Durante uma auditoria de conformidade com a ABNT NBR ISO/IEC 27001:2013 em um hospital, foi identificado que o armazenamento de prontuários na nuvem foi terceirizado, mas não foi realizada uma avaliação formal de riscos nem foram estabelecidas cláusulas contratuais sobre segurança da informação com o provedor. Além disso, nesse processo, os dados estavam sendo transmitidos sem a criptografia adequada.
De forma a estar em conformidade com a norma e mitigar os riscos encontrados, o hospital deverá:

Um gestor de segurança da informação estabeleceu o seguinte conjunto de OKR (Objectives and Key Results) para um projeto de segurança:

• O: fortalecer a imagem de segurança corporativa;
• KR1: aumentar a taxa de ataques identificados por comportamento anômalo;
• KR2: elevar o nível de conformidade com a ISO 27001 de 50% para 70%;
• KR3: substituir todos os equipamentos de segurança obsoletos.

Considerando o framework de gestão OKR, o(s) KR apropriado(s) é(são):

A analista Ana desenvolve a plataforma X, que deve ser capaz de receber notificações de sistemas externos quando houver mudança no status de determinados processos judiciais. Para adicionar essa funcionalidade, Ana desenvolveu um webhook, disponibilizando na plataforma um endpoint para receber as notificações. A fim de aprimorar a segurança das notificações recebidas, a analista implementou o mecanismo de validação que é altamente empregado na indústria de TI em APIs reversas, capaz de verificar tanto a integridade da notificação quando a autenticidade do remetente a cada requisição recebida, com baixo overhead.
No webhook de notificação da plataforma X, Ana implementou o mecanismo de validação:

A analista Fátima administra um servidor de autenticação baseado no protocolo OpenID Connect (OIDC). A fim de aumentar o grau de responsabilização no uso dos recursos protegidos pelo servidor, Fátima implementou um script que intercepta cada token de acesso retornado e, dentre outras ações, copia o valor do atributo mais importante para a rastreabilidade de usuário e auditoria do acesso. É correto afirmar que o script implementado por Fátima copia o valor do atributo:

Uma equipe de analistas do TJRJ está revisando a maturidade da gestão de segurança da informação no Tribunal, à luz de normas internacionais. Ao utilizar o NIST Cybersecurity Framework (CSF) como referência, os analistas constataram que a capacidade do TJRJ de analisar anomalias recém-descobertas, em tempo hábil, com a utilização de informações de inteligência de ameaças, necessita de aprimoramento.
De acordo com o CSF, a capacidade do Tribunal a ser aprimorada está diretamente relacionada à função central de:

A analista Renata está implementando o fluxo Authorization Code Grant com Proof Key for Code Exchange (PKCE), do OAuth 2.0, em um aplicativo mobile, a fim de acessar uma API protegida. Conforme as especificações do OAuth 2.0 para esse fluxo, o servidor de autenticação deve efetuar certas validações na fase de troca do código de autorização pelo token de acesso. A passagem de parâmetros para o servidor de autenticação foi implementada pela analista de forma correta, ao longo de todo o fluxo.
Cabe ao servidor de autorização verificar, na referida fase, se:

A equipe de segurança da informação do TJRJ realizou um pentest em uma aplicação web responsável pelo gerenciamento de documentos. O pentester conseguiu manipular parâmetros de uma requisição HTTP de forma a injetar um código Javascript malicioso no servidor web. O código injetado foi inadvertidamente inserido pelo servidor em meio a uma página web devolvida a um usuário logado. O navegador web do usuário logado executou o código malicioso e permitiu a exfiltração de dados sensíveis.
Uma mitigação eficaz e imediata para esse tipo de ataque, em conformidade com as recomendações do OWASP Top 10, é:

A empresa Data_Trust_Cloud, especializada em serviços de armazenamento em nuvem, identificou que, em virtude de algum erro na atribuição de permissões, alguns colaboradores estavam acessando dados confidenciais fora do escopo de suas funções. Uma auditoria foi contratada para avaliar o problema e trouxe como possibilidade algumas formas de controle de acesso.
O CTO decidiu, então, pelo RBAC (controle baseado em função), uma vez que esse tipo de acesso permite:

A empresa Beta, que trabalha com soluções para o setor educacional, está migrando seus sistemas para a nuvem e adotando práticas DevSecOps para garantir segurança desde o desenvolvimento até a operação. Durante uma reunião de planejamento, o CTO (Chief Technology Officer) da empresa Beta propôs integrar ferramentas de segurança diretamente no pipeline de CI/CD.
Com base nas práticas DevSecOps, a ação alinhada com o modelo a ser implementada pela empresa Beta é:

Uma corretora de valores, especializada em serviços financeiros digitais, buscou a implementação do modelo Zero Trust após sofrer um ataque de ransomware que explorou credenciais de um colaborador remoto.
Com o objetivo de evitar novos ataques nesse sentido e se adequar aos princípios do modelo, a ação alinhada com o processo a ser executado pela corretora é: