Uma Secretaria de Saúde do Estado está implantando uma política de governança para os dados clínicos armazenados em seus sistemas de informação.

A política estabelece controles de acesso conforme as atribuições dos usuários, mecanismos de auditoria das operações realizadas e medidas destinadas a preservar a confidencialidade das informações dos pacientes.

Considerando os princípios de ética digital, sigilo das informações de saúde e governança de dados clínicos, assinale a afirmativa correta.

A política de segurança da informação da prefeitura estabelece diretrizes rígidas para evitar o vazamento de dados de munícipes. Durante o trabalho administrativo, o servidor recebe um e-mail de um remetente desconhecido com um anexo intitulado "Folha de Pagamento_Revisão.zip". Diante desse cenário, qual é a conduta que está em total conformidade com as práticas recomendadas de segurança cibernética?

Em um órgão público, uma servidora acessa o correio eletrônico pelo navegador e recebe a sugestão de usar um assistente de IA para resumir mensagens e propor respostas. Considerando o uso do e-mail corporativo e a segurança da informação, a conduta mais adequada é:

No exercício de suas atividades, um recepcionista recebe mensagem eletrônica aparentemente enviada pelo setor de tecnologia da informação do órgão. O texto informa que sua conta institucional será bloqueada em trinta minutos caso não seja realizada uma “validação de segurança”. A mensagem apresenta logomarca semelhante à oficial, contém tom de urgência e disponibiliza um link para página na qual são solicitados usuário e senha. Ao posicionar o cursor sobre o link, o servidor percebe que o endereço de destino não corresponde ao domínio normalmente utilizado pela instituição. Considerando as boas práticas de segurança no uso do correio eletrônico, o procedimento mais adequado é:

O Microsoft Purview disponibiliza controles complementares para proteção da informação.
Os rótulos de sensibilidade (Sensitivity Labels) podem classificar arquivos e e-mails e aplicar mecanismos de proteção, incluindo criptografia e controle de acesso. Nas configurações de criptografia com permissões definidas pelo administrador, é possível determinar quais usuários podem acessar o conteúdo e estabelecer condições para o acesso offline.
O Data Loss Prevention (DLP) identifica informações sensíveis e aplica ações preventivas sobre diferentes localizações, aplicativos e formas de transmissão configuradas pela organização.
O Insider Risk Management utiliza indicadores de atividades potencialmente arriscadas para apoiar a identificação e a investigação de riscos internos, inclusive em cenários relacionados à possível exfiltração de dados por usuários em processo de desligamento.
A Double Key Encryption (DKE) utiliza duas chaves para proteger conteúdo de elevada sensibilidade: uma sob gerenciamento da Microsoft e outra mantida sob controle da própria organização, sendo indicada para situações que demandam requisitos mais rigorosos de custódia e soberania das chaves criptográficas.

Fonte: Microsoft Learn (https://learn.microsoft.com/pt-br/purview/)

A área de segurança da informação da DATAPREV identificou que determinados documentos confidenciais precisam continuar protegidos até depois de terem sido copiados para dispositivos ou contas de armazenamento que não são administrados pela organização. O requisito de segurança estabelece que, após o desligamento de um funcionário e a consequente retirada de sua autorização corporativa, ele não deverá conseguir abrir novamente uma cópia protegida que tenha recebido legitimamente durante o vínculo, mesmo armazenada em seu computador pessoal. Além disso, o acesso a documentos exige uma nova autorização sempre que necessário, não admitindo a licença de acesso offline que permita ao usuário continuar abrindo o conteúdo após a retirada de sua permissão. Não há requisito específico de manutenção de uma segunda chave criptográfica em infraestrutura própria da organização.

Considerando as funcionalidades descritas e o requisito apresentado, indique a configuração mais adequada para atender à demanda da DATAPREV. 

