Questões de Concurso
Comentadas sobre análise de vulnerabilidade e gestão de riscos em segurança da informação
Foram encontradas 812 questões
Ano: 2026
Banca:
FGV
Órgão:
TJ-RJ
Prova:
FGV - 2026 - TJ-RJ - Analista Judiciário - Tecnologia da Informação - Analista de Segurança da Informação |
Q3874320
Segurança da Informação
A empresa Beta, que trabalha com soluções para o setor
educacional, está migrando seus sistemas para a nuvem e
adotando práticas DevSecOps para garantir segurança desde o
desenvolvimento até a operação. Durante uma reunião de
planejamento, o CTO (Chief Technology Officer) da empresa Beta
propôs integrar ferramentas de segurança diretamente no
pipeline de CI/CD.
Com base nas práticas DevSecOps, a ação alinhada com o modelo a ser implementada pela empresa Beta é:
Com base nas práticas DevSecOps, a ação alinhada com o modelo a ser implementada pela empresa Beta é:
Ano: 2026
Banca:
Ibest
Órgão:
CRECI - 8ª Região (DF)
Prova:
Ibest - 2026 - CRECI - 8ª Região (DF) - PAS - Analista de TI |
Q3873337
Segurança da Informação
A Metodologia OWASP é amplamente utilizada para
orientar organizações no desenvolvimento de
aplicações seguras, oferecendo listas, frameworks, guias
e práticas recomendadas para reduzir vulnerabilidades
comuns. Com relação aos princípios e documentos
oficiais mantidos pelo OWASP, assinale a alternativa
correta sobre essa metodologia.
Ano: 2026
Banca:
FGV
Órgão:
TJ-RJ
Prova:
FGV - 2026 - TJ-RJ - Analista Judiciário - Tecnologia da Informação - Analista de Infraestrutura de TIC |
Q3869596
Segurança da Informação
Uma empresa de consultoria de segurança foi contratada pelo
Tribunal de Justiça do Estado X (TJEX) para verificar como está o
nível de segurança em sua rede local. Após algum tempo de
trabalho, a consultoria identificou que o servidor de arquivos do
Tribunal possuía os serviços de FTP e telnet ativos, mesmo sem
uso.
De forma a aumentar o hardening do TJEX, a consultoria deve solicitar:
De forma a aumentar o hardening do TJEX, a consultoria deve solicitar:
Ano: 2026
Banca:
IBGP
Órgão:
Câmara de Porto Velho - RO
Prova:
IBGP - 2026 - Câmara de Porto Velho - RO - Analista de Tecnologia e Informática |
Q3866949
Segurança da Informação
Leia o fragmento do texto a seguir.
Segundo Peltier (2010), o FRAAP é um processo de análise e avaliação de riscos qualitativos que tem sido
utilizado mundialmente durante os últimos quinze anos. É uma metodologia eficiente e disciplinada para
garantir que os riscos sejam identificados, examinados e documentados. As conclusões dos participantes do
FRAAP sobre a existência de ameaças, o nível de risco e controles necessários são documentadas por meio
de seus instrumentos de coleta que serviram para elaborar o plano de ação a ser executado pela organização.
Fonte: MASCARENHAS NETO, P. T.; ARAÚJO, W. J. Segurança da informação: uma versão sistêmica para a implantação em organizações. João Pessoa: Editora da UFPB, 2019. p. 62.
Em relação à abordagem metodológica Facilitated Risk Analysis Process(FRAAP) para a análise e a avaliação de riscos, avalie as asserções a seguir e a relação proposta entre elas.
I. O FRAAP se caracteriza como um processo estruturado de análise e de avaliação de riscos e que é implementado em três etapas, quais sejam: (1) Pré-FRAAP; (2) Sessão FRAAP; e (3) Pós-FRAAP.
PORQUE
II. A etapa (1) Pré-FRAAP, é o momento em que os membros do FRAAP analisam e avaliam os riscos e identificam os controles para sua mitigação, a partir de requisitos e de atributos definidos.
A respeito dessas asserções, assinale a opção CORRETA.
Fonte: MASCARENHAS NETO, P. T.; ARAÚJO, W. J. Segurança da informação: uma versão sistêmica para a implantação em organizações. João Pessoa: Editora da UFPB, 2019. p. 62.
