Questões de Concurso
Comentadas sobre análise de vulnerabilidade e gestão de riscos em segurança da informação
Foram encontradas 777 questões
Ano: 2026
Banca:
IBGP
Órgão:
Câmara de Porto Velho - RO
Provas:
IBGP - 2026 - Câmara de Porto Velho - RO - Técnico Administrativo
|
IBGP - 2026 - Câmara de Porto Velho - RO - Técnico Legislativo |
IBGP - 2026 - Câmara de Porto Velho - RO - Técnico em Informática |
IBGP - 2026 - Câmara de Porto Velho - RO - Tradutor e Intérprete de Libras |
IBGP - 2026 - Câmara de Porto Velho - RO - Técnico de Áudio e Vídeo |
Q3865553
Segurança da Informação
A Câmara Municipal de Porto Velho mantém documentos de natureza distinta: informações públicas (como pautas e atas já publicadas), documentos internos (minutas em elaboração) e dados pessoais sensíveis (folha, dados cadastrais, informações funcionais). Em uma auditoria interna, verificou-se que alguns documentos com dados pessoais estavam sendo compartilhados por e-mail e aplicativos de mensagens sem qualquer controle, e que usuários utilizavam contas genéricas com senha conhecida por várias pessoas para “facilitar o trabalho”. A área de TI propôs mudanças alinhadas a uma política de segurança da informação, com foco na redução de riscos e melhoria do controle de acesso.
Nesse contexto, assinale a alternativa que apresenta a medida MAIS adequada e tecnicamente consistente com políticas de segurança e gestão de riscos:
Nesse contexto, assinale a alternativa que apresenta a medida MAIS adequada e tecnicamente consistente com políticas de segurança e gestão de riscos:
Q3851631
Segurança da Informação
Para reduzir vulnerabilidades exploráveis remotamente em dispositivos móveis corporativos, o administrador deve adotar práticas de segurança adequadas.
Assinale a opção que contribui diretamente para mitigar esses riscos.
Ano: 2026
Banca:
Avança SP
Órgão:
GAMA
Prova:
Avança SP - 2026 - GAMA - Encarregado de Seção de Almoxarifado |
Q3847141
Segurança da Informação
No contexto da Segurança da Informação, as
vulnerabilidades são classificadas em diferentes
categorias. Diante disso, assinale a alternativa
CORRETA que apresenta um exemplo clássico
de vulnerabilidade tecnológica.
Ano: 2025
Banca:
IDCAP
Órgão:
PPSA
Prova:
IDCAP - 2025 - PPSA - Analista de Tecnologia da Informação - Segurança da Informação |
Q3842935
Segurança da Informação
A Gestão de Riscos Cibernéticos tem um novo
referencial técnico em português - a norma internacional
e brasileira NBR ISO/IEC 27005 , baseada no Processo
de Gestão de Riscos estabelecido na ISO 31000. A NBR
ISO/IEC 27005 visa traçar ações para lidar com os riscos
de Segurança da Informação, além de realizar atividades
de gerenciamento na área, especificamente avaliação e
tratamento de riscos, podendo ser aplicada a todas as
organizações, independente de tipo, tamanho ou setor.
As ações para tratamento de risco, são denominadas
respostas ao risco, havendo quatro possibilidades, das
quais três são caracterizadas a seguir.
I.Consiste em alterar a probabilidade de ocorrência de um evento ou alterar a gravidade da consequência. O risco fica mais difícil de ocorrer ou menos impactante.
II.Consiste em reconhecer o risco e não tomar nenhuma ação. É uma estratégia muito adotada quando o custo para atuar sobre o risco ultrapassa a consequência que ele traria.
III.Consiste em dividir responsabilidades com outras partes, interna ou externamente. O exemplo clássico é contratar um seguro.
As três respostas ao risco descritas em I, em II e em III são conhecidas, respectivamente, como:
I.Consiste em alterar a probabilidade de ocorrência de um evento ou alterar a gravidade da consequência. O risco fica mais difícil de ocorrer ou menos impactante.
II.Consiste em reconhecer o risco e não tomar nenhuma ação. É uma estratégia muito adotada quando o custo para atuar sobre o risco ultrapassa a consequência que ele traria.
III.Consiste em dividir responsabilidades com outras partes, interna ou externamente. O exemplo clássico é contratar um seguro.
As três respostas ao risco descritas em I, em II e em III são conhecidas, respectivamente, como:
Ano: 2025
Banca:
FUNDATEC
Órgão:
Prefeitura de Soledade - RS
Prova:
FUNDATEC - 2025 - Prefeitura de Soledade - RS - Técnico em Informática |
Q3821226
Segurança da Informação
No contexto da Gestão de Riscos em Segurança da Informação, o processo de
Tratamento de Risco envolve a seleção e implementação de medidas para modificar o risco. Assinale
a alternativa que apresenta uma estratégia de Aceitação do Risco.
Ano: 2025
Banca:
Instituto IDEAP
Órgão:
Prefeitura de Monte Alegre de Minas - MG
Prova:
Instituto IDEAP - 2025 - Prefeitura de Monte Alegre de Minas - MG - Técnico em Informática |
Q3802507
Segurança da Informação
Uma organização pública está revisando sua
Política de Segurança da Informação (PSI) e precisa
alinhar boas práticas de governança a controles
técnicos e administrativos. Após auditoria, foram
levantados os seguintes pontos:
I - Implementação de criptografia assimétrica para autenticação e de criptografia simétrica para sigilo das comunicações, visando ao desempenho e à segurança equilibrados.
II - Identificação, análise e priorização de riscos com base em impacto e probabilidade, adotando controles preventivos, detectivos e corretivos como medidas de tratamento.
III - Estabelecimento de uma PSI clara, contemplando responsabilidades, classificação da informação e mecanismos de monitoramento de conformidade.
IV - Controle de acesso físico a datacenters com barreiras, monitoramento por câmeras e sistemas de contingência contra incêndio e falhas elétricas.
V - Definição de procedimentos de gerenciamento de operações, como cópias de segurança, redundância de sistemas críticos e planos de continuidade.
VI - Utilização de canais formais e seguros de comunicação para incidentes, prevenindo falhas de reporte e garantindo fluxo de informação adequado.
Com base em boas práticas de segurança, assinale a alternativa que apresenta os pontos observados na auditoria que devem ser adotados:
I - Implementação de criptografia assimétrica para autenticação e de criptografia simétrica para sigilo das comunicações, visando ao desempenho e à segurança equilibrados.
II - Identificação, análise e priorização de riscos com base em impacto e probabilidade, adotando controles preventivos, detectivos e corretivos como medidas de tratamento.
III - Estabelecimento de uma PSI clara, contemplando responsabilidades, classificação da informação e mecanismos de monitoramento de conformidade.
IV - Controle de acesso físico a datacenters com barreiras, monitoramento por câmeras e sistemas de contingência contra incêndio e falhas elétricas.
V - Definição de procedimentos de gerenciamento de operações, como cópias de segurança, redundância de sistemas críticos e planos de continuidade.
VI - Utilização de canais formais e seguros de comunicação para incidentes, prevenindo falhas de reporte e garantindo fluxo de informação adequado.
Com base em boas práticas de segurança, assinale a alternativa que apresenta os pontos observados na auditoria que devem ser adotados:
Ano: 2025
Banca:
Instituto IDEAP
Órgão:
Prefeitura de Monte Alegre de Minas - MG
Prova:
Instituto IDEAP - 2025 - Prefeitura de Monte Alegre de Minas - MG - Técnico em Informática |
Q3802503
Segurança da Informação
Uma empresa de médio porte sofreu um ataque
de ransomware que criptografou parte de seus
servidores de arquivos e expôs falhas na gestão de
segurança. A auditoria apontou:
● Ausência de backups testados e atualizados.
● Falta de segmentação da rede e uso de senhas fracas.
● Política de Segurança da Informação não revisada nos últimos 5 anos.
