Compartilhando | Teste 2: NBR ISO/IEC 27001: 2013

#1. (FCC – MPE-PE/2018) Dentre os controles mencionados no Anexo A da norma NBR ISO/IEC 27001:2013 está: “Todos os funcionários da organização e, onde pertinente, as partes externas devem receber treinamento, educação e conscientização apropriados, e as atualizações regulares das políticas e procedimentos organizacionais relevantes para as suas funções.” Este controle é parte da seção:

Segurança nas operações.

Política de segurança da informação.

Segurança em recursos humanos.

Organização da segurança da informação.

Segurança física e do ambiente.

#2. (CESPE – MEC /2015) Acerca da NBR ISO/IEC 27001:2013 e de sua aplicabilidade no sistema de gestão da segurança da informação (SGSI), julgue o item que se segue. A referida norma exige, por sua própria natureza, formalidade, documentação e organização da área de segurança da informação.

Verdadeiro

Falso

#3. (CESPE – MEC/2015) Acerca da NBR ISO/IEC 27001:2013 e de sua aplicabilidade no sistema de gestão da segurança da informação (SGSI), julgue o item que se segue. A adoção de um SGSI prescinde do cunho estratégico, pois é vista como uma decisão tática e operacional da organização.

Verdadeiro

Falso

#4. (CESPE – TCE-PA /2016) Com base no disposto na NBR ISO/IEC 27001:2013, julgue o item a seguir, relativo à gestão de segurança da informação. Devido a seu conteúdo confidencial e estratégico, a política de segurança da informação de uma organização deve estar disponível, como informação documentada, exclusivamente para a alta gerência.

Verdadeiro

Falso

#5. (VUNESP – Prefeitura de São José dos Campos – SP/2015) Os desenvolvedores de sistemas computacionais de uma empresa solicitaram acesso a uma cópia do banco de dados principal para a execução de testes de um novo sistema. Com o intuito de oferecer a segurança adequada à informação, a norma ISO/IEC 27001:2013 sugere que os dados fornecidos para testes sejam

acessíveis apenas por uma conta de usuário criada especificamente para essa finalidade e que pode ser compartilhada entre os desenvolvedores.

armazenados e disponibilizados a partir de um local diferente dos dados acessados pelo sistema em produção.

cuidadosamente selecionados, protegidos contra mal uso e o acesso a eles seja controlado.

disponibilizados apenas temporariamente, isto é, enquanto durarem os testes.

os mesmos dados em uso pelo sistema em produção, pois a norma não permite cópias de sombra para essa finalidade.

#6. (FGV – DPE-RJ/2019) De acordo com a norma ABNT NBR ISO/IEC 27001:2013, uma organização deve programar auditorias internas a fim de verificar a aderência da conformidade do sistema de gestão da segurança da informação aos seus requisitos e à legislação vigente. Sobre a realização da auditoria interna, é correto afirmar que:

os critérios de verificação devem ser sempre os mesmos, independentemente do escopo ou do processo da organização a ser auditado;

os auditores não devem conhecer e considerar os resultados das auditorias anteriores para não influenciarem o trabalho de verificação;

os auditores devem ser do próprio setor auditado a fim de possibilitar o aproveitamento de seu conhecimento acerca das atividades desenvolvidas;

os resultados das auditorias devem ser de conhecimento da direção responsável pelo setor auditado;

os relatórios das auditorias podem ser descartados na ausência de inconformidades.

#7. (FCC – Câmara Legislativa do Distrito Federal/2018) Considere, por hipótese, que um Analista de Sistemas está responsável pelo do processo de auditoria interna da CLDF para avaliar o desempenho da segurança da informação e a eficácia do sistema de gestão da segurança da informação. Seguindo as recomendações da norma ABNT NBR ISO/IEC 27001:2013, o Analista deve

implementar um programa de auditoria enxuto, incluindo apenas os métodos e as responsabilidades.

definir os mesmos critérios e escopo para todas as auditorias.

considerar os resultados de auditorias anteriores.

selecionar auditores que possam ser influenciados no processo de auditoria.

descartar as informações resultantes da auditoria após elas terem sido analisadas e medidas terem sido tomadas.

