Compartilhando | Teste 2: NBR ISO/IEC 27001:2006

#1. (CESPE – CNJ/2013) De acordo com a norma ABNT NBR ISO/IEC 27001, informações publicamente disponibilizadas pela organização não requerem mecanismos de proteção para a sua visualização e modificação. ? "Informações publicamente disponíveis: A integridade das informações disponibilizadas em sistemas publicamente acessíveis deve ser protegida, para prevenir modificações não autorizadas. "

Falso

Verdadeiro

#2. (CESPE – ANAC/2012) Para receber a certificação da NBR ISO/IEC 27001:2005, uma empresa deve possuir sistema de gestão de segurança da informação que contemple todos os controles preconizados e detalhados na referida norma. ? "Qualquer exclusão de controles considerados necessários para satisfazer aos critérios de aceitação de riscos precisa ser justificada e as evidências de que os riscos associados foram aceitos pelas pessoas responsáveis precisam ser fornecidas. Onde quaisquer controles sejam excluídos, reivindicações de conformidade a esta Norma não são aceitáveis, a menos que tais exclusões não afetem a capacidade da organização, e/ou responsabilidade de prover segurança da informação que atenda os requisitos de segurança determinados pela análise/avaliação de riscos e por requisitos legais e regulamentares aplicáveis. "

Falso

Verdadeiro

#3. (CESPE – TRE/RJ/2012) O modelo conhecido como PDCA (plan-do-check-act) é utilizado e aplicado na estruturação de processos do SGSI. ? "A organização deve estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar um SGSI documentado dentro do contexto das atividades de negócio globais da organização e os riscos que ela enfrenta. Para os efeitos desta Norma, o processo usado está baseado no modelo de PDCA ..."

Falso

Verdadeiro

#4. (CESPE – TRE/RJ/2012) Para um SGSI, a organização deve analisar criticamente as avaliações de riscos em intervalos planejados, os riscos residuais e os níveis de riscos aceitáveis identificados, levando em consideração, entre outros itens, as mudanças relativas a eventos externos.

Falso

Verdadeiro

#5. (CESPE – TRE/RJ/2012) De acordo com o estabelecido na mencionada norma, a organização, para o estabelecimento de um SGSI, deve definir o plano diretor de tecnologia da informação e a abordagem para a avaliação de riscos.

Falso

Verdadeiro

#6. (CESPE – TRE/RJ/2012) Com base na norma ABNT NBR ISO/IEC 27001, A política de segurança da informação integra o SGSI e a diretriz para a implementação dessa política é detalhada na referida norma. ? "Os requisitos definidos nesta Norma são genéricos e é pretendido que sejam aplicáveis a todas as organizações, independentemente de tipo, tamanho e natureza. "

Falso

Verdadeiro

#7. (FCC – TRT 6ª/2012) Segundo a ISO/IEC 27001, em relação à Provisão de Recursos, a organização deve determinar e prover os recursos necessários para

avaliar a necessidade de ações para assegurar que as não conformidades não ocorram.

transferir os riscos associados ao negócio a outras partes, por exemplo, seguradoras e fornecedores.

estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar um SGSI.

identificar os impactos que as perdas de confidencialidade, integridade e disponibilidade podem causar aos ativos.

desenvolver critérios para a aceitação de riscos e identificar níveis aceitáveis de risco.

#8. (CESPE – BASA/2012) No que se refere aos objetivos de controle, contidos no Anexo A(normativo) ABNT NBR ISO/IEC 27001, julgue. A referida norma é explícita ao afirmar que, em razão de seu caráter privativo, as políticas e procedimentos de segurança de uma organização não podem ser expostos à opinião de outros, o que impossibilita contatos com grupos de interesses especiais ou ainda a promoção de fóruns especializados de segurança da informação e associações profissionais.

Verdadeiro

Falso

#9. (CESPE – BASA/2012) No que se refere aos objetivos de controle, contidos no Anexo A(normativo) ABNT NBR ISO/IEC 27001, julgue. Entre os controles referentes ao gerenciamento de acesso do usuário, tendo-se em vista assegurar o acesso autorizado e prevenir o não autorizado, o anexo em questão estabelece que a análise crítica de direitos de acesso dos usuários deve ser feita por meio de um processo formal e conduzida em intervalos regulares.

