No que concerne à Instrução Normativa n.º 1/2009 do Gabinete de Segurança Institucional da Presidência da República (GSIPR) e normas complementares, julgue os itens a seguir.
Compete às entidades da administração pública federal planejar e coordenar atividades de segurança da informação.
Julgue os próximos itens, acerca de segurança da informação.
Impacto é uma mudança adversa no nível obtido dos objetivos de negócios, e vulnerabilidade é uma falha que, quando explorada por um atacante, resulta na violação da segurança.
À luz da norma NBR ISO/IEC 27.002:2005, julgue os itens a seguir.
Transações online devem ser protegidas de forma a prevenir-se a transmissão incompleta.
Julgue os itens subsequentes, com relação a filtro de conteúdo web e prevenção à intrusão.
Os filtros de conteúdo web trabalham com base em listas de negação criadas por cada empresa a partir de estatísticas de uso da Internet pelos seus usuários internos.
Uma empresa cuja matriz está localizada em Brasília possui três filiais localizadas em outras cidades do Brasil. As atribuições da matriz incluem analisar todas as propostas de negócio e autorizar os valores finais da negociação, além de analisar a documentação dos clientes para a liberação do crédito. Como atende a clientes em cidades onde não possui pontos de atendimento, a empresa recebe as propostas e documentos dos clientes eletronicamente e fecha contratos à distância. Os clientes também podem ser atendidos nas filiais, caso em que elas se responsabilizam pela recepção dos documentos e pelo seu envio, por meio eletrônico, para a matriz. Com base nessa situação hipotética, julgue os seguintes itens.
Para ...
A respeito de segurança da informação, julgue os itens subsequentes.
Planos de continuidade do negócio devem ser atualizados em intervalos planejados e quando houver alterações significativas. A mudança de endereços das instalações físicas da empresa e dos seus números de telefone são fatores que não afetam o plano de continuidade do negócio.
A respeito de segurança da informação, julgue os itens subsequentes.
É possível controlar redes grandes utilizando-se a segmentação dessas redes em diferentes domínios de redes lógicas.
Considere:
I. Utiliza o algoritmo de criptografia RC4, que é apontado por muitos como seu principal ponto negativo. Mesmo estando obsoleto no quesito segurança, continua sendo amplamente utilizado em residências de todo o mundo, reflexo da falta de informação dos usuários de redes sem fio e da insistência de fabricantes de pontos de acesso em permitir que ele seja um dos padrões de segurança. II. Foi criado pela WFA (Wi-Fi Alliance) como postulante a substituto do modelo anterior. Durante a sua concepção, foi dado um enfoque maior na correção das falhas de segurança encontradas neste protocolo. Dentre as melhorias propostas, a mais significativa foi a utilização do algoritmo RC4 de uma forma mais segura. III. Este algoritmo é utilizado no padrão WPA2. É...A respeito de fundamentos de assinatura digital e certificado digital, julgue os itens subsequentes.
A autoridade certificadora é responsável por divulgar informações caso o certificado por ela emitido não seja mais confiável.
Com relação à proteção de rede com iptables, julgue os itens que se seguem.
Mediante a regra abaixo, bloqueiam-se pacotes que tenham origem na rede 192.168.0.0/24 e retorna-se uma mensagem ao host informando que foi recebido o bloqueio do tipo ICMP.
iptables -t filter -A INPUT -p tcp -s 192.168.0.0/24 -j DROP
Acerca de proteção de estações de trabalho, julgue os próximos itens.
Entre as ações que integram o processo de hardening incluem-se desinstalar softwares desnecessários para o cotidiano do usuário na estação de trabalho e instalar antispyware.
Julgue os itens a seguir com base na norma NBR ISO/IEC n.º 27.002 da ABNT.
As informações operacionais incluídas no ambiente antes dos testes de intrusão devem ser nele mantidas após o teste.
Acerca do ambiente Windows 2008, julgue os itens subsecutivos.
O recurso EFS (encrypting file system) permite proteger arquivos por meio de criptografia; entretanto, depois de serem criptografados, esses arquivos não poderão mais ser compartilhados.
Julgue os seguintes itens, relativos à segurança em redes de computadores.
O ARP Spoofing é um tipo de ataque no qual o computador do atacante gera quadros com endereços MAC falsos, para que a tabela de endereços MAC do switch da rede seja preenchida totalmente com endereços forjados. Com isso, muitos switches não conseguem armazenar os endereços MAC verdadeiros e acabam trabalhando como um hub, repassando os quadros a todas as portas e permitindo que o atacante possa capturar o tráfego da rede.
No que se refere a processos de desenvolvimento seguro de aplicações, julgue os itens subsecutivos.
O processo SDL (Secure Development Lifecycle) tem sido adotado pela Microsoft no desenvolvimento de alguns de seus produtos, como Windows Server, SQL Server e Exchange Server, reduzindo o número de vulnerabilidades encontradas nesses produtos em versões desenvolvidas sem o uso do SDL. Uma das características desse processo é que ele provê dois roteiros, sendo um com foco no suporte a desenvolvimento de novos sistemas com base em um processo iterativo, e outro que enfoca a manutenção de sistemas já existentes.
Em relação aos conceitos básicos da NBR ISO/IEC 27001:2006, julgue os itens subsecutivos.
A norma em tela prevê que o SGSI inclua uma estrutura para definir objetivos e estabeleça direcionamento global para ações relativas à segurança da informação.
A respeito da norma NBR ISO/IEC 27.002:2005, julgue os itens a seguir.
De acordo com a referida norma, todos os itens de controle, seções e etapas são aplicáveis apenas a organizações de grande envergadura.
Julgue os itens subsequentes com relação a ataques a redes de computadores, prevenção e tratamento de incidentes.
Uma das formas de proteção mais eficazes contra ataques de identity theft é a criptografia do canal de comunicação, que pode ser feita por meio de criptografia de chave simétrica, na qual os agentes envolvidos utilizam uma única chave que deve ser compartilhada na comunicação entre os agentes.
Com referência à prevenção e ao tratamento de incidentes, julgue os itens subsecutivos.
A detecção de um incidente de segurança computacional se distingue da gerência de falhas, restringindo suas fontes aos alertas e aos alarmes de ferramentas automáticas.
Com referência à prevenção e ao tratamento de incidentes, julgue os itens subsecutivos.
Na condução do processo de resposta, é necessário realizar a geração e manutenção sistemática de registros de todo o processo de coleta e manipulação de evidências, juntamente com as informações para verificação da integridade do processo.
Com relação a ataques a redes de computadores, julgue os itens a seguir.
O correto posicionamento e configuração de um IDS/IPS representa uma medida eficaz na mitigação de ataques que exploram o payload de dados.
Com referência aos dispositivos de segurança e aos ataques a redes de computadores, julgue os itens subsequentes.
Ataques de negação de serviço volumétricos, distribuídos ou não, envolvem flooding para esgotamento de recursos e spoofing para dificultar o rastreamento da origem.
Acerca da segurança da informação, julgue os itens subsequentes.
Os rótulos físicos são a forma mais usada para definir a classificação de uma informação, mas são substituídos, em algumas situações, por procedimentos e metadados.
Acerca da segurança da informação, julgue os itens subsequentes.
Considere que uma mensagem de correio eletrônico, supostamente vinda do provedor de Internet, sob a alegação de que o computador que recebia a mensagem estava infectado por um vírus, sugeria que fosse instalada uma ferramenta de desinfecção. Considere ainda que na verdade, a ferramenta oferecida era um programa malicioso que, após a instalação, tornou os dados pessoais do usuário acessíveis ao remetente da mensagem. Nessa situação hipotética, é correto afirmar que houve um ataque de engenharia social.
Acerca da segurança da informação, julgue os itens subsequentes.
Pode ser identificada uma equivalência entre o modelo de gestão PDCA (plan-do-check-act) e a estrutura proposta pela norma ISO-IEC 27001. A etapa do (fazer) corresponde a manter e melhorar os sistemas de gestão de segurança da informação (SGSI), ou seja, devem-se executar as ações corretivas e preventivas necessárias para alcançar a melhoria contínua do SGSI.