Em relação à abordagem metodológica Facilitated Risk Analysis Process(FRAAP) para a análise e a avaliação de riscos, avalie as asserções a seguir e a relação proposta entre elas.
I. O FRAAP se caracteriza como um processo estruturado de análise e de avaliação de riscos e que é implementado em três etapas, quais sejam: (1) Pré-FRAAP; (2) Sessão FRAAP; e (3) Pós-FRAAP.
PORQUE
II. A etapa (1) Pré-FRAAP, é o momento em que os membros do FRAAP analisam e avaliam os riscos e identificam os controles para sua mitigação, a partir de requisitos e de atributos definidos.
A respeito dessas asserções, assinale a opção CORRETA.
Ano: 2026
Banca:
IBGP
Órgão:
Câmara de Porto Velho - RO
Provas:
IBGP - 2026 - Câmara de Porto Velho - RO - Técnico Administrativo
|
IBGP - 2026 - Câmara de Porto Velho - RO - Técnico Legislativo |
IBGP - 2026 - Câmara de Porto Velho - RO - Técnico em Informática |
IBGP - 2026 - Câmara de Porto Velho - RO - Tradutor e Intérprete de Libras |
IBGP - 2026 - Câmara de Porto Velho - RO - Técnico de Áudio e Vídeo |
Q3865553
Segurança da Informação
A Câmara Municipal de Porto Velho mantém documentos de natureza distinta: informações públicas (como pautas e atas já publicadas), documentos internos (minutas em elaboração) e dados pessoais sensíveis (folha, dados cadastrais, informações funcionais). Em uma auditoria interna, verificou-se que alguns documentos com dados pessoais estavam sendo compartilhados por e-mail e aplicativos de mensagens sem qualquer controle, e que usuários utilizavam contas genéricas com senha conhecida por várias pessoas para “facilitar o trabalho”. A área de TI propôs mudanças alinhadas a uma política de segurança da informação, com foco na redução de riscos e melhoria do controle de acesso.
Nesse contexto, assinale a alternativa que apresenta a medida MAIS adequada e tecnicamente consistente com políticas de segurança e gestão de riscos:
Nesse contexto, assinale a alternativa que apresenta a medida MAIS adequada e tecnicamente consistente com políticas de segurança e gestão de riscos:
Q3851631
Segurança da Informação
Para reduzir vulnerabilidades exploráveis remotamente em dispositivos móveis corporativos, o administrador deve adotar práticas de segurança adequadas.
Assinale a opção que contribui diretamente para mitigar esses riscos.
Ano: 2026
Banca:
Avança SP
Órgão:
GAMA
Prova:
Avança SP - 2026 - GAMA - Encarregado de Seção de Almoxarifado |
Q3847141
Segurança da Informação
No contexto da Segurança da Informação, as
vulnerabilidades são classificadas em diferentes
categorias. Diante disso, assinale a alternativa
CORRETA que apresenta um exemplo clássico
de vulnerabilidade tecnológica.
Ano: 2025
Banca:
IDECAN
Órgão:
UFSBA
Prova:
IDECAN - 2025 - UFSBA - Analista de Tecnologia da Informação |
Q4357688
Segurança da Informação
Uma instituição de pesquisa desenvolveu um sistema de análise de dados sensíveis na área da saúde, onde informações
confidenciais de pacientes são processadas para geração de relatórios epidemiológicos. Devido ao caráter sigiloso dos dados e
ao risco de exposição indevida, a equipe de segurança cibernética decidiu aplicar técnicas de modelagem de ameaças antes da
implantação do sistema.
Durante a análise, os especialistas identificaram que o sistema pode ser vulnerável a ataques que exploram a elevação de privilégios,
vazamento de dados e injeção de código malicioso. Para mitigar esses riscos, a equipe adotou o modelo STRIDE, desenvolvido pela
Microsoft, visando uma categorização precisa das possíveis ameaças e a implementação de controles adequados.
Com base nessa abordagem, assinale a seguir a alternativa que apresenta corretamente as ameaças classificadas pelo modelo STRIDE e sua relação com os riscos identificados.
Com base nessa abordagem, assinale a seguir a alternativa que apresenta corretamente as ameaças classificadas pelo modelo STRIDE e sua relação com os riscos identificados.
Ano: 2025
Banca:
Quadrix
Órgão:
CRM-ES
Prova:
Quadrix - 2025 - CRM-ES - Analista de Tecnologia da Informação |
Q4240733
Segurança da Informação
No que se refere à segurança da informação, assinale a opção que apresenta a definição de gray box.
Q3903043
Segurança da Informação
Preencha as lacunas abaixo conceituando os itens de l a V e ao final marque a alternativa CORRETA.
I. Controle
II. Consequência
III. Incidente de segurança da informação
IV. Vulnerabilidade
V. Fonte de risco
() Elemento que, individualmente ou combinado, tem o potencial para dar origem ao risco.
() Resultado de um evento que afeta os objetivos.
() Um único ou uma série de eventos de segurança da informação indesejados ou inesperados que têm uma probabilidade significativa de comprometer as operações do negócio e ameaçar a segurança da informação.
() Fraqueza de um ativo ou controle que pode ser explorada e então pode ocorrer um evento com uma consequência negativa.
() medida que mantém e/ou modifica o risco.
Q3903041
Segurança da Informação
Convém que informações documentadas sobre o
processo de avaliação de riscos de segurança da
informação contenham:
I. uma definição dos critérios de risco (incluindo os critérios de aceitação de riscos e os critérios para a realização de avaliações de risco de segurança da informação).
II. fundamentação da consistência, validade e comparabilidade dos resultados.
III. uma descrição do método de identificação de riscos (incluindo a identificação de proprietários de risco).
IV. uma descrição do método de análise dos riscos à segurança da informação (incluindo a avaliação de potenciais consequências, probabilidade realista e nível de risco resultante).
V. uma descrição do método para comparar os resultados com os critérios de risco e a priorização de riscos para o tratamento de riscos.
Sobre as afirmativas acima, marque a alternativa CORRETA.
I. uma definição dos critérios de risco (incluindo os critérios de aceitação de riscos e os critérios para a realização de avaliações de risco de segurança da informação).
II. fundamentação da consistência, validade e comparabilidade dos resultados.
III. uma descrição do método de identificação de riscos (incluindo a identificação de proprietários de risco).
IV. uma descrição do método de análise dos riscos à segurança da informação (incluindo a avaliação de potenciais consequências, probabilidade realista e nível de risco resultante).
V. uma descrição do método para comparar os resultados com os critérios de risco e a priorização de riscos para o tratamento de riscos.
Sobre as afirmativas acima, marque a alternativa CORRETA.
Q3903039
Segurança da Informação
Os critérios de avaliação de riscos de segurança da
informação normalmente incluem: consequências,
probabilidade e nível de risco. Dentre os critérios abaixo
marque o que não é de consequência.
Ano: 2025
Banca:
IDCAP
Órgão:
PPSA
Prova:
IDCAP - 2025 - PPSA - Analista de Tecnologia da Informação - Segurança da Informação |
Q3842935
Segurança da Informação
A Gestão de Riscos Cibernéticos tem um novo
referencial técnico em português - a norma internacional
e brasileira NBR ISO/IEC 27005 , baseada no Processo
de Gestão de Riscos estabelecido na ISO 31000. A NBR
ISO/IEC 27005 visa traçar ações para lidar com os riscos
de Segurança da Informação, além de realizar atividades
de gerenciamento na área, especificamente avaliação e
tratamento de riscos, podendo ser aplicada a todas as
organizações, independente de tipo, tamanho ou setor.
As ações para tratamento de risco, são denominadas
respostas ao risco, havendo quatro possibilidades, das
quais três são caracterizadas a seguir.
I.Consiste em alterar a probabilidade de ocorrência de um evento ou alterar a gravidade da consequência. O risco fica mais difícil de ocorrer ou menos impactante.
II.Consiste em reconhecer o risco e não tomar nenhuma ação. É uma estratégia muito adotada quando o custo para atuar sobre o risco ultrapassa a consequência que ele traria.
III.Consiste em dividir responsabilidades com outras partes, interna ou externamente. O exemplo clássico é contratar um seguro.
As três respostas ao risco descritas em I, em II e em III são conhecidas, respectivamente, como:
I.Consiste em alterar a probabilidade de ocorrência de um evento ou alterar a gravidade da consequência. O risco fica mais difícil de ocorrer ou menos impactante.
