Questões de Concursos Segurança da Informação

O presidente de uma empresa reclama com o diretor de TI a respeito do recebimento de muitos e-mails indesejados, principalmente sobre oferta de produtos não solicitados. O diretor de TI pede uma solução à sua equipe que aponta ser necessário

A análise de riscos tem como objetivo principal eliminar todas as ameaças existentes em um ambiente computacional, impedindo, assim, que ocorram incidentes de segurança.

A preparação, impressão ou, se for o caso, reprodução de documento sigiloso efetuada em tipografias, impressoras, oficinas gráficas ou similares devem ser acompanhadas por pessoa oficialmente designada para tanto, sendo ela responsável pela garantia do sigilo durante a confecção do documento e pela eliminação de notas manuscritas, tipos, clichês, carbonos, provas ou qualquer outro recurso que possa dar origem a cópia não autorizada do todo ou parte.

O iptables é conhecido como o aplicativo de firewall Linux padrão. Na verdade, o iptables é apenas uma ferramenta que controla o módulo netfilter do Linux, permitindo a filtragem de pacotes. A operação do iptables é baseada em regras que são expressas em um conjunto de comandos. No departamento de TI da Security10, João terá que revisar o conjunto de regas do script atual de firewall iptables utilizado na empresa. Analisando as 2.954 linhas do arquivo de script, João se deparou com a seguinte REGRA-Y, definida a partir da sequência de comandos abaixo.

echo "0" > /proc/sys/net/ipv4/tcp_syncookies

$IPTABLES -N REGRA-Y

$IPTABLES -A INPUT -i $WAN -p tcp --syn -j REGRA-Y

$IPTABLES -A REGRA-Y -m limit --limit 1/s --limit-burst 4 -j RETURN

$IPTABLES -A REGRA-Y -j DROP

Com base nos aspectos gerais da norma ABNT NBR ISO/IEC 27002, que estabelece o código de prática para a gestão da segurança da informação, julgue os itens que se seguem.

A conformidade não é um dos conteúdos da referida norma, pois não visa à obtenção de certificação, já que essa incumbência fica a cargo de empresas privadas responsáveis pala análise de conformidade da prática de empresas às práticas recomendadas tanto pela NBR 27002 quanto pela NBR 27001.

Acerca de auditoria e conformidade, julgue os itens subsequentes, a respeito de segurança da informação.

A regulamentação de controles de criptografia obriga a conformidade do uso de criptografia com leis, acordos e regulamentações pertinentes.

Configurar o firewall da rede para bloquear os pacotes destinados a qualquer servidor de HTTP externo é medida que impede que os funcionários dessa empresa utilizem os computadores para acessar a Internet.

Os sistemas de criptografia assimétrica utilizam duas chaves: uma pública, que é usada para cifração; e uma privada, que é usada para decifração.

A criação de uma rotina de cópia de segurança, um procedimento que faz parte de uma política de segurança da instituição, deve prever a cópia de todo e qualquer dado que precise ser recuperado em caso de falha.

O recurso VMware vSphere Replication tem como principal objetivo prover balanceamento de carga por meio de replicação de dados, seguindo a diretiva round-robin entre as máquinas virtuais, possibilitando aos usuários, ao acessarem as máquinas virtuais, não sobrecarregarem apenas uma máquina, o que torna a infraestrutura resiliente.

No que se refere à análise/avaliação de riscos descrita na norma ABNT NBR ISO/IEC 27002, analise:

I. Por meio da análise/avaliação de riscos, são identificadas as ameaças aos ativos e às vulnerabilidades destes, e realizada uma estimativa da probabilidade de ocorrência das ameaças e do impacto potencial ao negócio.

II. Não é conveniente que a análise/avaliação de riscos seja repetida periodicamente para não impactar negativamente nos custos dos projetos de TI.

III. Uma vez que os riscos tenham sido identificados e as decisões para o tratamento dos riscos tenham sido tomadas, convém que controles apropriados sejam selecionados e implementados para assegurar que os riscos sejam reduzidos a zero.

IV. Convém que a análise/avaliação de riscos inclua um enfoque sistemático de estimar a magnitude do risco (análise de riscos) e o processo de comparar os riscos estimados contra os critérios de risco para determinar a significância do risco (avaliação do risco).

Está correto o que consta em

Considerando o que dispõe a NBR ISO/IEC 27001, julgue os próximos itens.

Essa norma aborda o processo que estabelece, implementa, opera, monitora, analisa criticamente, mantém e melhora o sistema gestão de segurança da informação de uma organização.

Com base na seção Gestão de incidentes da segurança da informação da norma ISO/IEC 27002:2005, é possível tratar os incidentes da segurança dentro de processos propostos pelo CobiT 4.1 e pelo ITIL. A afirmação faz referência

Sobre o SSE-CMM é correto afirmar:

Firewall e proxy são sinônimos para descrever equipamentos que realizam conexões de rede externas para nodos que não estejam conectados diretamente à Internet.

Os usuários devem ser conscientizados e educados no que diz respeito à segurança da informação, uma vez que recai sobre eles a responsabilização pelos eventos em que venham a se envolver, como quebras de segurança e erros de operação.