Com referência à norma NBR ISO/IEC 27001:2006, julgue os itens a seguir.
Definir requisitos para registrar os resultados de ações executadas é uma forma de prevenção realizada com o objetivo de eliminar as causas de não conformidades potenciais alinhadas aos requisitos do SGSI.
Com referência à norma NBR ISO/IEC 27001:2006, julgue os itens a seguir.
No do (fazer) do modelo PDCA aplicado aos processos do SGSI (sistema de gestão de segurança da informação), para se alcançar a melhoria contínua, é necessário executar as ações corretivas e preventivas, com base nos resultados da auditoria interna, da análise crítica realizada pela direção ou de outra informação pertinente.
Com referência à norma NBR ISO/IEC 27001:2006, julgue os itens a seguir.
O procedimento documentado que atenda aos requisitos do SGSI para ação corretiva deve definir requisitos para determinar as causas de não conformidades.
Com relação à norma NBR ISO/IEC 27002:2005, julgue o item subsequente.
As informações e os serviços são ativos de uma organização que devem ser claramente identificados, inventariados e mantidos, já a imagem e a reputação não.
No que concerne à Instrução Normativa n.º 1/2009 do Gabinete de Segurança Institucional da Presidência da República (GSIPR) e normas complementares, julgue os itens a seguir.
O Comitê de Segurança da Informação e Comunicações é encarregado de manter contato com o GSIPR, além de elaborar e manter programas de conscientização dos recursos humanos em segurança da informação e das comunicações.No que concerne à Instrução Normativa n.º 1/2009 do Gabinete de Segurança Institucional da Presidência da República (GSIPR) e normas complementares, julgue os itens a seguir.
Compete ao GSIPR, por intermédio do Departamento de Segurança da Informação e Comunicações, estabelecer as normas que devem reger a implementação de gestão e segurança da informação pelas entidades da administração pública federal.
Um computador ou sistema computacional é dito seguro se este atender a três requisitos básicos relacionados aos recursos que o compõem. Alguns exemplos de violações a cada um desses requisitos são:
I. O seu provedor sofre uma grande sobrecarga de dados ou um ataque de negação de serviço e por este motivo você fica impossibilitado de enviar sua Declaração de Imposto de Renda à Receita Federal. II. Alguém obtém acesso não autorizado ao seu computador e lê todas as informações contidas na sua Declaração de Imposto de Renda. III. Alguém obtém acesso não autorizado ao seu computador e altera informações da sua Declaração de Imposto de Renda, momentos antes de você enviá-la à Receita Federal. A associação correta do requisito de segurança com os exemplos ...Considere as afirmativas sobre controle físico de acesso às informações.
I. Devem-se instituir formas de identificação capazes de distinguir funcionários de visitantes e categorias diferenciadas de funcionários, se for o caso. II. Aos funcionários terceirizados que realizam serviços de suporte, limpeza, manutenção predial etc, deve ser concedido acesso restrito, somente quando necessário, às áreas seguras ou às instalações de processamento da informação sensível; este acesso deve ser autorizado e monitorado. III. Orientar os funcionários para que não deixem ligados computadores sem mecanismos de proteção de acesso, principalmente no horário das refeições ou quando se ausentarem. IV. Instalar sistemas de proteção e vigilância 24 x 7, incluindo proteç...
Em relação às normas de segurança da informação ISO 27001 e ISO 27002, analise as afirmativas a seguir.
I. No Brasil, já existem diversas empresas certificadas em ISO 27002.
II. Historicamente, a ISO 27001 deriva da norma britânica BS 7799‐2 tendo, por fim, substituído essa última.
III. A declaração de aplicabilidade é documento essencial a ser produzido durante a implantação da ISO 27002 nas empresas.
Assinale:
Com relação ao tema “segurança de redes de computadores”, analise as afirmativas a seguir.
I. Firewall é uma combinação em que hardware e software operam de modo conjunto para isolar a rede interna de uma empresa ou organização da rede Internet, filtrando a passagem de pacotes considerados seguros.
II. Somente o tráfego de pacotes autorizados pelo administrador da rede, por meio de uma política de segurança, poderá transpor os ambientes intermediados pelo Firewall.
III. Firewall do tipo filtro de pacotes é um servidor de aplicação específico, por meio do qual todos os dados das aplicações são criptografados em cabeçalhos HTTPS, IPSEC e ICMP, destinados à rede local, que devem ser avaliados antes de serem ...
Acerca da gestão de segurança da informação, conforme as normas da ABNT, julgue os itens a seguir.
De acordo com a ABNT NBR ISO/IEC 27005, é preciso identificar controles existentes e planejados em uma organização. Além disso, é necessário manter uma lista que descreva sua implantação e seu status de utilização.
Acerca da gestão de segurança da informação, conforme as normas da ABNT, julgue os itens a seguir.
De acordo com a norma ABNT NBR ISO/IEC 27001, informações publicamente disponibilizadas pela organização não requerem mecanismos de proteção para a sua visualização e modificação.
Acerca de conceitos relacionados ao desenvolvimento de software seguro e segurança para web services, julgue os itens subsecutivos.
Ao se utilizar a tecnologia web services para garantia de uma autenticação segura, devem ser usados signed security tokens, que consistem em elementos criptografados a partir de uma chave de acesso previamente acordada.
Para prevenir ataques à rede e aos sistemas de TI que causem incidentes de segurança da informação, várias restrições, como as listadas abaixo, foram criadas numa organização pública. A ação PERMITIDA é
Julgue os próximos itens a respeito de segurança da informação.
Considere que um arquivo que esteja sendo transferido entre dois usuários tenha sido interceptado e seu conteúdo tenha sido visualizado e encaminhado a outros usuários. Nessa situação, caracterizou-se a ocorrência do comprometimento da integridade do arquivo.
Julgue os próximos itens, relativos à criptografia.
Se um remetente cifra uma mensagem com sua chave privada e, a seguir, cifra o resultado novamente com a chave pública do destinatário, apenas este último poderá recuperar a mensagem e somente se dispuser da chave pública do remetente.
A respeito dos dispositivos relativos à segurança de perímetro, julgue os itens seguintes.
NAT é uma técnica que permite que todos os endereços de rede em uma LAN sejam mapeados para um endereço externo único.
Considere que o notebook de uma empresa tenha sido furtado, e que nele constem arquivos com minutas de contratos em negociação, planos estratégicos e comerciais, além de informações pessoais do usuário. Considere, ainda, que, na política de segurança dessa empresa, conste o uso de autenticação biométrica para o controle de acesso a dispositivos portáteis, além da sincronização dos dados e arquivos corporativos desses dispositivos com um servidor central, a partir do qual se implementa uma política de realização de cópias de segurança diárias.
A partir dessa situação hipotética, julgue os itens a seguir.
Na referida política de segurança da informação, constam as provisões necessárias para a proteção contra extração de dados do disposit...A respeito dos mecanismos de controle de acesso e garantia de integridade, julgue os itens que se seguem.
Sistemas de controle de acesso embasados em identificação biométrica são extremamente precisos na recuperação da informação.
Luiza trabalha em uma empresa com 500 funcionários. A empresa tem centenas de computadores com placas de rede conectando-os. A empresa também tem uma ou mais conexões de alta velocidade com a internet. Luiza foi contratada para evitar que um hacker possa sondar esses computadores, tentar estabelecer conexões FTP com eles, fazer conexões telnet e assim por diante. Ainda, se um funcionário cometer um erro e deixar uma vulnerabilidade na segurança, Luiza deve evitar que os hackers possam chegar nessa máquina e explorar essa fraqueza.
Para evitar esta situação de risco, Luiza deve instalar na rede umConsidere que, em uma organização, uma planilha armazenada em um computador (o servidor de arquivos) tenha sido acessada indevidamente por usuários que visualizaram as informações contidas na planilha, mas não as modificaram. O princípio da segurança da informação comprometido com esse incidente foi
Considere que o rompimento de um cabo tenha interrompido a comunicação entre os usuários e o servidor que provê o acesso à Internet em uma organização que utiliza cabeamento estruturado. Com base nessa situação hipotética e na norma ABNT NBR ISO/IEC 27.001, assinale a opção em que é apresentada uma área de segurança da informação segundo a qual os controles implementados podem prevenir esse tipo de incidente.
No que se refere a sistemas de detecção de intrusão e proteção contra software malicioso, julgue os itens subsequentes.
O sniffers, que pode ser do tipo filtro de pacotes e do tipo proxy de aplicações, é um dispositivo que tem por objetivo aplicar uma política de segurança a determinado ponto de uma rede de computadores.
A respeito de mecanismos de segurança da informação, julgue os itens seguintes.
Na proteção de informações críticas, para a garantia de sua integridade, devem ser utilizados algoritmos de criptografia.
Acerca de segurança da informação, julgue os itens a seguir.
As organizações devem estabelecer controles de segurança da informação para proteger os direitos a propriedade intelectual, conforme preceitua as melhores práticas de segurança da informação.
Com relação a conceitos de segurança da informação, julgue os itens a seguir.
Para aumentar a segurança de um programa, deve-se evitar o uso de senhas consideradas frágeis, como o próprio nome e identificador de usuário, sendo recomendada a criação de senhas consideradas fortes, ou seja, aquelas que incluem, em sua composição, letras (maiúsculas e minúsculas), números e símbolos embaralhados, totalizando, preferencialmente, mais de seis caracteres.
Com relação a conceitos de segurança da informação, julgue os itens a seguir.
A utilização de sistemas biométricos dispensa a segurança de dados de forma isolada, uma vez que o acesso é mais restrito em decorrência do alto controle de erro, não havendo necessidade de intervenção do programador no testamento dos dados.
Os acessos aos sistemas bancários pela internet (internet banking) são realizados por meio de um sistema de criptografia que utiliza o esquema de chaves
O AES (Advance Encryption Standard) é um algoritmo de criptografia de chave simétrica que foi introduzido para substituir o DES. No AES, os dados a serem criptografados são divididos em blocos de
Com relação à segurança das informações contidas nos computadores, considere:
I. Para manter os programas instalados livres de vulnerabilidades, basta que sejam aplicadas todas as atualizações disponíveis (patches, hot fixes ou service packs). II. O uso de mecanismos de proteção, como programas antimalware e firewall pode contribuir para que o computador não seja infectado/invadido, mas não pode restringir a participação do computador em atividades maliciosas. III. Alguns mecanismos, como os programas antimalware, protegem o computador contra ameaças já conhecidas e também contra ameaças novas e ainda não detectadas, porém, adotar uma postura preventiva é a medidas de segurança mais eficaz. IV. Discos de recuperação são úteis em caso de emergência, ...No que se refere à segurança de sistemas, julgue os itens que se seguem.
Ao atuar em uma rede como NIDS (Network IDS), uma ferramenta de IDS (Intrusion Detect System) utiliza recurso de sniffer, colocando a interface de rede em modo promíscuo para que seja possível capturar todos os pacotes que chegam a essa interface.
Uma rede local foi infectada por um software malicioso que, ao ser executado em algumas estações de trabalho, passou a enviar grande quantidade de e-mails para usuários fora da rede utilizando o cliente de e-mail instalado na estação de trabalho. A mensagem dos e-mails enviados consistia no mesmo código malicioso. Nessa rede local, foi instalado equipamento de firewall que conecta os usuários da rede à Internet, e todos os e-mails são enviados mediante um servidor armazenado na Internet, fora da rede local da empresa.
Com base na situação apresentada acima, julgue os itens seguintes.
Um procedimento para identificar as estações de trabalho que executam o código malicioso é implementar regra no fir...
Uma rede local foi infectada por um software malicioso que, ao ser executado em algumas estações de trabalho, passou a enviar grande quantidade de e-mails para usuários fora da rede utilizando o cliente de e-mail instalado na estação de trabalho. A mensagem dos e-mails enviados consistia no mesmo código malicioso. Nessa rede local, foi instalado equipamento de firewall que conecta os usuários da rede à Internet, e todos os e-mails são enviados mediante um servidor armazenado na Internet, fora da rede local da empresa.
Com base na situação apresentada acima, julgue os itens seguintes.
Equipamento de firewall que identifica tráfego na camada de transporte é capaz de bloquear o envio de e-mails por m...
Julgue o próximo item, referente a segurança física.
O conceito de perímetro de segurança deriva de técnicas matemáticas formuladas a partir da teoria da informação, sendo utilizado para criação de áreas físicas para isolar as pessoas dos ativos de informação da organização.
Para antecipar e tratar ataques do tipo sniffers em uma rede, de modo a dificultar a captura do tráfego de um segmento de rede e reduzir o roubo de senhas de usuários, é possível construir defesas baseadas em
Uma empresa realizou uma simulação de ataque/teste de penetração em um computador com o objetivo de descobrir a senha do administrador.
Quais recursos poderiam ser utilizados nessa simulação?A comunidade aberta da OWASP (Open Web Application Security Project) é dedicada a prover recursos para que as organizações possam conceber, desenvolver, adquirir, operar e manter aplicações que possam ser confiáveis.
Dentre os 10 mais críticos riscos de segurança apontados pela OWASP para aplicações Web está o ataque conhecido como XSS que visa ao(à)Em relação aos chamados crimes digitais ou eletrônicos, assinale a afirmativa correta.
Sobre os criptossistemas de chave pública é correto afirmar:
Considere as afirmativas sobre NAT, VPN e firewall:
I. A NAT é sempre utilizada para prevenir que uma rede externa possa se conectar com um computador de uma VPN, sendo usada para filtrar e controlar que tipos de sites os empregados ou familiares visitam na Internet e pode até ser usada para catalogar web sites que foram visitados. Assim, a caixa NAT sempre é combinada em um único dispositivo com um firewall, que oferece segurança por meio do controle cuidadoso do que entra e sai na empresa. II. A NAT permite converter endereços IPv4 de computadores em uma rede em endereços IPv4 de computadores em outra rede. Um roteador IP com recurso de NAT instalado no ponto de conexão entre uma rede privada (como a rede de uma empresa) e uma rede pública (como a Internet...
Considerado a figura acima, que representa a topologia simplificada da rede de dados de uma organização, julgue os itens a seguir.
Como o servidor 1 está na DMZ, que, por definição, não tem controle de acesso, não será possível ao usuário da rede interna acessar e encaminhar uma mensagem eletrônica assinada com base em um algoritmo de criptografia de chaves públicas.No que se refere ao controle de acesso aos ativos com fundamento nas normas NBR ISO/IEC 27.001:2006 e 27.002:2005, julgue os itens seguintes.
Um dos requisitos de um SGSI é a rastreabilidade de decisões, que remeta a políticas e decisões da direção superior.
Com relação à norma ISO/IEC 27001:2006 e ao sistema de gestão de segurança da informação (SGSI), julgue os itens que se seguem.
Para um SGSI, a organização deve analisar criticamente as avaliações de riscos em intervalos planejados, os riscos residuais e os níveis de riscos aceitáveis identificados, levando em consideração, entre outros itens, as mudanças relativas a eventos externos.
Com relação à norma ISO/IEC 27001:2006 e ao sistema de gestão de segurança da informação (SGSI), julgue os itens que se seguem.
De acordo com o estabelecido na mencionada norma, a organização, para o estabelecimento de um SGSI, deve definir o plano diretor de tecnologia da informação e a abordagem para a avaliação de riscos.
Com relação à norma ISO/IEC 27001:2006 e ao sistema de gestão de segurança da informação (SGSI), julgue os itens que se seguem.
O modelo conhecido como PDCA (plan-do-check-act) é utilizado e aplicado na estruturação de processos do SGSI.
Considerando a segurança de ambientes físicos e lógicos bem como controles de acesso, julgue os itens subsecutivos.
Ao se identificar quais seriam as informações que, caso percam a confiabilidade, a integridade e a disponibilidade, trariam prejuízos à organização, e, ao se localizar onde tais informações são processadas e armazenadas, as áreas críticas de informação e os locais que precisam ser protegidos serão determinados.
Julgue os itens a seguir, a respeito de segurança da informação.
Os filtros de pacotes são firewall que atuam na camada de rede e filtram pacotes do protocolo IP.
Julgue os itens a seguir, a respeito de segurança da informação.
O bloqueio seguro a uma rede restrita de uma empresa poderá ser efetuado por meio de uma DMZ. Para a criação de uma DMZ dessa natureza, é suficiente utilizar um firewall do tipo Proxy.
Acerca de ataques a redes de computadores e prevenção e tratamento de incidentes, julgue os itens seguintes.
Spam, ataques de negativa de serviço e exfiltração de dados são incidentes típicos de segurança computacional, aos quais um grupo de tratamento de incidentes deve responder.
Com relação à gestão de segurança da informação e às normas NBR ISO/IEC 27.001 e 27.002, julgue os itens de 107 a 111.
Os requisitos de controle, apesar de específicos e detalhados, são aplicáveis à ampla maioria das organizações, independentemente de tipo, tamanho e natureza.
Com relação à gestão de segurança da informação e às normas NBR ISO/IEC 27.001 e 27.002, julgue os itens de 107 a 111.
A implementação e a operação do sistema de gestão de segurança da informação requerem a formulação e a implementação de um plano de tratamento de riscos que identiWque os recursos, a ação de gestão, as responsabilidades e as prioridades apropriados para a gestão dos riscos de segurança.
Com relação à gestão de segurança da informação e às normas NBR ISO/IEC 27.001 e 27.002, julgue os itens de 107 a 111.
Os riscos residuais propostos em um plano de tratamento de risco devem ser aprovados pelo corpo técnico e pelos usuários do sistema de gestão de segurança da informação.
Acerca de ataques a redes de computadores e prevenção e tratamento de incidentes, julgue os itens seguintes.
O processo de tratamento de incidentes, que é reativo, inicia-se no momento da detecção ou da comunicação de um incidente.
Acerca de ataques a redes de computadores e prevenção e tratamento de incidentes, julgue os itens seguintes.
O objetivo principal do processo de tratamento de incidentes é a restauração dos sistemas afetados a um estado confiável.
Acerca de ataques a redes de computadores e prevenção e tratamento de incidentes, julgue os itens seguintes.
Incidente de segurança computacional consiste em uma ação ilegal, não autorizada ou inaceitável, que envolve um sistema computacional ou uma rede de computadores.
Julgue os próximos itens, relacionados a segurança da informação e criptografia.
A confrontação é um valor que varia com o tempo: o requerente aplica a função à confrontação e envia o resultado, denominado resposta, ao verificador.
Com relação à segurança em redes de computadores, julgue os itens que se seguem.
Para segurança dos programas e dos sistemas, é comum as organizações armazenarem informações denominadas accounting, que identificam o responsável pelo processamento, o nome do programa, o tipo de processamento, a área de execução, a periodicidade, a prioridade, o tempo estimado, entre outros.
O escopo e os limites do Sistema de Gestão de Segurança da Informação (SGSI) nos termos das características do negócio, a organização, a sua localização, ativos e tecnologia, incluindo detalhes e justificativas para quaisquer exclusões do escopo, segundo a Norma 27001, devem ser definidos nas fases
Acerca de interoperabilidade de dados, julgue os itens subsecutivos.
O aumento da interoperabilidade semântica de determinada plataforma computacional reduz as chances de preservação digital de um documento.
Tendo como referência a figura acima, julgue os itens que se seguem, a respeito do ciclo de vida da GCN.
Na figura, I corresponde ao elemento que garante que o programa de GCN esteja alinhado aos objetivos, às obrigações e às responsabilidades legais da organização.
Uma das formas de barrar ataques às vulnerabilidades de sistemas é aplicar rotineiramente os patches disponibilizados pelos fabricantes de software.
No que se refere a procedimentos de segurança, julgue os seguintes itens.
A atualização automática on-line do sistema operacional é uma prática que garante que o computador não sofrerá infecção por bots.
Julgue os itens a seguir, a respeito de aplicativos usados no combate a pragas virtuais.
Sistemas de prevenção à intrusão (IPS) e sistemas de detecção de intrusão (IDS) são sistemas concebidos com os mesmos propósitos. A diferença entre eles encontra-se no público-alvo. Enquanto os IPS são sistemas voltados para os usuários domésticos, os IDS focam as grandes redes corporativas.
Julgue os itens a seguir, a respeito de aplicativos usados no combate a pragas virtuais.
Por serem de difícil detecção, os worms só podem ser combatidos por ferramentas específicas para esse fim, que se denominam antiworms.
A segurança da informação tem sido motivo de crescente preocupação das empresas. Julgue os itens que se seguem acerca de procedimentos de segurança.
O uso não controlado de pendrives expõe os computadores da empresa ao risco de contaminação por programas maliciosos.
A segurança da informação tem sido motivo de crescente preocupação das empresas. Julgue os itens que se seguem acerca de procedimentos de segurança.
Os programas de segurança, bem como os procedimentos documentados, determinam as diretrizes de segurança da informação estabelecidos em qualquer empresa.
A segurança da informação tem sido motivo de crescente preocupação das empresas. Julgue os itens que se seguem acerca de procedimentos de segurança.
Para garantir a segurança da informação, é recomendável não apenas a instalação de procedimentos relacionados a sistemas e manipulação de dados eletrônicos, mas também daqueles pertinentes ao controle de acesso físico.
No que se refere a procedimentos de segurança, julgue os seguintes itens.
Para garantir a confidencialidade de informações críticas de uma empresa, devem ser estabelecidos procedimentos não só para a guarda e disponibilização dessas informações, mas também para o seu descarte.
No que se refere a procedimentos de segurança, julgue os seguintes itens.
A execução dos procedimentos de segurança da informação estabelecida em uma empresa compete ao comitê responsável pela gestão da segurança da informação.
Os computadores conectados em redes ou à Internet estão expostos ao ataque de muitos tipos de programas maliciosos. Acerca desses programas, julgue os itens subsequentes.
Um cavalo de troia é um tipo de programa malicioso que, uma vez instalado no computador, possibilita o seu controle remotamente.
Pragas virtuais, que são programas executados sem a devida ordem ou o devido conhecimento do usuário, podem causar danos e efeitos adversos nos computadores. A respeito desse assunto, julgue os itens que se seguem.
Computadores conectados à Internet e infectados por bots são vulneráveis, estando sujeitos ao controle de criminosos que podem comandar um ataque de negação de serviço.
No que se refere a redes de computadores e ferramentas para Internet, julgue os itens subsequentes.
O IPS (Intrusion Prevention System) e o IDS (Intrusion Detection System) são ferramentas de rede que, respectivamente, protegem a rede interna de ataques externos e antivírus em cloud para Internet.
A respeito de segurança de redes de comunicação, julgue os itens que se seguem.
Um sistema de detecção de intrusão tem a função de identificar se determinado tráfego entre dois servidores ocorre sem criptografia, e é capaz de utilizar mecanismos para criptografar esse tráfego com SSL.
A respeito de segurança de redes de comunicação, julgue os itens que se seguem.
O uso de proxy reverso torna mais rápido o acesso a um servidor de páginas web, tendo em vista que ele faz cache das páginas acessadas.
No que se refere a códigos maliciosos, julgue os itens a seguir.
A principal atividade de programas com códigos maliciosos e que funcionam na função de keylogger é apresentar propagandas não solicitadas pelo usuário, direcionando-o a sítios maliciosos.
Com relação à Instrução Normativa para Contratação de Soluções de Tecnologia da Informação, julgue os próximos itens.
A gestão de segurança da informação não pode ser objeto de contratação de uma solução de TI.
A sentença “tudo que não é permitido, é proibido!” está diretamente relacionada com:
São algumas características e elementos de uma boa política de segurança da informação (PSI),EXCETO:
Dadas as seguintes proposições sobre segurança de dados virtuais,
I. Key logger são spywares que registram todos os dados digitados pelo usuário; seu objetivo é capturar senhas, números de cartão de crédito e informações sigilosas de empresas.
II. Arquivos de dados puros como o de imagens (jpg e png) e vídeo (avi e mov) são considerados seguros; entretanto, em uma mensagem de e-mail, as extensões destes arquivos puros podem mascarar hiperlinks que levam a sites maliciosos.
III. Os arquivos com extensão gz e bz2 são gerados no sistema operacional GNU/Linux; logo, são livres de vírus e outras ameaças.
IV. A melhor forma de detectar um backdoor é manter o antivírus sempr...
Sobre o conceito de segurança em redes sem fio, qual procedimento abaixo é correto?
Em sistemas de computação as senhas são utilizadas para autenticar usuários e conceder-lhes privilégios. Pode-se dizer que uma senha eficiente deve possuir as seguintes características:
Uma boa prática para a manutenção de segurança numa Intranet é
De acordo com a definição da norma ISO/IEC 27002, dadas as seguintes afirmações,
I. Com relação aos controles recomendados na norma ISO/IEC 27002, os controles referentes à segurança de redes não são detalhados.
II. A segurança da informação pode ser aplicada tanto aos negócios do setor público quanto privado e serve para proteger as infraestruturas críticas.
III. A norma ISO/IEC 27002 prevê a inclusão do controle de descarte de mídias, para o descarte de forma segura e protegida.
IV. A norma ISO/IEC 27002 não adota mecanismos de segurança voltados à proteção ambiental, nem aqueles contrários às ameaças oriundas do meio ambiente.
verifica-se que...
Muito já se debateu sobre quais devem ser os conceitos chaves da segurança da informação; todavia, três princípios fundamentais têm-se mantido. São eles:
Dadas as sentenças a seguir,
I. A tríade CIA (Confidentiality, Integrity and Availability - Confidencialidade, Integridade e Disponibilidade) representa os principais atributos que, atualmente, orientam a análise, o planejamento e a implementação da segurança da informação.
II. Confidencialidade é a propriedade que limita o acesso informação para somente as entidades legítimas.
III. Integridade é a propriedade que garante que a informação chegue de forma integral, ou seja, completa às entidades legítimas.
IV. Disponibilidade é a propriedade que garante que a informação esteja sempre disponível para o uso legítimo.
V. A chamada segurança física está relacionada...
Na legislação relativa à segurança dos sistemas de informação, a Constituição Federal, art. 5, inciso X, trata do seguinte aspecto:
Malware tem sido o termo para designar uma classe de pragas que permeiam a Internet, gerando prejuízos financeiros, perda de dados e comprometendo a privacidade e segurança dos usuários na Internet. Acerca disso, os itens abaixo,
I. Um Vírus é considerado um programa malicioso que necessita obrigatoriamente da intervenção humana para a sua propagação.
II. Um Worm atua como um invasor a explorar falhas em computadore replicando-se automaticamente.
III. Um cavalo de troia atua registrando tudo pelo usuário, sem que ele se dê conta disso.
IV. Spyware é o software que monitora qualquer comportamento do usuário, assim como conversas em mensagei instantâneos, e depois envia o que é captur...
Ataques na Internet já acontecem desde seus primórdios, quando era apenas uma rede acadêmica. Ainda assim, maior parte dos problemas é relacionada ao software presente nos servidores, ativando serviços que se tornam portas de entrada para ataques malicio Worms, como o Morris (1988) e o história na Internet comprometendo inúmeras máquinas, explorando geralmente o mesmo tipo de falha de implementação do serviço. Marque a opção que corresponde a esta conhecida falha.
Um Firewall é uma das principais tecnologias na segurança de redes para prevenção de intrusões. Acerca dele, dados os itens abaixo,
I. Um Firewall atua apenas na camada de rede, como um filtro de pacotes.
II. Firewalls do tipo stateful são aqueles que conseguem monitorar o estado das conexões em nível de transporte, observando, por exemplo, as flags numa conexão TCP.
III. Se um Firewall atua na camada de transporte, ele tende a ser mais lento, já que precisa analisar mais informações que um mero filtro de pacotes.
IV. Um proxy nada mais é que um firewall em nível de aplicação, uma vez que ele enxerga informações nesta camada.
verifica-se que estão corretos
Controle de Acesso é uma tarefa fundamental na Administração de Redes e Sistemas, a qual visa ser bem definida dentro da Política de Segurança de uma instituição quanto à autenticação e à autorização dos recursos a serem disponibilizados aos usuários. Acerca disso, dados os itens abaixo,
I. Autenticação refere-se à identificação apropriada dos usuários perante o sistema ou rede.
II. De forma geral, a autenticação refere-se a algo que o usuário possua (como um token), saiba (como usuário e senha) ou seja (características físicas únicas).
III. A autorização é a parte do controle de acesso ligada a restrições impostas a usuários já autenticados, mas podem também ser aplicadas a usuários não autenticados. ...
É uma ferramenta de IPS – Intrusion System Prevention que tem sido usada de forma standalone ou mesmo embutida em sistemas de Antivírus. O mecanismo deste IPS atua através do isolamento de aplicações individuais do Sistema Operacional hospedeiro, criando um ambiente fictício onde a aplicação pode comportar-se de maneira maliciosa, mas, por estar isolada, não consegue chegar ao sistema de arquivos do SO hospedeiro. Esta descrição denomina
A Segurança da Informação tem por fundamento atingir objetivos como a Confidencialidade, Integridade, a Disponibilidade e a Autenticação. Dentro deste contexto, dados os itens abaixo,
verifica-se que estão corretos
Considere a figura ilustrada abaixo, onde é mostrada a comunicação entre Alice e Bob sob um canal inseguro, como a Internet. A comunicação está sendo interceptada por Trudy. Avaliando os itens a seguir,
verifica-se que estão corretas
O decreto de caráter federal, relacionado à segurança da informação, que dispõe sobre a salvaguarda de dados, informações, documentos e materiais sigilosos de interesse da segurança da sociedade e do Estado, no âmbito da Administração Pública Federal, e dá outras providências é o decreto nº
Mesmo que o remetente e o destinatário consigam autenticar-se reciprocamente, eles também querem assegurar que o conteúdo de sua comunicação não seja alterado, por acidente ou por má intenção, durante a transmissão. A descrição anterior corresponde a que propriedade desejável da comunicação segura?
Julgue os próximos itens, relacionados a segurança da informação e criptografia.
Um digest de mensagens sem chaves é usado como um código de detecção de modificações (MDC), que garante sua integridade. Para se autenticar a origem dos dados, é necessário um código de autenticação de mensagens (MAC), que consistem em funções de hash com chaves que criam um digest compactado a partir da mensagem adicionada com uma chave.
Julgue os próximos itens, relacionados a segurança da informação e criptografia.
O modo CBC (cipher block chaining, encadeamento de blocos de cifras) inclui o bloco de cifra anterior na preparação do bloco atual. Assim, o erro em um bloco não se propaga para os demais, isto é, se um ou mais bits estiverem corrompidos durante a transmissão, isso não afeta os bits nos blocos do texto claro seguintes, após a decriptografia.
Acerca de ataques a redes de computadores e prevenção e tratamento de incidentes, julgue os itens seguintes.
São fases do processo de tratamento de incidentes a detecção de incidente, a resposta inicial e a formulação de estratégia de resposta.
Com relação à gestão de segurança da informação e às normas NBR ISO/IEC 27.001 e 27.002, julgue os itens de 107 a 111.
O plano de tratamento de riscos, ao compreender o processo de implementação dos controles selecionados, garante o atendimento dos objetivos de controle identificados e inclui considerações de atribuição de papéis e responsabilidades.
Com relação à gestão de segurança da informação e às normas NBR ISO/IEC 27.001 e 27.002, julgue os itens de 107 a 111.
A declaração de aplicabilidade consiste na descrição dos controles pertinentes e aplicáveis ao sistema de gestão de segurança da informação bem como dos objetivos que esses controles pretendem atingir.
No que concerne a antivírus, antispam e radius, julgue os itens que se seguem.
O antispam SMTP Proxy (ASSP) é uma solução open source compatível com o Linux CentOS, que utiliza recursos diversos como URIBL (uniform resource identifier black listinge) e a análise bayesiana para identificar emails spam.
