A política de controle de acesso de um órgão estadual passou a exigir autenticação multifator (MFA) para o ingresso no sistema de processo eletrônico. Na especificação técnica, a equipe de segurança precisa indicar combinações de mecanismos que efetivamente caracterizem o uso de múltiplos fatores.

Assinale a opção que apresenta uma combinação caracterizadora de autenticação multifator.

No decorrer de fiscalização em um órgão estadual, a equipe de auditoria de TI do TCE-PE encontra, em um servidor de aplicação, um executável sem documentação nem código-fonte disponível, suspeito de desviar pagamentos. A auditora responsável decide submeter o artefato a procedimentos de engenharia reversa.

Nessa situação, assinale a afirmativa correta.

Aplicando o método quantitativo (nível 2) da ISSAI 5310 na revisão de segurança dos sistemas de uma entidade estadual, a equipe do TCE-PE levantou os seguintes dados sobre dois sistemas, considerando, para cada um, um evento de ameaça específico:

• Sistema X - soma dos valores financeiros dos impactos do evento: R$ 400.000,00; frequência anual estimada do evento: 0,25;
• Sistema Y - soma dos valores financeiros dos impactos do evento: R$ 60.000,00; frequência anual estimada do evento: 3.

Segundo esse método, as contramedidas devem ser dirigidas primeiro ao ativo com maior expectativa anual de perda (ALE), calculada pela combinação do valor dos impactos com a frequência estimada do evento.

Assinale a opção que indica o sistema a ser priorizado e o valor da respectiva ALE.

Em fiscalização de conformidade na área de segurança da informação, a equipe de auditoria do TCE-PE examina o sistema de gestão de segurança da informação (SGSI) de uma autarquia estadual, utilizando como critérios as normas ISO/IEC 27001 e ISO/IEC 27002.

Sobre o emprego dessas normas como critérios de auditoria, é correto afirmar que

A área de gestão de pessoas de um Tribunal de Contas utiliza um sistema que reúne informações funcionais necessárias a diferentes atividades administrativas. Entre os dados disponíveis encontram-se:

• nome, lotação e cargo dos servidores;
• registros de frequência;
• informações utilizadas no processamento da folha de pagamento; e
• avaliações individuais de desempenho.

Em razão de uma reorganização interna, pretende-se conceder acesso ao sistema aos gestores das unidades. Para simplificar a administração dos usuários, foi proposta foi proposta a adoção de um mesmo perfil de acesso para todos os gestores, permitindo-lhes consultar integralmente os dados de qualquer servidor do Tribunal.
A área responsável rejeitou a proposta e definiu que cada gestor poderá consultar apenas as informações necessárias ao exercício de suas atribuições e referentes aos servidores sob sua gestão. Os demais acessos permanecerão restritos aos setores responsáveis pelos respectivos processos administrativos.

A decisão adotada protege diretamente a

Sobre as normas ISO 31000 a ISO 27001, é correto afirmar que

No contexto de segurança cibernética, uma ETIR consiste em

Assinale a alternativa correta sobre senhas.

Uma má prática sobre a realização de cópias de segurança (backups) de dados corporativos é manter arquivos de backup acessíveis por meio das mesmas credenciais usadas no ambiente de produção, que é aquele onde os dados em uso no dia a dia são armazenados e manipulados.

Considerando um cenário que adota essa má prática, assinale a alternativa que corresponde a um risco ou problema associado a ela.

Uma consequência típica de infecção de um computador por um malware do tipo cryptojacker é