Um inquérito administrativo foi aberto para a apuração de responsabilidades pelos impactos da paralisação das atividades de determinado órgão do Judiciário brasileiro, em decorrência de um desastre ocorrido na área de TI. Uma equipe, composta por pessoal interno ao órgão e por investigadores independentes, contratados para assessorar as investigações, inquiriu a equipe que atua na área de segurança da informação, entre outras pessoas, tendo realizado entrevistas, coletado evidências e apresentado pareceres sobre a fragilidade dos planos de continuidade de negócios do órgão, bem como sobre os controles de becape, tratamento de incidentes e problemas. Foram evidenciadas algumas falhas conceituais, tanto operacionais quanto estratégicas, entre várias outras evidências de comportamento consistente. Considerando essa situação e os conceitos de planos de continuidade de negócio, becape, recuperação de dados e tratamento de incidentes e problemas, assinale a opção que apresenta evidência de comportamento consistente.
De acordo com a norma NBR ISO/IEC 27001, a organização deve definir uma política do SGSI que
À luz das normas ISO/IEC 27001 e 27002, julgue os próximos itens, relativos à segurança da informação.
Os fatores críticos para a implementação bem-sucedida da segurança da informação incluem a compreensão dos requisitos de segurança da informação, a análise e a gestão de riscos.
Com base no disposto na NBR ISO/IEC 27001:2013, julgue o item a seguir, relativo à gestão de segurança da informação.
Devido a seu conteúdo confidencial e estratégico, a política de segurança da informação de uma organização deve estar disponível, como informação documentada, exclusivamente para a alta gerência.
À luz das normas ISO/IEC 27001 e 27002, julgue os próximos itens, relativos à segurança da informação.
Ao elaborar, manter, melhorar e implantar um sistema de gestão de segurança da informação, a organização deve considerar as características técnicas de seu negócio, e o SGSI (sistema de gestão de segurança da informação) deve ser documentado dentro do contexto de suas atividades operacionais, sem, contudo, envolver a direção da organização.
A Norma ISO/IEC nº 27001 foi projetada para prover um modelo para estabelecer, implantar, operar, monitorar, rever, manter e melhorar um Sistema de Gestão da Segurança da Informação (Information Security Management System – ISMS). A norma tem compatibilidade com a ISO 9001 e a ISO 14001. Em termos operacionais, a norma é dividida em cinco grandes seções. Assinale a alternativa que apresenta duas características do sistema de gestão da segurança da informação.
Julgue os itens a seguir, no que se refere ao sistema de gestão de
segurança da informação (SGSI).
O escopo e os limites de um sistema de gestão de segurança da informação são definidos na etapa de implementação e operação do sistema.
Julgue os itens a seguir, no que se refere ao sistema de gestão de
segurança da informação (SGSI).
Para estabelecer o SGSI, é necessário definir a estratégia de avaliação dos riscos da organização.
De acordo com as normas NBR ISO/IEC n.º 27.001 e n.º 27.002 julgue o item a seguir, acerca de gestão de segurança da informação.
Cabe ao controle de segurança dos arquivos do sistema exigir documento formal para que os usuários de uma organização tenham acesso ao servidor de arquivos.
De acordo com as normas NBR ISO/IEC n.º 27.001 e n.º 27.002
julgue os itens a seguir, acerca de gestão de segurança da
informação.
Em um projeto para construção de área física com vistas à proteção de ativos de informação, devem ser considerados controles para prevenir ameaças como enchente e terremotos.
Com base na norma NBR 27001/2006, relacione os termos estabelecidos na coluna 1 com as definições na coluna 2 .
Coluna 1:
(I) Avaliação de Riscos.
(II) Gestão de Riscos.
(III) Análise de Riscos.
(IV) Incidente de Segurança da Informação.
(V) Evento de Segurança da Informação.
Coluna 2:
(A) Evento ou série de eventos de segurança da informação indesejados ou inesperados, que tenham grande probabilidade de comprometer as operações do negócio e ameaçar a segurança da informação.
(B) Ocorrência identificada de um estado de sistema, serviço ou rede, indicando possível violação da política de segurança da informação, ou falha de controles, ou situação previamente desconhecida, que possa ser relevante para a segurança da informação.
(C) Processo de comparar o risco estimado com critérios de risco predefinidos para determinar a importância do risco.
(D) Uso sistemático de informações para identificar fontes e estimar o risco.
(E) Atividades coordenadas para direcionar e controlar uma organização no que se refere a riscos.
Assinale a alternativa que contém a associação correta.
A NBR 27001/2006 define requisitos de documentação para o SGSI, a qual deve incluir registros de decisões da direção, assegurar que as ações sejam rastreáveis e que os resultados registrados sejam reproduzíveis.
Sobre a documentação no SGSI, considere as afirmativas a seguir.
I. Evita a existência de documentos de origem externa.
II. Assegura que as alterações e a situação da revisão atual dos documentos sejam identificadas.
III. Assegura que a distribuição de documentos seja controlada.
IV. Previne o uso não intencional de documentos obsoletos.
Assinale a alternativa correta.
A NBR 27001/2006 provê um modelo para especificar e implementar um Sistema de Gestão de Segurança da Informação (SGSI). Ela adota um modelo conhecido como Plan-Do-Check-Act (PDCA), que é aplicado para estruturar todos os processos do SGSI.
Com relação às etapas do modelo PDCA, considere as afirmativas seguir.
I. Do implementa e opera a política, os controles, os processos e os procedimentos do SGSI.
II. Plan avalia e, quando aplicável, mede o desempenho de um processo frente à política, aos objetivos e à experiência prática do SGSI e apresenta os resultados para análise crítica pela direção.
III. Check estabelece a política, os objetivos, os processos e os procedimentos do SGSI relevantes para a gestão de riscos e a melhoria da segurança da informação para produzir resultados de acordo com as políticas e os objetivos globais de uma organização.
IV. Act executa as ações corretivas e preventivas, com base nos resultados da auditoria interna do SGSI e da análise crítica feita pela direção e em outras informações pertinentes, para alcançar a melhoria contínua do SGSI.
Assinale a alternativa correta.
