SEGURANCA DA INFORMACAO 2

Em um ambiente corporativo no qual ativos digitais, como dados pessoais de clientes, códigos-fonte e transações financeiras, constituem o núcleo estratégico da organização, a ausência de políticas de segurança da informação devidamente formalizadas pode representar riscos severos. Considerando a tríade confidencialidade, integridade e disponibilidade, além dos aspectos adicionais como autenticação, não repúdio e auditoria, qual das alternativas representa a falha mais grave associada à inexistência de tais políticas?

• Acesso irrestrito aos sistemas por usuários sem privilégios administrativos.

• Dificuldade de identificar incidentes naturais, como enchentes.

• Acesso irrestrito aos sistemas por usuários sem privilégios administrativos.

• Redundância excessiva em sistemas de backup.

Answer explanation

A ausência de políticas de segurança deixa vulnerabilidades abertas, sobretudo no controle de acesso, comprometendo confidencialidade e disponibilidade, sendo a falha mais crítica para a continuidade do negócio.

A cifra de César, usada por Júlio César há mais de 2000 anos, é um exemplo clássico de criptografia de substituição. Em um contexto moderno de segurança da informação, a principal limitação desse método é:

• Dependência excessiva de infraestrutura de rede segura.

• Baixa complexidade algorítmica, facilmente quebrada por análise de frequência.

• Incapacidade de garantir disponibilidade em ataques de negação de serviço.

• Alto custo de processamento computacional.

Answer explanation

A cifra de César é vulnerável a ataques de análise de frequência e brute force, demonstrando que a criptografia simples não atende às exigências atuais de confidencialidade.

Em auditorias de risco, a avaliação da probabilidade e impacto de incidentes de segurança resulta na definição de estratégias de resposta. Considerando o modelo de quadrantes de risco (alto impacto/alta probabilidade, etc.), qual seria a resposta mais adequada para um risco classificado como de alto impacto e alta probabilidade?

• Aceitar, pois o custo de mitigação é elevado.

• Mitigar, reduzindo vulnerabilidades sem eliminar o risco.

• Ignorar, pois a probabilidade de impacto não é relevante.

• Transferir ou evitar, por representar ameaça intolerável.

Answer explanation

Riscos de alta probabilidade e impacto devem ser eliminados (evitar) ou transferidos (seguro, outsourcing), pois representam ameaças críticas à continuidade do negócio.

Imagine uma instituição financeira que armazena dados de milhões de clientes em data centers. Um ataque de ransomware bloqueia o acesso aos sistemas e exige pagamento em criptomoeda. Qual princípio da tríade da segurança da informação foi diretamente comprometido?

• Confidencialidade

• Integridade

• Disponibilidade

• Legalidade

Answer explanation

O ransomware impede o acesso legítimo a sistemas e dados, comprometendo a disponibilidade, sem necessariamente alterar ou vazar as informações.

A análise de riscos em segurança da informação envolve o diagnóstico de vulnerabilidades e a proposição de medidas preventivas. Quando se define probabilidade x impacto, qual equação sintetiza a métrica de risco segundo o documento?

• Risco = Probabilidade + Impacto.

• Risco = Impacto ÷ Probabilidade.

• Risco = Probabilidade × Impacto.

• Risco = Impacto – Vulnerabilidade.

Answer explanation

O modelo de avaliação de risco utiliza a multiplicação de probabilidade pela gravidade do impacto, permitindo priorizar ações de mitigação

Um cracker utiliza engenharia social para convencer uma vítima a fornecer um código de autenticação de WhatsApp. Nesse caso, a ferramenta tecnológica explorada foi mínima, mas o ataque foi bem-sucedido. Isso demonstra que:

• Todos os ataques dependem exclusivamente de vulnerabilidades de software.

• O fator humano é vetor crítico de vulnerabilidade em segurança da informação.

• A disponibilidade é o aspecto mais afetado em engenharia social.

• Políticas de backup eliminam ataques de engenharia social.

Answer explanation

A engenharia social explora falhas humanas, não tecnológicas, evidenciando que a segurança depende de conscientização e treinamento.

A ausência de planos de continuidade de negócios em pequenas e médias empresas é considerada uma das dez maiores falhas de segurança. Qual a consequência mais provável dessa ausência diante de um desastre natural ou ataque cibernético severo?

• Rápida restauração dos serviços críticos.

• Diminuição imediata do impacto financeiro.

• Interrupção prolongada das operações e perdas de imagem.

• Aumento da segurança por redundância espontânea.

Answer explanation

Sem plano de continuidade, empresas ficam vulneráveis a longas interrupções, perdas financeiras e danos reputacionais.

No contexto da classificação de ativos, considere que um relatório de remuneração de funcionários foi vazado. Esse incidente caracteriza violação de qual princípio da tríade da segurança?

• Confidencialidade

• Integridade

• Disponibilidade

• Autenticidade

Answer explanation

O acesso não autorizado a dados sensíveis é quebra direta da confidencialidade, prejudicando a proteção de informações pessoais.

Durante a análise de riscos em uma refinaria, constatou-se que sistemas de combate a incêndio estavam inoperantes. Essa condição é classificada como:

• Ameaça

• Risco aceitável.

• Ataque passivo.

• Vulnerabilidade

Answer explanation

A inoperância de sistemas de proteção é uma vulnerabilidade, pois aumenta a probabilidade de um incidente gerar grandes impactos.

Uma empresa decide não contratar seguro contra roubo de notebooks, aceitando a possibilidade de perda financeira em caso de incidente. Essa decisão corresponde a qual estratégia de resposta ao risco?

• Evitar

• Transferir

• Aceitar

• Mitigar

Answer explanation

A aceitação do risco ocorre quando a organização opta por conviver com ele, por entender que o custo de mitigação é maior do que o impacto potencial.