Questões de Concurso
Comentadas sobre norma 27005 em segurança da informação
Foram encontradas 341 questões
No que se refere à segurança da informação, segundo a norma ISO/IEC 27005:2019, existem quatro opções disponíveis para o tratamento de risco: modificação do risco, exclusão do risco, ação de evitar o risco e compartilhamento do risco.
Manter e melhorar o processo de gestão de riscos da segurança da informação está alinhado com a fase verificar do SGSI.
As atividades analisar e avaliar riscos estão alinhadas com a fase planejar do SGSI.
A implementação do plano de tratamento de riscos está alinhada com a fase agir do SGSI.
O tratamento do risco residual está alinhado com a fase executar do SGSI.
O processo de tratamento de riscos deve ter como entrada uma lista dos riscos classificados por prioridade de tratamento.
A identificação de ameaças, atividade crucial da análise de riscos, deve estar restrita àquelas ameaças que existem dentro da organização.
Os responsáveis pela gestão de riscos na organização são os próprios donos dos ativos ou os responsáveis pelos contextos ou escopo da gestão de riscos.
Uma aplicação de TI ou um processo de negócio são exemplos de escopo da gestão de riscos da segurança da informação.
A identificação dos controles existentes, para assegurar se são ou não efetivos, não deve limitar-se apenas aos documentos como planos de tratamentos de riscos, devendo ser feita também junto às pessoas responsáveis pela segurança da informação.
A avaliação dos riscos deve ser feita com base em uma lista dos riscos com valores já atribuídos a eles e com critérios de avaliação já definidos.
(1) Comunicação do risco. (2) Estimativa de riscos. (3) Transferência do risco. (4) Retenção do risco.
( ) Aceitação do ônus da perda ou do benefício do ganho associado a um determinado risco. ( ) Troca ou compartilhamento de informação sobre risco entre o tomador de decisão e outras partes interessadas. ( ) Processo utilizado para atribuir valores à probabilidade e às consequências de um risco. ( ) Compartilhamento com uma outra entidade do ônus da perda ou do benefício do ganho associado a um risco.
Texto 4A04-I
Um hacker invadiu o sistema computacional de determinada instituição e acessou indevidamente informações pessoais dos colaboradores e servidores. Durante a ação, foram alterados os registros de logs do sistema operacional e das aplicações, a fim de dificultar o trabalho de auditoria. Após o ocorrido, identificaram-se as seguintes ações do hacker.
I Exploração, a partir da Internet, de uma vulnerabilidade da página de notícias do portal da instituição localizada no servidor web, o que permitiu o acesso não autorizado à rede interna.
II Utilização de um script para alteração dos registros dos logs, com a troca dos endereços IP reais por fictícios.
III Quebra das credenciais administrativas do servidor de banco de dados dos sistemas internos, a partir do servidor web e utilização da técnica de ataques de dicionário.
IV Acesso de forma não autorizada ao servidor de banco de dados dos sistemas internos, para efetuar a extração das informações pessoais de colaboradores e servidores.
A equipe incumbida de analisar o caso concluiu que o risco era conhecido e considerado alto, já tendo sido comunicado à alta gestão da instituição; a vulnerabilidade explorada e sua correção eram conhecidas havia mais de seis meses, bem como a inexistência de dependências e da troca de dados entre os servidores de web e banco de dados; o incidente poderia ter sido evitado com o uso eficaz dos controles de segurança da informação.
Considerando-se o que dispõe a ISO 27005 sobre as diretrizes para a implementação quando da abordagem sobre a transferência de risco, analisar os itens abaixo:
I - A transferência do risco jamais criará novos riscos ou modificará riscos existentes e já identificados.
II - A transferência do risco envolve a decisão de se compartilhar certos riscos com entidades externas.
III - A transferência pode ser feita por um seguro que cubra as consequências ou através da subcontratação de um parceiro cujo papel seria o de monitorar o sistema de informação e tomar medidas imediatas que impeçam um ataque antes que ele possa causar um determinado nível de dano ou prejuízo.
Está(ão) CORRETO(S):
Baseando-se na ISO 27005, em relação ao processo de gestão de risco de segurança da informação, analisar a sentença abaixo:
Durante o processo de gestão de riscos de segurança da informação, é importante que os riscos e a forma com que são tratados sejam comunicados ao pessoal das áreas operacionais e gestores apropriados. Mesmo antes do tratamento do risco, informações sobre riscos identificados podem ser muito úteis para o gerenciamento de incidentes e ajudar a reduzir possíveis prejuízos (1ª parte). A conscientização dos gestores e pessoal no que diz respeito aos riscos, à natureza dos controles aplicados para mitigá-los e às áreas definidas como de interesse pela organização auxilia a lidar com os incidentes e eventos não previstos da maneira mais efetiva. Convém que os resultados detalhados de cada atividade do processo de gestão de riscos de segurança da informação, assim como as decisões sobre a análise/avaliação de riscos e sobre o tratamento do risco, sejam documentados (2ª parte). Em um processo de gestão de risco de segurança da informação, primeiramente, deve-se estabelecer o contexto. Em seguida, executa-se uma análise/avaliação de riscos. Se ela fornecer informações suficientes para que se determinem de forma eficaz as ações necessárias para reduzir os riscos a um nível aceitável, então a tarefa está completa e o tratamento de risco pode suceder-se. Por outro lado, se as informações forem insuficientes, executa-se uma outra iteração da análise/avaliação de risco, revisando-se o contexto (por exemplo, os critérios de avaliação de risco, de aceitação do risco ou de impacto), possivelmente em partes limitadas do escopo (3ª parte).
A sentença está:
Segundo as definições da ISO 27005, a análise/avaliação de riscos de segurança da informação, entre outros:
I - Determina o valor dos ativos de informação.
II - Identifica as ameaças e vulnerabilidades aplicáveis existentes (ou que poderiam existir).
III - Identifica os controles existentes e seus efeitos no risco identificado.
IV - Determina as consequências passíveis, prioriza os riscos derivados e ordena-os de acordo com os critérios de avaliação de riscos estabelecidos na definição do contexto.
Estão CORRETOS:
Julgue o próximo item, relativo à gestão de segurança da informação.
De acordo com a norma NBR ISO/IEC 27005, considera-se
risco residual aquele remanescente após o tratamento do risco,
podendo o risco residual conter riscos não identificados.
Conheça nossos planos