Questão 320839

• Banca: CESPE / CEBRASPE
• Órgão: INMETRO
• Ano: 2010
• Provas: CESPE - 2010 - INMETRO - Pesquisador - Ciência da Computação
• Disciplina: Segurança da Informação
• Assuntos: Análise de Vulnerabilidade e Gestão de Riscos; Políticas de Segurança de Informação; Segurança de sistemas de informação

Com relação à segurança da informação, assinale a opção correta.

• A. A política de segurança da informação define o que deve ser protegido, por quê, e também quem será o responsável pela proteção, provendo uma base para decisões futuras.
• B. A avaliação de riscos deve abranger o que deve ser protegido e contra o quê. Porém, não deve levar em consideração o esforço, o tempo e os recursos necessários.
• C. Vulnerabilidade é uma feature de um software que, quando explorada, pode levar a comportamento não desejado.
• D. O risco de um ataque é proporcional à sua facilidade de execução.
• E. A ameaça é o produto do risco pelo custo da proteção.

Gabarito: A

Comentários

• b) A avaliação de riscos deve abranger o que deve ser protegido e contra o quê. Porém, não deve levar em consideração o esforço, o tempo e os recursos necessários.
  Análise/ avaliação de risco: processo completo de análise e avaliação de riscos.
  Avaliação de riscos: Processo de comparar o risco estimado com critérios de riscos pré- definidos para determinar a importância do risco.
  
   c) Vulnerabilidade é uma feature de um software que, quando explorada, pode levar a comportamento não desejado.
  Vulnerabilidade: fragildade de umativo ou grupo de ativos que pode ser explorada por uma ou mais ameaças.
  
  d) O risco de um ataque é proporcional à sua facilidade de execução.
  Risco: combinação da probabilidade de um evento e de suas consequências
  
  e) A ameaça é o produto do risco pelo custo da proteção.
  Ameaça: causa potencial de um incidente indesejado, que pode resultar em dano para um sistema ou organização.
• Mais uma mal formulada do CESPE
  
  Quando falamos em política de seguraça da informação devemos nos ater a um documento proposto pela alta cúpula da organização, ou seja, estamos aqui no nível estratégico, onde somente serão expostos macro-conceitos que serão desmembrados mais tarde.
  
  Deste modo teremos:
  
  

  4.ESTRUTURA NORMATIVA

  Os documentos que compõem a estrutura normativa são divididos em três categorias:

  a) Política (nível estratégico): constituída do presente documento, define as regras de alto nível que representam os princípios básicos que a organização decidiu incorporar à sua gestão de acordo com a visão estratégica da alta direção. Serve como base para que as normas e os procedimentos sejam criados e detalhados;

  b) Normas (nível tático): especificam, no plano tático, as escolhas tecnológicas e os controles que deverão ser implementados para alcançar a estratégia definida nas diretrizes da política;

  c) Procedimentos (nível operacional): instrumentalizam o disposto nas normas e na política, permitindo a direta aplicação nas atividades da organização.
  
  Definitivamente não caberá para o documento de política definições dispostas na questão 
  
  OK?