Questão 599788

• Banca: CESGRANRIO
• Órgão: Petrobras
• Ano: 2011
• Provas: CESGRANRIO - 2011 - Petrobras - Analista de Sistemas Júnior - Engenharia de Software
• Disciplina: Segurança da Informação
• Assuntos: ISO 27002

De acordo com a NBR/ISO 27002, um sistema de gerenciamento de chaves deve basear-se em um conjunto es- tabelecido de normas, procedimentos e métodos de segurança para

• A. gerar chaves para diferentes sistemas criptográficos e diferentes aplicações.
• B. evitar quebra de segurança, coibindo a manutenção de registros das atividades relacionadas com o gerenciamento de chaves
• C. evitar o uso de sistemas simétricos, por utilizarem apenas uma chave.
• D. destruir chaves perdidas ou corrompidas, como parte da gestão da continuidade do negócio, para evitar a recuperação de informações cifradas.
• E. manter registros das chaves públicas geradas pelos usuários e estabelecer a política de geração dessas chaves.

Gabarito: A

Comentários

•  Convém que um sistema de gerenciamento de chaves seja baseado em um conjunto estabelecido de normas, procedimentos e métados de segurança para:
  
  a) gerar chaves para diferentes sistemas criptográficos e diferentes aplicações;
  b) gerar e obter certificado de chaves públicas;
  c) distribuir chaves para usuários devidos, incluíndo a forma como as chaves devem ser ativadas, quando recebidas;
  d) armazenar chaves, incluíndo a forma como os usuários autorizados obtêm acesso a elas;
  e) mudar ou atualizar chaves, incluindo regras relativos a quando as chaves devem ser mudadas e como isto será feito;
  f) lidar com chaves comprometidas;
  g) revogar chaves, incluíndo regras de como elas devem ser retiradas ou desativadas, por exemplo quando chaves tiveram sido comprometidas ou quando um usuário deixa a organização (convém que, também neste caso, que as chaves sejam guardadas).
  h) recuperar chaves perdidas ou conrrompidas, como parte da gestão da continuidade do negócio, por exemplo para recuperação de informações cifradas. 
  i) guardar chaves, por exemplo para informações guardadas ou armazenadas em cópias de segurança;
  j) destruir chaves;
  k) manter registro e auditoria das atividades relacionadas com o gerenciamento de chaves
  
  fonte: NBR ISO 27002 - 12.3.2 Gerenciamento de chaves.

• A redação foi mantida na versão de 2013 da ISO 27002,

  "10.1.2 Gerenciamento de chaves

  Convém que um sistema de gerenciamento de chaves seja baseado em um conjunto estabelecido de normas, procedimentos e métodos seguros para:
  a) gerar chaves para diferentes sistemas criptográficos e diferentes aplicações;"

• A letra E não representa uma finalidade, como a letra A (reparem no "para" no fim do enunciado), mas sim uma consequência da implementação de um sistema de gerenciamento de chaves.