Uma organização realiza a análise de riscos para seus
ativos de informação. Durante o processo, identifica que
um servidor crítico está desatualizado (possui falhas de
software não corrigidas), que existe a possibilidade de
ataque de ransomware e que, caso o ataque ocorra, a
interrupção dos serviços pode gerar grandes perdas
financeiras e reputacionais. Com relação a nesse
cenário, assinale a alternativa que corresponde ao
conceito de "vulnerabilidade".

Question

Uma organização realiza a análise de riscos para seus
ativos de informação. Durante o processo, identifica que
um servidor crítico está desatualizado (possui falhas de
software não corrigidas), que existe a possibilidade de
ataque de ransomware e que, caso o ataque ocorra, a
interrupção dos serviços pode gerar grandes perdas
financeiras e reputacionais. Com relação a nesse
cenário, assinale a alternativa que corresponde ao
conceito de "vulnerabilidade".  Alternativa A: sistema desatualizado com falhas conhecidas Ou Alternativa B: possibilidade de um ataque causar danos  Ou Alternativa C: perda financeira decorrente de um incidente Ou Alternativa D: ação maliciosa realizada por hackers  Ou Alternativa E: criptografia de informações sensíveis

Qconcursos · Accepted Answer

Alternativa [A] sistema desatualizado com falhas conhecidas Gabarito: AFundamento decisivo: O ponto decisivo foi a presença de um servidor desatualizado com falhas de software não corrigidas, que é o elemento do cenário que caracteriza a vulnerabilidade e permite distinguir esse conceito de ameaça, impacto e controle.Tema central: conceito de vulnerabilidadeAnálise das alternativasACertaVulnerabilidade, na análise de riscos, é a fraqueza ou falha de um ativo ou sistema que pode ser explorada por uma ameaça. No cenário, o servidor crítico desatualizado, com falhas conhecidas e não corrigidas, é exatamente a condição técnica explorável que sustenta esse conceito.BErradaEstá errada porque descreve a possibilidade de um ataque gerar danos, o que se aproxima de risco. Não aponta a fraqueza do ativo, que é o elemento necessário para caracterizar vulnerabilidade.CErradaEstá errada porque trata da consequência do incidente. Perda financeira é impacto, não a condição explorável que permite a ocorrência do ataque.DErradaEstá errada porque se refere à ação maliciosa ou ao agente ameaçador. Isso corresponde à ameaça, e não à fraqueza existente no servidor.EErradaEstá errada porque indica uma medida de proteção. Criptografia é controle de segurança, não vulnerabilidade.Pegadinha da questãoA questão confundiu vulnerabilidade com ameaça, risco, impacto e controle: a falha do servidor era a vulnerabilidade, enquanto ransomware, perdas e criptografia pertencem a outras categorias.Dica para questões semelhantesSe o elemento descrito for uma fraqueza do ativo passível de exploração, trata-se de vulnerabilidade.Se o elemento descrito for o evento ou agente malicioso que explora a falha, trata-se de ameaça.Se o elemento descrito for a consequência do incidente, trata-se de impacto.Se o elemento descrito for uma medida de proteção, trata-se de controle, não de vulnerabilidade.

Uma organização realiza a análise de riscos para seus ativo...

Gabarito comentado

Gabarito: A

Clique para visualizar este gabarito

Comentários

Clique para visualizar este comentário

Questões de assuntos semelhantes

Provas relacionadas