Gilberto é presidente da Orapost e se reuniu com seus chefes de departamentos para geração de um relatório empresarial com base em uma análise SWOT da empresa. Essa análise é uma técnica usada para identificar forças, oportunidades, fraquezas e ameaças para a sua empresa. Seu objetivo é identificar onde a empresa está no momento e como dar o próximo passo. Com o início do processo, surgiram várias perguntas.
Com base nas possíveis respostas abaixo sobre a análise, a que representa o conceito de AMEAÇAS da análise SWOT a ser utilizada por Gilberto no relatório final é:

Risco é a possibilidade de alguma coisa adversa acontecer. O processo de gerenciamento de risco se resume em determinar controles de segurança que reduzam os riscos a níveis aceitáveis. O risco residual deve ser aceito e devem ser instituídos controles que garantam o tratamento dos eventuais incidentes de segurança.
O documento do NIST (National Institute of Standards and Technology) que provê um guia para o tratamento de incidentes de segurança de computadores de forma eficiente e efetiva é o

Com relação aos sistemas de detecção de intrusão – intrusion detection system (IDS) e de prevenção a intrusão – intrusion prevention system (IPS), julgue o item a seguir. 

Em uma organização, será considerado como um sistema de prevenção de intrusão baseado em hospedeiro um aplicativo que, instalado em uma das máquinas da infraestrutura de rede, capture pacotes nessa rede, compare esses pacotes com uma base de assinaturas (padrões de ataques específicos), gere eventos que possam ser ações ou alertas e envie esses eventos para o próprio administrador. 

Capaz de analisar qual a parcela de risco de uma intrusão e bloqueá-la antes que ela ocorra, um IPS permite criar regras com o objetivo de monitorar aumentos anormais de tráfego de rede; além dessa funcionalidade, ele ainda pode alertar o responsável pela segurança, caso ocorram tais anomalias.

      No desenvolvimento de uma aplicação web, passaram despercebidos alguns fluxos de dados incorretos que têm potencial para gerar um comportamento inadequado e que podem ser explorados como uma falha na segurança no sistema. Esses fluxos de dados estão relacionados a scripts que cruzam diferentes sítios (XSS ou cross-site scripting), onde um hacker, como resposta a uma requisição do cliente ao servidor, pode gerar uma página com mensagem contendo script malicioso.
A técnica mais específica para detectar a vulnerabilidade descrita na situação hipotética apresentada é o

Considere um cenário típico de exposição de dados sensíveis: uma organização acredita estar segura ao utilizar a criptografia automática do seu banco de dados para encriptar dados financeiros sigilosos dos seus usuários, mas esquece que permite que esses dados sejam automaticamente decriptados nas operações de consulta. Um time de desenvolvedores sem experiência em desenvolvimento seguro trabalha em uma aplicação que acessa essa base de dados. Ao longo do desenvolvimento da aplicação, um tipo comum de vulnerabilidade é inserido em muitas das consultas realizadas, como no seguinte trecho:
String consultaHTTP = "SELECT \* FROM extratos WHERE id_cliente='" + request.getParameter("id") + "'";

Para mitigar o impacto dos riscos criados por esse tipo de vulnerabilidade, é possível... Ver mais

Acerca de becape, classificação de informações e gestão de riscos, julgue o item a seguir, considerando as normas ISO 27002 e ISO 31000.

De acordo com a ISO 31000, é relevante que os planos de tratamento de riscos incluam as justificativas para a seleção das opções de tratamento e as medidas de desempenho.

Acerca de MFA, julgue o item a seguir.

Soluções de MFA com dependências externas aos sistemas incluem o risco de introduzir vulnerabilidades de segurança passíveis de exploração por atacantes. 

A respeito de políticas de segurança da informação, julgue o item seguinte, considerando as normas ISO 31000 e ISO 27002. 

De acordo com a ISO 31000, para assegurar que as diferentes formas de tratamento de riscos se tornem e permaneçam eficazes, o monitoramento e a análise crítica precisam ser parte integrante da sua implementação. 

Na análise de riscos sobre os ativos de TI de uma organização, é comum estabelecer níveis de risco para cada ameaça identificada. Também é importante identificar os possíveis tratamentos e seus custos para decidir o que será feito. Nesse contexto, qual alternativa NÃO representa uma opção disponível à gerência para ser utilizada no julgamento sobre o tratamento de riscos?