● Comunicação confusa entre setores durante a resposta ao incidente, sem canal oficial para reporte.
● Acesso físico irrestrito à sala dos servidores.
Considerando as boas práticas de segurança da informação, qual seria a medida mais abrangente e prioritária a ser adotada após o incidente, visando a reduzir riscos futuros e alinhar a empresa às normas internacionais?
● Ausência de backups testados e atualizados.
● Falta de segmentação da rede e uso de senhas fracas.
● Política de Segurança da Informação não revisada nos últimos 5 anos.
● Comunicação confusa entre setores durante a resposta ao incidente, sem canal oficial para reporte.
● Acesso físico irrestrito à sala dos servidores.
Considerando as boas práticas de segurança da informação, qual seria a medida mais abrangente e prioritária a ser adotada após o incidente, visando a reduzir riscos futuros e alinhar a empresa às normas internacionais?
Ano: 2025
Banca:
Quadrix
Órgão:
CRA-SP
Prova:
Quadrix - 2025 - CRA-SP - Analista II - Infraestrutura Computacional |
Q3785039
Segurança da Informação
Em um programa de gestão de riscos, o risco de
indisponibilidade do datacenter por falha de energia foi
tratado com a implementação de um gerador redundante.
Com base nessa situação hipotética, assinale a opção que apresenta, segundo a ISO/IEC 27001, a ação de tratamento de risco adotada.
Com base nessa situação hipotética, assinale a opção que apresenta, segundo a ISO/IEC 27001, a ação de tratamento de risco adotada.
Ano: 2025
Banca:
FGV
Órgão:
CGE-SP
Prova:
FGV - 2025 - CGE-SP - Auditor Estadual de Controle - Tecnologia da Informação - tarde |
Q3781138
Segurança da Informação
Em um ambiente que adota a cultura DevSecOps, a segurança é
integrada em todas as fases do Secure SDLC.
Um engenheiro de segurança está automatizando ferramentas para identificar vulnerabilidades. Ele usa uma ferramenta que analisa o código-fonte ou binário sem executá-lo, focando em erros de programação segura e falhas de design, e outra que interage com a aplicação em execução (ambiente de staging ou teste) para encontrar vulnerabilidades como XSS ou SQL Injection.
Assinale a opção que apresenta o termo que define, respectivamente, a análise de segurança que opera sem executar o código-fonte ou binário (focando em padrões inseguros) e a análise de segurança que opera interagindo com a aplicação em tempo de execução.
Um engenheiro de segurança está automatizando ferramentas para identificar vulnerabilidades. Ele usa uma ferramenta que analisa o código-fonte ou binário sem executá-lo, focando em erros de programação segura e falhas de design, e outra que interage com a aplicação em execução (ambiente de staging ou teste) para encontrar vulnerabilidades como XSS ou SQL Injection.
Assinale a opção que apresenta o termo que define, respectivamente, a análise de segurança que opera sem executar o código-fonte ou binário (focando em padrões inseguros) e a análise de segurança que opera interagindo com a aplicação em tempo de execução.
Ano: 2025
Banca:
FGV
Órgão:
CGE-SP
Prova:
FGV - 2025 - CGE-SP - Auditor Estadual de Controle - Tecnologia da Informação - tarde |
Q3781102
Segurança da Informação
Considerando técnicas de testes de segurança em aplicações,
analise as afirmativas a seguir.
I. SAST (Static Application Security Testing) pode identificar vulnerabilidades de lógica de negócio e falhas de autorização baseadas em contexto de execução, sendo mais efetivo que DAST para detectar quebras de controle de acesso horizontal (IDOR - Insecure Direct Object Reference).
II. IAST (Interactive Application Security Testing) utiliza instrumentação de código para correlacionar entrada de dados com fluxo de execução em runtime, reduzindo falsos positivos em comparação com SAST puro, mas introduzindo overhead de performance que pode inviabilizar uso em ambientes de produção.
III. Fuzzing (Fuzz Testing) é técnica eficaz para identificar vulnerabilidades de corrupção de memória (buffer overflow, use-after-free) em aplicações compiladas, mas tem limitação em detectar falhas de lógica de negócio que requerem sequências específicas de operações válidas.
IV. DAST (Dynamic Application Security Testing) consegue identificar todas as rotas e endpoints de uma API REST automaticamente por meio de spidering, sem necessidade de documentação OpenAPI/Swagger, sendo mais abrangente em cobertura de código que SAST.
Está correto o que se afirma em
I. SAST (Static Application Security Testing) pode identificar vulnerabilidades de lógica de negócio e falhas de autorização baseadas em contexto de execução, sendo mais efetivo que DAST para detectar quebras de controle de acesso horizontal (IDOR - Insecure Direct Object Reference).
II. IAST (Interactive Application Security Testing) utiliza instrumentação de código para correlacionar entrada de dados com fluxo de execução em runtime, reduzindo falsos positivos em comparação com SAST puro, mas introduzindo overhead de performance que pode inviabilizar uso em ambientes de produção.
III. Fuzzing (Fuzz Testing) é técnica eficaz para identificar vulnerabilidades de corrupção de memória (buffer overflow, use-after-free) em aplicações compiladas, mas tem limitação em detectar falhas de lógica de negócio que requerem sequências específicas de operações válidas.
IV. DAST (Dynamic Application Security Testing) consegue identificar todas as rotas e endpoints de uma API REST automaticamente por meio de spidering, sem necessidade de documentação OpenAPI/Swagger, sendo mais abrangente em cobertura de código que SAST.
Está correto o que se afirma em
Ano: 2025
Banca:
FGV
Órgão:
CGE-SP
Prova:
FGV - 2025 - CGE-SP - Auditor Estadual de Controle - Tecnologia da Informação - tarde |
Q3781098
Segurança da Informação
Uma equipe de segurança realizou uma varredura em
infraestrutura crítica de comércio eletrônico e identificou as
seguintes vulnerabilidades:
X: PHP 8.1.0 - CVE-2024-4577 (Argument Injection leading to RCE) | CVSS 9.8 (Crítica) | Exploit público (PoC no GitHub) | Servidor web exposto à Internet processando pagamentos | Patch disponível (atualização para 8.3.8);
Y: nginx 1.18.0 - CVE-2023-44487 (HTTP/2 Rapid Reset - DDoS) | CVSS 7.5 (Alta) | Exploit público, ataques em massa documentados | Servidor usa HTTP/2 para CDN e APIs | Mitigação via rate limiting disponível, patch requer atualização para 1.25.3;
W: Curl 7.68.0 - CVE-2023-38545 (SOCKS5 heap buffer overflow) | CVSS 9.8 (Crítica) | RCE potencial | Scripts internos de integração usam curl para comunicação com parceiros via proxy SOCKS5 | Servidor não exposto diretamente à Internet | Atualização para 8.4.0 disponível;
Z: OpenSSH 8.2p1 - CVE-2024-6387 (regreSSHion - Signal Handler Race Condition) | CVSS 8.1 (Alta) | RCE com exploit complexo (requer 6-8 horas) | SSH exposto apenas para equipe DevOps (10 IPs whitelisted, MFA habilitado) | Patch disponível (9.8p1).
Considerando as boas práticas de gestão de vulnerabilidades e a análise de risco contextual, assinale a opção que apresenta a priorização correta para remediação.
X: PHP 8.1.0 - CVE-2024-4577 (Argument Injection leading to RCE) | CVSS 9.8 (Crítica) | Exploit público (PoC no GitHub) | Servidor web exposto à Internet processando pagamentos | Patch disponível (atualização para 8.3.8);
Y: nginx 1.18.0 - CVE-2023-44487 (HTTP/2 Rapid Reset - DDoS) | CVSS 7.5 (Alta) | Exploit público, ataques em massa documentados | Servidor usa HTTP/2 para CDN e APIs | Mitigação via rate limiting disponível, patch requer atualização para 1.25.3;
W: Curl 7.68.0 - CVE-2023-38545 (SOCKS5 heap buffer overflow) | CVSS 9.8 (Crítica) | RCE potencial | Scripts internos de integração usam curl para comunicação com parceiros via proxy SOCKS5 | Servidor não exposto diretamente à Internet | Atualização para 8.4.0 disponível;
Z: OpenSSH 8.2p1 - CVE-2024-6387 (regreSSHion - Signal Handler Race Condition) | CVSS 8.1 (Alta) | RCE com exploit complexo (requer 6-8 horas) | SSH exposto apenas para equipe DevOps (10 IPs whitelisted, MFA habilitado) | Patch disponível (9.8p1).
Considerando as boas práticas de gestão de vulnerabilidades e a análise de risco contextual, assinale a opção que apresenta a priorização correta para remediação.
Ano: 2025
Banca:
FGV
Órgão:
AL-AM
Prova:
FGV - 2025 - AL-AM - Agente Legislativo - Técnico de apoio ao usuário de computadores |
Q3777887
Segurança da Informação
Em servidores críticos, as atualizações de segurança não podem
ser aplicadas automaticamente.
Assinale qual dos procedimentos abaixo segue as melhores práticas de gestão de patches.
Assinale qual dos procedimentos abaixo segue as melhores práticas de gestão de patches.
Ano: 2025
Banca:
FGV
Órgão:
AL-AM
Prova:
FGV - 2025 - AL-AM - Agente Legislativo - Técnico de apoio ao usuário de computadores |
Q3777879
Segurança da Informação
Um notebook corporativo contendo dados pessoais criptografados
foi furtado. O gestor de segurança avalia que o risco de vazamento
é mínimo.
Essa avaliação é justificada porque
Essa avaliação é justificada porque
Ano: 2025
Banca:
FGV
Órgão:
CPRM
Prova:
FGV - 2025 - CPRM - Analista em Geociências - Geoprocessamento |
Q3757616
Segurança da Informação
Um arquiteto de sistemas deseja garantir que os containers Docker
da aplicação tenham a menor superfície de ataque possível,
reduzindo riscos de exploração por vulnerabilidades conhecidas.
A alternativa que representa uma prática avançada e recomendada para esse objetivo é
A alternativa que representa uma prática avançada e recomendada para esse objetivo é
Q3753100
Segurança da Informação
Considere a seguinte situação hipotética:
Durante uma análise de segurança, um técnico encontra uma vulnerabilidade em um sistema Web. De acordo com a base de dados para classificação Common Vulnerability Scoring System (CVSS), tal vulnerabilidade apresenta pontuação 9.8.
Com base nas boas práticas em Segurança da Informação, a prioridade CORRETA para tratar essa vulnerabilidade é:
Durante uma análise de segurança, um técnico encontra uma vulnerabilidade em um sistema Web. De acordo com a base de dados para classificação Common Vulnerability Scoring System (CVSS), tal vulnerabilidade apresenta pontuação 9.8.
Com base nas boas práticas em Segurança da Informação, a prioridade CORRETA para tratar essa vulnerabilidade é:
Ano: 2025
Banca:
EDUCA
Órgão:
Prefeitura de Brejo do Cruz - PB
Prova:
EDUCA - 2025 - Prefeitura de Brejo do Cruz - PB - Técnico de Tecnologia da Informação |
Q3749889
Segurança da Informação
Um Técnico em TI precisa avaliar os riscos de
segurança em uma rede corporativa e identificar
possíveis vulnerabilidades. Durante a análise, ele
observa que vários computadores utilizam senhas fracas
e repetidas, facilitando a ação de invasores que tentam
adivinhar senhas por meio de ataques automatizados.
