Considere o modelo PDCA aplicado à NBR ISO/IEC 27001 (Abril/2006). Estabelecer o SGSI e Manter e melhorar o SGSI são, respectivamente, aplicados nas etapas

Considere os conceitos de segurança da informação e as afirmações a seguir.

I. O IPsec (IP Security Protocol) é uma suíte de protocolos que provê segurança no nível da camada IP. Outros protocolos de segurança, como SSL e TLS, operam na camada de enlace.

II. O Teste de Penetração (Pen Test) permite avaliar a segurança de um sistema computacional, simulando ataques e defesas. Esses testes podem ser do tipo Black Box, White Box e Red Box.

III. A SQL Injection explora falhas em sistemas que interagem com bases de dados via SQL, inserindo instruções SQL dentro de uma consulta (query) e manipulando entrada de dados de uma aplicação.

IV. HIDS (Host-based IDS) e NIDS (Network-based IDS) são tipos de IDS (Intrusion Detection System).

- Quantas dessas afirmações estão corretas?

Considerando os padrões da família ISO (International Organization for Standardization) / IEC (International Electrotechnical Commision) e as normas da ABNT (Associação Brasileira de Normas Técnicas), analise as afirmações a seguir.

I. O padrão ISO/IEC 27001 especifica os requisitos para estabelecer, implementar, operar, monitorar, revisar, manter e melhorar um SGSI (Sistema de Gestão de Segurança da Informação). Esse padrão serve para fins de certificação da organização.

II. O padrão ISO/IEC 27002 apresenta o código de melhores práticas para a Gestão de Segurança da Informação.

III. O padrão ISO/IEC 27005 fornece diretrizes para o gerenciamento de riscos de segurança da informação.

IV. A ABNT estabeleceu a norma NBR ISO/IEC 27001, que segue o padrão ISO/IEC 27001.

- Quantas dessas afirmações estão corretas?

Considere os conceitos de segurança da informação e analise as afirmações a seguir.

I. Um firewall do tipo stateful guarda o estado de todas as últimas transações efetuadas, inspecionando o tráfego para evitar pacotes ou conexões ilegítimas.

II. DMZ é uma zona em que são hospedados os serviços que possuem acesso externo (como servidor HTTP), separados da rede externa, mas sempre com acesso irrestrito vindo da rede interna.

III. Um ataque de Denialof Service (DoS) consiste em tornar os recursos de um sistema indisponíveis através de uma sobrecarga de solicitações espúrias.

IV. Um ataque de IP spoofing consiste em mascarar o datagrama IP, utilizando endereço IP de origem falsa.

- Quantas dessas afirmações estão corretas?

Marque a alternativa correta.

Considere os conceitos de criptografia e as afirmações a seguir.

I. Na criptografia simétrica, são usadas duas chaves diferentes e simétricas para cifrar e decifrar os dados.

II. Na criptografia assimétrica, é usada uma chave para cifrar e outra diferente para decifrar.

III. Os métodos de criptografia DES, 3DES e AES são usados unicamente em criptografia assimétrica.

IV. SSA é um método de criptografia que utiliza o método de Diffie-Hellman.

- Quantas dessas afirmações estão corretas?

Sobre a norma ABNT NBR ISO/IEC 27002 e as diretrizes relacionadas, é correto afirmar que

Quais das seguintes opções contêm ativos de informação classificados pela norma ABNT NBR ISO/IEC 27002?

Em relação à norma ISO/IEC 27002, considere:

I – para definição de uma estratégia de continuidade de negócios, deve-se ter como meta o tempo esperado de recuperação que, por sua vez, é derivado dos períodos máximos toleráveis de interrupção;

II – os requisitos para controles de segurança de novos sistemas de informação ou melhorias em sistemas existentes devem constar nas especificações de requisitos de negócios dos sistemas;

III – entre os objetivos de controle de manuseio de mídias inclui-se o controle de descarte de mídias, sendo previstas, nessas normas, diretrizes de implementação para o descarte de forma segura e protegida.

Está correto o que se afirma em

Sobre o certificado digital e tecnologias associadas, é correto afirmar que

Sobre a segurança da informação é correto afirmar que

I – são considerados pilares da segurança da informação: disponibilidade, integridade e confidencialidade;

II – a criptografia de chave pública é mais segura contra criptoanálise do que a criptografia simétrica;

III – apesar de consumir mais recursos computacionais que a criptografia simétrica, a criptografia de chave pública apresenta grande vantagem em relação à segurança do processo de distribuição de chaves.

- Analise as afirmativas acima e marque a alternativa correta.

Acerca da Governança de Tecnologia da Informação (TI), é incorreto afirmar que

Dada a amplitude e a complexidade do papel de Segurança da Informação, dispõem-se os desafios em um modelo conceitual em camadas ou fases, particionando o trabalho, para tornar mais claro o entendimento de cada camada. Essas camadas constituem as chamadas barreiras de segurança.

A última barreira de segurança do modelo conceitual encarregada da análise de riscos (em que são considerados aspectos tecnológicos, físicos e humanos e as necessidades específicas dos processos de negócios da empresa) é

Há três princípios básicos que norteiam a implementação da Segurança da Informação. Identifique a alternativa que contém dois destes princípios.

O desenvolvimento e a implementação das políticas, normas e procedimentos de segurança da informação é dividida em diversas fases. A Fase II, denominada “Desenvolvimento do Conteúdo da Política e Normas de Segurança”, não possui o item denominado

A segurança da Informação é a área do conhecimento dedicada à proteção da informação contra alterações indevidas, acessos não autorizados, ou a sua indisponibilidade. Segundo a NBR ISO/IEC 27002-2005, a segurança das informações é caracterizada pela preservação dos seguintes princípios básicos, exceto:

Com relação às vulnerabilidades da Web, considere um exemplo no qual um sítio web “www.seubanco.com.br” do banco seubanco, em que um correntista denominado João, ao selecionar a opção de visualização do seu saldo, é aberto o URL www.seubaco.com.br?conta_corrente=12345, sendo 12345 o número da conta corrente do João. Se não existir um mecanismo de controle de acesso que garanta que cada utilizador acesse somente a sua própria conta corrente, João poderá visualizar os saldos de conta corrente de outros clientes do banco. O exemplo descrito acima se refere à vulnerabilidade da web denominada

Quando for preciso que o Plano de Continuidade de Negócios entre em ação, diversas técnicas para a realização de testes podem ser utilizadas, segundo a ABNT NBR ISO/IEC 27002-2005. Dentre as alternativas abaixo, a que não contém uma técnica para realização de testes é a

O XSS permite a um atacante executar um script no browser do usuário. O tipo de XSS cujo objetivo mais comum é a captura dos “cookies” da vítima através do envio dos mesmos para um site da web controlado pelo atacante é o

Um certificado digital é um arquivo eletrônico que identifica quem é o seu titular, pessoa física ou jurídica, ou seja, é um documento eletrônico de identidade. Quando são realizadas transações, de forma presencial, muitas vezes é solicitada uma identificação, por meio de um registro que comprove a identidade. Na Internet, quando as transações são feitas de forma eletrônica, o Certificado Digital surge como forma de garantir a identidade das partes envolvidas. Entre os fatores garantidos pela Certificação Digital, dois são descritos a seguir:

I. É a garantia de que somente o titular do Certificado poderia ter realizado determinada operação.

II. É a garantia de que as informações trocadas nas transações eletrônicas não foram alteradas no caminho que percorreram.

Esses fatores são conhecidos, respectivamente, por: