Questões de Segurança da Informação e Gestão de Riscos

A afirmativa está correta pois a norma ABNT NBR ISO/IEC 27001, referência básica para o Cebraspe, estabelece que a Política de Segurança da Informação deve alinhar-se aos requisitos legais, regulatórios, contratuais e às boas práticas de mercado para garantir a conformidade e a governança organizacional.

A afirmativa está incorreta porque a norma NBR ISO/IEC 27001 exige a formalização das responsabilidades de segurança na Política de Segurança da Informação (POSIN). A versão correta é que as competências e responsabilidades devem constar explicitamente na POSIN para assegurar o comprometimento e a conformidade de todos os colaboradores.

A afirmativa baseia-se na norma NBR ISO/IEC 27002, que recomenda que barreiras físicas, como portas corta-fogo, sejam integradas ao sistema de controle e monitoramento, devendo ser testadas em conjunto com as estruturas para garantir a integridade da resistência ao fogo do perímetro.

A afirmativa está correta pois segue o princípio do Privilégio Mínimo e a necessidade de controle de ciclo de vida de contas, conforme a norma NBR ISO/IEC 27002, que recomenda a revisão periódica e a revogação de acessos privilegiados para mitigar riscos de segurança.

A afirmativa está errada pois a norma ISO/IEC 27002 recomenda a criptografia como controle obrigatório para proteger dados em mídias móveis contra acesso não autorizado. O lacre e o rastreamento garantem a integridade física e o controle logístico, mas não protegem a confidencialidade da informação caso a mídia seja extraviada ou acessada indevidamente.

A afirmativa está incorreta porque o DevSecOps preconiza a automação da segurança em todas as fases, incluindo a implementação, onde ferramentas de análise estática (SAST) e dinâmica (DAST) são indispensáveis para garantir a qualidade. O correto seria afirmar que a fase de implementação utiliza soluções automatizadas de análise de código e testes de vulnerabilidades.

O erro reside em limitar a resposta a incidentes à fase de suporte e manutenção, pois, conforme o princípio da segurança desde a concepção (Security by Design), o time de resposta deve ser estabelecido e atuar em todas as fases do ciclo de vida de desenvolvimento. A afirmativa correta seria que o grupo deve ser estabelecido e estar apto a atuar desde a concepção do projeto.

A afirmativa está incorreta porque a análise dinâmica (DAST) exige a execução do software para testar o comportamento em tempo de execução, enquanto a revisão do código-fonte sem execução define a análise estática (SAST). A afirmativa correta substituiria análise dinâmica por análise estática.

A análise dinâmica (DAST) testa a aplicação em execução, permitindo identificar erros de tempo de execução (runtime) e falhas de tratamento de exceções que expõem informações sensíveis ou causam comportamentos inesperados do sistema quando sob estresse ou entradas inválidas.

A integridade referencial garante a consistência entre tabelas por meio de chaves estrangeiras, permitindo que o otimizador do SGBD utilize essas relações pré-definidas para realizar joins de forma mais eficiente, o que reduz o esforço computacional e facilita as consultas.

A afirmativa está incorreta porque a solicitação descrita caracteriza uma Requisição de Serviço, que deve ser gerenciada pela prática de Gerenciamento de Requisição de Serviço, e não por Incidentes. O Gerenciamento de Incidentes visa restaurar serviços interrompidos, enquanto Requisições tratam de demandas padrão previstas no catálogo.

O erro reside em limitar o gerenciamento à elaboração de documentos. O objetivo principal é a proteção dos ativos de informação e o suporte aos processos de negócio (ISO/IEC 27001). A política é apenas um instrumento de governança, não o fim último da gestão.

A afirmativa está correta conforme a Instrução Normativa SGD/ME nº 94/2022, que estabelece requisitos de segurança para contratação de serviços em nuvem, exigindo explicitamente o controle de chaves criptográficas e a integração com soluções de Single Sign-On para a administração pública federal.

A afirmativa está correta pois baseia-se no princípio da segregação de ambientes e na gestão de riscos em nuvem, alinhando-se às boas práticas da ISO/IEC 27017 e às diretrizes do Guia de Boas Práticas para Contratação de Soluções de Nuvem do governo federal, visando evitar acessos indevidos e interferências entre o ambiente de produção e a infraestrutura administrativa.

A afirmativa está incorreta pois a legislação brasileira, como o Decreto 9.637/2019 e a Política Nacional de Segurança da Informação, não impõe a exigência de soberania territorial para dados em nuvem, desde que observados os requisitos de criptografia e controles de acesso. A afirmativa correta deve focar na garantia da proteção e integridade da informação, independentemente da localização geográfica do servidor.

A assinatura digital garante autenticidade, integridade e não repúdio, mas nao a confidencialidade, pois o conteudo permanece legivel. Para garantir confidencialidade, e necessario o uso de criptografia. A afirmativa estaria correta se substituísse confidencialidade por integridade ou autenticidade.

O erro reside em afirmar que o IDS não detecta ataques via portas legítimas. O IDS monitora o tráfego interno e pode identificar assinaturas maliciosas ou anomalias mesmo em portas permitidas pelo firewall. A correta diria que o IDS é capaz de detectar ataques independentemente das portas utilizadas pelo firewall.

A afirmativa está correta porque o IDS atua em modo passivo, apenas monitorando e alertando sobre eventos suspeitos, enquanto o IPS atua em modo ativo, posicionado no fluxo dos dados para identificar e bloquear tentativas de intrusão em tempo real.

A afirmativa está incorreta porque a técnica BAS foca em simular ataques automatizados diretamente no ambiente do cliente para testar defesas, e não em consultas a bases externas. A descrição refere-se a plataformas de CTI (Cyber Threat Intelligence). A correta foca na execução contínua de cenários de ataque para validação da postura de segurança.

A afirmativa está incorreta porque o SIEM é uma ferramenta essencial para investigações forenses ao armazenar logs centralizados e históricos que permitem a reconstrução de incidentes. O correto seria afirmar que o SIEM é fundamental e plenamente adequado para apoiar investigações forenses digitais.