Questão 205495

• Banca: FEPESE
• Órgão: SEFAZ-SC
• Ano: 2010
• Provas: FEPESE - 2010 - SEFAZ-SC - Auditor Fiscal da Receita Estadual - Parte III - Tecnologia da Informação
• Disciplina: Segurança da Informação
• Assuntos: Análise de Vulnerabilidade e Gestão de Riscos; Conceitos Básicos em Segurança da Informação

A segurança da informação protege as organizações contra uma ampla gama de ameaças, para assegurar a continuidade dos negócios, minimizar prejuízos e maximizar o retorno de investimentos e oportunidades comerciais.

A respeito dos conceitos de segurança da informação, assinale a alternativa correta.

• A. Um sistema é dito seguro se garante as três propriedades básicas de segurança: confiabilidade, integridade e disponibilidade. A falha em um mecanismo de segurança é uma violação da confiabilidade; a modificação de uma informação em trânsito é uma violação da integridade; e a interrupção de um serviço oferecido pela rede é uma violação da disponibilidade.
• B. Vulnerabilidades causadas por erro humano são as mais fáceis de explorar e as mais difíceis de prevenir e detectar. Ataques de engenharia social exploram esta vulnerabilidade e permitem que invasores obtenham informações sigilosas e privilegiadas. Treinamentos constantes sobre segurança são a contramedida mais eficiente para minimizar o sucesso destes ataques.
• C. Para implantação de controles lógicos de acesso à rede, mecanismos de autenticação de equipamentos devem ser utilizados. Para este fim, podem-se empregar as técnicas baseadas em um segredo (senha), técnicas baseadas em perfis biométricos (impressão digital) e as técnicas que utilizam dispositivos especiais (smartcard).
• D. Em uma organização que pretende implantar um sistema de gestão de segurança da informação, todos os ativos da informação devem ser classificados em termos do seu valor, requisitos legais, sensibilidade e criticidade para a organização. Esta classificação é suficiente para a correta seleção dos controles de segurança que protegerão a organização.
• E. As áreas de segurança devem ser protegidas por controles físicos de entrada. Logo, deve-se implantar uma técnica de autenticação multifator que combine identificação e senha sempre que se deseja implantar autenticação forte dos usuários.

Gabarito: B

Comentários

• a) A propriedade é confidencialidade e não cinfiabilidade.

  c) Perfis biométricos são controles físicos e não lógicos.

  d) Todos os ativos não DEVEM ser classificados de acordo com esses critérios, na realidade eles PODEM ser classificados.

  e) Uma autenticação multifator vai depender da relação custo-benefício, ou seja, nem sempre deve-se implantar essa técnica.

• a) A falha em um mecanismo de segurança PODE SER uma violação da confiabilidade. Os mecanismos de segurança (ex: criptografia, certificação digital) implementam serviços (confidencialidade, integridade, disponibilidade, não-repúdio...). Um contra-exemplo da assertiva poderia ser uma falha na assinatura digital (um mecanismo de segurança) e esse mecanismo nem assegura confidencialidade.
  c) Técnicas baseadas em perfis biométricos (impressão digital) e as técnicas que utilizam dispositivos especiais (smartcard). são controles físicos e não lógicos.
  d) Todos os ativos de INFORMAÇÃO não DEVEM ser classificados de acordo com esses critérios, na realidade eles PODEM ser classificados. Tanto que existem outras duas classificações de INFORMAÇÃO que já foram até cobradas em outros concursos
  Classificação comum
  
  • Pública – qq um tem acesso
  • Interna – informação nossa interna, mas se for divulgada fora não traz nenhum problema. Ex: confraternização de fim de ano
  • Confidencial – informação mais sigilosa de uma organização
  • Secreta – informação sigilosa, mas não de uma organização, mas, sim, de um estado. Segredo de estado
  OBS: classifica de acordo com o que tem maior sensibilidade (sigilo) caso tenha mais de um será pelo mais sigiloso
  Classificação com base no Decreto 4553 (são informações já sensíveis, cobrada pela ABIN)
  
  • Reservada
  • Confidencial
  • Secreta
  • Ultrassecreta
  Do menos sensível para o mais sensível
  e) As áreas de segurança CONVÊM SEREM protegidas por controles físicos de entrada (nenhum controle é obrigatório, são recomendações, vide norma 27002). Outro erro encontrado na assertiva diz respeito à autenticação forte. Para uma autenticação ser considerada forte, deve possuir dois ou mais dos seguintes requisitos de autenticação: algo que eu sei; algo que eu sou; algo que eu tenho. A senha seria algo que eu sei já a identificação é genérica, até mesmo poderia ser uma senha ou algo que eu sou (identificação por íris) ou crachá de acesso (algo que eu possuo). Mas de qualquer forma existiriam diversas outra formas de se ter uma identificação forte e NÃO sempre senha e identificação como afirma a questão.
  
• Prezados,
  
  Engenharia social é uma técnica por meio da qual uma pessoa procura persuadir a outra a executar determinada ações. Ela é considerada uma prática de má-fé, usada por golpistas para tentar explorar a ganância, a vaidade e a boa-fé ou abusar da ingenuidade e da confiança de outras pessoas, a fim de aplicar golpes, ludibriar ou obter informações sigilosas importantes. 
  Dessa forma , vemos que as vulnerabilidades causadas por erro humano são mais fáceis de explorar que as controladas por máquinas , e assim, mais difíceis de prevenir e detectar.
  
  Portanto a alternativa correta é a letra B