De acordo com as melhores práticas de normas de segurança da informação, a política de segurança da informação no relacionamento com fornecedores:
 

 

convém que os requisitos de segurança da informação para mitigar os riscos e as vulnerabilidades associadas com o acesso dos fornecedores aos ativos da organização sejam acordados com o fornecedor sem a necessidade de documentação formal já que a lei garante essa exigência.

convém que os requisitos de segurança da informação para tratar os riscos associados com o acesso dos fornecedores aos ativos da organização sejam acordados e documentados com a validação da autoridade responsável.

convém que os requisitos de segurança da informação para mitigar as ameaças associados com o acesso dos clientes aos ativos da organização sejam acordados com o fornecedor.

convém que os requisitos de segurança da informação para mitigar os riscos associados com o acesso dos fornecedores aos ativos da organização sejam acordados com o fornecedor e documentados.

convém que os requisitos de segurança da informação para tratar os riscos associados com o acesso dos fornecedores aos ativos da organização sejam acordados com a área de segurança da informação do fornecedor, das autoridades e documentados.

De acordo com as melhores práticas de normas de segurança da informação, um exemplo de análise crítica das políticas de segurança da informação é:

 

que a análise inicial seja cuidadosa e detalhada o bastante para não haver necessidade de revisões que podem causar ineficácia decorrente da alteração frequente de processos.

que elas sejam analisadas criticamente apenas quando mudanças significativas ocorrerem, para assegurar a sua contínua eficiência.

que elas sejam modificadas continuamente mesmo que apenas mudanças superficiais ocorram de modo a garantir a sua contínua eficácia.

que elas sejam analisadas criticamente a intervalos planejados ou quando mudanças significativas ocorrerem, para assegurar a sua contínua pertinência, adequação e eficácia.

que elas sejam alteradas apenas se houver mudanças significativas em processos relacionados ao armazenamento e tráfego de dados sensíveis.

A autenticação de dois fatores é um recurso importante para impedir que fraudadores tenham acesso a credenciais válidas e, com isso, acessem informações privilegiadas. Selecione, das opções a seguir, aquela que melhor exemplifica uma aplicação de 2FA:

 

usuário acessa VPN através de conexão remota com senha forte e criptografada.

usuário acessa sistema corporativo digitando senha e código gerado por aplicativo instalado em seu smartphone.

usuário acessa rede social utilizando senha distinta daquela utilizada para acessar o sistema corporativo da empresa.

usuário acessa sistema corporativo utilizando token físico (cartão).

usuário acessa rede social utilizando biometria.

Selecione a alternativa correta sobre firewalls:

 

Dispositivo de hardware que não depende de software, cujo objetivo é controlar o tráfego através da análise de protocolos, permitindo ou negando o acesso destes protocolos de acordo com regras pré-estabelecidas.

Dispositivos de hardware e/ou software cujo objetivo é controlar tráfego de entrada e saída através da análise de pacotes, permitindo ou negando a passagem desses pacotes de acordo com regras pré-estabelecidas.

Conceito amplamente utilizado até o início da década de 2010, quando os firewalls passaram a ser identificados como APTs.

Software cujo objetivo é bloquear tráfego através da análise de sistemas operacionais, negando o acesso a tais sistemas de acordo com regras pré-estabelecidas.

Dispositivo que utiliza uma combinação de hardware e software para estabelecer uma rede segura conhecida como VPN que substitui a necessidade de outros recursos de proteção.

Pontos fracos em processos na gestão ou na tecnologia que podem ser explorados para comprometer a segurança da informação.

 

excesso de exposição.

falta de controle.

ameaças.

riscos.

vulnerabilidades. 

Analise a situação entre aspas e assinale qual (ou quais) princípio(s) de segurança da informação seria(m) quebrado(s): “o número do seu cartão de crédito só pode ser conhecido por você e pela loja onde é usado. Se esse número for descoberto por alguém mal-intencionado, o prejuízo causado poderá ser significativo, já que pessoas podem se passar por você e realizar compras indevidas, proporcionando-lhe prejuízos financeiros.”
 

disponibilidade e confidencialidade.

integridade e disponibilidade

confidencialidade.

integridade.

disponibilidade.

ASSINALE A ALTERNATIVA CORRETA. Com base conteúdo no abordado, assinale a opção que descreve um cenário no qual o princípio integridade foi quebrado.

 

um intruso obtém acesso indevido à rede de computadores de uma empresa e corrompe arquivos importantes que estavam criptografados.

um colaborador da empresa “A” suborna um colaborador da empresa “B” para que segredos de negócio sejam copiados do sistema.

um colaborador com acesso autorizado à rede de computadores de uma empresa copia arquivos importantes que estavam criptografados.

o presidente da empresa solicita ao administrador da rede a senha do usuário admin (que tem acesso irrestrito).

um estagiário acessa a rede wi-fi da empresa com um usuário genérico (conhecido por outras pessoas) e acessa sites indevidos.

De acordo com as melhores práticas de normas de segurança da informação, a política de mesa limpa e tela limpa documenta que:

 

não há uma política de mesa limpa e tela limpa está prevista em normas técnicas.

convém que sejam adotadas uma política de mesa limpa para papeis e dispositivos móveis e uma política de proteção de tela adequada para cada computador/servidor de dados.

convém que sejam adotadas uma política de mesa limpa para mídias de armazenamento removíveis e de armazenamento fixo, bem como uma política de tela limpa para os recursos computacionais do colaborador, sejam pessoais ou corporativos.

convém que sejam adotadas uma política de mesa limpa para papeis e mídias de armazenamento removíveis e uma política de tela limpa para os recursos de processamento da informação.

convém que seja adotada uma política de mesa limpa e uma política de tela limpa para reduzir a quantidade de dados sensíveis nos sistemas.

Fatores associados a recursos como firewalls e barreiras de proteção são associados, respectivamente, a medidas de proteção:

 

Essenciais e secundárias.

Administrativas e Lógicas.

Físicas e Administrativas.

Tecnológicas e Administrativas.

Lógicas e físicas.

A primeira etapa da gestão de risco é a identificação e mapeamento das ameaças.

É correto afirmar que esse processo:

 

é concluído apenas ao fim das etapas seguintes.

deverá ser revisto, mas não ampliado; seu objetivo deve ser reduzir as ameaças e não aumentá-las.

é realizado uma única vez; quando há necessidade de repeti-lo a análise completa deve ser reiniciada. 

deverá ser revisto e ampliado, sempre que possível.

não corresponde à primeira etapa da gestão de risco, mas à segunda - após a avaliação dos riscos.