Verdadeiro

Falso

#10. (CESPE – BASA/2012) No que se refere aos objetivos de controle, contidos no Anexo A(normativo) ABNT NBR ISO/IEC 27001, julgue. A integridade de informações disponibilizadas em sistemas acessíveis publicamente não precisa ser alvo da política de segurança, visto que são, por natureza, informações não confidenciais, ou seja, públicas.

Verdadeiro

Falso

#11. (CESPE – BASA/2012) A violação da política de segurança da informação deve ser apurada por meio da aplicação de processo disciplinar formal: é o que estabelece o controle de processo disciplinar contido no grupo de controle de segurança em recursos humanos.

Verdadeiro

Falso

#12. (CESPE – BASA/2012) Conforme prevê a norma em apreço, em acordo com terceiros referente à aquisição de produtos de TI, dispensa-se o controle do SGSI no que diz respeito a segurança da informação. ? Os acordos com terceiros envolvendo o acesso, processamento, comunicação ou gerenciamento dos recursos de processamento da informação ou da informação da organização, ou o acréscimo de produtos ou serviços aos recursos de processamento da informação devem cobrir todos os requisitos de segurança da informação relevantes.

Falso

Verdadeiro

#13. (CESPE – BASA/2012) O processo de melhoria do SGSI, previsto pela norma em apreço, consiste em identificar não conformidades potenciais e suas causas; avaliar a necessidade de ações para evitar a ocorrência de não conformidades; determinar e implementar ações preventivas necessárias. ? "Manter e melhorar o SGSI - A organização deve regularmente: a) Implementar as melhorias identificadas no SGSI; b) Executar as ações preventivas e corretivas apropriadas de acordo com 8.2 e 8.3. Aplicar as lições aprendidas de experiências de segurança da informação de outras organizações e aquelas da própria organização; c) Comunicar as ações e melhorias a todas as partes interessadas com um nível de detalhe apropriado às circunstâncias e, se relevante, obter a concordância sobre como proceder; d) Assegurar-se de que as melhorias atinjam os objetivos pretendidos. "

Verdadeiro

Falso

#14. (CESPE – BASA/2012) A responsabilidade pela implantação do SGSI cabe exclusivamente aos profissionais da área de TI; a direção da organização apenas acompanha o processo.

Falso

Verdadeiro

#15. (CESPE – TRE-MS/2013) Entre as atividades para se estabelecer um SGSI, conforme a norma ABNT NBR ISO/IEC 27.001, inclui-se a ? A organização deve: a) Definir o escopo e os limites do SGSI nos termos das características do negócio, a organização, sua localização, ativos e tecnologia, incluindo detalhes e justificativas para quaisquer exclusões do escopo; b) Definir uma política do SGSI nos termos das características do negócio, a organização, sua localização, ativos e tecnologia ...; c) Definir a abordagem de análise/avaliação de riscos da organização; d) Identificar os riscos; e) Analisar e avaliar os riscos; f) Identificar e avaliar as opções para o tratamento de riscos; g) Selecionar objetivos de controle e controles para o tratamento de riscos; h) Obter aprovação da direção dos riscos residuais propostos; i) Obter autorização da direção para implementar e operar o SGSI; j) Preparar uma Declaração de Aplicabilidade.

identificação de tentativas e falhas de segurança.

implementação de plano de tratamento de riscos.

condução de auditorias internas no SGSI.

definição de escopo e limites do SGSI.

elaboração de plano de tratamento de riscos.

#16. (CESPE – TRE-MS/2013) Com referência à responsabilidade por ativos de informação, a norma ABNT NBR ISO/IEC 27.001 estabelece que a identificação, a documentação e a implementação de regras para que seja autorizado o uso de informações associadas a recursos de processamento de informação devem ser orientadas pelo controle denominado ? "Uso aceitável dos ativos: Devem ser identificadas, documentadas e implementadas regras para que seja permitido o uso de informações e de ativos associados aos recursos de processamento da informação. "

proprietário dos ativos.

inventário dos ativos.

contato com grupos especiais.

recomendações para classificação.

uso aceitável de ativos.

#17. (ESAF – DNIT/2013) Na NBR ISO/IEC 27001:2006, uma ocorrência identificada de um estado de sistema, serviço ou rede, indicando uma possível violação da política de segurança da informação ou falha de controles, ou uma situação previamente desconhecida, que possa ser relevante para a segurança da informação é um(a): ? Evento de segurança da informação: uma ocorrência identificada de um estado de sistema, serviço ou rede, indicando uma possível violação da política de segurança da informação ou falha de controles, ou uma situação previamente desconhecida, que possa ser relevante para a segurança da informação.

Ocorrência de violação premeditada de segurança da informação.

Incidente identificado de segurança da informação.

Problema de segurança da informação.

Evento de segurança da informação.

Incidente de segurança da informação.

#18. (CESPE – TRE-MS/2013) Para prover evidências de conformidade aos requisitos do sistema de gestão de segurança da informação (SGSI), de acordo com a norma ABNT NBR ISO/IEC 27.001, deve-se

monitorar o SGSI.

melhorar o SGSI.

controlar os registros.

instituir programa de treinamento e conscientização dos analistas de sistemas.

estabelecer o SGSI.

#19. (CESPE – TRE-MS/2013) De acordo com a norma ABNT NBR ISO/IEC 27.001, a gestão da continuidade do negócio tem como objetivo evitar a interrupção de atividades e processos críticos para o negócio, razão por que, no âmbito dessa gestão, devem ser desenvolvidos planos que sejam testados e reavaliados sempre que necessário ou em intervalos de tempos determinados. Nesse sentido, uma mudança que pode provocar a atualização dos planos de continuidade do negócio de uma organização consiste

na troca de extintores de incêndio das instalações físicas.

na troca de equipamento de refrigeração que tenha acarretado defeito das instalações físicas do centro de dados.

no treinamento de segurança do trabalho.

no treinamento em um sistema gerenciador de banco de dados.

na alteração da localização das instalações físicas do centro de dados.

#20. (ESAF – DNIT/2013) Na NBR ISO/IEC 27001:2006, tem-se, com relação ao SGSI (Sistema de Gestão de Segurança da Informação), que a organização deve estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar um SGSI documentado dentro do contexto das atividades de negócio globais da organização e os riscos que ela enfrenta. Para os efeitos desta Norma, o processo usado está baseado no modelo: ? "A organização deve estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar um SGSI documentado dentro do contexto das atividades de negócio globais da organização e os riscos que ela enfrenta. Para os efeitos desta Norma, o processo usado está baseado no modelo de PDCA ..."

PDCA.

PIN-BK.

ABNT-SEG.

MPS.BR.

ISO/ABNT.

#21. (ESAF – DNIT/2013) Na NBR ISO/IEC 27001:2006, o processo de comparar o risco estimado com critérios de risco predefinidos para determinar a importância do risco é o processo de:

Avaliar riscos.

Analisar riscos.

Estimar risco residual.

Prever riscos.

Gerir riscos.

#22. (CESPE – TRE-MS/2013) Com base na norma ABNT NBR ISO/IEC 27.001, para se garantir a confidencialidade da comunicação entre dois computadores, pode-se optar pelo uso de recursos de criptografia para aumentar o nível de segurança no tráfego de informações. Um dos objetivos associados à adoção desse tipo de controle é ? "Segurança dos serviços de rede: Características de segurança, níveis de serviço e requisitos de gerenciamento dos serviços de rede devem ser identificados e incluídos em qualquer acordo de serviços de rede, tanto para serviços de rede providos internamente como para terceirizados. "

a gestão de incidentes de segurança da informação.

o gerenciamento da segurança em redes.

a segurança de recursos humanos.

a segurança física e do ambiente.

a gestão de ativos.

#23. (ESAF – DNIT/2013) Na NBR ISO/IEC 27001:2006, o termo declaração de aplicabilidade refere-se a uma declaração documentada que descreve: ? "Uma Declaração de Aplicabilidade deve ser preparada, incluindo o seguinte: 1) Os objetivos de controle e os controles selecionados e as razões para sua seleção; 2) Os objetivos de controle e os controles atualmente implementados; 3) A exclusão de quaisquer objetivos de controle e controles e a justificativa para sua exclusão. "

as ferramentas e os mecanismos de gestão que são pertinentes e aplicáveis ao Modelo Integrado de Segurança da Informação da organização.

os objetivos de controle e controles que são pertinentes e aplicáveis ao Sistema de Gestão de Segurança da Informação da organização.

os processos, as práticas e os princípios que são pertinentes e aplicáveis ao framework de Segurança da Informação da organização.

a aplicabilidade dos mecanismos de análise de riscos à realidade da organização.

as políticas e as normas nacionais e internacionais que são pertinentes e aplicáveis ao Modelo de Gestão de Segurança da Informação da organização.

