Uma sociedade empresária que processa informações pessoais
decidiu atualizar seu programa de governança em segurança da
informação com base no NIST Cybersecurity Framework (CSF)
versão 1.1.

Durante o mapeamento de processos, a equipe de segurança da
informação constatou grande dependência de fornecedores
externos para sustentação de sistemas legados, aquisição de
componentes de software de terceiros (open source e
proprietários) e hospedagem de serviços em nuvem pública.
Visando mitigar ameaças decorrentes desse cenário, os gestores
de segurança da informação determinaram a estruturação formal
de processos alinhados à Gestão de Riscos na Cadeia de
Suprimentos Cibernética (Cyber Supply Chain Risk Management –
C-SCRM).

Considerando as diretrizes do NIST CSF v1.1 para a gestão de riscos
na cadeia de suprimentos cibernética, assinale a opção que
apresenta condutas alinhadas aos objetivos do C-SCRM.

Question

Uma sociedade empresária que processa informações pessoais
decidiu atualizar seu programa de governança em segurança da
informação com base no NIST Cybersecurity Framework (CSF)
versão 1.1.

Durante o mapeamento de processos, a equipe de segurança da
informação constatou grande dependência de fornecedores
externos para sustentação de sistemas legados, aquisição de
componentes de software de terceiros (open source e
proprietários) e hospedagem de serviços em nuvem pública.
Visando mitigar ameaças decorrentes desse cenário, os gestores
de segurança da informação determinaram a estruturação formal
de processos alinhados à Gestão de Riscos na Cadeia de
Suprimentos Cibernética (Cyber Supply Chain Risk Management –
C-SCRM).

Considerando as diretrizes do NIST CSF v1.1 para a gestão de riscos
na cadeia de suprimentos cibernética, assinale a opção que
apresenta condutas alinhadas aos objetivos do C-SCRM.  Alternativa A: Transferir formalmente a responsabilidade civil e técnica de
resposta a incidentes para os fornecedores externos,
desobrigando a empresa contratante de monitorar os riscos
inerentes aos serviços terceirizados.   Ou Alternativa B: Avaliar previamente os riscos associados aos fornecedores e
estabelecer requisitos contratuais que os obriguem a
implementar controles adequados de cibersegurança e a
cooperar nos processos de resposta a incidentes.   Ou Alternativa C: Restringir a análise de vulnerabilidades cibernéticas
unicamente aos códigos-fonte desenvolvidos pela equipe
interna da organização, pressupondo a conformidade técnica
dos softwares homologados de terceiros.   Ou Alternativa D: Adotar o isolamento físico irrestrito em toda a infraestrutura
computacional, dispensando a aplicação de cláusulas de
auditoria de segurança em contratos de prestação de serviços
de TI.  Ou Alternativa E: Dispensar a realização de auditorias ou revisões periódicas de
conformidade para parceiros que já apresentem declarações
prévias de conformidade com padrões de mercado.

Fundação Getúlio Vargas · Accepted Answer

Alternativa [B] Avaliar previamente os riscos associados aos fornecedores e
estabelecer requisitos contratuais que os obriguem a
implementar controles adequados de cibersegurança e a
cooperar nos processos de resposta a incidentes.

Uma sociedade empresária que processa informações pessoais ...

Questões de assuntos semelhantes

Provas relacionadas