“O cliente de um banco precisa, com urgência, fazer uma operação de Internet Banking através do seu computador pessoal, mas o website do banco informa que o sistema está fora do ar.”

Considerando o cenário descrito na frase anterior, qual (is) princípio (s) de Segurança da Informação foi (foram) quebrado(s)?

 

Assinale a única opção correta:

 

apenas não-repúdio

apenas confidencialidade

integridade e confidencialidade

apenas integridade

apenas disponibilidade

Considerando os princípios de segurança da informação, assinale a única frase correta:

A Segurança da Informação é um conceito tão abrangente quanto a Segurança de TI.

A Segurança de TI é um conceito mais abrangente do que a Segurança da Informação.

A Segurança da Informação é um conceito mais abrangente do que a Segurança de TI.

A Segurança da Informação evoluiu e se tornou o que chamamos hoje de Segurança de TI.

A Segurança da Informação não tem qualquer relação com a Segurança de TI.

Selecione a opção que representa uma boa prática de comunicação na gestão de incidentes de segurança da informação:

incidentes graves devem ser reportados apenas à chefia de TI e à alta gestão, que decidirão juntos, baseado na estratégia corporativa, qual ação deve ser tomada.

incidentes graves serão tratados da forma mais sigilosa possível para evitar vazamento das ações da gestão de incidentes que possam comprometer a reputação da empresa.

incidentes graves devem ser reportados rapidamente para que as ações de contenção sejam aplicadas em tempo hábil.

incidentes graves devem ser reportados primeiramente à chefia de TI ou de segurança da informação, que decidirá se a investigação deve ser concluída antes da contenção.

incidentes graves serão reportados inicialmente apenas para o time técnico, que decidirá quem, na empresa, será envolvido.

Assinale a opção que melhor exemplifica ações da etapa investigação no gerenciamento de incidentes:

desinstalar softwares SIM ou SEM nos sistemas mais importantes da empresa para evitar rastreamento indevido de informações críticas.

interromper temporariamente a comunicação de servidor da rede interna com a internet para interromper ataque hacker em andamento.

especialista em configuração de roteador que, após solicitação da equipe de gerenciamento de incidentes, alterou configuração para permitir o acesso controlado de usuários externos autorizados.

especialista em forense computacional contratado para auditar o banco de dados da empresa em busca de evidências que comprovem uma fraude realizada por ataque hacker que não deixou registros de acessos indevidos.

desinstalação de antivírus em servidor que apresentou conflito com o sistema de gestão da empresa após atualização do sistema operacional.

De acordo com as melhores práticas de normas de segurança da informação, a política de segurança da informação no relacionamento com fornecedores:
 

 

convém que os requisitos de segurança da informação para mitigar os riscos associados com o acesso dos fornecedores aos ativos da organização sejam acordados com o fornecedor e documentados.

convém que os requisitos de segurança da informação para mitigar as ameaças associados com o acesso dos clientes aos ativos da organização sejam acordados com o fornecedor.

convém que os requisitos de segurança da informação para tratar os riscos associados com o acesso dos fornecedores aos ativos da organização sejam acordados com a área de segurança da informação do fornecedor, das autoridades e documentados.

convém que os requisitos de segurança da informação para tratar os riscos associados com o acesso dos fornecedores aos ativos da organização sejam acordados e documentados com a validação da autoridade responsável.

convém que os requisitos de segurança da informação para mitigar os riscos e as vulnerabilidades associadas com o acesso dos fornecedores aos ativos da organização sejam acordados com o fornecedor sem a necessidade de documentação formal já que a lei garante essa exigência.

O ataque de um ransomware em andamento:

não pode ser tratado, uma vez que a tentativa de reverter a criptografia pode causar um ataque DDoS, o que poderia agravar o cenário e reduzir a chance de sucesso.

não pode ser tratado, uma vez que é impossível reverter a criptografia utilizada, deixando a empresa totalmente refém da situação e sujeita a pagar o resgate solicitado.

pode ser tratado com medidas físicas, promovendo a interrupção imediata de pessoas não autorizadas a ambientes computacionais restritos, como data centers.

pode ser tratado com medidas administrativas, solicitando aos colaboradores que deem aceite a novas políticas de segurança da informação.

pode ser tratado com medidas de contenção, uma vez que manobras rápidas na configuração da rede de dados podem reduzir a área atacada.

Selecione, dentre as opções a seguir, a que define adequadamente o conceito “autodeterminação informativa”:

 

Trata-se do direito à informação que o titular dos dados deve receber sobre como os seus dados são tratados pelos órgãos públicos.

Trata-se do direito à informação que o titular dos dados deve receber sobre como os seus dados são tratados pelos órgãos públicos ou instituições privadas.

Trata-se do direito à informação que o titular dos dados deve receber sobre como os seus dados são tratados por instituições privadas.

Trata-se do dever de proteção de dados pessoais que empresas e órgãos públicos devem ter sobre dados de pessoas físicas.

Trata-se do direito à escolha que o titular de dados deve ter sobre o uso dos seus dados pessoais.

A empresa ACME tem dados que Alice forneceu ao preencher uma ficha quando se candidatou a um emprego. Selecione, das opções a seguir, qual contém dados pessoais de Alice sensíveis à luz da LGPD:

 

Nome e endereço de e-mail.

Filiação e endereço residencial.

Torcedora do Corinthians e administradora de empresas.

Diabética e católica.

RG e CPF.

Quando o usuário de um sistema não pode negar que executou determinada ação após um perito constatar que apenas a sua conta de usuário seria capaz de fazer a operação em questão, pode-se dizer que:

 

Trata-se de um exemplo do princípio da integridade.

Trata-se de um exemplo do princípio da confidencialidade.

Trata-se de um exemplo do princípio não-repúdio.

Trata-se de um exemplo do princípio da autenticação.

Trata-se de um exemplo do princípio da disponibilidade.

A política de segurança da informação é um conjunto de regras estabelecidas em uma organização para garantir que todos os usuários que lidam com informações no seu domínio tomem conhecimento e cumpram as diretrizes de proteção de dados armazenados digitalmente ou não. Neste contexto, de acordo com o conteúdo abordado neste capítulo, assinale a única afirmação correta:

 

uma política de segurança da informação deve ser aprovada exclusivamente por membros da organização; trata-se de um assunto interno sobre o qual não deve haver interferência de parceiros de negócio ou pessoas alheias à empresa.

 

uma política de segurança da informação deve ser elaborada considerando a legislação e as boas práticas de mercado embora, muitas vezes será necessário desconsiderar os objetivos do negócio que, muitas vezes, podem ser contrários ao que se estabelece em normas internacionais de segurança da informação.

 

a legislação recente de proteção de dados substitui a necessidade de as empresas manterem políticas próprias de segurança da informação uma vez que, no Brasil, os cidadãos não podem alegar desconhecimento da lei, ou seja: o arcabouço jurídico do direito digital é, por si só, suficiente para dar a segurança jurídica para as empresas.

 

empresas do mercado financeiro (bancos, fintechs e outras) não podem divulgar suas políticas de segurança da informação em função da natureza da sua atividade e pela extrema confidencialidade de dados que estas instituições precisam manter.

 

a difusão de políticas de segurança da informação não precisa ser, necessariamente, ser realizada em documentos impressos; pode ser compartilhada com os colaboradores através de meios eletrônicos de comunicação, como a intranet da empresa.