Após sucessivos incidentes de segurança, uma organização decidiu rever seu processo de desenvolvimento. Em um projeto-piloto, a equipe identificou ativos críticos, definiu objetivos de segurança, levantou cenários de abuso, realizou análise de riscos e modelagem de ameaças, e propôs duas medidas concorrentes para a primeira entrega.

    1) Proposta X: manter todas as funcionalidades originalmente previstas habilitadas por padrão, concentrando o esforço em testes de invasão ao final do desenvolvimento.

    2) Proposta Y: restringir, por padrão, serviços e funcionalidades pouco usados, adotar configurações iniciais mais conservadoras e priorizar requisitos de segurança associados aos riscos de maior impacto.

Considerando a situação hipotética precedente e os requisitos de segurança, ciclo de vida seguro e análise de superfície de ataque, assinale a opção correta.

    Em uma comunicação eletrônica, Alice envia a Bruno um documento assinado digitalmente. Ao receber o arquivo, Bruno utiliza a chave pública correspondente para verificar a assinatura. A chave pública de Alice está vinculada à sua identidade por um certificado digital emitido por autoridade certificadora confiável.

A partir dessa situação hipotética, assinale a opção correta.

    Após interrupção de seus serviços, uma organização decidiu revisar sua gestão de segurança da informação e sua capacidade de continuidade de negócio, sendo determinado que o tratamento dos riscos fosse estruturado, que os controles fossem selecionados conforme as necessidades identificadas e que a organização mantivesse processo contínuo de aperfeiçoamento da resposta a eventos disruptivos.

A partir dessa situação hipotética, assinale a opção correta no que se refere à gestão de riscos e à gestão de continuidade de negócios nessa organização.

    Uma equipe de monitoramento identificou, após o recebimento de emails maliciosos por diversos usuários, tráfego de saída anômalo em estações internas e indisponibilidade de arquivos locais em parte da rede.

A partir da situação hipotética apresentada, assinale a opção correta.

Julgue os próximos itens, relativos a DevSecOps.

I Em DevSecOps, a adoção de ferramentas automatizadas de segurança tende a reduzir a relevância das práticas de deslocamento para a direita, uma vez que as verificações no pipeline antecipam a identificação das vulnerabilidades mais críticas.

II No DevSecOps, o IAST realiza avaliação externa da aplicação em execução, reproduzindo a lógica de testes típicos de DAST.

III Na cultura DevSecOps, a segurança deixa de ser uma atividade isolada de uma equipe específica e passa a integrar, de forma colaborativa, pessoas, processos e tecnologia ao longo de todo o ciclo de desenvolvimento e de operação.

Assinale a opção correta.