II.Consiste em reconhecer o risco e não tomar nenhuma ação. É uma estratégia muito adotada quando o custo para atuar sobre o risco ultrapassa a consequência que ele traria.
III.Consiste em dividir responsabilidades com outras partes, interna ou externamente. O exemplo clássico é contratar um seguro.
As três respostas ao risco descritas em I, em II e em III são conhecidas, respectivamente, como:
Ano: 2025
Banca:
FUNDATEC
Órgão:
Prefeitura de Soledade - RS
Prova:
FUNDATEC - 2025 - Prefeitura de Soledade - RS - Técnico em Informática |
Q3821226
Segurança da Informação
No contexto da Gestão de Riscos em Segurança da Informação, o processo de
Tratamento de Risco envolve a seleção e implementação de medidas para modificar o risco. Assinale
a alternativa que apresenta uma estratégia de Aceitação do Risco.
Ano: 2025
Banca:
Instituto IDEAP
Órgão:
Prefeitura de Monte Alegre de Minas - MG
Prova:
Instituto IDEAP - 2025 - Prefeitura de Monte Alegre de Minas - MG - Técnico em Informática |
Q3802507
Segurança da Informação
Uma organização pública está revisando sua
Política de Segurança da Informação (PSI) e precisa
alinhar boas práticas de governança a controles
técnicos e administrativos. Após auditoria, foram
levantados os seguintes pontos:
I - Implementação de criptografia assimétrica para autenticação e de criptografia simétrica para sigilo das comunicações, visando ao desempenho e à segurança equilibrados.
II - Identificação, análise e priorização de riscos com base em impacto e probabilidade, adotando controles preventivos, detectivos e corretivos como medidas de tratamento.
III - Estabelecimento de uma PSI clara, contemplando responsabilidades, classificação da informação e mecanismos de monitoramento de conformidade.
IV - Controle de acesso físico a datacenters com barreiras, monitoramento por câmeras e sistemas de contingência contra incêndio e falhas elétricas.
V - Definição de procedimentos de gerenciamento de operações, como cópias de segurança, redundância de sistemas críticos e planos de continuidade.
VI - Utilização de canais formais e seguros de comunicação para incidentes, prevenindo falhas de reporte e garantindo fluxo de informação adequado.
Com base em boas práticas de segurança, assinale a alternativa que apresenta os pontos observados na auditoria que devem ser adotados:
I - Implementação de criptografia assimétrica para autenticação e de criptografia simétrica para sigilo das comunicações, visando ao desempenho e à segurança equilibrados.
II - Identificação, análise e priorização de riscos com base em impacto e probabilidade, adotando controles preventivos, detectivos e corretivos como medidas de tratamento.
III - Estabelecimento de uma PSI clara, contemplando responsabilidades, classificação da informação e mecanismos de monitoramento de conformidade.
IV - Controle de acesso físico a datacenters com barreiras, monitoramento por câmeras e sistemas de contingência contra incêndio e falhas elétricas.
V - Definição de procedimentos de gerenciamento de operações, como cópias de segurança, redundância de sistemas críticos e planos de continuidade.
VI - Utilização de canais formais e seguros de comunicação para incidentes, prevenindo falhas de reporte e garantindo fluxo de informação adequado.
Com base em boas práticas de segurança, assinale a alternativa que apresenta os pontos observados na auditoria que devem ser adotados:
Ano: 2025
Banca:
Instituto IDEAP
Órgão:
Prefeitura de Monte Alegre de Minas - MG
Prova:
Instituto IDEAP - 2025 - Prefeitura de Monte Alegre de Minas - MG - Técnico em Informática |
Q3802503
Segurança da Informação
Uma empresa de médio porte sofreu um ataque
de ransomware que criptografou parte de seus
servidores de arquivos e expôs falhas na gestão de
segurança. A auditoria apontou:
● Ausência de backups testados e atualizados.
● Falta de segmentação da rede e uso de senhas fracas.
● Política de Segurança da Informação não revisada nos últimos 5 anos.
● Comunicação confusa entre setores durante a resposta ao incidente, sem canal oficial para reporte.
● Acesso físico irrestrito à sala dos servidores.
Considerando as boas práticas de segurança da informação, qual seria a medida mais abrangente e prioritária a ser adotada após o incidente, visando a reduzir riscos futuros e alinhar a empresa às normas internacionais?
