A ocorrência de um roubo de computadores na organização, cas...
Os ativos são os elementos que sustentam a operação do negócio (Computadores na organização)
Este ativos sempre trarão consigo VULNERABILIDADES (roubados, quebrado, perda dos dados...)
Caso este ativo (computador) seja roubado, quebrado ou tenha perdido seus dados (foram submetidos as AMEAÇAS)
Letra e)
a perda de ativos materiais e informações.Isso é o impacto... não? Alguém se manifesta? -A vulnerabilidde é do próprio ativo, no exemplo, a possibilidade do mesmo ser roubado.
-O impacto seriam os efeitos que o roubo causaria no negócio, por exemplo.
-A probabilidade é a chance de algum evento ocorrer, no caso em questão seria a chance de uma ameaça explorar uma vulnerabilidade do ativo.
Cabe salientar que a valoração da probabilidade e do impacto de um risco é atividade inerente ao processo de analise/avaliação de riscos (mais inerente à analise).
-O risco, segundo a norma 27005, é: a possibilidade de uma ameaça explorar vulnerabilidades de uma ativo ou de um conjunto de ativos, desta maneira prejudicando a organização.
Ou seja é um aspecto inerente aos ativos. Todo ativo possui um risco, variando a sua proporção.
-Ameaça é algo que vai se aproveitar das vulnerabilidades de certo ativo.
Para mim isso é impacto, pois a ameaça de roubo ocorreu e perdeu-se dados. Mas CESPE é CESPE...
Ameaça é algo que pode vir a acontecer. Na pergunta diz: "caso aconteça", então está certo.
Se um ladrão te diz: "eu vou te matar", ele está te ameaçando, tendo em vista que não te matou ainda, hehehe..
Um possível assalto é uma ameaça, não há dúvidas sobre isso. No entanto, a perda de ativos materiais e informações é um impacto, não? A questão não deixa claro qual é o "contexto" em questão.
Ameaça corresponde à possibilidade, não ao ato consumado!
Depois que o ato está consumado ocorre o impacto!
Esta questão deveria, no mínimo, ter o gabarito alterado porque não faz sentido!
São considerados ameaças físicas: "furto ou roubo, incêndio, explosivos, fumaça, água (ou falha do suprimento de água), poeira, vibração, efeitos químicos, interferência com o suprimento de energia elétrica, interferência com as comunicações, radiação eletromagnética e vandalismo." (Fonte: norma ISO 27002:200
Ou seja, a ato de roubar em si é uma ameaça que explorou uma vulnerabilidade da organização (ativo desprotegido).
Naturalmente a perda de ativos e informação pode levar ao impacto nas operações do negócio.
Ameaças – Normalmente não podem ser controladas
É um evento ou atitude indesejável que potencialmente remove, desabilita ou destrói um recurso. As ameaças normalmente aproveitam das falhas de segurança da organização. Possibilidade de um agente (ou fonte de ameaça) explorar acidentalmente ou propositalmente uma vulnerabilidade especifica.
Riscos (externos e/ou internos) – Podem ser minimizados ou mitigados
Qualquer evento que possa causar impacto na capacidade de empresas atingirem seus objetivos de negócio. Probabilidade de uma fonte de ameaça explorar uma vulnerabilidade, resultando em um impacto para a organização.
Vulnerabilidade (internas) – Podem ser tratadas
Falha ou fraqueza de procedimento, design, implementação, ou controles internos de um sistema que possa ser acidentalmente ou propositalmente explorada, resultando em uma brecha de segurança ou violação da política de segurança do sistema.
Em segurança de computadores, uma vulnerabilidade é uma fraqueza que permite que o atacante reduza a garantia da informação do sistema. Vulnerabilidade é a interseção de três elementos: uma suscetibilidade ou falha do sistema, acesso do atacante a falha e a capacidade do atacante explorar a falha.
Os principais ataques relacionados a exploração de vulnerabilidade de tecnologia são os ataques ativos e ataques passivos: