Questão 628990

• Banca: FCC
• Órgão: INFRAERO
• Ano: 2011
• Provas: FCC - 2011 - INFRAERO - Analista - Segurança da Informação
• Disciplina: Segurança da Informação
• Assuntos: Análise de Vulnerabilidade e Gestão de Riscos; Segurança de sistemas de informação

No que se refere aos incidentes de segurança de informação, analise:

I. Considerando os cuidados com os aspectos de confidencialidade, os incidentes de segurança da informação podem ser utilizados em treinamento de conscientização como exemplos do que poderia ocorrer, como responder a tais incidentes e como evitá-los futuramente.

II. Um mau funcionamento ou outras anomalias de comportamento de sistemas podem ser um indicador de um ataque de segurança ou violação de segurança e, portanto, convém que sejam notificados como um evento de segurança da informação.

III. Convém que os funcionários, fornecedores e terceiros sejam alertados para não tentarem averiguar uma fragilidade de segurança da informação suspeita. Testar fragilidades pode ser interpretado como um uso impróprio potencial do sistema e também pode causar danos ao sistema ou serviço de informação, resultando em responsabilidade legal ao indivíduo que efetuar o teste.

IV. Convém que, adicionalmente à notificação de eventos de segurança da informação e fragilidades, o monitoramento de sistemas, alertas e vulnerabilidades seja utilizado para a detecção de incidentes de segurança da informação.

Está correto o que consta em

• A. I, II, III e IV.
• B. I e III, apenas.
• C. I, II e IV, apenas.
• D. I e IV, apenas.
• E. II e III, apenas.

Gabarito: A

Comentários

• Item a item, na ordem mais didática.
  
  II) ISO 27002, 13.1.1, Informações adicionais - Exemplos de eventos e incidentes de segurança da informação são:
  
  b) mau funcionamento ou sobrecarga de sistema;
  g) mau funcionamento de software ou hardware;
  
  I) Logo após a lista de exemplos acima vem um parágrafo que diz exatamente o que o item I da questão traz.
  
  III) As informações adicionais do item 13.1.2 da norma trazem exatamente o que diz este item da questão.
  
  IV) Item 13.2.1 da ISO 27002 - Responsabilidades e procedimentos: Convém que, adicionalmente à notificação de eventos de segurança da informação e fragilidades, o monitoramento de sistemas, alertas e vulnerabilidades seja utilizado para a detecção de incidentes de segurança da informação.
• Apenas complementando o que o colega falou sobre o Item II)
  
  13.1.2 Notificando fragilidades de segurança da informação
  Controle
  Convém que os funcionários, fornecedores e terceiros de sistemas e serviços de informação sejam instruídos a registrar e notificar qualquer observação ou suspeita de fragilidade em sistemas ou serviços.Diretrizes para implementação Convém que os funcionários, fornecedores e terceiros notifiquem esse assunto o mais rápido possível para sua direção ou diretamente ao seu provedor de serviços, de forma a prevenir incidentes de segurança da informação. Convém que o mecanismo de notificação seja fácil, acessível e disponível sempre que possível.
  Convém que os usuários sejam informados que não podem, sob nenhuma circunstância, tentar averiguar fragilidade suspeita.
  Informações adicionais
  Convém que os funcionários, fornecedores e terceiros sejam alertados para não tentarem averiguar uma fragilidade de segurança da informação suspeita. Testar fragilidades pode ser interpretado como um uso impróprio potencial do sistema e também pode causar danos ao sistema ou serviço de informação, resultando em responsabilidade legal ao indivíduo que efetuar o teste.

• Só deixando claro que o item III (que foi a que mais fiquei em dúvida) da questão aborda sobre o controle da seção 13. Gestão de Incidentes de Segurança da Informação: 13.1.2 Notificando fragilidades de segurança da informação

  "Controle: Convém que os funcionários, fornecedores e terceiros de sistemas e serviços de informação sejam instruídos a registrar e notificar qualquer observação ou suspeita de fragilidade em sistemas ou serviços.

  Diretrizes para implementação: Convém que os funcionários, fornecedores e terceiros notifiquem esse assunto o mais rápido possível para sua direção ou diretamente ao seu provedor de serviços, de forma a prevenir incidentes de segurança da informação. Convém que o mecanismo de notificação seja fácil, acessível e disponível sempre que possível. Convém que os usuários sejam informados que não podem, sob nenhuma circunstância, tentar averiguar fragilidade suspeita."

  Bons estudos!