Prova Paulista

Qual dos seguintes princípios de segurança da informação se concentra em garantir que apenas pessoas autorizadas tenham acesso a dados sensíveis?

• Integração

• Autenticidade

• Confiabilidade

• Disponibilidade

Answer explanation

Confidencialidade 🔐

Esse princípio é fundamental na segurança da informação porque garante que os dados sensíveis sejam acessados somente por pessoas autorizadas. A confidencialidade protege informações contra acessos não autorizados, espionagem, vazamentos e uso indevido. Ela é aplicada por meio de mecanismos como criptografia, controle de acesso, autenticação e políticas de privacidade.

Sem confidencialidade, qualquer outro princípio — como integridade ou disponibilidade — perde força, porque se qualquer pessoa pode ver ou copiar os dados, a segurança como um todo está comprometida.

Qual é o principal objetivo da ISO 27001?

• Definir controles de segurança da informação

• Implementação de controles técnicos

• Estabelecer um Sistema de Gestão de Segurança da Informação

• Estabelecer um Sistema de Gestão de Segurança da Informação

Answer explanation

✅ Estabelecer um Sistema de Gestão de Segurança da Informação (SGSI)

Esse é o principal objetivo da norma ISO/IEC 27001. Ela fornece uma estrutura para que organizações planejem, implementem, monitorem e melhorem continuamente um sistema de gestão voltado à proteção da informação — seja ela digital, física ou intelectual.

🔍 Por que isso importa?

• _{^{O SGSI ajuda a identificar riscos e vulnerabilidades.}}

• _{^{Garante que os controles (técnicos, físicos e administrativos) sejam aplicados de forma estratégica.}}

• _{^{Promove conformidade com leis e regulamentos.}}

• _{^{Fortalece a confiança de clientes e parceiros.}}

As outras opções — como definir controles ou políticas — fazem parte do processo, mas são meios para atingir o fim: um SGSI robusto e eficaz.

Qual é a importância de definir o escopo de uma PSI?

Para definir claramente os ativos, sistemas e departamentos cobertos pela política. Para determinar o design gráfico da política. Para estabelecer as responsabilidades dos funcionários. Para identificar as metas de vendas da organização.

• Para definir claramente os ativos, sistemas e departamentos cobertos pela política

• ara determinar o design gráfico da política

• ara estabelecer as responsabilidades dos funcionários

• Para identificar as metas de vendas da organização.

Answer explanation

✅ Para definir claramente os ativos, sistemas e departamentos cobertos pela política.

Essa é a resposta correta — e essencial. Ao definir o escopo de uma Política de Segurança da Informação (PSI), a organização delimita exatamente o que será protegido, quem está envolvido e quais áreas ou sistemas estão sob vigilância. Isso evita ambiguidades e garante que os controles e diretrizes sejam aplicados de forma eficaz e direcionada.

📌 Por que isso importa?

• _{^{Evita lacunas na proteção de dados.}}

• _{^{Facilita auditorias e conformidade com normas como a ISO 27001.}}

• _{^{Alinha expectativas entre áreas da empresa.}}

• _{^{Permite priorizar recursos e esforços onde há maior risco.}}

Qual é a finalidade dos controles de acesso em um sistema de segurança da informação?

• A alta administração e a equipe de Ti da organização.Gerenciar o inventário de hardware.

• Apenas a equipe de TI da organizaçãoImplementar políticas de segurança de e-mail.

• Monitorar o desempenho da rede.

• Controlar quem pode acessar determinados recursos ou informações.

Answer explanation

✅ Controlar quem pode acessar determinados recursos ou informações.

Essa é a finalidade central dos controles de acesso em um sistema de segurança da informação. Eles garantem que somente usuários autorizados possam visualizar, modificar ou interagir com dados e sistemas específicos, protegendo contra acessos indevidos, vazamentos e violações.

🔐 Por que isso é tão importante?

• _{^{Evita que informações sensíveis caiam em mãos erradas.}}

• _{^{Reduz riscos de ataques internos e externos.}}

• _{^{Permite rastrear quem acessou o quê e quando.}}

• _{^{Apoia a conformidade com normas como LGPD e ISO 27001.}}

As outras opções — como gerenciar inventário ou monitorar rede — são funções importantes, mas não são o foco dos controles de acesso. Esses controles são como porteiros digitais: só deixam entrar quem tem permissão.

Qual é o objetivo da Declaração de Aplicabilidade (SoA) de acordo com a ISO/IEC 27001?

• Identificar todas as vulnerabilidades de segurança da informação.

• Identificar e descrever os controles de segurança da informação selecionados pela organização.

• Estabelecer os objetivos de segurança da informação da organização.

• Descrever todos os incidentes de segurança ocorridos na organização.

Answer explanation

✅ Identificar e descrever os controles de segurança da informação selecionados pela organização.

Esse é o objetivo principal da Declaração de Aplicabilidade (SoA) segundo a norma ISO/IEC 27001. Ela funciona como um documento-chave que mostra quais controles foram escolhidos, por que foram selecionados ou excluídos, e como estão sendo aplicados no contexto do Sistema de Gestão de Segurança da Informação (SGSI).

📌 Por que isso é tão importante?

• _{^{Garante transparência na gestão dos riscos.}}

• _{^{Serve como base para auditorias e avaliações de conformidade.}}

• _{^{Ajuda a alinhar os controles com os requisitos legais, regulatórios e de negócios.}}

• _{^{Mostra que a organização fez uma análise consciente e justificada dos controles do Anexo A da ISO 27001.}}

As outras opções — como identificar vulnerabilidades ou incidentes — são tratadas em outros documentos e processos, mas não são o foco da SoA. Ela é como o “cardápio estratégico” dos controles de segurança escolhidos para proteger a informação da organização.

Qual é a importância do mapeamento de dados para a conformidade com a LGPD?

Selecione a alternativa correta.

• É essencial para garantir a transparência e o cumprimento dos requisitos da LGPD.

• É apenas uma recomendação da LGPD.

• A LGPD não exige mapeamento de dados.

• Auxilia na identificação de medidas de segurança da informação. É apenas uma recomendação da LGPD.

Answer explanation

✅ É essencial para garantir a transparência e o cumprimento dos requisitos da LGPD.

O mapeamento de dados é uma etapa crucial para que a organização compreenda quais dados pessoais coleta, onde estão armazenados, como são processados, com quem são compartilhados e por quanto tempo são retidos. Sem esse entendimento, é praticamente impossível atender aos princípios da LGPD, como:

• _{^{Finalidade: saber por que os dados estão sendo coletados.}}

• _{^{Necessidade: garantir que apenas os dados estritamente necessários sejam tratados.}}

• _{^{Transparência: informar claramente aos titulares como seus dados são usados.}}

• _{^{Segurança: aplicar medidas adequadas de proteção.}}

Além disso, o mapeamento permite responder rapidamente a solicitações dos titulares, como pedidos de acesso, correção ou exclusão de dados. Ou seja, é a base para uma gestão responsável e legalmente segura da informação pessoal.

O que é essencial para uma eficaz gestão de riscos de incidentes de segurança? Selecione a alternativa correta.

• Responder aos incidentes apenas quando eles ocorrerem

• Terceirizar completamente a responsabilidade pela segurança cibernética

• Ignorar completamente os incidentes de segurança.

• Implementar medidas proativas para identificar, avaliar e mitigar riscos de segurança.

Answer explanation

✅ Implementar medidas proativas para identificar, avaliar e mitigar riscos de segurança.

Essa é a alternativa correta — e a base de uma gestão de riscos realmente eficaz. A segurança da informação não pode ser reativa; ela precisa ser antecipativa e estratégica. Isso significa:

🔍 Identificar riscos antes que se tornem problemas
📊 Avaliar o impacto e a probabilidade de cada risco
🛡️ Mitigar com controles técnicos, administrativos e físicos
🔁 Monitorar continuamente e ajustar conforme o cenário muda

As outras opções são perigosamente equivocadas:

• _{^{Responder apenas quando ocorrerem = agir tarde demais.}}

• _{^{Terceirizar completamente = abdicar da responsabilidade interna.}}

• _{^{Ignorar incidentes = abrir as portas para prejuízos financeiros, legais e reputacionais.}}

Gestão de riscos é como um radar: quanto mais cedo você detecta a ameaça, maior a chance de evitar o impacto. Se quiser, posso te ajudar a montar um plano básico de gestão de riscos.

Quais são os benefícios de uma abordagem de gestão de riscos de incidentes de segurança? Selecione a alternativa correta

• Aumento da vulnerabilidade aos ataques cibernéticos.

• Maior eficiência operacional.

• Melhoria da reputação da organização.

• Redução dos custos relacionados à segurança cibernética.

Answer explanation

✅ Maior eficiência operacional.

Essa é a alternativa correta — e aqui está o porquê:

Uma abordagem eficaz de gestão de riscos de incidentes de segurança permite que a organização antecipe ameaças, responda rapidamente a incidentes e otimize seus processos de proteção, o que resulta em:

• _{^{🔧 Menos interrupções operacionais, já que os riscos são tratados antes de causarem impacto.}}

• _{^{📈 Melhor uso de recursos, com foco nos riscos mais relevantes.}}

• _{^{🧠 Decisões mais estratégicas, baseadas em dados e análises de risco.}}

• _{^{🔄 Cultura de melhoria contínua, que fortalece a resiliência da organização.}}

Embora melhoria da reputação e redução de custos possam ser consequências positivas, elas são efeitos secundários. A eficiência operacional é o benefício direto e mais tangível dessa abordagem.

Se quiser, posso te mostrar como montar um plano básico de gestão de riscos com foco em eficiência.