O resumo de mensagem é produzido, de forma geral, por algoritmos que recebem qualquer comprimento de informação de entrada para produzir uma saída pseudoaleatória de largura fixa chamada digest. Uma de suas principais propriedades, chamada efeito avalanche, visa a garantir que
Muitas funções críticas para o negócio de uma empresa são dependentes da disponibilidade dos ativos de informação. Diante da interrupção das operações normais de negócio, a equipe de segurança da informação da empresa deve executar um conjunto de atividades para manter ou recuperar as operações e para assegurar a disponibilidade da informação no nível requerido e na escala de tempo requerida. De acordo com a ISO 27002, essas atividades devem fazer parte do
O Hash Message Authentication Code (HMAC) pode ser utilizado para autenticar mensagens. Esse esquema de autenticação combina o algoritmo de resumo de mensagem com a(o)
Nas redes locais sem fio, a difusão do sinal no meio físico possibilita que qualquer indivíduo que possua um receptor de rádio intercepte comunicações nessas redes. Para controlar o acesso e garantir o sigilo das informações nas redes Wi-Fi, vários esquemas de segurança foram criados, dentre os quais se incluem os seguintes:
A Autoridade Certificadora (AC) é a entidade da Infraestrutura de Chaves Públicas (ICP), que é responsável por emitir certificados digitais vinculando pares de chaves criptográficas ao respectivo titular.
Esses certificados digitais são considerados à prova de falsificação, pois são
O processo de autenticação de usuários é um método eficaz para proteger o acesso indevido de pessoas a computadores, sistemas operacionais, softwares, redes e ambientes físicos. Um sistema que utiliza um processo de forte autenticação deve verificar algo que o usuário sabe, algo que ele possui e algo que ele é.
Para acessar o sistema, nessa ordem de verificação, um usuário legítimo deve fornecer os seguintes itens pessoais:
Os worms (vermes) são códigos maliciosos que utilizam a rede como principal meio para replicação. O tipo de worm que se mantém como uma cópia única de si mesmo em qualquer ponto no tempo enquanto se transfere para hosts vizinhos na rede é conhecido como
A atividade de segurança da informação visa a proteger os valiosos recursos de informação de uma empresa através da seleção e aplicação de salvaguardas apropriadas, ajudando a atingir o objetivo do negócio ou sua missão. Nesse sentido, um programa de proteção da informação efetivo deve
O método SSL (Secure Sockets Layers) tem como objetivo garantir a segurança das informações que trafegam na internet por meio de
A interceptação da comunicação entre dois computadores ou mesmo a exploração de cookies armazenados para a obtenção da chave de sessão, conseguindo, desse modo, acesso não autorizado a um sistema é conhecida como
Para se enviar uma mensagem digitalmente assinada do usuário A para o usuário B com a utilização de infraestrutura de chaves públicas, é necessário que antes do envio, o usuário A cifre a mensagem com
O objetivo de prevenir o acesso físico não autorizado, bem como os danos e interferências com as instalações e informações da organização, definido na Norma 27002, NÃO é atendido pelo controle
Sobre o SSE-CMM é correto afirmar:
A Open Web Application Security Project (OWASP) mantém um documento que lista os 10 ataques a segurança de aplicações web mais críticos. Dentre esses ataques descritos na versão mais recente do documento estão:
I. Injection Flaws.
II. Cross-site Scripting (XSS).
III. Malicious File Execution.
IV. Cross-site Request Forgery (CSRF).
Está correto o que se afirma em
Um cavalo de Troia (trojan horse) é um programa que além de executar funções para as quais foi projetado, executa outras, normalmente maliciosas, sem o conhecimento do usuário. São funções maliciosas executadas por um cavalo de Troia, EXCETO:
“________________ é uma falha de segurança que pode existir em um programa de computador ou sistema operacional e permitir a invasão do sistema por um cracker para que ele possa obter um total controle da máquina. Muitos crackers utilizam deste artifício para instalar vírus de computador ou outros programas maliciosos, conhecidos como ________________.” Assinale a alternativa que completa correta e sequencialmente a afirmação anterior.
“________________ é qualquer programa que executa automaticamente, mostra ou baixa publicidade, vírus, trojan para o computador depois de instalado ou enquanto a aplicação é executada. Alguns programas _______________ são classificados também dessa forma, e neles os usuários têm a opção de pagar por uma versão registrada.” Assinale a alternativa que completa correta e sequencialmente a afirmação anterior.
Em relação à segurança de dados e sistemas operacionais de computadores, analise as afirmativas que seguem.
I Cavalos de tróia (trojans) são um tipo de praga digital que, basicamente, permite acesso remoto ao computador após a infecção, podendo ter outras funcionalidades, como captura de dados do usuário e execução de instruções presentes em scripts.
II Spywares são programas desenvolvidos por empresas de segurança para eliminar vírus que ficam monitorando as atividades de usuários de computadores com acesso à internet.
III Adotar medidas como atualização de antivírus, configuração de firewall e assistência técnica especializada são os pontos chave para se garantir uma boa proteção, o que torna o trei...
A manutenção preventiva é tão ou mais importante que a manutenção corretiva, uma vez que esta evita ou minimiza as chances de que defeitos venham a ocorrer no microcomputador. No que diz respeito à manutenção preventiva de microcomputadores, analise as afirmativas a seguir.
I Manter o firewall ativo, o antivírus atualizado e nunca acessar mensagens de e-mails suspeitos evita que ameaças oriundas da Internet danifiquem arquivos do sistema operacional.
II Realizar backups periódicos dos dados, evita a perda destes, caso aconteça algum problema físico ou lógico no disco rígido.
III Desligar o microcomputador diretamente do filtro de linha, ou do estabilizador de tensão, e não através do sistema operacional, ...
A segurança da informação está relacionada com proteção de um conjunto de dados, no sentido de preservar o valor que possuem para um indivíduo ou uma organização. São características básicas da segurança da informação os atributos de confidencialidade, integridade, disponibilidade e autenticidade, não estando esta segurança restrita somente a sistemas computacionais, informações eletrônicas ou sistemas de armazenamento. Qual das opções abaixo, não pode ser considerado um mecanismo de segurança?
Dados os itens abaixo:
I. No endereço eletrônico https://www.uniuv.edu.br, o protocolo https indica que o site é seguro com envio de dados criptografados.
II. O protocolo https usa a porta TCP 80 para envio dos dados criptografados.
III. Um site seguro deve possuir uma figura com cadeado fechado, inserida no código HTML
Estão corretas as afirmações:
O armazenamento de cópias de segurança de grandes volumes de dados, de maior importância, que devem perdurar por longos períodos, são critérios determinantes para maiores cuidados, principalmente, com
Sobre ataques à segurança de sistemas computacionais é correto afirmar:
Sobre a prevenção de incidentes de segurança da informação e controle de acesso é correto afirmar:
Segundo a Norma 27002, o objetivo de garantir a operação segura e correta dos recursos de processamento da informação é atendido, dentre outros, pelo controle
Um plano de tratamento de riscos que identifique a ação de gestão apropriada, recursos, responsabilidades e prioridades para a gestão dos riscos de segurança deve ser formulado, no Sistema de Gestão de Segurança da Informação (SGSI), nas fases
Segundo a norma ISO 27001, para se estabelecer o Sistema de Gestão de Segurança da Informação (SGSI), considere:
I. A organização deve definir uma política do SGSI nos termos das características do negócio, a organização, sua localização, ativos e tecnologia que esteja alinhada com o contexto estratégico de gestão de riscos da organização no qual o estabelecimento e manutenção do SGSI irão ocorrer.
II. A organização deve definir a abordagem de análise/ avaliação de riscos da organização e desenvolver critérios para a aceitação de riscos e identificar os níveis aceitáveis de risco.
III. Identificar e avaliar as opções para o tratamento de riscos, sendo uma possível ação aceitar os riscos consciente e objetivamente, desde que satisfaçam claramente às políticas d...
Sobre segurança da informação, analise:
I. É obtida a partir da implementação de um conjunto de controles adequados, incluindo políticas, processos, procedimentos, estruturas organizacionais e funções de software e hardware.
II. A interconexão de redes públicas e privadas e o compartilhamento de recursos de informação aumentam a dificuldade de se controlar o acesso. A tendência da computação distribuída aumenta a eficácia da implementação de um controle de acesso centralizado.
