As boas práticas de segurança da informação orientam a implementação de medidas que protejam os dados corporativos, evitem acessos indevidos e garantam a integridade dos sistemas frente às diversas ameaças do ambiente digital. Sobre esse assunto, analise as ações.

I. Desativar a geração de registros de eventos (logs) nos computadores pessoais para otimizar o espaço em disco e o desempenho do sistema, direcionando a emissão de relatórios de auditoria e controle para os servidores centrais da rede.
II. Configurar contas de usuário com o tipo padrão para as atividades diárias dos usuários, destinar a conta de administrador para alterações críticas no sistema e proibir a criação e uso de contas compartilhadas para garantir o rastreamento individual das ações.
III. Substituir as credenciais de acesso padrão de fábrica de todos os equipamentos de rede e desabilitar o gerenciamento de administração via internet (WAN), configurando o acesso a essas funções de controle para ocorrer a partir da rede local.
IV. Estabelecer a configuração da rede sem fio corporativa, utilizando o protocolo de segurança WEP para garantir a compatibilidade e manter o nome padrão da rede (SSID) inalterado para facilitar a localização do ponto de acesso pelos dispositivos móveis.

Assinale a alternativa que apresenta apenas medidas de segurança recomendadas como boas práticas.

O comportamento do usuário no uso da internet pode aumentar a segurança e proteger sistemas e computadores de possíveis ameaças. Nesse contexto, analise quais práticas contribuem para reduzir riscos digitais.

I. Desconfiar sempre que, ao digitar uma URL, o acesso for redirecionado para outro site que tente executar ações suspeitas, como abrir arquivos ou instalar programas. Esse comportamento é característico de ameaças conhecidas como pharming.
II. Evitar o acesso a site de comércio eletrônico ou Internet Banking quando este utiliza conexão segura em protocolo HTTPS (HyperText Transfer Protocol Secure). Esse comportamento é comum no acesso de páginas falsas, caracterizando uma ameaça do tipo phishing.
III. Manter sistemas atualizados e usar ferramentas de segurança como antimalware e firewall para se proteger de programas como o Worm, que se espalha automaticamente entre computadores sem intervenção do usuário, podendo roubar dados, apagar arquivos ou sobrecarregar redes.
IV. Não permitir, em seu navegador, o uso de cookies, pequenos arquivos armazenados no computador quando um usuário acessa sites na internet que guardam informações sobre a navegação e podem comprometer a privacidade.

Assinale a alternativa que apresenta apenas práticas corretas.

Uma organização mantém um sistema legado crítico, mas com forte dependência de tecnologia obsoleta. Foi identificado um risco relacionado tanto ao comprometimento da segurança quanto à futura indisponibilidade do sistema.

Para tratar esse risco, foram propostas as seguintes ações:

P1: migrar as funcionalidades para uma plataforma SaaS moderna, desativando o servidor antigo;
P2: terceirizar a gestão do legado para um parceiro especializado, com foco em cláusulas de responsabilidade civil em contrato, sem alteração dos controles técnicos ou operacionais do sistema;
P3: isolar o sistema em uma VLAN sem acesso à internet e exigir VPN com MFA para qualquer acesso; e
P4: manter a operação do sistema legado, estabelecendo um fundo de reserva financeira para cobrir eventuais multas e definindo um plano de resposta a incidentes para recuperação manual, em caso de falha catastrófica. 

Assinale a opção que associa corretamente cada proposta a uma estratégia de tratamento de risco.

Uma aplicação em produção foi comprometida por meio da exploração de uma biblioteca com CVE conhecido, que permite execução remota de código.

O pipeline da aplicação possui SAST durante a fase de desenvolvimento, DAST em ambiente de homologação e, ainda, possui monitoramento em produção. Após investigação, verificouse que a vulnerabilidade estava em uma dependência indireta, não houve alerta durante o pipeline e a exploração ocorreu imediatamente após o deploy.

Com base nesse contexto, assinale a afirmativa que explica corretamente a falha de detecção.

O protocolo Oauth2.0, descrito pela RFC 6749 e proposto pela Internet Engineering Task Force (IETF), busca reduzir a necessidade de compartilhamento de credenciais de autenticação (como senhas ou biometria) do detentor de um recurso (chamados de resource owner) diretamente com os sistemas que precisam do credenciamento (chamados de clients). Nesse protocolo, é utilizado um servidor de autorização (chamado authorization server) que emite tokens de acesso aos clients, mediante autorização dos resource owners. Dessa forma, as credenciais são apresentadas apenas ao servidor de autorização e não a cada client.

Com relação ao protocolo Oauth2.0, como definido pelo RFC 6749, é correto afirmar que

No complexo e conectado ambiente de serviços disponíveis na rede mundial, garantir a autenticidade de um usuário para que possa acessar apenas os conteúdos a ele disponíveis é um processo fundamental. Com a proliferação da necessidade de se autenticar a cada interação, surgiu a tecnologia de Single-Sign on (SSO).

Assim sendo, o SSO é

Analise as seguintes afirmativas relacionadas à proteção de dados pessoais e Gestão de Identidade:

I. Para implementar a proteção dos dados pessoais em repouso, deve-se manter os dados criptografados e liberar sua decifração apenas mediante autenticação e validação do direito ao acesso.
II. O conceito de Multi-factor Authentication - MFA (preferencialmente solicitando algo que o usuário sabe, algo que possui e algo que é), serve para reforçar o processo de autenticação.
III. Para o correto funcionamento do Controle de Acesso baseado em papéis – RBAC, é importante que apenas permissões necessárias sejam associadas a cada usuário, e que cada papel seja associado a um usuário distinto.

Está correto o que se afirma em

Relacione os conceitos de Segurança da Informação às respectivas definições, quando houver. 

1. Confidencialidade
2. Integridade
3. Disponibilidade
4. Autenticação
5. Autorização

( ) Propriedade de proteger a exatidão da informação.
( ) Processo de concessão de permissões.
( ) Propriedade em que a informação não é disponibilizada ou divulgada para pessoas, entidades ou processos não autorizados.
( ) Propriedade de ser acessível e utilizável sob demanda por uma entidade autorizada.

Assinale a opção que indica a relação correta, na ordem apresentada

Um Analista de Tecnologia da Informação do Tribunal de Justiça de Santa Catarina foi encarregado de adequar os sistemas corporativos às exigências da Lei Geral de Proteção de Dados Pessoais (LGPD). Para reduzir os riscos decorrentes de eventual incidente de segurança envolvendo dados processuais e administrativos, ele adotou duas ações distintas:

1. aplicou um algoritmo para transformar o campo "Informação Sigilosa" em um código cifrado, de modo que o conteúdo original somente possa ser acessado mediante o uso da chave apropriada; e
2. no campo "Nome da Parte", substituiu as identidades reais por códigos alfanuméricos aleatórios, mantendo a tabela de correspondência entre os códigos e as identidades em ambiente segregado e seguro, permitindo que equipes de estatística e inteligência de dados realizem análises sem identificar diretamente os indivíduos, embora a associação possa ser restabelecida pelo Tribunal quando necessário.

As técnicas aplicadas pelo analista nas ações 1 e 2 são, respectivamente,

No cotidiano de uma instituição, o manuseio de informações de terceiros exige cuidados constantes para garantir a segurança e a confidencialidade.

Uma prática que protege os dados pessoais e evita o acesso não autorizado é a de