● Ausência de backups testados e atualizados.
● Falta de segmentação da rede e uso de senhas fracas.
● Política de Segurança da Informação não revisada nos últimos 5 anos.
● Comunicação confusa entre setores durante a resposta ao incidente, sem canal oficial para reporte.
● Acesso físico irrestrito à sala dos servidores.
Considerando as boas práticas de segurança da informação, qual seria a medida mais abrangente e prioritária a ser adotada após o incidente, visando a reduzir riscos futuros e alinhar a empresa às normas internacionais?
Ano: 2025
Banca:
Quadrix
Órgão:
CRA-SP
Prova:
Quadrix - 2025 - CRA-SP - Analista II - Infraestrutura Computacional |
Q3785039
Segurança da Informação
Em um programa de gestão de riscos, o risco de
indisponibilidade do datacenter por falha de energia foi
tratado com a implementação de um gerador redundante.
Com base nessa situação hipotética, assinale a opção que apresenta, segundo a ISO/IEC 27001, a ação de tratamento de risco adotada.
Com base nessa situação hipotética, assinale a opção que apresenta, segundo a ISO/IEC 27001, a ação de tratamento de risco adotada.
Ano: 2025
Banca:
FGV
Órgão:
CGE-SP
Prova:
FGV - 2025 - CGE-SP - Auditor Estadual de Controle - Tecnologia da Informação - tarde |
Q3781138
Segurança da Informação
Em um ambiente que adota a cultura DevSecOps, a segurança é
integrada em todas as fases do Secure SDLC.
Um engenheiro de segurança está automatizando ferramentas para identificar vulnerabilidades. Ele usa uma ferramenta que analisa o código-fonte ou binário sem executá-lo, focando em erros de programação segura e falhas de design, e outra que interage com a aplicação em execução (ambiente de staging ou teste) para encontrar vulnerabilidades como XSS ou SQL Injection.
Assinale a opção que apresenta o termo que define, respectivamente, a análise de segurança que opera sem executar o código-fonte ou binário (focando em padrões inseguros) e a análise de segurança que opera interagindo com a aplicação em tempo de execução.
Um engenheiro de segurança está automatizando ferramentas para identificar vulnerabilidades. Ele usa uma ferramenta que analisa o código-fonte ou binário sem executá-lo, focando em erros de programação segura e falhas de design, e outra que interage com a aplicação em execução (ambiente de staging ou teste) para encontrar vulnerabilidades como XSS ou SQL Injection.
Assinale a opção que apresenta o termo que define, respectivamente, a análise de segurança que opera sem executar o código-fonte ou binário (focando em padrões inseguros) e a análise de segurança que opera interagindo com a aplicação em tempo de execução.
Ano: 2025
Banca:
FGV
Órgão:
CGE-SP
Prova:
FGV - 2025 - CGE-SP - Auditor Estadual de Controle - Tecnologia da Informação - tarde |
Q3781102
Segurança da Informação
Considerando técnicas de testes de segurança em aplicações,
analise as afirmativas a seguir.
I. SAST (Static Application Security Testing) pode identificar vulnerabilidades de lógica de negócio e falhas de autorização baseadas em contexto de execução, sendo mais efetivo que DAST para detectar quebras de controle de acesso horizontal (IDOR - Insecure Direct Object Reference).
II. IAST (Interactive Application Security Testing) utiliza instrumentação de código para correlacionar entrada de dados com fluxo de execução em runtime, reduzindo falsos positivos em comparação com SAST puro, mas introduzindo overhead de performance que pode inviabilizar uso em ambientes de produção.
III. Fuzzing (Fuzz Testing) é técnica eficaz para identificar vulnerabilidades de corrupção de memória (buffer overflow, use-after-free) em aplicações compiladas, mas tem limitação em detectar falhas de lógica de negócio que requerem sequências específicas de operações válidas.
IV. DAST (Dynamic Application Security Testing) consegue identificar todas as rotas e endpoints de uma API REST automaticamente por meio de spidering, sem necessidade de documentação OpenAPI/Swagger, sendo mais abrangente em cobertura de código que SAST.
