Questão 2756629

• Banca: FAURGS
• Órgão: BANRISUL
• Ano: 2018
• Provas: FAURGS - 2018 - BANRISUL - Segurança da Tecnologia da Informação
• Disciplina: Segurança da Informação
• Assuntos: Norma 27005

A norma ISO ABNT NBR ISO/IEC 27005:2011, em seu Anexo E, sugere abordagens para o processo de avaliação de riscos de segurança da informação. O método de ordenação de ameaças, em função dos riscos, é baseado em uma tabela ou matriz em que são listadas todas as ameaças e, para cada uma delas, avaliam-se numericamente ______________ e ___________. É realizado ____________ destes dois valores de modo a se obter a medida do risco, possibilitando que as ameaças sejam ordenadas segundo o seu nível de risco.

Assinale a alternativa que completa, correta e respectivamente, as lacunas do texto acima.

• A. a facilidade de exploração da ameaça – a probabilidade de cenário de incidente – o produto
• B. o valor do ativo – o impacto ao negócio – o somatório
• C. o impacto ao negócio – a facilidade de exploração da vulnerabilidade – o somatório
• D. o nível da vulnerabilidade – a facilidade de exploração da ameaça – o produto
• E. o valor da consequência (do ativo) – a probabilidade de ocorrência da ameaça – o produto

Gabarito: E

Comentários

• Nunca me preocupei em estudar os anexos das normas. Se isso for uma tendência estamos fu....

• "Uma tabela ou matriz como apresentada na Tabela E.2 pode ser usada para relacionar as consequências (representadas pelo valor do ativo) à probabilidade de ocorrência de uma ameaça (incluindo assim os fatores ligados às vulnerabilidades). A primeira etapa consiste em avaliar as consequências (através do valor do ativo) em uma escala pré-definida, por exemplo, de 1 a 5, para cada ativo ameaçado (coluna ‘b’ na Tabela). Na segunda etapa, estima-se a probabilidade de ocorrência da ameaça em uma escala pré-definida, por exemplo, de 1 a 5, para cada ameaça (coluna ‘c’ na tabela). Na terceira etapa, calcula-se a medida de risco multiplicando (b x c). Por último, as ameaças podem ser ordenadas em sequência conforme suas respectivas medidas de risco. Note que nesse exemplo, 1 representa a menor consequência e a menor probabilidade de ocorrência. "

  
  

  
  

  Fonte: ISO 27005-2011 Anexo E , página 75;

  
  

  GABARITO ALTERNATIVA E