Assinale a alternativa que representa CORRETAMENTE o tipo de ataque que explora esse tipo de vulnerabilidade:
Assinale a alternativa que representa CORRETAMENTE o tipo de ataque que explora esse tipo de vulnerabilidade:
Ano: 2024
Banca:
INSTITUTO AOCP
Órgão:
UFTM
Prova:
INSTITUTO AOCP - 2024 - UFTM - Técnico em Tecnologia da Informação - Todas as Áreas |
Q3739289
Segurança da Informação
Na gestão de riscos em Tecnologia da Informação
(TI), é essencial identificar e avaliar potenciais
riscos para mitigá-los adequadamente. Qual das
seguintes atividades é considerada uma parte
essencial do processo de gestão de riscos em TI?
Ano: 2024
Banca:
FCC
Órgão:
TRT - 20ª REGIÃO (SE)
Prova:
FCC - 2024 - TRT - 20ª REGIÃO (SE) - Técnico Judiciário - Área Apoio Especializado - Especialidade: Agente de Polícia Judicial |
Q3738027
Segurança da Informação
Considere os princípios de gestão e planejamento de segurança de informações e que também podem ser aplicados na
segurança de instalações e ativos, sendo certo que a combinação de determinados conceitos pode decorrer em uma soma que
resulta em um determinado resultado.
Nesse sentido, pode-se elaborar que:
(I) + ameaça + vulnerabilidade = (II).
Preenchem, correta e respectivamente, as lacunas I e II:
Nesse sentido, pode-se elaborar que:
(I) + ameaça + vulnerabilidade = (II).
Preenchem, correta e respectivamente, as lacunas I e II:
Ano: 2025
Banca:
FUNDAÇÃO SOUSÂNDRADE
Órgão:
IF-MA
Prova:
FUNDAÇÃO SOUSÂNDRADE - 2025 - IF-MA - Técnico em Tecnologia da Informação |
Q3724370
Segurança da Informação
Analise as sentenças sobre segurança da informação.
I. A aplicação de patches corrige vulnerabilidades conhecidas no sistema.
II. Os patches sempre adicionam novas funcionalidades ao sistema.
III. A falta de atualização pode deixar sistemas expostos a ataques.
IV. Apenas sistemas Linux necessitam de patches de segurança.
É correto o que afirma apenas em:
I. A aplicação de patches corrige vulnerabilidades conhecidas no sistema.
II. Os patches sempre adicionam novas funcionalidades ao sistema.
III. A falta de atualização pode deixar sistemas expostos a ataques.
IV. Apenas sistemas Linux necessitam de patches de segurança.
É correto o que afirma apenas em:
Ano: 2023
Banca:
AMAUC
Órgão:
Prefeitura de Seara - SC
Prova:
AMAUC - 2023 - Prefeitura de Seara - SC - Programador de Sistemas |
Q3707846
Segurança da Informação
OWASP desenvolveu uma série de recursos que
descrevem as vulnerabilidades mais comuns que
existem em vários sistemas, incluindo aplicativos da web,
APIs, dispositivos móveis e muito mais. Assinale a
alternativa que se refere à vulnerabilidade Top 10 Web
Application Security Risks: 2021, caracterizada no texto
abaixo:
Essa vulnerabilidades podem existir quando um aplicativo da Web não valida adequadamente uma URL fornecida por um usuário ao buscar um recurso remoto localizado nessa URL. Se for esse o caso, um invasor que explora a vulnerabilidade pode usar o aplicativo Web vulnerável para enviar uma solicitação criada pelo invasor para o URL indicado. Isso permite que o invasor ignore os controles de acesso, como um firewall, que bloquearia as conexões diretas do invasor com a URL de destino, mas está configurado para fornecer acesso ao aplicativo Web vulnerável.
Essa vulnerabilidades podem existir quando um aplicativo da Web não valida adequadamente uma URL fornecida por um usuário ao buscar um recurso remoto localizado nessa URL. Se for esse o caso, um invasor que explora a vulnerabilidade pode usar o aplicativo Web vulnerável para enviar uma solicitação criada pelo invasor para o URL indicado. Isso permite que o invasor ignore os controles de acesso, como um firewall, que bloquearia as conexões diretas do invasor com a URL de destino, mas está configurado para fornecer acesso ao aplicativo Web vulnerável.
Conheça nossos planos