À luz da Política Nacional de Segurança da Informação instituída pelo Decreto nº 12.572/2025, examine as proposições:
I. Segurança da informação não se restringe a sistemas informatizados e alcança dados, ativos de informação, processos organizacionais, ambientes físicos e eletrônicos e pessoal envolvido no ciclo de vida da informação.
II. A Política tem entre suas finalidades assegurar disponibilidade, integridade, confidencialidade e autenticidade da informação.
III. Como disponibilidade é requisito de segurança, a confidencialidade deve ser afastada sempre que dificultar o acesso imediato dos servidores públicos.
IV. Proteção de dados pessoais, privacidade e acesso à informação, ressalvadas hipóteses legais de sigilo, figuram entre os direitos contemplados pelos princípios da Política.
V. Segurança da informação é matéria exclusivamente técnica; por isso, conscientização e capacitação de pessoas não integram adequadamente uma política institucional.
Está correto somente o que se afirma em: 

Uma sociedade empresária que processa informações pessoais decidiu atualizar seu programa de governança em segurança da informação com base no NIST Cybersecurity Framework (CSF) versão 1.1.
Durante o mapeamento de processos, a equipe de segurança da informação constatou grande dependência de fornecedores externos para sustentação de sistemas legados, aquisição de componentes de software de terceiros (open source e proprietários) e hospedagem de serviços em nuvem pública.
Visando mitigar ameaças decorrentes desse cenário, os gestores de segurança da informação determinaram a estruturação formal de processos alinhados à Gestão de Riscos na Cadeia de Suprimentos Cibernética (Cyber Supply Chain Risk Management – C-SCRM).

Considerando as diretrizes do NIST CSF v1.1 para a gestão de riscos na cadeia de suprimentos cibernética, assinale a opção que apresenta condutas alinhadas aos objetivos do C-SCRM. 

O uso ético da tecnologia e das informações institucionais constitui um dos pilares mais críticos para a governança moderna.

Neste contexto, o emprego ético de tecnologias de Inteligência Artificial (IA) na produção de documentos, pesquisas ou códigos deve 

Uma equipe administrativa mantém arquivos de trabalho em uma pasta compartilhada na rede interna do órgão. Determinado servidor, buscando facilitar seu trabalho fora da repartição, cogitou copiar todo o conteúdo da pasta, inclusive documentos funcionais e dados pessoais, para sua conta particular de armazenamento em nuvem. Considerando segurança da informação, proteção de dados e sigilo profissional, assinale a alternativa incorreta. 

Assinale a alternativa que preenche corretamente as lacunas.

Em um ambiente profissional, a segurança da informação não é responsabilidade exclusiva do setor de _________. A proteção das informações deve ser mantida em todo o ambiente organizacional e depende da atuação de _________ que utilizam, armazenam ou compartilham dados. Dessa forma, o cumprimento das políticas e procedimentos de segurança constitui uma responsabilidade _________.  

No contexto da gestão de segurança da informação em ambientes corporativos, a implementação de políticas de controle de acesso visa limitar a exposição de dados sensíveis a ameaças internas e externas. Sendo assim, a prática de conceder a um colaborador apenas as permissões e acessos estritamente necessários para a realização de suas tarefas diárias, reduzindo o risco de incidentes acidentais ou maliciosos, define a aplicação do

Uma equipe utiliza uma ferramenta de Inteligência Artificial (IA) generativa para auxiliar na elaboração de relatórios. Um profissional pretende copiar para a ferramenta externa o conteúdo integral de um documento corporativo que contém dados pessoais de clientes e informações internas de acesso restrito para solicitar um resumo. Considerando as boas práticas de segurança da informação, proteção de dados e uso profissional de IA, a conduta mais adequada é:

Com a crescente utilização de sistemas eletrônicos pela Administração Municipal, a equipe de Tecnologia da Informação elaborou uma política de segurança contemplando autenticação individual dos usuários, utilização de senhas complexas, bloqueio automático das estações de trabalho, atualização periódica dos sistemas operacionais, utilização de antivírus corporativo e restrições de acesso conforme as atribuições de cada servidor.
A adoção dessas medidas tem como principal objetivo

Após fortes oscilações no fornecimento de energia elétrica, um dos servidores responsáveis pelo armazenamento dos documentos administrativos apresentou falha crítica, comprometendo o acesso a diversos arquivos utilizados pelos setores da Prefeitura. Graças à política institucional de backup, foi possível restaurar integralmente os documentos armazenados até a última cópia de segurança realizada.
Considerando os princípios da segurança da informação e da gestão de dados, assinale a alternativa CORRETA.

Uma empresa decidiu aprimorar suas políticas de segurança da informação após identificar riscos relacionados à perda de dados, vazamento de informações e comprometimento de contas de usuários. Como parte das medidas adotadas, estabeleceu uma política de backup, passou a utilizar ferramentas de criptografia, implementou um gerenciador de senhas e definiu regras para criação e utilização de senhas.

Considerando essas medidas, analise as alternativas e assinale a CORRETA: