A norma ISO/EC 27002 apresenta diretrizes e boas práticas relacionadas à implementação de controles de segurança da informação, incluindo aspectos associados à proteção de redes, softwares e sistemas computacionais. Com base nesses conceitos, analise as assertivas abaixo e julgue-as em Verdadeiras (V) ou Falsas (F):

( ) Gateway é o processo de estocagem de informações sobre eventos que ocorreram em um firewall ou em uma rede.

( ) Sign On (SSO) é um mecanismo pelo qual uma única ação de autenticação do usuário pode permitir que o mesmo acesse vários ambientes, sistemas e aplicações.

( ) Sniffers são dispositivos físicos geradores aleatórios de códigos para uso como forma de autenticação em sistemas.

( ) Wireless é um sistema de comunicação que não requer fios para transportar sinais.

Qual alternativa preenche, CORRETAMENTE, de cima para baixo, os parênteses acima?

Na área de segurança da informação, diversos códigos maliciosos são perigosos. O _______ se propaga inserindo cópias de si mesmo em outros arquivos. Já o ______ é recebido como um "presente" (ex: cartão virtual) e executa funções maliciosas ocultas.

Preenche, CORRETA e respectivamente, as lacunas:

No contexto das rotinas de backup, diferentes estratégias podem ser adotadas para garantir a proteção dos dados, variando quanto ao volume de informações copiadas, ao tempo de execução e ao processo de restauração. Com base nos conceitos de Backup Completo, Incremental e Diferencial, analise as assertivas a seguir, julgando-as V, se Verdadeiras, ou F, se Falsas:

( ) Backup Diferencial copia os arquivos alterados desde o último backup manual.

( ) Backup Incremental copia apenas os arquivos alterados desde o último backup realizado (seja ele completo ou incremental).

( ) Backup Completo (Full Backup) é a cópia integral de todos os arquivos selecionados.

( ) O Backup Incremental tende a ocupar menos espaço de armazenamento por execução quando comparado ao Backup Completo.

Qual alternativa preenche, CORRETAMENTE, de cima para baixo, os parênteses acima?

Um órgão da administração pública federal está implementando um Sistema de Gestão de Segurança da Informação (SGSI) com base na ABNT NBR ISO/IEC 27001. A equipe precisa selecionar os controles adequados do Anexo A da norma, que são detalhados na ABNT NBR ISO/IEC 27002. Associe os grupos de controles da Coluna A com seus respectivos objetivos na Coluna B.

Coluna A

1. A.5 - Políticas de segurança da informação

2. A.8 - Gestão de ativos

3. A.9 - Controle de acesso

4. A.12 - Segurança nas operações

Coluna B

(   ) Para assegurar a operação correta e segura das instalações de processamento da informação.

(   ) Para prover uma orientação e apoio da direção para a segurança da informação, de acordo com os requisitos do negócio e com as leis e regulamentações pertinentes.

(   ) Para limitar o acesso à informação e às instalações de processamento da informação.

(   ) Para identificar os ativos da organização e definir as responsabilidades apropriadas para a sua proteção.

A sequência correta de preenchimento dos parênteses, de cima para baixo, é:

Durante a análise de riscos de segurança da informação em um Órgão público, um Analista de Tl é responsável por aplicar os princípios da ABNT NBR ISO/IEC 27005 para definir controles e priorizar ações preventivas. Ao elaborar a matriz de riscos do ambiente de infraestrutura crítica, ele deve assegurar que o processo seja coerente com a metodologia da norma. Nesse contexto, a ação mais alinhada às boas práticas é:

Uma Agência Estadual de TI está revisando suas estratégias de cibersegurança e decide adotar o NIST CSF 2.0. Para isso, a equipe de TI listou os seguintes objetivos de alto nível da Agência, visando mapeá-los às funções do framework:

1. Determinar o apetite de risco de cibersegurança e supervisionar a conformidade regulatória em nível executivo.

2.  Garantir que todos os novos funcionários recebam treinamento obrigatório sobre políticas de senha baseado em 2FA antes de terem acesso aos sistemas.

3.  Estabelecer procedimentos formais para reverter a produção ao estado pré-ataque após um grande incidente de ransomwere.

4. Analisar o impacto potencial e a probabilidade de um ataque de phishing direcionado para classificar a exposição da empresa ao risco.

Os objetivos de 1 a 4 correspondem, correta e respectivamente, às funções do NIST CSF 2.0:

Um Analista de uma Agência Estadual de TI identificou que alguns funcionários acumulavam papéis que poderiam gerar conflito de interesses. Um exemplo envolvia um funcionário que possuía os papéis “Solicitante de Pagamento” e *Aprovador de Pagamento”; embora ele pudesse manter ambos os papéis, o sistema deveria impedir que atuasse sobre o mesmo pagamento. Com base nos conceitos de segregação de funções ou Separation of Duties (SoD), o tipo de controle que se aplica a essa situação é:

De acordo com a ABNT NBR ISO/IEC 27002:2022, para a proteção contra malware deve ser estabelecido o controle e o propósito abaixo:

-  Controle: Convém que a proteção contra malware seja implementada e apoiada pela conscientização adequada do usuário.

-  Propósito: Assegurar que informações e outros ativos associados estejam protegidos contra malwares.

Considerando o controle e o propósito acima, convém que a organização