III. Os controles de segurança precisam ser estabelecidos, implementados, monitorados, analisados criticamente e melhorados, onde necessário, para garantir que os objetivos do negócio e de segurança da organização sejam atendidos. C...
O objetivo principal da Norma ABNT NBR ISO/IEC 17799:2005 é
Sobre os Sistemas de Prevenção de Intrusão (IPS) é correto afirmar:
Em relação à Medida Provisória no 2.200-2, de 24 de agosto de 2001, que Institui a Infra-Estrutura de Chaves Públicas Brasileira − ICP-Brasil, é INCORRETO afirmar:
Em relação à norma ISO/IEC 27002, considere:
I. Para definição de uma estratégia de continuidade de negócios deve-se ter como meta o tempo esperado de recuperação, que, por sua vez, é derivado dos períodos máximos toleráveis de interrupção.
II. Os requisitos para controles de segurança de novos sistemas de informação ou melhorias em sistemas existentes devem constar nas especificações de requisitos de negócios dos sistemas.
III. Convém que os registros (log) de auditoria incluam, quando relevantes, os registros das tentativas de acesso ao sistema aceitas e rejeitadas.
IV. Entre os objetivos de controle de manuseio de mídias inclui-se o controle de descarte de mídias, sendo previstas...
Em relação à vulnerabilidades e ataques a sistemas computacionais, é correto afirmar:
Ao elaborar e comunicar uma Política de Segurança da Informação − PSI é necessário usar uma linguagem conhecida e meios adequados aos tipos de mensagens e usuários; adotar estilo simples e claro; respeitar o interlocutor sem superestimá-lo nem subestimá-lo; respeitar a cultura organizacional e a do país a que se destina. Nesse sentido, é correto concluir que tal afirmação
Em relação à segurança da informação, considere:
I. Capacidade do sistema de permitir que alguns usuários acessem determinadas informações, enquanto impede que outros, não autorizados, sequer as consultem.
II. Informação exposta, sob risco de manuseio (alterações não aprovadas e fora do controle do proprietário da informação) por pessoa não autorizada.
III. O sistema deve ter condições de verificar a identidade dos usuários, e este ter condições de analisar a identidade do sistema.
Os itens I, II e III, associam-se, direta e respectivamente, aos princípios de
Na gestão de incidentes de segurança da informação, de acordo com a norma ABNT NBR ISO/IEC 27.002, deve-se considerar que alguns procedimentos sejam estabelecidos de acordo com o evento ocorrido. Segundo essa norma, os eventos que demandam a criação de procedimentos para o seu tratamento incluem a
Para prover evidências de conformidade aos requisitos do sistema de gestão de segurança da informação (SGSI), de acordo com a norma ABNT NBR ISO/IEC 27.001, deve-se
Para proteger uma área que abriga recursos de processamento da informação, um órgão público, com base na norma ABNT NBR ISO/IEC 27001, instalou uma porta com controle de acesso por cartão, de modo a que somente os colaboradores previamente autorizados possam acessar esse ambiente.
Nessa situação hipotética, de acordo com a referida norma da ABNT, a medida adotada pelo órgão público associa-seCom referência à responsabilidade por ativos de informação, a norma ABNT NBR ISO/IEC 27.001 estabelece que a identificação, a documentação e a implementação de regras para que seja autorizado o uso de informações associadas a recursos de processamento de informação devem ser orientadas pelo controle denominado
Acerca das recomendações da E-ping v.2013, assinale a opção correta.
De acordo com a NBR ISO/IEC n.º 27.005/2011, as quatro possíveis ações para o tratamento do risco de segurança da informação correspondem a
Assinale a alternativa que indica corretamente o software responsável pela proteção contra spyware e softwares potencialmente indesejados no Sistema Operacional Windows 7.
No que diz respeito à classificação da informação é correto afirmar:
Com relação à estrutura, objetivos e conceitos gerais da NBR ISO/IEC 17799:2005 é correto afirmar:
Na NBR ISO/IEC 27001:2006, uma ocorrência identifi cada de um estado de sistema, serviço ou rede, indicando uma possível violação da política de segurança da informação ou falha de controles, ou uma situação previamente desconhecida, que possa ser relevante para a segurança da informação é um(a):
Na NBR ISO/IEC 27001:2006, tem-se, com relação ao SGSI (Sistema de Gestão de Segurança da Informação), que a organização deve estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar um SGSI documentado dentro do contexto das atividades de negócio globais da organização e os riscos que ela enfrenta. Para os efeitos desta Norma, o processo usado está baseado no modelo:
Na NBR ISO/IEC 27001:2006, tem-se, com relação a ações preventivas, que a organização deve determinar ações para eliminar as causas de não-conformidades potenciais com os requisitos do SGSI (Sistema de Gestão de Segurança da Informação), de forma a evitar a sua ocorrência. As ações preventivas tomadas devem ser apropriadas aos impactos dos potenciais problemas e a prioridade das ações preventivas deve ser determinada com base nos resultados do(a):
Na NBR ISO/IEC 27001:2006, o processo de comparar o risco estimado com critérios de risco predefi nidos para determinar a importância do risco é o processo de:
Um servidor de correio eletrônico utiliza diversos recursos, entre eles, um mecanismo de aprendizagem automática que coíbe mensagens indesejadas, denominado filtro de
Para coibir ataques detectados em uma rede, com grande tráfego de dados nas portas 30000 e 30001, o administrador decide gerar registros (log) dos acessos pelas portas que apresentam grande tráfego e, em seguida, as bloqueia. O recurso capaz de atender a essas duas demandas, operando como elemento de interligação entre a Internet e a rede, é o serviço de
Determinada empresa, que possui matriz e mais três filiais em diferentes cidades dentro do território brasileiro, tem necessidade de disponibilizar serviços de TI para que os usuários acessem suas estações de trabalho mediante o uso de navegadores. Esses serviços devem fornecer dados de forma íntegra e confiável, no intuito de interligar as filiais com recursos para troca de informações criptografadas, utilizando meios públicos como a Internet para o tráfego dessa informação.
Considerando essa situação, é correto afirmar que a empresa deveJulgue os itens a seguir, a respeito de segurança da informação.
A auditoria de segurança da informação é uma atividade corretiva do ambiente informatizado que pode ser feita de forma independente, sem o apoio de uma política de segurança da informação.
Analise as ferramentas, os protocolos e as técnicas abaixo:
1. IPTABLES
2. ISA Server
3. TRACEROUTE
4. WPA2
5. NAT e NAT reverso
Assinale a alternativa que indica as ferramentas, os protocolos e as técnicas relacionadas, cuja função principal está relacionada com segurança da informação.
Em segurança da informação, um risco é um evento ou uma condição incerta que pode causar algum dano a um sistema de informação ou até à própria organização como um todo. Com referência à avaliação de riscos, julgue os próximos itens.
Em avaliação de riscos, os riscos podem ser analisados de acordo com sua probabilidade de acontecimento e com os possíveis impactos que eles podem causar.
Julgue os itens seguintes, referentes a segurança física e segurança lógica de sistemas.
A segurança lógica é responsável por medidas de controle que permitam que usuários e sistemas acessem informação que esteja explicitamente permitida. Nesse sentido, as etapas de autenticação e autorização são consideradas práticas inadequadas de segurança lógica.
Sobre classes e níveis de segurança definidos no “Orange Book” (DoD 5200.28 STD), afirma-se:
I. Os sistemas classificados como Classe D representam o maior nível de segurança dentre os descritos pelo padrão, com especificação formal do projeto de segurança do software e consistência do modelo de segurança formalmente verificável.
II. Se classificado no Nível C1 de segurança, o sistema identifica os usuários por login e senha, com permissões de acesso a recursos e dados.
III. O Nível C2 de segurança tem como uma de suas características propriedades a autenticação com granularidade a nível de objeto, por módulo protegido, com suas operações rastreáveis via log.
Quais estão corretas?...