#24. (ESAF – DNIT/2013) Na NBR ISO/IEC 27001:2006, tem-se, com relação a ações preventivas, que a organização deve determinar ações para eliminar as causas de não-conformidades potenciais com os requisitos do SGSI (Sistema de Gestão de Segurança da Informação), de forma a evitar a sua ocorrência. As ações preventivas tomadas devem ser apropriadas aos impactos dos potenciais problemas e a prioridade das ações preventivas deve ser determinada com base nos resultados do(a):

Cronograma do Plano de Ações Preventivas.

Plano de gestão do conhecimento.

Parecer de viabilidade das ações preventivas.

Análise/avaliação de riscos.

Avaliação da capacitação da equipe.

#25. (CESPE – TRE-MS/2013) Com base na norma ABNT NBR ISO/IEC 27.001, o fato de uma organização manter computadores desligados ou com a tela travada quando estes não estiverem em uso e não manter papéis com senhas ou descrição de acesso a informações críticas em locais desprotegidos caracteriza a denominada política de mesa limpa e tela protegida. A adoção dessa política objetiva o controle de

aquisição, desenvolvimento e manutenção de sistemas de informação.

acessos.

gestão de incidentes de segurança da informação.

gestão da continuidade do negócio.

segurança de recursos humanos.

#26. (CESPE – TRE-MS/2013) Para proteger uma área que abriga recursos de processamento da informação, um órgão público, com base na norma ABNT NBR ISO/IEC 27001, instalou uma porta com controle de acesso por cartão, de modo a que somente os colaboradores previamente autorizados possam acessar esse ambiente. Nessa situação hipotética, de acordo com a referida norma da ABNT, a medida adotada pelo órgão público associa-se ? "Perímetro de segurança física: Devem ser utilizados perímetros de segurança (barreiras tais como paredes, portões de entrada controlados por cartão ou balcões de recepção com recepcionistas) para proteger as áreas que contenham informações e recursos de processamento da informação. "

à validação de dados de saída.

ao controle de vulnerabilidades.

ao controle de perímetro de segurança física.

ao controle contra códigos móveis.

à coordenação de segurança da informação.

#27. (ESAF – DNIT/2013) Na NBR ISO/IEC 27001:2006, um dos controles da Infraestrutura de Segurança da Informação é:

Identificação dos riscos relacionados com partes externas.

Estruturação e manutenção do inventário dos ativos.

Identificação e análise crítica de acordos de confidencialidade.

Classificação e tratamento da informação.

Análise crítica da Política de Segurança da Informação.

#28. (CESPE – TL-AL/2012) Com base na NBR ISO/IEC n.º 27.001/2006, assinale a opção correta acerca de definições relacionadas à gestão de segurança da informação. ? "A organização deve estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar um SGSI documentado dentro do contexto das atividades de negócio globais da organização e os riscos que ela enfrenta."

Confidencialidade corresponde à propriedade de classificar uma informação sigilosa como confidencial.

O sistema de gestão da segurança da informação (SGSI), componente do sistema de gestão global que se fundamenta na abordagem de riscos do negócio, é responsável pelo estabelecimento, implementação, operação, monitoramento, análise crítica, manutenção e melhoramento da segurança da informação.

Gestão de riscos consiste no processo de comparar o risco estimado com os critérios de risco predefinidos, a fim de determinar a importância do risco.

O incidente de segurança da informação consiste em um incidente que, caso seja identificado em um estado de sistema, serviço ou rede, indica a ocorrência de uma possível violação da política de segurança da informação, bem como de uma falha de controles ou de uma situação previamente desconhecida que possa ser relevante à segurança da informação

Evento de segurança da informação é um evento (ou uma série de eventos) que ocorre de maneira indesejada ou inesperada, podendo comprometer as operações do negócio e ameaçar a segurança da informação.