#8. (FCC – ARTESP/2017) Uma organização deve determinar e prover recursos necessários para o estabelecimento, implementação, manutenção e melhoria contínua da gestão da segurança da informação. Dentre esses recursos estão as pessoas que realizam o trabalho sob o controle da organização. Segundo a norma ABNT NBR ISO/IEC 27001:2013, todas estas pessoas devem estar cientes

do plano de continuidade de negócios e de suas responsabilidades e papéis, já que todos participam quando é necessário colocar este plano em prática.

do plano estratégico, que estabelece a direção a ser seguida pela organização para melhorar o sistema de gestão da segurança da informação.

do plano operacional, que define as ações e metas traçadas para atingir os objetivos das decisões estratégicas relacionadas à segurança da informação.

de suas responsabilidades no processo de gestão de riscos de segurança da informação, atuando como observadoras das ações dos demais funcionários na identificação de potenciais riscos de segurança da informação.

das implicações da não conformidade com os requisitos do sistema de gestão da segurança da informação.

#9. (CESPE – MEC /2015) Acerca da NBR ISO/IEC 27001:2013 e de sua aplicabilidade no sistema de gestão da segurança da informação (SGSI), julgue o item que se segue. As decisões táticas e operacionais para avaliação de risco devem ser descritas como processos relacionados a integridade e confidencialidade. A disponibilidade não possui risco operacional, logo não são descritas por esse processo.

Verdadeiro

Falso

#10. (FCC – Câmara Legislativa do Distrito Federal/2018) O gerenciamento da segurança em redes tem como objetivo assegurar a proteção das informações nas redes e dos recursos de processamento da informação que as apoiam. De acordo com a norma ABNT NBR ISO/IEC 27001:2013, para ajudar a garantir a segurança dos serviços de rede, mecanismos de segurança, níveis de serviço e requisitos de gerenciamento de todos os serviços de rede devem ser identificados e incluídos

nos planos de contingência e de recuperação de desastres.

somente nos serviços de rede providos internamente.

somente em serviços de rede providos por terceirizados.

em todos os acordos de serviços de rede.

em todas as políticas da organização.

#11. (CONSULPLAN – TRF 11; 2ª REGIÃO/2017) Uma boa política de segurança define controles lógicos e físicos assegurando um determinado nível de disponibilidade dos serviços, confiabilidade dos dados e serve de referência para as ações de treinamento dos usuários e demais procedimentos de segurança.
A ISO/IEC 27.000 apresenta uma introdução geral de um sistema da segurança da informação e fornece um glossário, contendo definições da maioria dos termos.
Analise as afirmativas a respeito das Normas NBR ISO/IEC nº 27.001:2013, NBR ISO/IEC nº 27002:2013 e NBR ISO/IEC nº27005:2011.
I. Na ótica da NBR ISO/IEC nº 27.001:2013 e NBR ISO/IEC nº 27.002:2013, a segurança que pode ser alcançada através de meios técnicos é limitada e está apoiada por procedimentos e gerenciamentos apropriados. A identificação de quais controles devem ser implementados requer planejamento e atenção cuidadosa em nível de detalhes, um sistema de gestão da segurança da informação bem-sucedido requer apoio de todos os funcionários da organização.
II. A norma NBR ISO/IEC nº 27.005:2011 fornece diretrizes para o processo de gestão de riscos de segurança da informação de uma organização, atendendo particularmente aos requisitos de um Sistema de Gestão de Segurança da Informação (SGSI) de acordo com a Norma NBR ISO/IEC nº 27.001, incluindo um método específico para a gestão de riscos de segurança da informação. Cabendo à organização a implementação e à adequação do modelo a estrutura do negócio.
III. A seleção de controles de segurança da informação depende das decisões da organização, criando sua própria legislação e regulamentação baseadas nos critérios internos da organização para aceitação de risco.
Está(ão) correta(s) apenas a(s) afirmativa(s)

I.

I e II.

I e III.

II e III.

#12. (FGV – TCE-SE /2015) Em relação à norma de segurança da informação ISO/IEC 27001, analise as afirmativas a seguir:
I. Segundo a norma, os ativos da organização devem ser claramente identificados e inventariados.
II. É uma norma voltada para a adoção de boas práticas para a segurança da informação
III. A revisão 2013 da norma substituiu o conceito de proprietário de ativo por proprietário de risco. Está correto somente o que se afirma em:

I;

II;

III;

I e II;

I e III.

#13. (CESPE – TCE-RO /2019) De acordo com a NBR ISO/IEC n.º 27001:2013, a alta direção de uma organização deve demonstrar liderança e comprometimento em relação ao sistema de gestão da segurança da informação. Para isso, ela deve
I assegurar que a política de segurança da informação seja compatível com a direção estratégica da organização.
II comunicar a importância da conformidade com os requisitos do sistema de gestão da segurança da informação.
III analisar criticamente os códigos quanto ao uso de técnicas de programação segura.
IV orientar pessoas que contribuam para a eficácia do sistema de gestão da segurança da informação.
Estão certos apenas os itens

I e II.

