Compartilhando | Teste 1: NBR ISO/IEC 27001: 2013

#1. (FCC– TRT – 23ª REGIÃO (MT) /2016) Um Analista do TRT23 deve estabelecer o sistema de gestão de segurança do Tribunal baseado na norma ABNT NBR ISO/IEC 27001:2013. Na fase de planejamento, os objetivos de segurança devem ser

elaborados considerando os tratamentos de riscos.

mantidos em segredo pela alta direção da organização.

independentes da política de segurança da informação.

fixos e imutáveis para possibilitar a avaliação de desempenho.

distintos ao plano de negócio da organização.

#2. (FCC– TRT – 20ª REGIÃO (SE) /2016) Considere que o Tribunal Regional do Trabalho esteja seguindo orientações da norma ABNT NBR ISO/IEC 27001:2013. Ao se definir quem deve estabelecer uma política de segurança da informação que seja apropriada ao propósito da organização, o correto é atribuir à

Alta Direção.

Gerência de Recursos Humanos.

Gerência de Tecnologia da Informação.

Comissão de Segurança da Informação.

Gerência de Projetos.

#3. (FCC– Prefeitura de Teresina – PI/2016) The reason why you must have an information security police in your organization is to

give overall responsibility to the steering committee.

ensure that staff do not break any laws of the organization.

ensure that everyone knows who is responsible for backup procedures.

give direction to set up information security in the organization.

define who is responsible to provide any resources for security implementation.

#4. (FCC – MPE-PE/2018) A norma NBR ISO/IEC 27001:2013 fornece requisitos para estabelecer, implementar, manter e melhorar continuamente um Sistema de Gestão de Segurança da Informação. Considerando o ciclo PDCA, um escopo de requisito da norma que pertencente ao “D” – DO é:

Planejamento.

Apoio.

Avaliação de desempenho.

Melhoria.

Liderança.

#5. (CETAP – MPC-PA /2015) Segundo a norma NBR ISO/IEC 27001:2013, no que se refere ao monitoramento da eficácia do sistema de gestão de segurança da informação, a organização deve determinar os seguintes elementos, exceto:

Quanto deve custar o monitoramento e medição.

Quem deve analisar e avaliar estes resultados.

Quando o monitoramento e medição devem ser realizados.

O que precisa ser monitorado e medido.

Quando os resultados do monitoramento e da medição devem ser analisados e avaliados.

#6. (VUNESP – TCE-SP /2015) Na norma NBR ISO/IEC 27001:2013, no item que trata do estabelecimento de um sistema de gestão da segurança da informação (SGSI), há a indicação da necessidade da fase de identificação dos riscos. Uma das atividades contempladas nessa fase é:

aplicar as ações corretivas preconizadas no plano de recuperação de desastres.

identificar os riscos e seus responsáveis.

determinar a aceitação ou não dos riscos pelos usuários do sistema.

transferir os riscos identificados para outros sistemas similares.

estimar os níveis de risco presentes.

#7. (FCC– Prefeitura de Teresina – PI/2016) Concerning the objectives of asset management, one of them is to

make users accountable for safeguarding their authentication information.

ensure authorized user access and to prevent unauthorized access to systems and services.

ensure that information receives an appropriate level of protection in accordance with its importance to the organization.

ensure that employees and collaborators understand their responsibilities and are suitable for the roles of the organization.

protect the organization’s interests as part of the process of changing.

#8. (FCC – TRT – 9ª REGIÃO (PR)/2015) De acordo com a norma ABNT NBR ISO/IEC 27001:2013, a alta direção deve demonstrar liderança e comprometimento em relação ao sistema de gestão da segurança por meio

do estabelecimento de que os recursos necessários para o sistema de gestão da segurança da informação sejam providenciados pelos responsáveis.

da coordenação e gerenciamento da atuação de pessoas que contribuam para eficácia do sistema de gestão da segurança da informação.

da distinção e separação dos requisitos do sistema de gestão da segurança da informação com os dos processos da organização.

do apoio a outros papéis relevantes da gestão para demonstrar como sua liderança se aplica às áreas sob sua responsabilidade.

da garantia de confidencialidade entre os membros da alta direção das diretrizes de gestão eficaz da segurança da informação.