#29. (FCC – TJ-PE/2012) A eficácia dos controles para verificar se os requisitos de segurança da informação foram atendidos deve ser medida, no Sistema de Gestão de Segurança da Informação (SGSI), nas fases ? "Monitorar e analisar criticamente o SGSI - A organização deve: a) Executar procedimentos de monitoração e análise crítica e outros controles; b) Realizar análises críticas regulares da eficácia do SGSI (incluindo o atendimento da política e dos objetivos do SGSI, e a análise crítica de controles de segurança), levando em consideração os resultados de auditorias de segurança da informação, incidentes de segurança da informação, resultados da eficácia das medições, sugestões e realimentação de todas as partes interessadas; c) Medir a eficácia dos controles para verificar que os requisitos de segurança da informação foram atendidos; d) Analisar criticamente as análises/avaliações de riscos a intervalos planejados e analisar criticamente os riscos Residuais e os níveis de riscos aceitáveis identificados, levando em consideração mudanças; e) Conduzir auditorias internas do SGSI a intervalos planejados; f) Realizar uma análise crítica do SGSI pela direção em bases regulares para assegurar que o escopo permanece adequado e que são identificadas melhorias nos processos do SGSI; g) Atualizar os planos de segurança da informação para levar em consideração os resultados das atividades de monitoramento e análise crítica; h) Registrar ações e eventos que possam ter um impacto na eficácia ou no desempenho do SGSI."

monitorar e analisar criticamente o SGSI.

estabelecer e gerenciar o SGSI.

implementar e operar o SGSI.

planejar e implantar o SGSI.

manter e melhorar o SGSI.

#30. (FCC – ELETROSUL/2016) Considere que na Eletrosul o acesso à informação, recursos de processamento das informações e processos de negócios devem ser controlados com base nos requisitos de negócio e segurança da informação. Assim, convém ? A correção aparecerá no rodapé da questão, caso você erre ou não selecione uma opção de resposta.

que questões de legislação pertinentes e qualquer obrigação contratual relativa à proteção de acesso para dados ou serviços estejam em um documento próprio, separado da política de controle de acesso

considerar os controles de acesso lógico e físico separadamente, já que os controles lógicos são mais importantes e devem ter prioridade sobre os demais controles, pois estão descritos na política de segurança da informação

que os procedimentos de controle de acesso para registro e cancelamento de usuários incluam fornecer aos usuários uma declaração por escrito dos seus direitos de acesso

estabelecer regras baseadas na premissa “tudo é permitido, a menos que expressamente proibido" em lugar da regra mais fraca “tudo é proibido, a menos que seja expressamente permitido"

fornecer senhas aos usuários de maneira segura, através de mensagens de e-mail, SMS ou arquivo de senha

Convém que o processo inclua os seguintes requisitos:

a) solicitar aos usuários a assinatura de uma declaração, para manter a confidencialidade da informação de autenticação secreta e manter as senhas de grupos de trabalho, exclusivamente com os membros do grupo; esta declaração assinada pode ser incluída nos termos e condições da contratação;

Para ler mais sobre o assunto, acesse: NBR ISO/IEC 27002 ( )

Teste 2: NBR ISO/IEC 27001:2006

Materiais de Estudo disponíveis

Teste 2: NBR ISO/IEC 27001

Results

#4. (CESPE – TRE/RJ/2012) Para um SGSI, a organização deve analisar criticamente as avaliações de riscos em intervalos planejados, os riscos residuais e os níveis de riscos aceitáveis identificados, levando em consideração, entre outros itens, as mudanças relativas a eventos externos.

#5. (CESPE – TRE/RJ/2012) De acordo com o estabelecido na mencionada norma, a organização, para o estabelecimento de um SGSI, deve definir o plano diretor de tecnologia da informação e a abordagem para a avaliação de riscos.

#7. (FCC – TRT 6ª/2012) Segundo a ISO/IEC 27001, em relação à Provisão de Recursos, a organização deve determinar e prover os recursos necessários para

#11. (CESPE – BASA/2012) A violação da política de segurança da informação deve ser apurada por meio da aplicação de processo disciplinar formal: é o que estabelece o controle de processo disciplinar contido no grupo de controle de segurança em recursos humanos.

#14. (CESPE – BASA/2012) A responsabilidade pela implantação do SGSI cabe exclusivamente aos profissionais da área de TI; a direção da organização apenas acompanha o processo.

#18. (CESPE – TRE-MS/2013) Para prover evidências de conformidade aos requisitos do sistema de gestão de segurança da informação (SGSI), de acordo com a norma ABNT NBR ISO/IEC 27.001, deve-se

#21. (ESAF – DNIT/2013) Na NBR ISO/IEC 27001:2006, o processo de comparar o risco estimado com critérios de risco predefinidos para determinar a importância do risco é o processo de:

#27. (ESAF – DNIT/2013) Na NBR ISO/IEC 27001:2006, um dos controles da Infraestrutura de Segurança da Informação é:

Deixe uma resposta Cancelar resposta