Questão 1349701

• Banca: FUNDATEC
• Órgão: SEFAZ-RS
• Ano: 2014
• Provas: FUNDATEC - 2014 - SEFAZ-RS - Técnico Tributário da Receita Estadual - Prova 1
• Disciplina: Noções de Informática
• Assuntos: Segurança da Informação

Considerando os aspectos da segurança da informação, a possibilidade de uma determinada ameaça explorar vulnerabilidades de um ativo ou de um conjunto de ativos, prejudicando a organização, é chamada de:

• A. Eventos de segurança da informação.
• B. Incidentes de segurança da informação.
• C. Riscos de segurança da informação.
• D. Impacto organizacional.
• E. Criticidade de ativo.

Gabarito: C

Comentários

• Riscos de segurança da informação. 

• Um evento pode ser definido como qualquer mudança de estado que tem importância para a gestão de um item de configuração (IC) ou serviço de TI.

  Um "incidente" é uma interrupção não planejada de um serviço de TI ou redução da qualidade de um serviço de TI. Um incidente é qualquer evento que causa interrupção no serviço.

  
  

  Como a questão fala sobre a possibilidade, as alternativas A e B não se enquadram uma vez que dizem respeito a algo que já aconteceu.

  
  

• Reparem que ele disse POSSIBILIDADE.

• A exploração das vulnerabilidades de um ativo ou conjunto de ativos, é chamada de Riscos de segurança da informação.
  Por isto, as empresas adotam medidas de proteção, como:
  •     Controles físicos (controle de acesso) – portaria com segurança armada, por exemplo.
  •    Controles lógicos (validação de acesso) – leitor de impressão digital, crachá funcional, etc.
  •    Usuários cadastrados com permissões de acesso – nos servidores de rede, com permissões de controle total, somente leitura, leitura e gravação, segundo o nível de proteção desejado.
  •    Equipamentos de proteção (firewall, proxy, etc) – habilitados para toda a rede, monitorando e restringindo o acesso a informações não autorizadas e invasões na rede interna a partir da Internet ou via acesso remoto.
  •    Protocolos seguros (TLS, SSL, etc) – todas as transações usarem camadas de segurança, HTTPS ao invés de HTTP.
  •    Política de Segurança da Informação – definida para todos os colaboradores da empresa.
  
  Gabarito: Letra C.
  

• Risco

  Probabilidade potencial da concretização de um evento que possa causar danos a um ou mais ativos da organização. 

  Gabarito: Letra C

• Comentários do prof. Diego do Estratégia (@professordiegocarvalho):

  (a) Errado, evento é uma ocorrência identificada que indica uma possível violação de política de segurança;

  (b) Errado, incidente é um evento considerado indesejado ou inesperado, com grande possibilidade de comprometer o negócio;

  (c) Correto, risco é a combinação da probabilidade de um evento e de suas consequências – a exploração de uma vulnerabilidade por parte de uma ameaça é um evento de segurança específico que produz prejuízos à organização como consequência;

  (d) Errado, impacto é uma mudança adversa no nível de resultados obtidos para o alcance dos objetivos de negócio traçados;

  (e) Errado, criticidade é definição do quanto determinado ativo é crítico, ou seja, o quanto é importante para a concretização dos objetivos da organização.

  Letra C 

• Quando trouxe a POSSIBILIDADE veio junto um RISCO