De acordo com o processo estruturado pela ABNT NBR ISO/IEC 27005, a atividade de avaliação de riscos precede a fase de identificação de riscos, pois é necessário determinar os critérios de aceitação e a matriz de probabilidade e impacto antes de mapear as ameaças reais associadas aos ativos.

No processo de tratamento de riscos, a decisão organizacional de reter o risco por meio de uma escolha consciente fundamenta-se na constatação de que o nível de risco calculado se encontra dentro dos critérios de aceitação previamente definidos.

O certificado digital do tipo A1, emitido sob a cadeia de confiança da ICP-Brasil, caracteriza-se pelo armazenamento do par de chaves criptográficas em um dispositivo de hardware móvel dedicado, como cartões inteligentes ou tokens criptográficos, o que demanda o uso de leitores específicos para a validação.

O protocolo TLS (transport layer security) emprega uma arquitetura híbrida de segurança, utilizando a criptografia assimétrica durante a fase de handshake para a negociação das chaves e a criptografia simétrica para cifrar a sessão de dados subsequente.

A proteção de dados em repouso, comumente implementada em volumes de armazenamento e bancos de dados institucionais, se limita a mitigar os riscos associados ao acesso físico não autorizado aos ativos de hardware, tornando as informações incompreensíveis caso os discos rígidos sejam extraídos ou descartados de forma incorreta.

No âmbito da Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil), a integridade e a autoria de um documento eletrônico assinado digitalmente são garantidas por meio do uso da chave privada do remetente para a geração do resumo criptográfico criptografado, viabilizando o posterior não repúdio pelo destinatário.

O algoritmo de criptografia assimétrica AES (Advanced Encryption Standard) destaca-se pelo alto desempenho computacional no processamento de grandes volumes de dados em trânsito, sendo comumente utilizado para cifrar o canal de comunicação principal em túneis de VPN.

Considere que uma aplicação web vulnerável a CSRF (cross site request forgery) processe requisições críticas de transferência financeira por meio de requisições HTTP do tipo POST. Nessa situação, é correto afirmar que, se um atacante induzir a vítima autenticada a submeter um formulário forjado oculto hospedado em um domínio malicioso externo, o navegador do usuário incluirá automaticamente os cookies de sessão válidos na requisição direcionada ao servidor alvo.

O ataque de DNS spoofing baseia-se na inserção de dados falsos nos servidores de resolução de nomes, desviando as requisições de navegação dos usuários para servidores maliciosos controlados pelo atacante, sem que o cliente perceba a alteração no endereço digitado no navegador.

Considere que, durante uma auditoria de código-fonte, tenha-se identificado que uma aplicação web utiliza identificadores sequenciais inteiros e previsíveis para mapear o acesso aos prontuários dos usuários na URL do sistema. Nesse caso, é correto afirmar que, como a plataforma realiza a validação de autenticação do usuário antes de renderizar a página, essa implementação previne com sucesso a ocorrência de falhas baseadas em referências inseguras a objetos (IDOR).