Questões de Concurso
Comentadas sobre análise de vulnerabilidade e gestão de riscos em segurança da informação
Foram encontradas 812 questões
Ano: 2026
Banca:
IF-PI
Órgão:
IF-PI
Prova:
IF-PI - 2026 - IF-PI - Analista de Tecnologia da Informação |
Q4399804
Segurança da Informação
A ABNT NBR ISO/IEC 27005:2023 —
Segurança da informação, segurança cibernética
e proteção à privacidade — Orientações para
gestão de riscos de segurança da informação
estabelece orientações para o processo de gestão
de riscos de segurança da informação. A respeito
desse processo, considere as afirmativas a seguir.
I. Na abordagem baseada em ativos, a identificação de riscos compreende o reconhecimento dos ativos, das ameaças a que estão sujeitos, das vulnerabilidades que podem ser exploradas e das consequências para a organização.
II. A análise de riscos tem por objetivo compreender a natureza do risco e determinar seu nível, combinando a probabilidade de ocorrência e as consequências potenciais para a organização.
III. A avaliação de riscos consiste em comparar os resultados da análise de riscos com os critérios de risco estabelecidos, entre eles, os critérios de aceitação do risco, a fim de decidir sobre a necessidade e a prioridade do tratamento.
IV. Entre as opções de tratamento de riscos admitidas estão a alteração da probabilidade ou das consequências mediante a implementação de controles, a retenção do risco por decisão informada, a ação de evitar o risco pela não realização ou interrupção da atividade que o origina e o compartilhamento do risco com terceiros.
V. O compartilhamento do risco, mediante contratação de seguro ou terceirização da atividade, transfere ao terceiro a responsabilidade da organização pelo risco, de modo que esta deixa de responder por suas consequências.
Assinale a alternativa que contém todas as afirmativas CORRETAS
I. Na abordagem baseada em ativos, a identificação de riscos compreende o reconhecimento dos ativos, das ameaças a que estão sujeitos, das vulnerabilidades que podem ser exploradas e das consequências para a organização.
II. A análise de riscos tem por objetivo compreender a natureza do risco e determinar seu nível, combinando a probabilidade de ocorrência e as consequências potenciais para a organização.
III. A avaliação de riscos consiste em comparar os resultados da análise de riscos com os critérios de risco estabelecidos, entre eles, os critérios de aceitação do risco, a fim de decidir sobre a necessidade e a prioridade do tratamento.
IV. Entre as opções de tratamento de riscos admitidas estão a alteração da probabilidade ou das consequências mediante a implementação de controles, a retenção do risco por decisão informada, a ação de evitar o risco pela não realização ou interrupção da atividade que o origina e o compartilhamento do risco com terceiros.
V. O compartilhamento do risco, mediante contratação de seguro ou terceirização da atividade, transfere ao terceiro a responsabilidade da organização pelo risco, de modo que esta deixa de responder por suas consequências.
Assinale a alternativa que contém todas as afirmativas CORRETAS
Q4396492
Segurança da Informação
Durante uma análise de vulnerabilidades, o OpenV AS identifica em um servidor um
software associado a uma entrada CVE e apresenta uma pontuação CVSS. Sobre esses
elementos, assinale a alternativa correta.
Q4396472
Segurança da Informação
Na gestão de riscos cibernéticos, vulnerabilidades identificadas em sistemas podem
receber classificações de severidade, por exemplo, CVSS, divulgadas em bancos de dados
como o National Vulnerability Database (NVD). Sobre a priorização do tratamento
dessas vulnerabilidades em um laboratório de pesquisas sobre controle industrial de uma
universidade, pode-se afirmar que:
Ano: 2026
Banca:
Gama Consult
Órgão:
Câmara de São Miguel do Guaporé - RO
Prova:
Gama Consult - 2026 - Câmara de São Miguel do Guaporé - RO - Gestor de Tecnologia da Informação |
Q4395242
Segurança da Informação
Em um programa de gestão de vulnerabilidades baseado
em risco, uma vulnerabilidade de CVSS inferior a outra deve
receber prioridade quando:
Ano: 2026
Banca:
Gama Consult
Órgão:
Câmara de São Miguel do Guaporé - RO
Prova:
Gama Consult - 2026 - Câmara de São Miguel do Guaporé - RO - Gestor de Tecnologia da Informação |
Q4395241
Segurança da Informação
Segundo a seção 8 da ISO/IEC 27005:2022, o processo de
avaliação de riscos compreende:
Ano: 2026
Banca:
Gama Consult
Órgão:
Câmara de São Miguel do Guaporé - RO
Prova:
Gama Consult - 2026 - Câmara de São Miguel do Guaporé - RO - Gestor de Tecnologia da Informação |
Q4395238
Segurança da Informação
No contexto de pipelines de Integração e Entrega
Contínuas (CI/CD) sob o paradigma DevSecOps, a prática de
aplicar testes estáticos de segurança da informação
diretamente no código-fonte em repouso (at rest), antes de
sua compilação ou execução em ambiente de staging, é
denominada:
Ano: 2026
Banca:
FGV
Órgão:
DATAPREV
Prova:
FGV - 2026 - DATAPREV - Analista de Tecnologia da Informação – Desenvolvimento de Software |
Q4389042
Segurança da Informação
Maria, que trabalha no departamento de TI de um órgão público,
faz parte de uma equipe que foi designada para adquirir novos
equipamentos de rede para serem integrados àqueles já
existentes no datacenter do órgão.
