ISO 27002: Questões de Concursos

2 Q52710 | Informática, ISO 27002, Segurança da Tecnologia da Informação, Banrisul, FAURGS, Ensino Superior

A norma ISO ABNT NBR ISO/IEC 27002:2013, em sua Seção 9 – Controle de Acesso, recomenda que

a) sejam normalmente utilizados programas utilitários privilegiados de modo a sobrepor com segurança os controles dos sistemas e aplicações.
b) as regras de controle de acesso sejam baseadas na premissa de que “Tudo é permitido a menos que expressamente proibido”, de modo a simplificar a implementação dos controles.
c) as atividades normais de negócio sejam realizadas com IDs privilegiadas apenas após processo de aprovação e documentação.
d) seja adotado um bom procedimento de entrada nos sistemas (log-on), informando ao usuário, em caso de erro, qual das informações fornecidas está incorreta.
e) a política de controle de acesso leve em consideração a consistência entre os direitos de acesso e as políticas de classificação da informação de sistemas e redes.

3 Q658308 | Segurança da Informação, ISO 27002, Analista Judiciário Análise de Sistemas, TJPA PA, CESPE CEBRASPE, Ensino Superior, 2020

Um dos desafios atuais da segurança da informação é o crescente uso de BYOD (bring your own device, ou, em português, traga seu próprio dispositivo) nas instituições. Notebooks, tablets e principalmente smartphones estão invadindo as redes institucionais. Nesse contexto, são necessárias políticas, procedimentos e tecnologias especializadas acerca do tema. Com base na NBR ISO/IEC n.º 27002, em uma política de dispositivos móveis, é correto

a) validar informações de entrada no sistema somente quando todos os dados de entrada estiverem completos e íntegros, em conformidade com as boas práticas.
b) separar o uso do dispositivo para negócio e para fins pessoais, incluindo os softwares para apoiar essa separação e proteger os dados do negócio em um dispositivo privado.
c) monitorar as condições ambientais, como temperatura e umidade, para a detecção de condições que possam afetar negativamente as instalações de processamento da informação.
d) avaliar regularmente a referida política quanto à sua capacidade de atender ao crescimento do negócio e às interações com outras utilidades.
e) segregar as funções de controle de acesso como, por exemplo, pedido de acesso, autorização de acesso e administração de acesso.

4 Q52709 | Informática, ISO 27002, Segurança da Tecnologia da Informação, Banrisul, FAURGS, Ensino Superior

Em relação à Política de Segurança da Informação (PSI), a norma ISO ABNT NBR ISO/IEC 27002:2013 recomenda

a) o alinhamento da PSI da organização com a PSI dos órgãos de controle externo da organização.
b) que seja um documento único, detalhado e autocontido, facilitando a divulgação e aumentando sua aplicabilidade.
c) uma revisão com periodicidade mínima de um ano, visando assegurar a sua contínua pertinência, adequação e eficácia.
d) que o Gestor de TI tenha autonomia para alterar e publicar a PSI.
e) que sejam contemplados requisitos oriundos de regulamentações, legislação e contratos.

5 Q657703 | Segurança da Informação, ISO 27002, Analista Judiciário Análise de Sistemas, TJPA PA, CESPE CEBRASPE, Ensino Superior, 2020

Texto 4A04-I

Um hacker invadiu o sistema computacional de determinada instituição e acessou indevidamente informações pessoais dos colaboradores e servidores. Durante a ação, foram alterados os registros de logs do sistema operacional e das aplicações, a fim de dificultar o trabalho de auditoria. Após o ocorrido, identificaram-se as seguintes ações do hacker.

I Exploração, a partir da Internet, de uma vulnerabilidade da página de notícias do portal da instituição localizada no servidor web, o que permitiu o acesso não autorizado à rede interna.

II Utilização de um script para alteração dos registros dos logs, com a troca dos endereços IP reais por fictícios.

III Quebra das credenciais administrativas do servidor de banco de dados dos sistemas internos, a partir do servidor web e utilização da técnica de ataques de dicionário.

IV Acesso de forma não autorizada ao servidor de banco de dados dos sistemas internos, para efetuar a extração das informações pessoais de colaboradores e servidores.

A equipe incumbida de analisar o caso concluiu que o risco era conhecido e considerado alto, já tendo sido comunicado à alta gestão da instituição; a vulnerabilidade explorada e sua correção eram conhecidas havia mais de seis meses, bem como a inexistência de dependências e da troca de dados entre os servidores de web e banco de dados; o incidente poderia ter sido evitado com o uso eficaz dos controles de segurança da informação.

a) manutenção de equipamentos e de segurança física, pela ineficiência das manutenções preventivas recomendadas e da proteção física dos servidores web e de banco de dados.
b) manutenção de equipamentos e de segregação de rede, pela ineficiência das manutenções preventivas recomendadas e da segmentação da rede em domínio filtrados por firewalls entre os servidores web e de banco de dados.
c) segurança física e de segregação de rede, pela ineficiência da proteção física e da segmentação da rede em domínio filtrados por firewalls entre os servidores web e de banco de dados.
d) gestão de vulnerabilidades técnicas e de segurança física, pela ineficiência do monitoramento e das correções das vulnerabilidades e da proteção física dos servidores web e de banco de dados.
e) gestão de vulnerabilidades técnicas e de segregação de rede, pela ineficiência do monitoramento e das correções das vulnerabilidades e da segmentação da rede em domínio filtrados por firewalls entre os servidores web e de banco de dados.

Questões de Concursos Públicos: ISO 27002

Encontre aqui questões de Concursos Públicos: ISO 27002 com gabarito ou respostas comentadas. Acesse milhares de provas com perguntas para treinar online. Baixe o PDF!