Todas as etapas relacionadas à análise, administração e manutenção das medidas de segurança para proteger as informações de uma empresa formam um ciclo que deve retornar ao seu ponto de partida sempre que houver uma falha real ou uma falha em potencial na segurança da informação. Com relação e este ciclo é correto afirmar que
Ao passo que as informações são consideradas o principal patrimônio de uma organização, hoje em dia, estas estão sob constante risco, fazendo com que a segurança da informação tenha se tornado crucial para a sobrevivência das organizações. Sendo assim, é correto afirmar que
A política de segurança é um conjunto de diretrizes, normas, procedimentos e instruções de trabalho que estabelecem os critérios de segurança para serem adotados no nível local ou a institucional, visando o estabelecimento, a padronização e a normalização da segurança tanto no âmbito humano quanto tecnológico. Acerca das boas práticas para elaboração, implantação e monitoração da política de segurança, julgue os itens seguintes.
Uma fonte primária para a definição dos requisitos de segurança consiste na avaliação de riscos dos ativos de informação. Essa análise permite ainda equilibrar os gastos com os controles de segurança de acordo com os danos causados aos negócios gerados pelas potenciais falhas na segurança.
A respeito de ferramentas e métodos relacionados à segurança da
informação, julgue os itens seguintes.
É impossível encontrar vulnerabilidade em um sistema
operacional que esteja protegido por um firewall, mesmo
quando configurado para permitir que determinadas portas
sejam utilizadas para a execução de serviços com a Internet.
A respeito de ferramentas e métodos relacionados à segurança da
informação, julgue os itens seguintes.
Uma ferramenta largamente empregada na Internet para
análise de vulnerabilidades em sistemas operacionais é o
NESSUS, que permite realizar diagnóstico de vários tipos de
dispositivos instalados em redes que utilizam o protocolo
TCP/IP.
Assinale a opção que, no âmbito da segurança da informação, NÃO é um exemplo de vulnerabilidade.
Um administrador de rede percebeu que um dos componentes de software do kernel do seu servidor Web está apresentando um comportamento estranho. Após realizar um checksum no componente ele percebeu que o teste falhou e que a solução para o problema seria reinstalar todo o sistema operacional, pois, outros componentes do kernel também apresentaram o mesmo problema. Com base neste teste, conclui-se que o servidor sofreu um ataque do tipo
Um risco de segurança pode ser considerado uma função da ameaça em relação a
Os procedimentos para a recuperação de operações, na escala de tempo estipulada, após a ocorrência de falhas de processos críticos do negócio, devem constar do(a)
Uma pesquisa realizada pelos organizadores da Conferência Infosecurity Europe 2003 com trabalhadores de escritórios, que distribuía um brinde (de baixo valor) aos entrevistados, revelou que 75% deles se dispunham a revelar suas senhas em resposta a uma pergunta direta ("Qual é a sua senha?"), e outros 15% responderam a perguntas indiretas que levariam à determinação da senha. Esse experimento evidencia a grande vulnerabilidade dos ambientes computacionais a ataques de
Entre os responsáveis pelo gerenciamento de riscos de uma organização estão os
De acordo com a estrutura conceitual do COSO (The Committee of Sponsoring Organizations of the Treadway Commission), um dos componentes de gerenciamento de riscos corporativos é a identificação de eventos, os quais podem ser definidos como incidentes ou ocorrências geradas com base em fontes internas ou externas e que afetam a implementação de estratégias ou a realização dos objetivos de uma organização. Um exemplo de evento gerado por fatores externos econômicos é
Segundo a norma NBR ISO/IEC 17799:2005, NÃO se trata de uma etapa da gestão de riscos:
Sobre segurança da informação, considere:
I. Ameaça: algo que possa provocar danos à segurança da informação, prejudicar as ações da empresa e sua sustentação no negócio, mediante a exploração de uma determinada vulnerabilidade.