Com base em conceitos básicos de gestão de riscos em TI, analise as afirmativas a seguir.
I. As estratégias de gestão dos riscos que por ventura possam surgir em uma contratação/aquisição isolada não precisam estar integrados à Política de Gestão de Riscos da organização.
II. Identificação, análise e planejamento de respostas aos riscos são etapas do gerenciamento de riscos.
III. Os riscos identificados em uma contratação/aquisição devem estar registrados no Mapa de Gerenciamento de Riscos, todavia, as estratégias de mitigação não devem estar no Mapa.
Está correto o que se afirma em
Com base em conceitos básicos de gestão de riscos em TI, analise as afirmativas a seguir.
I. As estratégias de gestão dos riscos que por ventura possam surgir em uma contratação/aquisição isolada não precisam estar integrados à Política de Gestão de Riscos da organização.
II. Identificação, análise e planejamento de respostas aos riscos são etapas do gerenciamento de riscos.
III. Os riscos identificados em uma contratação/aquisição devem estar registrados no Mapa de Gerenciamento de Riscos, todavia, as estratégias de mitigação não devem estar no Mapa.
Está correto o que se afirma em
Ano: 2026
Banca:
FGV
Órgão:
DATAPREV
Prova:
FGV - 2026 - DATAPREV - Analista de Tecnologia da Informação – Desenvolvimento de Software |
Q4389017
Segurança da Informação
No contexto do desenvolvimento seguro de software, ferramentas
de análise de segurança, como Static Application Security Testing
(SAST) e Dynamic Application Security Testing (DAST), são
utilizadas para identificar vulnerabilidades em diferentes
momentos do ciclo de desenvolvimento, contribuindo para a
redução dos riscos de segurança das aplicações.
Com base nesse cenário, assinale a afirmativa correta.
Com base nesse cenário, assinale a afirmativa correta.
Ano: 2026
Banca:
FGV
Órgão:
DATAPREV
Prova:
FGV - 2026 - DATAPREV - Analista de Tecnologia da Informação – Arquitetura, Engenharia e Sustentação Tecnológica |
Q4389001
Segurança da Informação
No contexto do desenvolvimento seguro de software, a equipe de
sistemas da DATAPREV decidiu incorporar ferramentas de análise
estática de código ao processo de desenvolvimento, com o
objetivo de identificar vulnerabilidades e problemas de qualidade
antes da execução das aplicações.
Considerando as características da análise estática de código, assinale a afirmativa correta.
Considerando as características da análise estática de código, assinale a afirmativa correta.
Ano: 2026
Banca:
FGV
Órgão:
DATAPREV
Prova:
FGV - 2026 - DATAPREV - Analista de Tecnologia da Informação – Segurança Cibernética e Proteção de Dados |
Q4383043
Segurança da Informação
A equipe de resposta a incidentes da DATAPREV identificou, em
curto intervalo de tempo, quatro incidentes de segurança. Como
os recursos disponíveis são limitados, o coordenador precisa
estabelecer critérios para definir a prioridade de tratamento
desses incidentes.
Para esse caso, de acordo com a NIST SP 800-61 Rev. 3, assinale a afirmativa correta.
Para esse caso, de acordo com a NIST SP 800-61 Rev. 3, assinale a afirmativa correta.
Ano: 2026
Banca:
FGV
Órgão:
DATAPREV
Prova:
FGV - 2026 - DATAPREV - Analista de Tecnologia da Informação – Segurança Cibernética e Proteção de Dados |
Q4383035
Segurança da Informação
No contexto das operações modernas de segurança cibernética, a
postura defensiva combina a geração contínua de conhecimento
sobre ameaças com a investigação ativa no ambiente corporativo.
Relacione as práticas de segurança a seguir às suas respectivas características operacionais.
1. Threat Hunting
2. Cyber Threat Intelligence (CTI)
( ) Atividade proativa e iterativa conduzida internamente no ambiente, que parte do pressuposto de que os controles automatizados falharam e de que o invasor já pode ter obtido acesso à rede.
( ) Compartilhamento e consumo de dados estruturados sobre ameaças e relatórios de tendências do cenário global de ataques.
( ) Formulação e validação de hipóteses investigativas orientadas a anomalias para inspecionar minuciosamente a telemetria interna (como logs de endpoints e fluxos de rede) em busca de atividades não alertadas.
( ) Coleta, processamento e análise de informações sobre motivações, capacidades e campanhas de agentes maliciosos externos, visando orientar tomadas de decisão táticas e estratégicas na organização.
Assinale a opção que indica a relação correta.
Relacione as práticas de segurança a seguir às suas respectivas características operacionais.
1. Threat Hunting
2. Cyber Threat Intelligence (CTI)
( ) Atividade proativa e iterativa conduzida internamente no ambiente, que parte do pressuposto de que os controles automatizados falharam e de que o invasor já pode ter obtido acesso à rede.
( ) Compartilhamento e consumo de dados estruturados sobre ameaças e relatórios de tendências do cenário global de ataques.
( ) Formulação e validação de hipóteses investigativas orientadas a anomalias para inspecionar minuciosamente a telemetria interna (como logs de endpoints e fluxos de rede) em busca de atividades não alertadas.
( ) Coleta, processamento e análise de informações sobre motivações, capacidades e campanhas de agentes maliciosos externos, visando orientar tomadas de decisão táticas e estratégicas na organização.
Assinale a opção que indica a relação correta.
Ano: 2026
Banca:
FGV
Órgão:
DATAPREV
Prova:
FGV - 2026 - DATAPREV - Analista de Tecnologia da Informação – Segurança Cibernética e Proteção de Dados |
Q4383034
Segurança da Informação
O OWASP IoT Top 10 (2018) apresenta categorias de riscos de
segurança associados ao desenvolvimento, à implantação e ao
gerenciamento de dispositivos de Internet das Coisas (IoT).
Durante uma auditoria da DATAPREV em um lote recém-adquirido de sensores IoT, a equipe técnica constatou que
• a senha administrativa inicial atende aos critérios de complexidade e deve ser alterada no primeiro acesso;
• o dispositivo dispõe de funcionalidade própria para atualização de firmware pela rede local;
• após receber um pacote de atualização, o dispositivo inicia sua instalação sem verificar a assinatura digital do pacote nem empregar mecanismo criptográfico para confirmar sua integridade.
Considerando especificamente a falha encontrada no processo de atualização, assinale a opção que apresenta, segundo o OWASP IoT Top 10 (2018), sua classificação correta.
Durante uma auditoria da DATAPREV em um lote recém-adquirido de sensores IoT, a equipe técnica constatou que
• a senha administrativa inicial atende aos critérios de complexidade e deve ser alterada no primeiro acesso;
• o dispositivo dispõe de funcionalidade própria para atualização de firmware pela rede local;
• após receber um pacote de atualização, o dispositivo inicia sua instalação sem verificar a assinatura digital do pacote nem empregar mecanismo criptográfico para confirmar sua integridade.
Considerando especificamente a falha encontrada no processo de atualização, assinale a opção que apresenta, segundo o OWASP IoT Top 10 (2018), sua classificação correta.
Q4375796
Segurança da Informação
Uma sociedade empresária que processa informações pessoais
decidiu atualizar seu programa de governança em segurança da
informação com base no NIST Cybersecurity Framework (CSF)
versão 1.1.
Durante o mapeamento de processos, a equipe de segurança da informação constatou grande dependência de fornecedores externos para sustentação de sistemas legados, aquisição de componentes de software de terceiros (open source e proprietários) e hospedagem de serviços em nuvem pública.
Visando mitigar ameaças decorrentes desse cenário, os gestores de segurança da informação determinaram a estruturação formal de processos alinhados à Gestão de Riscos na Cadeia de Suprimentos Cibernética (Cyber Supply Chain Risk Management – C-SCRM).
