Questões de Concursos Políticas de Segurança de Informação

Um analista de TI da Hemobrás foi encarregado de revisar a política de controle de acesso lógico da empresa. Durante essa análise, ele identificou que diversos usuários possuíam permissões de acesso irrestritas a sistemas críticos, sem qualquer revisão periódica. Além disso, alguns ex-funcionários ainda tinham credenciais ativas nos sistemas internos, mesmo após o desligamento da organização. Com base nas boas práticas de controle de acesso lógico, qual das medidas a seguir relacionadas deve ser priorizada para mitigar os riscos associados a esse cenário?

No que concerne à Norma ISO/IEC 27002, é incorreto afirmar que:

A política de segurança da informação deve ser definida pela organização, aprovada pela gerência, publicada, comunicada e reconhecida pelo pessoal relevante e pelas partes interessadas relevantes, bem como deve ser revisada em intervalos planejados e na hipótese de ocorrência de mudanças significativas.

OpenID Connect é um protocolo em que provedores de identidade são capazes de lidar com os processos de autenticação de forma segura, sendo possível verificar as identidades dos usuários de aplicativos que o utilizam.

Assinale a opção em que é apresentado o princípio de segurança do DevSecOps segundo o qual é recomendável a implementação de controles de segurança no início do ciclo de desenvolvimento de software para melhorar a postura de segurança, incluídas práticas como revisões de código, verificação de vulnerabilidades e testes de segurança para detectar e corrigir bugs rapidamente.

O diretor de TIC Bruno está implementando o Framework de Privacidade e Segurança da Informação no MPU de acordo com o Guia da Secretaria de Governo Digital. A metodologia para implementação desse framework é composta pela atuação de um Sistema de Controle Interno (SCI) que é dividido em linhas de defesa. A primeira linha de defesa é responsável por identificar, avaliar, controlar e mitigar os riscos, guiando o desenvolvimento e a implementação de políticas e procedimentos internos destinados a garantir que as atividades sejam realizadas de acordo com as metas e objetivos da organização.
Para atuar na primeira linha de defesa do SCI, Bruno deve coordenar ações para a definição:

A norma complementar nº 03/IN01/DSIC/GSIPR recomenda instituir o gestor de segurança da informação e comunicações do órgão ou entidade da administração pública federal com a responsabilidade de

Para a institucionalização da Política de Segurança da Informação e Comunicações (POSIC) nos órgãos e entidades da Administração Pública Federal, de acordo com a Norma Complementar nº 03/IN01/DSIC/GSIPR, recomenda-se

Uma empresa está trabalhando na implementação e gerenciamento de seus ativos de software com base na norma ISO/IEC 19770.
No momento, a empresa estuda a implementação do nível 2 dessa norma. Esse nível corresponde a

Conforme a norma complementar nº 14/IN01/DSIC/GSIPR, nos órgãos e entidades da administração pública federal é vedado o tratamento em ambiente de computação em nuvem de

A ABNT NBR ISO/IEC 27001:2022, NBR ISO/IEC 27002:2022, os CIS v8, SIEM, e a Lei nº 13.709(LGPD) são algumas das diversas normas e leis que trabalham conjuntamente para assegurar a integridade, confidencialidade e disponibilidade dos dados no contexto da segurança da informação.
Assinale a opção que descreve corretamente uma contribuição combinada dessas leis e normas.

O CERT.br é um Grupo de Resposta a Incidentes de Segurança (CSIRT) de Responsabilidade Nacional de último recurso, mantido pelo NIC.br. Assinale a alternativa que apresenta o significado do acrônimo CERT.br

De acordo com o CERT.br, assinale a alternativa correta que apresenta qual é a sua missão em relação a ser um grupo de resposta a incidentes de segurança.

A Empresa de Pesquisa Energética (EPE) está fortalecendo suas políticas de segurança da informação para proteger dados sensíveis e garantir a integridade e a disponibilidade dos sistemas. Considerando a importância da segurança da informação, a EPE irá revisar e reforçar suas políticas de segurança.
Assim, a EPE, para garantir a proteção abrangente das informações, deve garantir

A estratégia nacional de segurança da informação e cibernética do Poder Judiciário (ENSEC-PJ) estabelece que cada tribunal, com exceção do STF, deverá estabelecer, em sua política de segurança da informação, ações para:

Em uma empresa hipotética, o departamento de TI está realizando uma força tarefa com o objetivo de instalar um programa de criptografia em todos as pastas de documentos dos computadores de seus colaboradores.
De modo a informar suas atividades, o departamento de TI coloca em todos os setores da empresa um gráfico de tendência relacionando a proporção de máquinas concluídas.
De acordo com a NBR ISO 27004, da ABNT, o descritor da informação empregado pela equipe de TI por meio dos gráficos é

Uma autarquia federal está iniciando procedimentos para aprovação de contratações de serviços de tecnologia da informação e comunicação – TIC, seguindo as regras da Instrução Normativa SGD nº05/2021 e suas alterações. Na situação apresentada, o serviço a ser contratado por concorrência tem um valor de R$ 14.000.000,00 (quatorze milhões de reais).
Neste caso, a aprovação, com base no parecer emitido pelo Subcomitê Interno de Referencial Técnico, cabe ao comitê ou subcomitê cuja sigla é

Ao final de três meses da implantação da gestão de riscos em uma empresa, foi realizado um estudo, onde foi mensurado o desempenho da estrutura da gestão de riscos, os indicadores e comportamento esperado.
Ao final do estudo, foi constatado que as ações estão eficazes e a empresa está com plenas condições de alcançar os seus objetivos dentro da gestão de riscos.
De acordo com a NBR ISO 31000, da ABNT, a componente da estrutura da gestão de riscos associada à atividade descrita é

O Sistema de Gestão de Segurança da Informação (SGSI) é um conjunto de políticas, procedimentos, diretrizes e recursos associados, que são utilizados para proteger a informação dentro de uma organização.
Assinale, entre as normas da International Organization for Standardization (ISO) e/ou International Electrotechnical Commission (IEC) apresentadas abaixo, aquela que oferece estrutura abrangente para a implantação de um SGSI.