Questão 1360414

• Banca: CESGRANRIO
• Órgão: Petrobras
• Ano: 2014
• Provas: CESGRANRIO - 2014 - Petrobras - Técnico(a) de Informática Júnior
• Disciplina: Segurança da Informação
• Assuntos: ISO 27002

A norma ISO 27002:2005, ao estabelecer regras para o controle de acesso, recomenda que o responsável por essa área leve em conta vários aspectos relacionados à segurança.

Um técnico de informática, responsável por essa área, ao trabalhar em conformidade com essa norma, deve

• A. considerar as mudanças nas permissões de usuários que são iniciadas automaticamente pelo sistema de informações e aquelas iniciadas por um administrador.
• B. reconhecer que todas as regras devem ser sempre atendidas, não havendo regras condicionais em contexto de segurança.
• C. reconhecer que sempre há usuários especiais com privilégios que devem prevalecer por serem exceções sobre a necessidade de segurança.
• D. basear-se na premissa “tudo é geralmente permitido a menos que seja expressamente proibido”.
• E. basear-se na premissa “tudo aquilo que é proibido pode ser permitido pelo gerente de operações”.

Gabarito: A

Comentários

• LETRA A.

  Segundo a ISO 27002:2013,"9.1.1 Política de controle de acesso

  Informações adicionais
  Convém que sejam tomados cuidados na especificação de regras de controle de acesso quando se considerar o seguinte:
  a)
  estabelecer regra baseada na premissa de que “Tudo é proibido a menos que expressamente permitido" em lugar da regra mais fraca que "Tudo é permitido, a menos que expressamente proibido";
  b)
  mudanças em rótulos de informação (ver 8.2.2) que são iniciadas automaticamente através de recursos de processamento da informação e aquelas iniciadas pela observação de um usuário;
  c)
  mudanças em permissões de usuário que são iniciadas automaticamente pelo sistema de informação e os que iniciaram por um administrador;
  d)
  regras que requerem aprovação específica antes de um decreto ou lei e as que não necessitam. Convém que as regras para controle de acesso sejam apoiadas por procedimentos formais (ver 9.2, 9.3 e 9.4) e responsabilidades claramente definidas (ver 6.1.1, 9.2, e 15.1)."