#9. (FCC – TRT – 20ª REGIÃO (SE)/2016) A norma ABNT NBR ISO/IEC 27001:2013 traz uma tabela com controles e objetivos de controle que devem estar alinhados com o tratamento de riscos de segurança da informação. Um destes controles tem como objetivo

definir um inventário de ativos de hardware e software, cujos proprietários devem ser os funcionários da alta gestão.

regulamentar os registros de eventos (logs) de todos os funcionários, exceto dos administradores do sistema.

regulamentar a classificação das informações exclusivamente com base no seu valor e criticidade.

definir os procedimentos informais pelos quais as mídias devem ser descartadas quando não forem mais necessárias.

garantir a segurança das informações no trabalho remoto e no uso de dispositivos móveis.

#10. (FCC– TRT – 4ª REGIÃO (RS) /2015) Considere que um Analista do Tribunal Regional do Trabalho ficou com a tarefa de definir um processo de tratamento dos riscos de segurança da informação de acordo com a Norma NBR ISO/IEC 27001:2013. Uma ação correta é:

Selecionar, de forma apropriada, as opções de tratamento dos riscos de segurança da informação, levando em consideração os resultados da avaliação do risco.

Elaborar, cautelosamente, uma declaração de aplicabilidade que contenha os controles necessários e sua justificativa, já que a Norma recomenda que não haja exclusão de controles.

Preparar um plano para tratamento dos riscos residuais de segurança da informação, obtendo a aprovação da alta gerência e dos técnicos de TI.

Determinar quais os controles e objetivos de controle definidos pela Norma serão utilizados, sem a inclusão de controles adicionais não listados, como recomendado.

Não reter a informação documentada relativa ao processo de tratamento dos riscos de segurança da informação no Tribunal, já que a Norma recomenda que este documento possa ser ajustado pelos stakeholders e seja público.

#11. (UFSM – UFSM /2017) Assinale a alternativa que descreve corretamente a política de segurança da informação de acordo com as normas ABNT NBR ISO/IEC 27001:2013 e ABNT NBR ISO/IEC 27002:2013.

Normas para a criação de senhas.

Normas e procedimentos que definem os elementos da informação que devem ser seguros.

Conjunto de regras gerais que direcionam a segurança da informação e são suportadas por normas e procedimentos.

Normas de autenticação e autorização para o uso de recursos que utilizam a informação.

Normas de segurança para utilização dos recursos computacionais que manipulam a informação.

#12. (FCM – IF Sudeste – MG/2016) De acordo com as Normas ABNT NBR ISO/IEC 27001:2013 e 27002:2013, para manter a segurança da informação, são objetivos de controle os seguintes itens, EXCETO:

Prevenir a divulgação não autorizada, modificação, remoção ou destruição da informação armazenada nas mídias.

Assegurar a integridade e a correta execução dos processos de negócio.

Assegurar o uso efetivo e adequado da criptografia para proteger a confidencialidade, autenticidade e/ou integridade da informação.

Assegurar acesso de usuário autorizado e prevenir acesso não autorizado a sistemas e a serviços.

Prevenir o acesso físico não autorizado, danos e interferências aos recursos de processamento das informações e as informações da organização.

#13. (UPENET/IAUPE – UPE/2017) Considerando-se as normas ABNT NBR ISO/IEC 27001:2013 e ABNT NBR ISO/IEC 27002:2013, recomenda-se, como política de controle de acesso às informações e aos recursos de processamento organizacional, que haja

uma política de controle de acesso baseada na verificação por amostragem dos usuários dos serviços.

um cadastro de solicitação de cancelamento a ser preenchido offline por todos os usuários quando do cancelamento do serviço.

restrição aos usuários em relação a qualquer acesso dos serviços da rede, com exceção dos proprietários de ativos.

manutenção dos direitos de acesso dos funcionários às informações e aos recursos de processamento quando da mudança de cargo desses funcionários.

responsabilização dos proprietários de ativos que devem revisar os direitos de acesso dos usuários em intervalos regulares.