II. Vulnerabilidade: é medida pela probabilidade de uma ameaça acontecer e pelo dano potencial à empresa.
III. Risco: ponto pelo qual alguém pode ser atacado, molestado ou ter suas informações corrompidas.
Está correto o que se afirma APENAS em
Analise as seguintes afi rmações relacionadas à Segurança da Informação:
I. Uma Vulnerabilidade é um evento com conseqüências negativas resultante de um ataque bem-sucedido.
II. Uma Ameaça é uma expectativa de acontecimento acidental ou proposital, causada por um agente, que pode afetar um ambiente, sistema ou ativo de informação.
III. A Vulnerabilidade é uma fonte produtora de um evento que pode ter efeitos adversos sobre um ativo de informação.
IV. O Ataque é um evento decorrente da exploração de uma vulnerabilidade por uma ameaça.
Indique a opção que contenha todas as afi rmações verdadeiras.
No tocante à identificação de riscos de segurança, quanto ao tipo de acesso que uma parte externa terá aos recursos de processamento da informação, NÃO se deve considerar
Acerca dos conceitos de gerência de riscos, julgue os itens que se
seguem.
Para que haja segurança da informação, as ameaças devem ser identificadas e devem ser tomadas medidas de segurança para se reduzir o risco ou a probabilidade de ocorrerem incidentes.
Acerca dos conceitos de gerência de riscos, julgue os itens que se
seguem.
Vulnerabilidades representam portas de entrada, fragilidade em ativos de informação que podem permitir a concretização de ameaças, colocando em risco esses ativos.
Acerca dos conceitos de gerência de riscos, julgue os itens que se
seguem.
O impacto causado por um incidente de segurança é proporcional ao tipo de vulnerabilidade encontrada em um ativo, ou seja, quanto maior a vulnerabilidade, maior o impacto, e vice-versa.
Acerca dos conceitos de gerência de riscos, julgue os itens que se
seguem.
Uma das principais medidas de segurança de ambientes eletrônicos é a definição e aplicação de uma política de senhas para acesso aos ativos de informação.
O Fluxo de Análise das ameaças e riscos, na ordem apresentada, consiste de
Segundo as normas ABNT sobre segurança da informação, o tratamento de risco está inserido no processo de
Os riscos quanto à segurança física de determinadas informações dos aplicativos normalmente estão relacionados aos
Em segurança da informação, NÃO é considerada uma causa de vulnerabilidade:
Sobre segurança da informação, considere:
I. Ameaça: algo que possa provocar danos à segurança da informação, prejudicar as ações da empresa e sua sustentação no negócio, mediante a exploração de uma determinada vulnerabilidade.
II. Vulnerabilidade: é medida pela probabilidade de uma ameaça acontecer e o dano potencial à empresa.
III. Risco: ponto pelo qual alguém pode ser atacado, molestado ou ter suas informações corrompidas.
Está correto o que se afirma APENAS em
Fraqueza ou deficiência que pode ser explorada por uma ameaça. Essa é a definição de
Um dos aspectos mais importantes da política de segurança é o processo de análise de riscos. Suas partes, quando isoladas, quase nada representam, mas, alinhadas e geridas adequadamente, apontam caminhos na busca de segurança de uma organização. Integram as partes do processo de análise de riscos:
I. Identificação e Classificação dos Processos de Negócio;
II. Identificação e Classificação dos Ativos;
III. Análise de Ameaças e Danos;
IV. Análise de Vulnerabilidades;
V. Análise de Risco.
É correto o que consta em
Vulnerabilidades são as fraquezas presentes nos ativos de informação que poderiam ser exploradas, intencionalmente ou não, resultando na quebra de um ou mais princípios de segurança da informação. Com base nessa informação, analise os itens a seguir.
I. Computadores são vulneráveis por serem construídos para troca e armazenamento de dados. Isto pode ser explorado por vírus, cavalos de troia, negação de serviço entre outros.
II. As pessoas não são vulneráveis, pois não guardam informações relevantes para ataques aos ativos de informação.
III. Os ambientes são suscetíveis de incêndios, enchentes, terremotos.
IV. Poluentes diversos eventualmente podem danificar equipamentos e meios de armazenamento.
Representam vulnerabilidades dos ativos de informação o que consta em
Informações confidenciais de uma importante multinacional vazaram para a concorrente e, devido ao grande prejuízo, o alto escalão resolveu dar uma atenção para a segurança da informação. Com base nessa situação, é INCORRETO afirmar que
Na especificação dirigida a riscos, a compreensão da probabilidade de ocorrência de um risco e das consequências potenciais, se um acidente ou incidente, associado com este risco, ocorrer, é da competência do processo de
No contexto da segurança, pode ser definida como a fraqueza ou deficiência que pode ser explorada. Trata-se de:
Uma equipe de desenvolvimento de software recebeu a
incumbência de desenvolver um sistema com as características
apresentadas a seguir.
* O sistema deverá ser integrado, interoperável, portável e
seguro.
* O sistema deverá apoiar tanto o processamento online, quanto
o suporte a decisão e gestão de conteúdos.
* O sistema deverá ser embasado na plataforma JEE (Java
enterprise edition) v.6, envolvendo servlets, JSP (Java server
pages), Ajax, JSF (Java server faces) 2.0, Hibernate 3.5, SOA
e web services.
O líder da equipe iniciou, então, um extenso processo de
coleta de dados com o objetivo de identificar as condições
limitantes da solução a ser desenvolvida e tomar decisões
arquiteturais e tecnológicas que impactarão várias características
funcionais e não funcionais do sistema, ao longo de seu ciclo de
vida. A partir dessa coleta, o líder deverá apresentar à equipe um
conjunto de informações e de decisões.
A respeito de práticas e técnicas de programação para desenvolver
com segurança o sistema integrado referido no texto, julgue os
próximos itens.
No projeto a ser desenvolvido, será apropriado adotar a revisão estática de código, pois tal abordagem produz resultados precisos, objetivos e completos acerca do grau de vulnerabilidade do código analisado, especialmente quando se utilizam ferramentas de software de análise estática que simulem o comportamento da aplicação a partir de seu código-fonte.
A segurança da informação protege as organizações contra uma ampla gama de ameaças, para assegurar a continuidade dos negócios, minimizar prejuízos e maximizar o retorno de investimentos e oportunidades comerciais.
A respeito dos conceitos de segurança da informação, assinale a alternativa correta.
Cada vez mais as organizações e seus sistemas de informação e redes enfrentam ameaças de segurança vindas das mais diversas fontes.
Em relação ao gerenciamento de riscos, assinale a alternativa correta.
Sobre segurança da informação, considere:
I. Ameaça: algo que possa provocar danos à segurança da informação, prejudicar as ações da empresa e sua sustentação no negócio, mediante a exploração de uma determinada vulnerabilidade.
II. Vulnerabilidade: é medida pela probabilidade de uma ameaça acontecer e o dano potencial à empresa.
III. Risco: ponto pelo qual alguém pode ser atacado, molestado ou ter suas informações corrompidas.
Está correto o que consta APENAS em
No tocante às vulnerabilidades, aquela que está relacionada com a montagem de sites falsos ou envio de mensagens de e-mail, fazendo se passar como se fossem empresas legítimas a fim de solicitar aos usuários seus dados confidenciais, é conhecida como:
Na gestão de risco, o registro da debilidade no sistema atual de proteção em relação a todas as ameaças em potencial, é realizado durante a atividade:
Com relação à análise de risco em segurança da informação, considere os tipos de risco a seguir.
I. Dano físico, como fogo, vandalismo e desastres naturais.
II. Perda de dados, seja intencional ou não.
III. Falha de equipamento.
IV. Risco de mercado e perda de investimento.
Assinale:
Ao elaborar uma análise de risco, a principal abordagem em relação às ameaças deve ser de que:
A respeito da análise de risco em segurança da informação, considere os objetivos a seguir.
I. Identificar os bens e seus valores.
II. Identificar vulnerabilidades e ameaças.
III. Quantificar a probabilidade e o impacto nos negócios das ameaças potenciais.
IV. Oferecer um equilíbrio econômico entre o impacto da ameaça e do custo da prevenção.
São objetivos principais da análise de risco:
No campo da análise de risco em segurança da informação, assinale a alternativa que apresenta a explicação verdadeira a respeito do conceito por trás da sigla ARO.
Ao atribuir valores aos bens da corporação, não é determinante o custo:
Assinale, dentre as alternativas a seguir, a única que não corresponde a um objetivo da realização de uma análise de risco.
Assinale a alternativa que indica corretamente o tipo de análise de risco que se refere à definição "O método que atribui valores monetários para os itens na avaliação de risco".
Julgue os próximos itens, relativos a vulnerabilidades e ataques a
sistemas computacionais, bem como à proteção oferecida pela
criptografia para a segurança da informação.
As técnicas usadas para verificar a integridade de dados contra dano acidental, tais como os checksums, podem por si só ser usadas para garantir a integridade dos dados contra mudanças intencionais.
Em relação ao processo de resposta a incidentes de segurança, a etapa de mitigação tem como objetivo
É um aplicativo usado tanto pelas áreas de segurança, para análise de vulnerabilidades, quanto por pessoas mal intencionadas, para identificarem portas abertas e planejarem invasões:
A respeito de segurança da informação, julgue os itens seguintes.
Define-se vulnerabilidade em um ambiente computacional como a causa potencial de ocorrer um incidente indesejado, a qual pode resultar, ou não, em prejuízos para uma organização e seus ativos.
A respeito da prevenção e do tratamento de incidentes, julgue
os itens seguintes.
Uma medida preventiva é a realização periódica de avaliações de vulnerabilidade, com a prospecção ativa destas, na forma de testes de penetração e intrusão.
A respeito de planejamento, identificação e análise de riscos, julgue
os itens subsecutivos.
Riscos residuais referem-se aos riscos para os quais ainda não foram estabelecidos controles dentro do tratamento de riscos.
A respeito de planejamento, identificação e análise de riscos, julgue
os itens subsecutivos.
A transferência de riscos envolve a decisão de transferir o ônus de determinados riscos para terceiros, deixando a cargo destes a atividade de monitoração dos riscos transferidos.
Em relação a plano de continuidade de negócio, julgue os itens
seguintes.
As análises/avaliações de risco do plano de continuidade do negócio devem envolver os responsáveis pelos processos e recursos do negócio. É importante que essas análises/avaliações não se limitem aos recursos de processamento da informação, mas incluam os resultados específicos da segurança da informação.
Acerca do gerenciamento de segurança da informação, julgue os
itens a seguir.
Para que um incidente de segurança se caracterize, é necessária a concretização de ameaça que, por meio de vulnerabilidade presente em um dos ativos do ambiente tecnológico, gere impacto aos objetivos organizacionais.
No processo de gerenciamento de riscos, os riscos classificados como técnicos referem-se a
Com relação à segurança da informação, assinale a opção correta.
Antes que uma empresa comprometa recursos com segurança, é necessário saber quais ativos exigem proteção e o quanto estes estão vulneráveis.Nesse contexto, é necessário:
Segundo os autores Kenneth Wyk e Richard Forno [Keneth R. Wyk 2001], o processo de resposta a incidentes de segurança deve se constituir das etapas de Identificação, Coordenação, Mitigação, Investigação e Educação. Nesse sentido, considere:
I. A equipe concentra-se em identificar os sintomas do ataque e suas características, observando a severidade do incidente a partir do uso de notificações externas ou em um conjunto de ferramentas de monitoração.
II. A equipe concentra-se em identificar os danos causados pelo incidente para diagnosticar, de forma preliminar, a causa do problema ou, pelo menos, inferir conclusões que serão úteis para determinada ação a ser tomada.
Os itens I e II associam-se, respectivamente, às etapas de
Numere a COLUNA II de acordo com a COLUNA I associando os componentes de risco às suas definições.
COLUNA I
1. Risco de desempenho
2. Risco de apoio
3. Risco de cronograma
COLUNA II
( ) Incerteza de que o produto atenda seus requisitos e de que seja adequado ao uso planejado.
( ) Incerteza quanto ao prazo de entrega.
( ) Incerteza de que o produto será fácil de corrigir,
adaptar e aperfeiçoar.
Assinale a alternativa que apresenta a sequência de números CORRETA.
Com relação às normas NBR ISO/IEC 27.001 e 27.002, de gestão de segurança da informação, e à norma de risco NBR ISO/IEC 27.005, julgue o item a seguir.
A implantação de um sistema de gestão de segurança da informação envolve a análise de riscos na infraestrutura de tecnologia da informação, a fim de identificar os pontos vulneráveis e as falhas nos sistemas, que devem ser corrigidos, bem como definir processos para detectar e responder a incidentes de segurança, juntamente com os procedimentos para auditorias.
Em um processo de análise de riscos em TI, uma avaliação da vulnerabilidade depende das avaliações
Durante o processo de análise de risco é necessário fazer uma avaliação dos tipos de riscos e dos riscos possíveis. Associe os tipos de riscos com os riscos possíveis.
Tipos de riscos:
A. Tecnologia
B. Pessoal
C. Ferramentas
D. Estimativas
Riscos possíveis:
( ) A taxa de reparo de defeito foi subestimada.
( ) O treinamento necessário não está disponível.
( ) O banco de dados usado no sistema não suporta a quantidade de transações que o sistema demanda.
( ) Não será possível integração de CASE.
Acerca de segurança da informação, julgue os próximos itens.
Vulnerabilidades são fragilidades em ativos da informação que podem permitir a concretização de ameaças, colocando em risco os ativos de uma organização.
Os indicadores determinantes na análise qualitativa de riscos são representados apenas por
Em relação à segurança da informação, analise os itens a seguir, marcando com (V) a assertiva Verdadeira e com (F) a assertiva Falsa.
( ) Avaliação de riscos é o uso sistemático de informações para identificar fontes e estimar o risco.
( ) Análise de riscos é o processo de comparar o risco estimado com critérios de risco predefinidos para determinar a importância do risco.
( ) Risco é uma medida que combina a probabilidade de uma determinada ameaça se concretizar com os impactos que ela pode trazer.
( ) O conceito de privilégio mínimo é uma estratégia de proteção que prega que não se deve ficar exposto a situações de risco desnecessárias.
Assinale a alternativa com a sequência CORRETA, de cima para baixo:
Das alternativas abaixo, que tipo de ataque NÃO está em consonância com sua definição?
Em referência à gestão de riscos e ao plano de continuidade de
negócios, julgue os itens seguintes.
Constitui estratégia válida de mitigação de riscos aquela na qual são considerados aceitáveis incidentes em que os ganhos do atacante são inferiores ao custo do ataque ou cujas perdas estimadas não excedam certo limiar.
Em referência à gestão de riscos e ao plano de continuidade de
negócios, julgue os itens seguintes.
A disseminação para as partes interessadas, o treinamento da equipe responsável e testes da real capacidade de continuidade são ações recomendáveis em um processo de implantação de um plano de continuidade de negócios em uma organização.
Em referência à gestão de riscos e ao plano de continuidade de
negócios, julgue os itens seguintes.
A presença de ativo com vulnerabilidade explorável e de fonte de ameaça que possa explorar tal vulnerabilidade são condições para a existência de risco em um sistema de informação.
No processo de Avaliação de Riscos, no qual são executadas as análises da relevância dos riscos identificados nas entidades do setor público, NÃO se inclui
No que se refere aos incidentes de segurança de informação, analise:
I. Considerando os cuidados com os aspectos de confidencialidade, os incidentes de segurança da informação podem ser utilizados em treinamento de conscientização como exemplos do que poderia ocorrer, como responder a tais incidentes e como evitá-los futuramente.
II. Um mau funcionamento ou outras anomalias de comportamento de sistemas podem ser um indicador de um ataque de segurança ou violação de segurança e, portanto, convém que sejam notificados como um evento de segurança da informação.
III. Convém que os funcionários, fornecedores e terceiros sejam alertados para não tentarem averiguar uma fragilidade de segurança da informação suspeita. Testar fragilidades pode ser interpretado como um uso impróprio potencial do sistema e também pode causar danos ao sistema ou serviço de informação, resultando em responsabilidade legal ao indivíduo que efetuar o teste.
IV. Convém que, adicionalmente à notificação de eventos de segurança da informação e fragilidades, o monitoramento de sistemas, alertas e vulnerabilidades seja utilizado para a detecção de incidentes de segurança da informação.
Está correto o que consta em
Julgue os itens a seguir, a respeito das características e das ações
relativas a uma organização que possui gestão de riscos e gestão de
continuidade de negócios aderentes às normas ISO/IEC 27005 e
NBR 15999.
Toda informação sobre ativos, ameaças, vulnerabilidades e cenários de risco levantada durante as análises/avaliações de risco deve ser comunicada por meio de uma wiki web acessível no escopo da intranet na organização.
Julgue os itens a seguir, a respeito das características e das ações
relativas a uma organização que possui gestão de riscos e gestão de
continuidade de negócios aderentes às normas ISO/IEC 27005 e
NBR 15999.
Um dos resultados da avaliação de riscos é a produção de uma declaração de atividades críticas.
Em relação à vulnerabilidades e ataques a sistemas computacionais, é correto afirmar:
Sobre a gerência de riscos é INCORRETO afirmar:
Sobre o gerenciamento de riscos é correto afirmar:
No modelo de desenvolvimento em espiral, cada ciclo da espiral representa uma fase do processo de software. Nesse modelo, a atividade que obrigatoriamente estará presente em todos os ciclos é:
O serviço das Equipes de Tratamento e Resposta a Incidentes de Segurança em Redes Computacionais – ETIR, que consiste em divulgar, de forma proativa, alertas sobre vulnerabilidades e problemas de incidentes de segurança em redes de computadores em geral, cujos impactos sejam de médio e longo prazo, possibilitando que a comunidade se prepare contra novas ameaças é chamado de
Acerca de gestão de segurança da informação, seus conceitos e definições, julgue os itens que se seguem.
A atividade de avaliação de riscos em segurança da informação consiste na identificação de fontes e estimativas de riscos por meio do uso sistemático de informações, obtidas mediante observação.
Selecionar objetivos de controle e controles para o tratamento de riscos não é tarefa inerente ao estabelecimento do SGSI, pois essa atividade é própria do tratamento dos riscos, que é feito apenas após a ocorrência de eventos e incidentes.
Com base nos aspectos gerais da norma ABNT NBR ISO/IEC27002, que estabelece o código de prática para a gestão da segurança da informação, julgue os itens que se seguem.
Uma análise de riscos deve ser realizada periodicamente em um ambiente computacional, principalmente quando houver a mudança nos requisitos de segurança ou quando surgirem novas ameaças ou vulnerabilidades que ponham em risco a segurança.
A gestão de riscos de uma organização só será considerada eficiente se conseguir eliminar todos os riscos internos e também os externos.
A existência de vulnerabilidade, ainda que não se verifique ameaça a ela relacionada, requer, necessariamente, a implementação de controle apropriado.
Na fase “planejar” de um SGSI, define-se o contexto, procede-se à avaliação de riscos, desenvolve-se o plano de tratamento do risco e definem-se os critérios de aceitação do risco.
A definição, pela organização, dos critérios para aceitação do risco depende de suas políticas, metas e objetivos. Uma vez definidos, esses critérios devem ser utilizados para todas as classes de risco.
O nível de detalhamento da identificação dos ativos de uma organização pode influenciar na quantidade de informações reunidas durante a avaliação de riscos.
A integração de novos controles de risco à infraestrutura existente e a interdependência entre controles existentes são fatores constantemente ignorados pelos gestores de segurança da informação.
Em segurança da informação, um risco é um evento ou uma condição incerta que pode causar algum dano a um sistema de informação ou até à própria organização como um todo.
Com referência à avaliação de riscos, julgue os próximos itens.
Em uma organização, a identificação de vulnerabilidades é uma atividade importante, que deve ser realizada em conjunto com a avaliação de riscos.
Em segurança da informação, um risco é um evento ou uma condição incerta que pode causar algum dano a um sistema de informação ou até à própria organização como um todo.
Com referência à avaliação de riscos, julgue os próximos itens.
Em avaliação de riscos, os riscos podem ser analisados de acordo com sua probabilidade de acontecimento e com os possíveis impactos que eles podem causar.
A gestão de continuidade de negócio envolve prioritariamente os seguintes processos:
A respeito de conceitos relacionados a segurança da informação, julgue os itens a seguir.
Na área de segurança da informação, vulnerabilidade representa causa potencial de um incidente indesejado.
A respeito da gestão de riscos, julgue os próximos itens.
São consideradas entradas para o processo de análise/avaliação de riscos de segurança da informação os critérios básicos, o escopo, os limites e a organização do processo de gestão de riscos de segurança da informação.
A respeito da gestão de riscos, julgue os próximos itens.
São opções para tratamento do risco: reduzi-lo, aceitá-lo, evitá-lo ou transferi-lo.
O escâner de vulnerabilidade é uma ferramenta para as áreas de análises de riscos, segurança na rede e auditoria da política de segurança das organizações. Com relação a essa ferramenta, assinale a opção correta.
Uma atividade fundamental para o bom desenvolvimento de um projeto de software e que tem por base a execução de quatro tarefas conduzidas sequencialmente — identificação, projeção, avaliação e administração — é a análise de
Considerando a TI, as empresas devem ter constante preocupação com os riscos, que se concretizados, podem vir a prejudicar suas atividades. Dessa forma, a gestão de riscos é uma atividade de grande importância na condução dos negócios de uma empresa. Na maioria dos casos, a primeira etapa a ser realizada na gestão de riscos é a identificação dos riscos, que consiste em
Na gestão de riscos de um projeto que envolva a TI, há diversas técnicas que podem ser empregadas em sua análise. Do ponto de vista técnico, a análise de riscos deve levar em consideração os 3 principais aspectos que podem levar um projeto a enfrentar riscos. Esses aspectos são:
Julgue os itens subsequentes, relativos a ataques e vulnerabilidades.
Em decorrência da disponibilização de serviços e aplicações sediados em máquinas virtuais (MVs), que proporciona contenção e rápida recuperação em caso de ataques, uma mesma vulnerabilidade pode estar presente em várias instâncias de um mesmo snapshot de uma MV que originalmente apresente tal vulnerabilidade.
Julgue os itens a seguir, relativos à gestão de continuidade de
negócio (GCN).
A GCN não tem relação com o gerenciamento de riscos.
No que se refere à segurança da informação, bem como às técnicas,
às tecnologias e aos conceitos a ela relacionados, julgue os
próximos itens.
Em um processo de gestão de riscos de TI, é importante avaliar os riscos e estimar os seus impactos nos negócios da organização.
Julgue os itens seguintes, relacionados a segurança física, segurança
lógica e gestão de risco.
Na gestão de riscos, a análise de causalidade entre eventos representa uma forma de prever a ocorrência de eventos e modelá-los na forma de riscos.