O conceito “tudo que não é permitido, é proibido” está relacionado ao filtro do:
Com relação aos controles e à política de segurança da informação de uma organização, analise:
I. A distribuição de diretrizes e normas sobre a política de segurança da informação para todos os gerentes, funcionários e outras partes envolvidas é um fator crítico para o sucesso da implementação da segurança da informação em uma organização.
II. A segurança da informação é obtida a partir da implementação de controles adequados, incluindo políticas, processos, procedimentos, estruturas organizacionais e funções de software e hardware.
III. Uma política de segurança da informação que reflita os objetivos do negócio, apesar de importante, não representa um fator crítico para o sucesso da implementação da segu...
A informação é um ativo que, como qualquer outro ativo importante, é essencial para os negócios de uma organização. Sobre os ativos, segundo a Norma ABNT NBR ISO/IEC 27002:2005, é correto afirmar:
A eficácia dos controles para verificar se os requisitos de segurança da informação foram atendidos deve ser medida, no Sistema de Gestão de Segurança da Informação (SGSI), nas fases
Considerando a segurança de ambientes físicos e lógicos bem como controles de acesso, julgue os itens subsecutivos.
Um perímetro de segurança bem definido e protegido é suficiente para garantir a segurança da informação nas organizações.
Considerando a segurança de ambientes físicos e lógicos bem como controles de acesso, julgue os itens subsecutivos.
Adota-se, para o controle de acesso em ambientes protegidos, a estrutura do tipo que se denomina camadas de cebola, por meio da qual se delimitam várias camadas de proteção, entre as quais a camada central é a mais protegida, procurando-se, ainda, manter em locais com acesso restrito a poucas pessoas as máquinas que não precisem de operador para funcionar.
Com relação à norma ISO/IEC 27001:2006 e ao sistema de gestão de segurança da informação (SGSI), julgue os itens que se seguem.
A política de segurança da informação integra o SGSI e a diretriz para a implementação dessa política é detalhada na referida norma.
A respeito de conceitos relacionados a segurança da informação, julgue os itens a seguir.
O conceito de segurança da informação, além de implicar a integridade e a disponibilidade da informação, pode incluir, entre outras propriedades desta, a autenticidade e a confiabilidade.
Assinale a opção correta acerca de prevenção e tratamento de incidentes decorrentes de ataques a redes de computadores.
Assinale a opção correta acerca da análise de riscos de segurança da informação, de acordo com a ABNT NBR ISO/IEC 27005.
Com relação à NBR 27005, assinale a opção correta, no que se refere à gestão de riscos de segurança da informação.
À luz do código de prática para a gestão da segurança da informação (ABNT NBR 27002/2005), assinale a opção correta.
Phishing ou phishing scam é uma técnica que visa principalmente:
Para que a senha não seja facilmente descoberta em sistemas de autorização de acesso seguro, recomenda-se que ela seja composta tanto por caracteres alfanuméricos quanto não alfanuméricos, isto é, caracteres especiais como !, @, ¥, & e ®. Essa recomendação é eficaz, pois
No que se refere ao controle de acesso aos ativos com fundamento nas normas NBR ISO/IEC 27.001:2006 e 27.002:2005, julgue os itens seguintes.
Para a política de SGSI, todos os registros de acesso às informações deverão ser armazenados em meio eletrônico e criptografados para segurança, e os registros de incidentes de segurança da informação deverão ser guardados em sigilo.
Acerca da auditoria do SGSI segundo as normas NBR ISO/IEC 27.001:2006 e 27.002:2005, julgue os itens subsecutivos.
Um sistema de gestão da segurança da informação deverá proceder à condução de auditorias internas a intervalos planejados, para melhoria do processo.
Em consonância com as normas NBR ISO/IEC 27.001:2006 e 27.002:2005, julgue os itens seguintes quanto a classificação, controle de ativos de informação e gestão de políticas.
Um evento de segurança da informação constitui uma etapa do ciclo PDCA (plan-do-check-act), que é aplicado para divulgar e capacitar todos os processos do sistema de gestão da segurança da informação (SGSI) para os colaboradores da instituição.
Em consonância com as normas NBR ISO/IEC 27.001:2006 e 27.002:2005, julgue os itens seguintes quanto a classificação, controle de ativos de informação e gestão de políticas.
No SGSI, devem-se identificar os riscos, buscando-se definir os ativos e seus proprietários, as ameaças, as vulnerabilidades que possam ser exploradas e os impactos que os ataques podem gerar.
Qual das opções a seguir pode ser considerada como um risco para a segurança física, na área de segurança da informação?
Acerca de segurança da informação, julgue os itens subsecutivos.
Os rootkits são um conjunto de programas que oferecem mecanismos para esconder o invasor, assegurando a sua presença em um computador invadido.
Acerca de segurança da informação, julgue os itens subsecutivos.
Failover é a capacidade que um sistema possui de continuar, automaticamente, um serviço em caso de falhas, sem a necessidade de um comando humano.
A respeito dos mecanismos de segurança da informação, julgue os próximos itens.
O IPSEC é muito utilizado para o estabelecimento de VPN (virtual private network), pois consegue agregar recursos de confidencialidade ao IP (Internet protocol), utilizando o ESP (encapsulation security payload). Para o provimento de integridade dos dados, utiliza o IKE (Internet key exchange).
A respeito dos mecanismos de segurança da informação, julgue os próximos itens.
No acesso a um sítio da web que utilize protocolo HTTP, no momento da transferência dos dados para autenticação utilizando usuário e senha, pode-se agregar o TLS/SSL para que os dados sejam criptografados ao serem enviados.
Com relação à segurança em redes de computadores, julgue os itens que se seguem.
Os bots são programas maliciosos armazenados na área de boot do disco de uma estação de trabalho. Eles são capazes de se reproduzir, de modo que o invasor consegue orientar o bot a realizar ataques em um ambiente em rede.
Julgue os itens seguintes, relacionados a segurança física, segurança lógica e gestão de risco.
Em um sistema de controle de acesso discricionário, o administrador do sistema estabelece os direitos de acesso dos usuários aos recursos disponíveis. Com o uso de listas de controle de acesso, os direitos de acesso são concedidos diretamente pelo dono do recurso.
Acerca do gerenciamento de segurança da informação, julgue os itens a seguir.
A norma ISO/IEC 27002 foi elaborada como base para o processo de certificação de empresas que oferecem serviços de implantação de segurança da informação, garantindo-se, assim, no mercado competitivo, um padrão de serviços de segurança oferecido por especialistas.
Acerca do gerenciamento de segurança da informação, julgue os itens a seguir.
Para o controle lógico do ambiente computacional, deve-se considerar que medidas de segurança devem ser atribuídas aos sistemas corporativos e aos bancos de dados, formas de proteção ao código-fonte, preservação de arquivos de log de acesso ao sistema, incluindo-se o sistema de autenticação de usuários.
Acerca do gerenciamento de segurança da informação, julgue os itens a seguir.
Para a garantia de um nível de segurança mínimo, que evite a concretização de ameaças em uma organização, é obrigatória a implantação de todos os controles contidos na norma 27002, conforme recomendação feita na ISO, independentemente do tamanho e tipo de organização.
Acerca do gerenciamento de segurança da informação, julgue os itens a seguir.
As políticas de classificação da informação, fundamentais para permitir que os ativos e as informações neles contidas sejam gerenciados com base em classificações de sigilo, podem variar de acordo com a nomenclatura adotada pela organização, conforme a sua classificação como público (ostensivo) ou confidencial (sigiloso, secreto).
Acerca do gerenciamento de segurança da informação, julgue os itens a seguir.
O conceito de irretratabilidade refere-se à capacidade da equipe de gerenciamento de tecnologia da informação de contra-atacar caso haja tentativas de invasão, ataques de Ddos ou qualquer forma abusiva de acesso não autorizado ao ambiente computacional.
Acerca de segurança da informação e de sistemas de gestão de segurança da informação (SGSIs), julgue os próximos itens.
Os procedimentos de recuperação devem ser verificados regularmente para que se garanta que sejam confiáveis; e as mídias utilizadas nas cópias de segurança devem ser testadas e armazenadas em local distante da fonte original das informações para não serem afetadas caso ocorra algum desastre na localidade principal.