I e III.

III e IV.

I, II e IV.

II, III e IV.

#14. (IESES – BAHIAGÁS /2016) Com relação à ABNT NBR ISO/IEC 27001 de 2013 são realizadas as seguintes afirmações:
I. Esta norma adota o modelo Plan-Design-Configure-Analyze (PDCA), que é aplicado para estruturar todos os processos do SGI.
II. Esta norma promove a adoção de uma abordagem de processo para estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar o SGSI de uma organização.
III. A documentação do SGSI deve incluir registros de decisões da direção, assegurar que as ações sejam rastreáveis às políticas e decisões da direção, e assegurar que os resultados registrados sejam reproduzíveis.
IV. A Direção da empresa não deve se envolver com o estabelecimento, implementação, operação, monitoramento, análise crítica, manutenção e melhoria do SGSI.
Em relação a estas afirmações, assinale a alternativa correta:

Somente as afirmações II e III estão corretas.

Somente a afirmação II está correta.

Somente as afirmações II e IV estão corretas.

Somente as afirmações I, II e IV estão corretas.

Somente as afirmações I, II e III estão corretas.

#15. (IADES – Fundação Hemocentro de Brasília – DF /2017) Em relação às normas ABNT NBR ISO/IEC 27001 e 27002, assinale a alternativa correta.

A versão atual da norma ABNT NBR ISO/IEC 27002 (código de prática para controles de segurança da informação) foi publicada em 2013 e trouxe como novidade a incorporação, em seu Anexo A, da norma ABNT NBR IsO/IEC 27001 (sistemas de gestão da segurança da informação), agora obsoleta.

A norma 27001 estabelece que a Política de Segurança da Informação deve prover orientação e apoio da direção para a segurança da informação, de acordo com os requisitos do negócio e das leis e regulamentações relevantes.

A norma 27002 apresenta, em seu Anexo A, os detalhes técnicos para implantação dos controles de segurança necessários ao estabelecimento do Sistema de Gestão de Segurança da Informação (SGSI).

As mudanças ocorridas no COBIT 5, com a inclusão de requisitos mais específicos de segurança da informação, de certa forma diminuíram a importância das normas 27001 e 27002 no âmbito da segurança da informação.

A norma 27001 apresenta uma metodologia de análise e avaliação de riscos ao SGSI, detalhando cada etapa de aplicação dessa metodologia, mas permite a utilização de outras metodologias, como a OCTAVE, citada no anexo da referida norma.

#16. (FCC – SABESP/2018) No processo de classificação e controle dos ativos de informação,

o proprietário do ativo é o responsável pela classificação da informação, que é um recurso intangível, com base na análise e avaliação de riscos. Mesmo que a informação seja de baixo valor, seu nível de confidencialidade deve ser rotulado como alto.

o estágio de rotulagem é quando se atribui um nível de classificação a uma informação, fazendo com que a mesma passe a respeitar as proteções associadas ao nível de classificação escolhido. Nem todo ativo de informação deve ser classificado. Esta é uma regra da Norma ABNT NBR ISO/IEC 27001:2013.

não pode haver reclassificação de uma informação, pois isso colocaria em risco sua integridade e confidencialidade. Esta é uma regra da Norma ABNT NBR ISO/IEC 27002:2013.

um documento em papel de uma empresa classificado como Uso Interno deveria ser mantido em um armário trancado, circular internamente em envelopes lacrados e, caso fosse enviado para fora da organização, deveria ser por meios registrados e seguros.

a desclassificação se refere à remoção do nível de proteção da informação. Este estágio somente se aplica quando o estado “não-classificado” estiver previsto. Um exemplo poderia ser um ativo governamental que após alguns anos ou décadas passa a ser automaticamente não-classificado ou tornado público.

Teste 2: NBR ISO/IEC 27001: 2013

Teste 2: NBR ISO/IEC 27001: 2013

Materiais de Estudo disponíveis

Questões – NBR ISO/IEC 27001: 2013

Results

#3. (CESPE – MEC/2015) Acerca da NBR ISO/IEC 27001:2013 e de sua aplicabilidade no sistema de gestão da segurança da informação (SGSI), julgue o item que se segue. A adoção de um SGSI prescinde do cunho estratégico, pois é vista como uma decisão tática e operacional da organização.

#15. (IADES – Fundação Hemocentro de Brasília – DF /2017) Em relação às normas ABNT NBR ISO/IEC 27001 e 27002, assinale a alternativa correta.

#16. (FCC – SABESP/2018) No processo de classificação e controle dos ativos de informação,