No contexto do OWASP SAMM v2.0, um órgão público estabelece indicadores para acompanhar a eficácia de seu programa de
segurança de aplicações, define KPIs, monitora tendências e utiliza os resultados obtidos para revisar o roadmap de segurança e
ajustar iniciativas futuras. Essa atividade está diretamente associada à prática de

Question

No contexto do OWASP SAMM v2.0, um órgão público estabelece indicadores para acompanhar a eficácia de seu programa de
segurança de aplicações, define KPIs, monitora tendências e utiliza os resultados obtidos para revisar o roadmap de segurança e
ajustar iniciativas futuras. Essa atividade está diretamente associada à prática de Alternativa A: avaliar o impacto de incidentes potenciais e classificar aplicações segundo seu perfil de risco corporativo. Ou Alternativa B: estabelecer requisitos de segurança para fornecedores e componentes externos utilizados no desenvolvimento. Ou Alternativa C: desenvolver e manter padrões técnicos de segurança aplicáveis às tecnologias utilizadas pela organização. Ou Alternativa D: medir a efetividade do programa de segurança e utilizar os resultados para orientar sua evolução contínua. Ou Alternativa E: identificar obrigações regulatórias externas e convertê-las em requisitos de conformidade para as aplicações.

Qconcursos · Accepted Answer

Alternativa [D] medir a efetividade do programa de segurança e utilizar os resultados para orientar sua evolução contínua. Gabarito: DFundamento decisivo: A presença de indicadores, KPIs, monitoramento de tendências e revisão do roadmap aponta para uma prática de mensuração e realimentação do programa, o que distingue a alternativa D das demais.Tema central: Métricas do programaAnálise das alternativasAErradaEstá errada porque desloca o foco para avaliação de impacto de incidentes potenciais e classificação de aplicações por risco. O enunciado não trata de gestão de risco de aplicações individuais, e sim de métricas do programa, KPIs e revisão de roadmap.BErradaEstá errada porque trata de requisitos de segurança para fornecedores e componentes externos. Esse eixo é de terceiros/supply chain, tema que não aparece no enunciado, que está centrado em indicadores e evolução do programa.CErradaEstá errada porque fala em desenvolver e manter padrões técnicos de segurança. Isso é foco normativo/técnico, enquanto a situação descrita envolve mensuração de desempenho do programa e uso dos resultados para ajustar iniciativas futuras.DCertaA alternativa D está correta porque traduz a ideia central do enunciado: usar indicadores e KPIs para acompanhar a eficácia do programa de segurança e empregar esses resultados na revisão do roadmap e no ajuste de iniciativas futuras. O ponto decisivo é a aderência semântica entre medir o desempenho do programa e orientar sua evolução contínua.EErradaEstá errada porque aborda identificação de obrigações regulatórias e conversão em requisitos de conformidade. O enunciado não menciona compliance regulatório, mas sim acompanhamento por métricas e realimentação do planejamento do programa.Pegadinha da questãoA confusão explorada é trocar uma prática de governança do programa, baseada em KPIs e revisão de roadmap, por temas também corporativos, mas diferentes: risco de aplicações, padrões técnicos, terceiros ou compliance.Dica para questões semelhantesSe o enunciado destacar indicadores, KPIs, tendências e revisão de roadmap, procure a alternativa ligada à medição da efetividade do programa e à melhoria contínua.Separe governança do programa de segurança de práticas com foco em aplicações individuais, fornecedores, padrões técnicos ou obrigações regulatórias.

🎯 Saiba o que estudar

🎯 Saiba o que estudar

No contexto do OWASP SAMM v2.0, um órgão público estabelece ...

Gabarito comentado

Gabarito: D

Clique para visualizar este gabarito

Questões de assuntos semelhantes

Provas relacionadas