#14. (FCC– TRT – 24ª REGIÃO (MS) /2017) A norma ABNT NBR ISO/IEC 27001:2013 apresenta como anexo uma tabela com controles e objetivos de controle alinhados com os existentes na norma ABNT NBR ISO/IEC 27002:2013. Uma colaboradora de nível técnico, utilizando os controles relacionados à segurança em processos de desenvolvimento e de suporte dessa tabela deve saber que

modificações em pacotes de software devem ser encorajadas e não devem estar limitadas apenas às mudanças necessárias, porém, todas as mudanças devem ser documentadas.

programas de testes de aceitação e critérios relacionados devem ser estabelecidos para novos sistemas de informação, atualizações e novas versões.

mudanças em sistemas dentro do ciclo de vida de desenvolvimento devem ser controladas por procedimentos informais de controle de mudanças.

a organização não deve contratar empresas terceirizadas para realizar atividades de desenvolvimento de sistemas de informação.

testes de funcionalidade de segurança devem ser realizados somente quando o sistema estiver pronto.

#15. (FCC– Prefeitura de Teresina – PI/2016) The need of protection against malware and logging and monitoring of information system in an organization is addressed in the section

Operations Security.

Information Security Incident Management.

System Acquisition, Development and Maintenance.

Organization of Information Security.

Communication Security.

#16. (CESPE – TCE-PA /2016) No que se refere a sistemas de gestão da segurança da informação (SGSI), julgue o item a seguir à luz da norma ISO/IEC 27001:2013. Para reivindicar conformidade com a referida norma, uma organização poderá excluir, sem justificativas formais, requisitos especificados nas seções de análise crítica pela direção e de auditorias internas do SGSI.

Falso

Verdadeiro

#17. (FCC– Prefeitura de Teresina – PI/2016) You are the manager of supplier services of the company. The purpose of monitoring supplier’s services is to ensure that suppliers

pay out the damages that have happened as a consequence of incidents.

fulfill the agreed levels of delivery performance.

pay out in full in case they do not abide by the agreements.

comply with the information security requirements defined in the agreements.

pay out any loss that have happened due to their weak quality of service.

#18. (FCM – IF Sudeste – MG/2016) De acordo com as Normas ABNT NBR ISO/IEC 27001:2013 e 27002:2013, são objetivos de controle, EXCETO:

Garantir a segurança das informações no trabalho remoto e no uso de dispositivos móveis.

Prover orientação da direção e apoio para a segurança da informação de acordo com os requisitos do negócio e com as leis e regulamentações relevantes.

Identificar os ativos da organização e definir as devidas responsabilidades pela proteção dos ativos.

Assegurar, antes da contratação, que funcionários entendam suas responsabilidades e estejam em conformidade com os papéis para os quais eles foram selecionados.

Assegurar que toda informação receba um nível alto de proteção, independente de sua importância para a organização.

#19. (FCC– Prefeitura de Teresina – PI/2016) One security control used for physical and environmental security controls is

any equipment should be repaired only by personnel of the company.

securing mobile equipment against theft when used outside company.

use of interactive password management system.

secure disposal of equipment by destroying any storage media.

contracting Private Encryption Key services.

#20. (UPENET/IAUPE – UPE /2017) Consiste em uma das atividades previstas na fase de identificação de riscos, relativas à implantação de um sistema de gerenciamento e gestão da segurança da informação, definidas na norma NBR ISO/IEC 27001:2013:

Solicitar dos usuários do sistema um histórico (log) de falhas relativas a suas interações anteriores com sistemas similares.

Identificar quais os riscos potenciais para o sistema e quais os responsáveis por tais riscos.

Bloquear operações do sistema que exibam histórico de riscos prováveis ao sistema.

Identificar ações de segurança de acesso dos usuários ao sistema, tais como biometria e política de senhas.

Bloquear os usuários que exibam histórico de riscos prováveis ao sistema.

#21. (IESES – BAHIAGÁS/2016) De acordo com a norma ABNT NBR ISO/IEC 27001 de 2013, a organização deve conduzir auditorias internas do SGSI. Assinale a alternativa INCORRETA.

A organização deve conduzir auditorias internas do SGSI a intervalos determinados pela direção para determinar se os objetivos de controle, controles, processos e procedimentos do seu SGSI atendem aos requisitos da organização e de seus parceiros.

A organização deve conduzir auditorias internas do SGSI a intervalos planejados para determinar se os objetivos de controle, controles, processos e procedimentos do seu SGSI são executados conforme esperado.

A organização deve conduzir auditorias internas do SGSI a intervalos planejados para determinar se os objetivos de controle, controles, processos e procedimentos do seu SGSI atendem aos requisitos de segurança da informação identificados.

A organização deve conduzir auditorias internas do SGSI a intervalos planejados para determinar se os objetivos de controle, controles, processos e procedimentos do seu SGSI estão mantidos e implementados eficazmente.

A seleção dos auditores e a execução das auditorias devem assegurar objetividade e imparcialidade do processo de auditoria. Os auditores não devem auditar seu próprio trabalho.

#22. (IADES – SES-DF /2018) De acordo com a ABNT NBR ISO/IEC 27001:2013, quando uma não conformidade ocorre, a organização deve reter informação documentada

como evidência dos programas da auditoria e dos resultados desta.

dos resultados das avaliações de risco de segurança da informação.

como evidência dos resultados de qualquer ação corretiva.

como evidência dos resultados das análises críticas pela direção.

dos resultados do tratamento dos riscos de segurança da informação.

#23. (CETAP – MPC-PA/2015) Segundo a norma NBR ISO/IEC 27001:2013, os objetivos de segurança de informação devem ser:

atuais, mensuráveis, atingíveis, comunicados e atualizados, conforme apropriado.

consistentes com a política de desenvolvimento, atingíveis, comunicados e atualizados, conforme apropriado.

consistentes com a política de segurança da informação, atingíveis, atualizados conforme apropriado e priorizados.

consistentes com a política de segurança da informação, mensuráveis, comunicados e atualizados, conforme apropriado.

consistentes com o plano de custos, mensuráveis e aprovados pelo conselho diretor.

#24. (FCC – TJ-MA /2019) A norma ABNT NBR ISO/IEC 27001:2013, no que tange à coleta de evidências no processo de gestão de incidentes de segurança da informação, indica, como controle, que

os conhecimentos obtidos da análise e resolução de incidentes de segurança devem ser usados para contornar incidentes sem gravidade e identificar evidências que não são claramente identificadas.

incidentes e evidências de segurança da informação devem ser documentados em um repositório não público, acessível a todos os colaboradores autorizados.

incidentes de segurança devem ser documentados e disponibilizados para todos os colaboradores de TI da instituição, incluindo as evidências relacionadas a estes incidentes.

a responsabilidade na coleta de evidências deve ser atribuída a todos os colaboradores da área de TI, para assegurar respostas rápidas, efetivas e ordenadas aos incidentes de segurança.

a organização deve definir e aplicar procedimentos para identificação, coleta, aquisição e preservação das informações, as quais podem servir como evidências.

#25. (FCC – SANASA Campinas/2019) A Norma ABNT NBR ISO/IEC 27001:2013 provê requisitos para orientar organizações que desejam implantar um sistema de gestão de segurança da informação, e

possui anexo “Referência ao conjunto de potenciais riscos de segurança da informação” que estão necessariamente alinhados com a Norma ABNT NBR ISO/IEC 27002:2018.

apresenta requisitos genéricos que podem ser aplicáveis a todas as organizações, independentemente do tipo, tamanho ou natureza.

possui diversos requisitos nas seções que tratam do contexto da organização (seção 4) e melhoria (seção 10) que podem ser ignorados mesmo por organizações que buscam conformidade com esta Norma.

não inclui requisitos para avaliação e tratamento de riscos de segurança da informação, mas indica a norma que orienta sobre este assunto.

pode ser usada somente por partes internas da organização para avaliar sua capacidade em atender aos seus próprios requisitos de segurança da informação.

#26. (FCC– Prefeitura de Teresina – PI/2016) De acordo com a Norma NBR ISO/IEC 27001:2013, a ação da Alta Direção de orientar e apoiar pessoas que contribuam para a eficácia do sistema de gestão da segurança faz parte do tópico:

Responsabilidade.

Política.

Liderança e comprometimento.

Autoridade.

Papéis organizacionais.

#27. (FCC– TRF – 5ª REGIÃO/2017) Considere que PSI se refere à Política de Segurança da Informação e SGSI se refere ao Sistema de Gestão da Segurança da Informação. De acordo com a Norma ABNT NBR ISO/IEC 27001:2013, dentre as atribuições da Alta Direção inclui-se

estabelecer uma PSI que atenda aos propósitos da Norma antes dos propósitos da organização.

estabelecer uma PSI que inclua o comprometimento com a melhoria contínua do SGSI com base no estágio Melhoria Contínua da ITL v3 edição 2011.

definir os objetivos da segurança da informação para que a estrutura organizacional possa aplicá-los.

atribuir responsabilidade e autoridade para assegurar que o SGSI está em conformidade com os requisitos da Norma e para relatar o desempenho do SGSI dentro da organização e para a própria Alta Direção.

estabelecer uma PSI que inclua o comprometimento em satisfazer os requisitos da segurança da informação com base nos habilitadores do COBIT 5ª edição.

#28. (FCC– Prefeitura de Teresina – PI/2016) The reason why you must have an information security police in your organization is to

define who is responsible to provide any resources for security implementation.

ensure that staff do not break any laws of the organization.

give overall responsibility to the steering committee.

give direction to set up information security in the organization.

ensure that everyone knows who is responsible for backup procedures.

#29. (FCC– TRT – 3ª Região (MG)/2015) Baseado nas normas ABNT NBR ISO/IEC 27001:2013 e ABNT NBR ISO/IEC 27002:2013, um analista de TI está definindo uma política de controle de acesso às informações e aos recursos de processamento de uma organização. Nesse contexto, estas normas recomendam que

os proprietários de ativos devem analisar criticamente os direitos de acesso dos usuários em intervalos regulares.

os direitos de acesso dos funcionários às informações e aos recursos de processamento devem ser retirados quando o funcionário for desligado, mas não precisam ser ajustados se o funcionário mudar de cargo.

um processo de registro e cancelamento de usuário, mesmo que informal, deve ser implementado para permitir atribuição de direitos de acesso.

os usuários recebam acesso às redes e aos serviços de redes que necessitarem e/ou quiserem utilizar.

uma política de controle de acesso deve ser estabelecida, documentada e analisada criticamente, baseada apenas nos requisitos de segurança da informação.

#30. (FGV – Banestes /2018) A adoção de um Sistema de Gestão de Segurança da Informação (SGSI) é uma decisão estratégica para as organizações. De acordo com a norma ABNT NBR ISO/IEC 27001:2013, quando ocorre uma não conformidade no SGSI, a organização deve:

impedir mudanças no Sistema de Gestão de Segurança da Informação para assegurar que auditorias internas possam ser realizadas;

determinar se não conformidades similares existem, ou podem potencialmente ocorrer;

evitar reagir à não conformidade de modo a controlá-la ou corrigi-la;

forçar sua repetição ou ocorrência para comunicar às partes interessadas de forma apropriada.

aceitar que impactos adversos podem ocorrer na operação e esperar que não volte a se repetir;

Teste 1: NBR ISO/IEC 27001: 2013