Está correto o que se afirma em
I. SAST (Static Application Security Testing) pode identificar vulnerabilidades de lógica de negócio e falhas de autorização baseadas em contexto de execução, sendo mais efetivo que DAST para detectar quebras de controle de acesso horizontal (IDOR - Insecure Direct Object Reference).
II. IAST (Interactive Application Security Testing) utiliza instrumentação de código para correlacionar entrada de dados com fluxo de execução em runtime, reduzindo falsos positivos em comparação com SAST puro, mas introduzindo overhead de performance que pode inviabilizar uso em ambientes de produção.
III. Fuzzing (Fuzz Testing) é técnica eficaz para identificar vulnerabilidades de corrupção de memória (buffer overflow, use-after-free) em aplicações compiladas, mas tem limitação em detectar falhas de lógica de negócio que requerem sequências específicas de operações válidas.
IV. DAST (Dynamic Application Security Testing) consegue identificar todas as rotas e endpoints de uma API REST automaticamente por meio de spidering, sem necessidade de documentação OpenAPI/Swagger, sendo mais abrangente em cobertura de código que SAST.
Está correto o que se afirma em
Ano: 2025
Banca:
FGV
Órgão:
CGE-SP
Prova:
FGV - 2025 - CGE-SP - Auditor Estadual de Controle - Tecnologia da Informação - tarde |
Q3781098
Segurança da Informação
Uma equipe de segurança realizou uma varredura em
infraestrutura crítica de comércio eletrônico e identificou as
seguintes vulnerabilidades:
X: PHP 8.1.0 - CVE-2024-4577 (Argument Injection leading to RCE) | CVSS 9.8 (Crítica) | Exploit público (PoC no GitHub) | Servidor web exposto à Internet processando pagamentos | Patch disponível (atualização para 8.3.8);
Y: nginx 1.18.0 - CVE-2023-44487 (HTTP/2 Rapid Reset - DDoS) | CVSS 7.5 (Alta) | Exploit público, ataques em massa documentados | Servidor usa HTTP/2 para CDN e APIs | Mitigação via rate limiting disponível, patch requer atualização para 1.25.3;
W: Curl 7.68.0 - CVE-2023-38545 (SOCKS5 heap buffer overflow) | CVSS 9.8 (Crítica) | RCE potencial | Scripts internos de integração usam curl para comunicação com parceiros via proxy SOCKS5 | Servidor não exposto diretamente à Internet | Atualização para 8.4.0 disponível;
Z: OpenSSH 8.2p1 - CVE-2024-6387 (regreSSHion - Signal Handler Race Condition) | CVSS 8.1 (Alta) | RCE com exploit complexo (requer 6-8 horas) | SSH exposto apenas para equipe DevOps (10 IPs whitelisted, MFA habilitado) | Patch disponível (9.8p1).
Considerando as boas práticas de gestão de vulnerabilidades e a análise de risco contextual, assinale a opção que apresenta a priorização correta para remediação.
X: PHP 8.1.0 - CVE-2024-4577 (Argument Injection leading to RCE) | CVSS 9.8 (Crítica) | Exploit público (PoC no GitHub) | Servidor web exposto à Internet processando pagamentos | Patch disponível (atualização para 8.3.8);
Y: nginx 1.18.0 - CVE-2023-44487 (HTTP/2 Rapid Reset - DDoS) | CVSS 7.5 (Alta) | Exploit público, ataques em massa documentados | Servidor usa HTTP/2 para CDN e APIs | Mitigação via rate limiting disponível, patch requer atualização para 1.25.3;
W: Curl 7.68.0 - CVE-2023-38545 (SOCKS5 heap buffer overflow) | CVSS 9.8 (Crítica) | RCE potencial | Scripts internos de integração usam curl para comunicação com parceiros via proxy SOCKS5 | Servidor não exposto diretamente à Internet | Atualização para 8.4.0 disponível;
Z: OpenSSH 8.2p1 - CVE-2024-6387 (regreSSHion - Signal Handler Race Condition) | CVSS 8.1 (Alta) | RCE com exploit complexo (requer 6-8 horas) | SSH exposto apenas para equipe DevOps (10 IPs whitelisted, MFA habilitado) | Patch disponível (9.8p1).
Considerando as boas práticas de gestão de vulnerabilidades e a análise de risco contextual, assinale a opção que apresenta a priorização correta para remediação.
Conheça nossos planos