Considerando as diretrizes do NIST CSF v1.1 para a gestão de riscos na cadeia de suprimentos cibernética, assinale a opção que apresenta condutas alinhadas aos objetivos do C-SCRM.
Durante o mapeamento de processos, a equipe de segurança da informação constatou grande dependência de fornecedores externos para sustentação de sistemas legados, aquisição de componentes de software de terceiros (open source e proprietários) e hospedagem de serviços em nuvem pública.
Visando mitigar ameaças decorrentes desse cenário, os gestores de segurança da informação determinaram a estruturação formal de processos alinhados à Gestão de Riscos na Cadeia de Suprimentos Cibernética (Cyber Supply Chain Risk Management – C-SCRM).
Considerando as diretrizes do NIST CSF v1.1 para a gestão de riscos na cadeia de suprimentos cibernética, assinale a opção que apresenta condutas alinhadas aos objetivos do C-SCRM.
Ano: 2026
Banca:
Avança SP
Órgão:
Câmara de Três Corações - MG
Prova:
Avança SP - 2026 - Câmara de Três Corações - MG - Analista em Tecnologia da Informação |
Q4305111
Segurança da Informação
No âmbito da segurança informação, а
mitigação de riscos envolve o mapeamento dos
pontos por onde um agente malicioso pode
tentar inserir ou extrair dados de um ambiente
computacional. O conjunto total de todas as
vulnerabilidades e pontos de entrada possíveis
e expostos que podem ser explorados por um
invasor é chamado de
Ano: 2026
Banca:
EDUCA
Órgão:
Prefeitura de Triunfo - PE
Prova:
EDUCA - 2026 - Prefeitura de Triunfo - PE - Técnico em Informática |
Q4295199
Segurança da Informação
Uma organização realizou uma avaliação de segurança em
sua rede de computadores com o objetivo de identificar
vulnerabilidades e reduzir os riscos de acessos não
autorizados. Durante a análise, foram considerados
aspectos relacionados às técnicas de invasão, formas de
abordagem de possíveis ataques e análise de riscos.
Com base nessa situação, analise as afirmativas a seguir:
I. A análise de riscos busca identificar ameaças e vulnerabilidades, avaliando a possibilidade de ocorrência de incidentes e seus potenciais impactos sobre os ativos da organização.
II. Técnicas de engenharia social podem explorar aspectos relacionados ao comportamento humano para induzir usuários a fornecer informações ou realizar ações que comprometam a segurança.
III. Testes de invasão (penetration testing), quando autorizados, podem ser utilizados para identificar e avaliar vulnerabilidades de sistemas e redes.
IV. A utilização de senhas fortes, autenticação multifator e controle adequado de privilégios são medidas que podem contribuir para reduzir riscos de acesso não autorizado.
V. A identificação de uma vulnerabilidade significa que um ataque necessariamente ocorrerá, independentemente das medidas de segurança adotadas pela organização.
Estão CORRETAS
Com base nessa situação, analise as afirmativas a seguir:
I. A análise de riscos busca identificar ameaças e vulnerabilidades, avaliando a possibilidade de ocorrência de incidentes e seus potenciais impactos sobre os ativos da organização.
II. Técnicas de engenharia social podem explorar aspectos relacionados ao comportamento humano para induzir usuários a fornecer informações ou realizar ações que comprometam a segurança.
III. Testes de invasão (penetration testing), quando autorizados, podem ser utilizados para identificar e avaliar vulnerabilidades de sistemas e redes.
IV. A utilização de senhas fortes, autenticação multifator e controle adequado de privilégios são medidas que podem contribuir para reduzir riscos de acesso não autorizado.
V. A identificação de uma vulnerabilidade significa que um ataque necessariamente ocorrerá, independentemente das medidas de segurança adotadas pela organização.
