança da informação.

Dados sensíveis precisam ser protegidos contra divulgação não autorizada. Qual medida irreversível é utilizada para evitar a divulgação de dados sensíveis?. Anonimização. Prevenção contra vazamento de dad. Mascaramento de dados. Pseudonimização.

A autenticação forte é necessária para acessar áreas altamente protegidas. No caso da autenticação forte, a identidade de uma pessoa é verificada com o uso de múltiplos fatores. Que fator é verificado quando alguém deve usar um cartão de acesso?. Algo que faz parte da pessoa. Algo que a pessoa tem. Algo que a pessoa sabe.

Qual é um método eficaz para gerenciar o acesso à informação?. Assegurar que as senhas sejam compartilhadas com as pessoas certas. Bloquear os ativos do negócio o máximo possível. Usar criptografia nos pen drives da organização. Anotar uma senha para garantir que ela não seja esquecida.

Quais são os dois tipos de danos resultantes de incidentes?. Danos diretos e indiretos. Danos explícitos e implícitos. Danos financeiros e emocionais. Danos visíveis e invisíveis.

Medidas devem ter uma relação clara com os riscos identificados. A organização escolherá sua estratégia de risco com base nos riscos identificados. Que estratégia de risco é escolhida por uma organização que implementa apenas medidas repressivas de segurança?. Evitar o risco. Aceitar o risco. Reduzir o risco.

Todos os sistemas implantados em um ambiente precisam considerar medidas e requisitos de segurança da informação. Qual é a melhor maneira de alcançar isso?. Considerar os requisitos de segurança da informação e descartar aqueles que prejudicarão o desempenho de um novo sistema. Assegurar que os funcionários de segurança da informação adicionem os controles corretos a um novo sistema uma vez que esteja implantado. Implementar um conjunto de controles padrão usados para outros sistemas para manter seguro o novo sistema durante a implantação. Tornar as especificações de segurança parte dos requisitos e critérios de aceitação do projeto ao desenvolver um novo sistema.

Qual é um exemplo de um incidente de segurança?. Uma atualização de software funcional não é lançada. Consequentemente, a funcionalidade prometida não é entregue. Um funcionário não tem acesso a um aplicativo após mudar de trabalho. Ele usa a conta de um colega para usar o aplicativo. Há um apagão de energia. Isso faz com que todos os computadores se desliguem.

O que os funcionários, pessoal temporário e usuários externos devem saber sobre um incidente de segurança antes de reportá-lo?. As medidas tomadas para evitar esse incidente. Os procedimentos para notificação. Se foi intencional. Quem é o responsável pelo ataque.

Um hacker acessa um servidor e apaga um arquivo do servidor contendo números de cartões de crédito. Que aspecto de confiabilidade do arquivo de cartões de crédito é violado?. Responsabilização. Disponibilidade. Confidencialidade. Integridade.

No ciclo de vida de um incidente, há quatro etapas sucessivas. Qual é a etapa posterior à etapa de incidente?. Danos. Recuperação. Ameaça.

Qual é a diferença de foco entre ISO/IEC 27000, ISO/IEC 27001 e ISO/IEC 27002?. A ISO/IEC 27000 descreve os objetivos e requisitos para a certificação. A ISO/IEC 27001 descreve os controles necessários para a certificação. A ISO/IEC 27002 descreve como avaliar o risco e escolher os controles apropriados. A ISO/IEC 27000 descreve os objetivos da família de normas ISO/IEC 27000 e as definições utilizadas. A ISO/IEC 27001 descreve os requisitos obrigatórios para um sistema de gestão de segurança da informação (SGSI). A ISO/IEC 27002 fornece orientação mais detalhada sobre controles de segurança da informação. A ISO/IEC 27000 descreve os requisitos para o cumprimento da norma de segurança da informação. A ISO/IEC 27001 descreve como a família de normas ISO/IEC 27000 pode ser usada para estar em conformidade com a SOX e o NIST. A ISO/IEC 27002 descreve as medidas a serem tomadas para passar em uma auditoria de certificação. A ISO/IEC 27000 é uma introdução à gestão de segurança da informação. A ISO/IEC 27001 explica como auditar um SGSI. A ISO/IEC 27002 descreve os controles obrigatórios a serem aplicados para demonstrar conformidade.

Um funcionário do marketing envia acidentalmente, para um endereço de e-mail errado, um e-mail contendo uma planilha com todos os clientes da empresa e seus dados pessoais e comerciais. Como se determina o valor da informação na planilha?. A legislação de proteção de dados determina a penalidade para essa violação de dados, que equivale ao valor. A empresa determina o valor da planilha, que não tem nenhum valor, pois ela foi enviada ao destinatário errado. O destinatário da planilha determina o valor da informação, com base no uso dado a ela. O gerente de segurança determina o valor, pois uma análise de risco deveria ser criada para esse tipo de incidente.

Há diferentes controles físicos que podem ser categorizados por anéis de proteção. Que controle físico é típico para o anel do objeto?. Câmera de vigilância. Gerenciamento de acesso eletrônico. Armários resistentes ao fogo. Áreas de carregamento e descarregamento.

Alex possui uma pequena empresa em uma área industrial remota. Ultimamente, o alarme tem disparado regularmente no meio da noite. Leva-se um tempo considerável para reagir ao alarme, que sempre parece ser alarme falso. Alex decide instalar uma câmera escondida. Como se chama essa medida?. Medida detectiva. Medida preventiva. Medida repressiva (supressiva).

O que não é um critério no processo de avaliação em que se determina se a segregação de funções é aplicável a um funcionário?. Em que locais a pessoa está ativa. Em que processos de controle a pessoa está envolvida. Em que processos de tomada de decisão a pessoa está envolvida.

Qual documento melhor assegura a confidencialidade da informação?. Carta de nomeação. Acordo de não divulgação (NDA). Política. Procedimento operacional padrão (POP).

Qual área não faz parte do gerenciamento da informação?. Gestão geral. Recursos humanos (RH). Tecnologia da informação. Gerenciamento de registros.

Para que grupo a política de segurança deve ser divulgada?. Para todos os funcionários. Para todos os funcionários e terceiros relevantes. Para todos os funcionários e o conselho de gestão. Para o conselho de gestão.

Durante uma análise de risco, um administrador de sistemas menciona que, devido à falta de comunicação entre a gestão de recursos humanos (RH) e os administradores de sistemas, exfuncionários ainda conseguem acessar os servidores da empresa a partir de casa. Que característica do risco está faltando aqui?. Impacto. Controle de segurança. Agente de ameaça. Vulnerabilidade.

Qual é um controle importante que tratará especificamente da segurança de rede?. Nomear um gerente de segurança de redes para identificar vulnerabilidades e possíveis controles. Definir uma política de criptografia que inclua o gerenciamento de chaves criptográficas. Dividir a rede em segmentos menores com interfaces seguras entre os segmentos. Implementar gerenciamento da mudança para preservar a segurança da rede ao implantar mudanças.

O chief information security officer (CISO) de uma organização observa um aumento no número de incidentes de segurança da informação. A causa mais comum desses incidentes é o comportamento de funcionários internos. Qual é a reação mais apropriada para reduzir o número de incidentes de segurança da informação?. Criar um acordo de não divulgação (NDA) a ser assinado por todos os funcionários. Reescrever as políticas e os procedimentos de segurança da informação. Conduzir sessões adicionais de conscientização sobre segurança da informação para todos os funcionários. Usar processo disciplinar para todos os incidentes de segurança da informação.

Há diversas formas de garantir a segurança da informação quando se trabalha com fornecedores. O que não é recomendado quando se trabalha com fornecedores?. Assegurar que os fornecedores utilizem a ferramenta de incidente de segurança da informação da organização. Incluir os requisitos de segurança da informação no contrato com o fornecedor. Disponibilizar para o fornecedor a política de segurança da informação da organização. Solicitar que o fornecedor seja independentemente certificado com a ISO/IEC 27001.

Alguém envia um e-mail. O emissor quer que o destinatário seja capaz de verificar quem escreveu e enviou o e-mail. O que o emissor anexa ao e-mail?. Uma assinatura digital. Um certificado de uma infraestrutura de chave pública (ICP). A chave privada do emissor. A chave pública do emissor.

Por que avaliações de segurança da informação são importantes?. Elas avaliam o desempenho do chief information security manager (CISO) ao verificar se os controles estão funcionando. Elas encontram ameaças à segurança da informação e identificam os funcionários que causaram essas ameaças. Elas ajudam a determinar se o sistema de gestão de segurança da informação (SGSI) é adequado e eficaz. Elas revisam o SGSI antes que auditores externos realizem a auditoria da certificação para assegurar sua aprovação nessa auditoria.

Uma organização deseja poder provar a ocorrência de um evento no caso de um incidente de segurança da informação. Qual é o nome desse requisito?. Autenticação. Integridade. Não-repúdio. Ameaça.

Qual é uma ameaça humana intencional?. Conserto de um telhado mal feito que causa infiltração. Rótulo errado em um fusível que provoca um corte de energia. Funcionário que vende dados da empresa. Desconexão de um plugue que causa um desligamento.

Dois amigos desejam trocar um documento confidencial entre si. É importante que outras pessoas não consigam ver essa informação. Além disso, o destinatário deve ser capaz de validar quem é o emissor e que a informação não tenha sido alterada durante o envio. Os dois amigos utilizam uma combinação de criptografia assimétrica. Que chave deve ser usada antes da transmissão para garantir a autenticidade do documento?. Chave privada do destinatário. Chave privada do emissor. Chave pública do destinatário. Chave pública do emissor.

Quem está autorizado a reduzir a classificação de um documento sem permissão adicional?. O administrador do documento. O autor do documento. O gerente do proprietário do documento. O proprietário do documento.

Uma organização ainda não implementou controles físicos. Qual é a ameaça mais provável de acontecer?. Um celular contendo informação confidencial ser perdido. Um servidor parar de funcionar por estar úmido demais. Um vírus infectar vários computadores porque o firewall está desatualizado. Um funcionário ler arquivos que não está autorizado a ler.