Questão 917221

• Banca: ESAF
• Órgão: MF
• Ano: 2013
• Provas: ESAF - 2013 - MF - Analista de Finanças e Controle - Gestão em Infraestrutura de TI
• Disciplina: Governança de TI
• Assuntos: Instrução Normativa N° 4

Segundo a Norma Complementar n. 04/IN01/DSIC/GSIPR, na fase de análise/avaliação dos riscos, deve-se identificar os riscos associados ao escopo definido, considerando:

• A. as ameaças envolvidas, as vulnerabilidades existentes nos ativos de informação e as ações de Segurança da Informação e Comunicações já adotadas.
• B. as ameaças bloqueadas, as vulnerabilidades ainda existentes nos ativos de informação e a Política de Segurança da Informação e Comunicações.
• C. as ameaças envolvidas, as vulnerabilidades sanadas nos ativos de informação e o histórico de incidentes de Segurança da Informação e Comunicações.
• D. as ameaças mais críticas, as vulnerabilidades Web existentes nos ativos de informação e os controles de Segurança da Informação e Comunicações já adotados.
• E. as ameaças na DMZ, as vulnerabilidades Web existentes e os controles contra malware implantados.

Gabarito: A

Comentários

• a) Correta.
  b) Ameaças bloqueadas não interessa, se é que é possível bloquear uma ameaça.
  c) Vulnerabilidade sanadas e histórico de incidentes talvez sirva para geração de conhecimento para elaboração de respostas a risco mas no contexto de análise de riscos não cabe.
  d) Comunicações já adotadas, idem letra C.
  e) Bem, isso é muito específico. Não se sabe nem se haverá DMZ, enfim, descabida.
  
  Quem tiver interessa leia o art. 16 da IN04/2010

• LETRA A. 

  Segundo a 04/IN01/DSIC/GSIPR,"

  6.2 Análise/avaliação dos riscos: nesta fase, inicialmente serão identificados os riscos,  considerando as ameaças e as vulnerabilidades associadas aos ativos de informação para, em seguida, serem estimados os níveis de riscos de modo que eles sejam avaliados e priorizados.

  6.2.2 Identificar os riscos associados ao escopo definido, considerando: 

  a) as ameaças envolvidas;

  b) as vulnerabilidades existentes nos ativos de informação; e

  c) as ações de Segurança da Informação e Comunicações – SIC já adotadas."