Estão CORRETAS
Ano: 2026
Banca:
FCC
Órgão:
ARTESP
Prova:
FCC - 2026 - ARTESP - Agente de Fiscalização à Regulação do Transporte I - Tecnologia da Informação |
Q4293853
Segurança da Informação
Uma equipe de desenvolvimento de uma concessionária de ônibus intermunicipais mantém microsserviços para cálculo de
tarifas, controle de assentos e processamento de pagamentos. Na pipeline de CI/CD, o SAST passou a sinalizar, em um serviço
de cálculo de tarifas, possível risco de SQL injection em uma query usada em relatórios internos. O DAST, executado automaticamente sobre o ambiente de homologação com dados de teste, não identificou vulnerabilidades de SQL injection nesse
serviço. Nesse cenário, a opção que descreve de forma mais adequada essa situação e a postura recomendada da equipe é:
Ano: 2026
Banca:
FGV
Órgão:
TCE-PE
Prova:
FGV - 2026 - TCE-PE - Auditor de Controle Externo – Tecnologia da Informação - REAPLICAÇÃO |
Q4279892
Segurança da Informação
Concluída a análise de riscos de segurança da informação de uma
autarquia estadual conforme a ABNT NBR ISO/IEC 27005, a direção
decide, quanto ao risco de perdas financeiras decorrentes de
interrupção prolongada do data center, contratar apólice de
seguro que cubra os prejuízos de eventual concretização do
evento, mantendo a operação como está.
Nos termos da norma, essa decisão corresponde à opção de tratamento de risco denominada
Nos termos da norma, essa decisão corresponde à opção de tratamento de risco denominada
Ano: 2026
Banca:
IDIB
Órgão:
Prefeitura de Araguaína - TO
Prova:
IDIB - 2026 - Prefeitura de Araguaína - TO - Técnico II - Analista de Sistemas |
Q4260146
Segurança da Informação
Uma organização contrata especialistas em segurança para
simular ataques cibernéticos reais contra sua infraestrutura de
rede e aplicações, com o objetivo de explorar ativamente as
fraquezas identificadas e avaliar o impacto potencial de uma
invasão bem-sucedida. Assinale a alternativa correspondente a
essa prática de análise de vulnerabilidade.
Ano: 2026
Banca:
FUNDATEC
Órgão:
IPAM - Caxias do Sul - RS
Prova:
FUNDATEC - 2026 - IPAM - Caxias do Sul - RS - Técnico em Informática |
Q4246541
Segurança da Informação
Após aplicar controles de mitigação a um risco de segurança identificado, a gestão
de TI de uma empresa avalia que o nível de exposição remanescente é tolerável e decide não investir
em controles adicionais. Sobre esse cenário, à luz da NBR ISO/IEC 27005, analise as assertivas a
seguir:
I. O risco remanescente após a aplicação dos controles é denominado risco residual.
II. A decisão de não investir em controles adicionais, tolerando o risco residual, caracteriza a aceitação do risco.
III. A aceitação do risco não elimina formalmente a necessidade de monitoramento futuro.
Quais estão corretas?
I. O risco remanescente após a aplicação dos controles é denominado risco residual.
II. A decisão de não investir em controles adicionais, tolerando o risco residual, caracteriza a aceitação do risco.
III. A aceitação do risco não elimina formalmente a necessidade de monitoramento futuro.
Quais estão corretas?
Ano: 2026
Banca:
FUNDATEC
Órgão:
CRA-RS
Prova:
FUNDATEC - 2026 - CRA-RS - Analista de Tecnologia da Informação e Comunicação |
Q4244323
Segurança da Informação
Durante a implantação de um Sistema de Gestão de Segurança da
Informação (SGSI), um analista precisa definir as etapas de tratamento de riscos e seleção de
controles. À luz das diretrizes e dos requisitos da ABNT NBR ISO/IEC 27001:2022, analise as assertivas
a seguir:
I. A organização deve primeiro avaliar os riscos identificados e selecionar opções de tratamento adequadas para somente depois determinar os controles necessários para implementar o tratamento escolhido.
II. A norma exige a implementação obrigatória de todos os controles de segurança listados no Anexo A, devendo a organização aplicá-los independentemente dos resultados obtidos na avaliação de riscos.
III. A organização deve reter informação documentada sobre os resultados do processo de tratamento de riscos, os quais devem ser objeto de monitoramento e análise crítica contínuos.
Quais estão corretas?
I. A organização deve primeiro avaliar os riscos identificados e selecionar opções de tratamento adequadas para somente depois determinar os controles necessários para implementar o tratamento escolhido.
II. A norma exige a implementação obrigatória de todos os controles de segurança listados no Anexo A, devendo a organização aplicá-los independentemente dos resultados obtidos na avaliação de riscos.
III. A organização deve reter informação documentada sobre os resultados do processo de tratamento de riscos, os quais devem ser objeto de monitoramento e análise crítica contínuos.
Quais estão corretas?
Conheça nossos planos