Uma sociedade empresária que processa informações pessoais
decidiu atualizar seu programa de governança em segurança da
informação com base no NIST Cybersecurity Framework (CSF)
versão 1.1.

Durante o mapeamento de processos, a equipe de segurança da
informação constatou grande dependência de fornecedores
externos para sustentação de sistemas legados, aquisição de
componentes de software de terceiros (open source e
proprietários) e hospedagem de serviços em nuvem pública.
Visando mitigar ameaças decorrentes desse cenário, os gestores
de segurança da informação determinaram a estruturação formal
de processos alinhados à Gestão de Riscos na Cadeia de
Suprimentos Cibernética (Cyber Supply Chain Risk Management –
C-SCRM).

Considerando as diretrizes do NIST CSF v1.1 para a gestão de riscos
na cadeia de suprimentos cibernética, assinale a opção que
apresenta condutas alinhadas aos objetivos do C-SCRM.

Question

Uma sociedade empresária que processa informações pessoais
decidiu atualizar seu programa de governança em segurança da
informação com base no NIST Cybersecurity Framework (CSF)
versão 1.1.

Durante o mapeamento de processos, a equipe de segurança da
informação constatou grande dependência de fornecedores
externos para sustentação de sistemas legados, aquisição de
componentes de software de terceiros (open source e
proprietários) e hospedagem de serviços em nuvem pública.
Visando mitigar ameaças decorrentes desse cenário, os gestores
de segurança da informação determinaram a estruturação formal
de processos alinhados à Gestão de Riscos na Cadeia de
Suprimentos Cibernética (Cyber Supply Chain Risk Management –
C-SCRM).

Considerando as diretrizes do NIST CSF v1.1 para a gestão de riscos
na cadeia de suprimentos cibernética, assinale a opção que
apresenta condutas alinhadas aos objetivos do C-SCRM.  Alternativa A: Transferir formalmente a responsabilidade civil e técnica de
resposta a incidentes para os fornecedores externos,
desobrigando a empresa contratante de monitorar os riscos
inerentes aos serviços terceirizados.   Ou Alternativa B: Avaliar previamente os riscos associados aos fornecedores e
estabelecer requisitos contratuais que os obriguem a
implementar controles adequados de cibersegurança e a
cooperar nos processos de resposta a incidentes.   Ou Alternativa C: Restringir a análise de vulnerabilidades cibernéticas
unicamente aos códigos-fonte desenvolvidos pela equipe
interna da organização, pressupondo a conformidade técnica
dos softwares homologados de terceiros.   Ou Alternativa D: Adotar o isolamento físico irrestrito em toda a infraestrutura
computacional, dispensando a aplicação de cláusulas de
auditoria de segurança em contratos de prestação de serviços
de TI.  Ou Alternativa E: Dispensar a realização de auditorias ou revisões periódicas de
conformidade para parceiros que já apresentem declarações
prévias de conformidade com padrões de mercado.

Qconcursos · Accepted Answer

Alternativa [B] Avaliar previamente os riscos associados aos fornecedores e
estabelecer requisitos contratuais que os obriguem a
implementar controles adequados de cibersegurança e a
cooperar nos processos de resposta a incidentes.   Gabarito: BFundamento decisivo: A dependência descrita torna os fornecedores parte do escopo da gestão de riscos da cadeia de suprimentos (ID.SC). Portanto, deve-se manter a avaliação e o acompanhamento desses riscos, critério atendido pela alternativa B.Tema central: Gestão de riscos de fornecedoresAnálise das alternativasAErradaO erro decisivo é desobrigar a contratante de monitorar os riscos dos serviços terceirizados. A ID.SC-4 prevê avaliações rotineiras dos fornecedores para verificar o cumprimento das obrigações contratuais. Assim, atribuir tarefas ao fornecedor por contrato não elimina o acompanhamento pela contratante; não é necessário concluir nada sobre responsabilidade civil para identificar esse erro.BCertaA alternativa B articula três resultados previstos no NIST CSF v1.1. A avaliação prévia dos riscos dos fornecedores corresponde à ID.SC-2, que inclui esses terceiros na avaliação de riscos. A definição de requisitos contratuais para implementar controles adequados corresponde à ID.SC-3: o contrato é um instrumento para estabelecer medidas de segurança na relação com o fornecedor. Já a cooperação na resposta a incidentes está alinhada à ID.SC-5, que prevê planejamento e testes de resposta e recuperação com fornecedores. Portanto, B combina avaliação, exigências contratuais e atuação coordenada, sem excluir os serviços terceirizados da gestão de riscos da contratante.CErradaRestringir a análise ao código interno exclui os fornecedores da avaliação de riscos, contrariando a ID.SC-2. A homologação de software de terceiros não justifica presumir sua conformidade e retirá-lo dessa avaliação. O critério é incluir os riscos dos terceiros no processo, e não exigir, necessariamente, inspeção integral de todo código externo.DErradaO isolamento físico não fundamenta a dispensa de gestão contratual e de avaliação dos fornecedores. A ID.SC-3 prevê contratos para implementar medidas adequadas de segurança, e a ID.SC-4 prevê avaliações rotineiras do cumprimento das obrigações. Portanto, uma medida de isolamento não substitui esses processos. Isso também não significa que a verificação tenha de ocorrer exclusivamente por auditoria: a base admite resultados de testes e outras avaliações.EErradaA declaração prévia de conformidade não elimina a necessidade de avaliações recorrentes. A ID.SC-4 prevê verificações rotineiras, por auditorias, resultados de testes ou outras avaliações, para conferir o cumprimento das obrigações contratuais. O erro está em transformar uma declaração anterior em motivo para dispensar esse acompanhamento.Pegadinha da questãoA confusão explorada é tratar a contratação, a homologação ou uma declaração de conformidade como encerramento da gestão de riscos. Esses atos não tornam dispensável o acompanhamento dos fornecedores.Dica para questões semelhantesAo identificar exigências de auditoria, observe se o item impõe exclusividade: a ID.SC-4 admite auditorias, resultados de testes ou outras avaliações.

Uma sociedade empresária que processa informações pessoais ...

Gabarito comentado

Gabarito: B

Clique para visualizar este gabarito

Questões de assuntos semelhantes

Provas relacionadas