Revisão SI AV2

Com relação à segurança da informação, assinale a opção correta.

• Worm é um programa ou parte de um programa de computador, usualmente malicioso, que se propaga ao criar cópias de si mesmo e, assim, se torna parte de outros programas e arquivos.

• Backdoor é um programa que permite o acesso de uma máquina a um invasor de computador, pois assegura a acessibilidade a essa máquina em modo remoto, sem utilizar, novamente, os métodos de realização da invasão.

• Spyware é um programa que permite o controle remoto do agente invasor e é capaz de se propagar automaticamente, pois explora vulnerabilidades existentes em programas instalados em computadores.

• Vírus é um programa que monitora as atividades de um sistema e envia informações relativas a essas atividades para terceiros. Um exemplo é o vírus keylogger que é capaz de armazenar os caracteres digitados pelo usuário de um computador.

• Bot é um programa capaz de se propagar, automaticamente, por rede, pois envia cópias de si mesmo de computador para computador, por meio de execução direta ou por exploração automática das vulnerabilidades existentes em programas instalados em computadores.

Sobre a Gestão de Risco, julgue as afirmações abaixo:

I- Denominamos vulnerabilidade as fraquezas de um ativo de informação, todavia, só torna-se crítica quando temos uma ameaça que possa explorá-la.

II- A classificação da informação quanto ao seu sigilo, permite o uso de mecanismos adequados de proteção, justamente para não termos gastos desnecessários e desproporcionais com estes mecanismos.

III- A análise de risco permite que possamos verificar a quais ameaças estamos expostos, bem como os impactos que estas ameaças podem ocasionar em nossos ativos de informação. Sobre as afirmações abaixo, quais as afirmações estão corretas?

• Todas as afirmações estão corretas

• Apenas a afirmação II

• Apenas a afirmação II e III

• Apenas a afirmação I e II

• Apenas a afirmação I

Porque as organizações devem realizar auditorias internas do SGSI em intervalos regulares?

• Para determinar se os objetivos de controle, processos e procedimentos atendem aos requisitos da norma NBR ISO/IEC 27001.

• Para determinar se os objetivos de riscos, processos e procedimentos atendem aos requisitos da norma NBR ISO/IEC 27001.

• Para determinar se os objetivos de controle, processos e incidentes atendem aos requisitos da norma NBR ISO/IEC 27001.

• Para determinar se os objetivos de risco, processos e incidentes atendem aos requisitos da norma NBR ISO/IEC 27001.

• Para determinar se os objetivos de ameaças, vulnerabilidades e procedimentos atendem aos requisitos da norma NBR ISO/IEC 27001.

A norma ISO/IEC 27001 foi elaborada para prover um modelo para:

• Melhorar o mecanismo de entrega de serviço, usado para medir o nível de satisfação dos clientes, melhorando a eficácia da gestão da empresa.

• Melhorar a gestão de uma empresa, podendo ser aplicado em conjunto com outras normas de funcionamento, como normas de saúde ocupacional e de meio ambiente.

• Cumprir certos requisitos, para que as várias fases sejam cumpridas de forma adequada.

• Ser implementada por organizações de menor porte, independentemente da sua área de atividade.

• Estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar um Sistema de Gestão de Segurança da Informação (SGSI).

MPE/PE 2012 - FCC - ANALISTA MINISTERIAL - INFORMÁTICA Sobre a estrutura, objetivos e conceitos gerais da Norma NBR ISO/IEC 27002, é CORRETO afirmar:

• Define política como sendo as intenções e diretrizes globais formalmente expressas pela direção e define risco como sendo a combinação da probabilidade de um evento e de suas consequências.

• Define avaliação de riscos como um conjunto de atividades coordenadas para direcionar e controlar uma organização no que se refere a riscos. Geralmente inclui o tratamento de riscos, a aceitação de riscos e a comunicação de riscos.

• Tem como objetivo geral especificar os requisitos para estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar um SGSI documentado dentro do contexto dos riscos de negócio globais da organização.

• Contém 21 seções de controles de segurança da informação, que juntas totalizam 59 categorias principais que abordam a análise/avaliação e o tratamento de riscos.

• Define segurança da informação como forma de gerenciar o risco, incluindo políticas, procedimentos, diretrizes, práticas ou estruturas organizacionais, que podem ser de natureza administrativa, técnica, de gestão ou legal.

Considerando os aspectos da segurança da informação, a possibilidade de uma determinada ameaça explorar vulnerabilidades de um ativo ou de um conjunto de ativos, prejudicando a organização, é chamada de:

• Criticidade de ativo.

• Riscos de segurança da informação.

• Impacto organizacional.

• Incidentes de segurança da informação.

• Eventos de segurança da informação.

Sobre a Gestão de Riscos, a empresa ACME LTDA, famosa por fornecer equipamentos tecnológicos aos mais diversos clientes, sofre de constantes ataques de malware. Assim, resolveu por adotar solução de antivírus, pois mesmo que seja uma ameaça que não consiga ser erradicada, a ação diminui os impactos originados por esta ameaça. Destarte, sobre as opções de tratamento de risco, qual fora adotada neste caso?

• Reclusar

• Evitar

• Compartilhar

• Reter

• Modificar

Com relação à segurança da informação, um Firewall é:

• um sistema baseado em protocolos sofisticados de criptografia que analisa todas as senhas utilizadas na rede local e garante que os usuários utilizem apenas senhas fortes.

• um conjunto de sistemas `nobreak¿ que servem para garantir o funcionamento dos servidores quando falta energia.

• um servidor que realiza a autenticação de todos os usuários da rede, requisitando contas e senhas, muitas vezes combinadas com autenticação biométrica.

• um dispositivo de segurança da rede que monitora o tráfego de rede de entrada e saída e decide permitir ou bloquear tráfegos específicos de acordo com um conjunto definido de regras de segurança.

• um sistema que investiga a ocorrência de vírus em uma rede, ao varrer todos os computadores da rede procurando por arquivos infectados.

Dentre os controles mencionados no Anexo A da norma NBR ISO/IEC 27001:2013 está: ¿Todos os funcionários da organização e, onde pertinente, as partes externas devem receber treinamento, educação e conscientização apropriados, e as atualizações regulares das políticas e procedimentos organizacionais relevantes para as suas funções. ¿ Este controle é parte da seção:

• Segurança física e do ambiente.

• Segurança em recursos humanos.

• Organização da segurança da informação.

• Política de segurança da informação.

• Segurança nas operações.

Qual o nome do ataque que tem o intuito de enviar uma quantidade em "massa" de e-mails muitas das vezes indesejáveis ?

• Adware

• Spyware

• Rootkit

• Backdoor

• Spam