Questões de concursos sobre "ISO 27002" | Segurança da Informação - página 1

sistemas de informação atuais e legados.

regulamentações, legislação e contratos.

auditorias internas e externas de segurança da informação.

consultorias terceirizadas de segurança da informação.

gestão de pessoas e ativos de informação.

do processo disciplinar.

do acesso ao código-fonte de programas.

dos registros de eventos (log) de administrador e operador.

do gerenciamento de mídias removíveis.

do proprietário dos ativos.

os direitos de acesso privilegiados, associados a cada sistema ou processo, por exemplo, sistema operacional, sistemas de gerenciamento de banco de dados e cada aplicação, e de categorias de usuários para os quais estes necessitam ser concedidos, não precisam de identificação.

os direitos de acesso privilegiado sejam concedidos a usuários conforme o grau hierárquico na empresa e com base em eventos alinhados com a política de controle de acesso, com base nos requisitos mínimos para sua função.

um processo de autorização e um registro de todos os privilégios concedidos sejam mantidos e que os direitos de acesso privilegiados não sejam concedidos até que todo o processo de autorização esteja finalizado.

requisitos para manter, sem atualização, os direitos de acesso privilegiados sejam definidos.

os direitos de acesso privilegiados sejam atribuídos a um ID de usuário idêntico daqueles usados nas atividades normais do negócio e que as atividades normais do negócio não sejam desempenhadas usando contas privilegiadas.

os aspectos de segurança sejam observados principalmente na fase de programação;

o desenvolvimento de software seja sempre executado por equipes internas;

todas as conexões não autenticadas devam ser criptografadas;

seja levada em consideração a segurança no controle de versões;

sejam previstos dois roteiros, um com foco em desenvolvimento e outro com foco em manutenção.

o ciclo de vida da informação inclua a sua criação, armazenamento, transmissão e, após a perda de sua validade, o acompanhamento até seu desaparecimento.

pessoas e outras entidades que tenham responsabilidades aprovadas pela direção para qualificar o ciclo de vida do ativo não sejam designadas como o proprietário deste ativo.

um funcionário ou partes externas nunca usem seu equipamento pessoal para trabalhar nas dependências da organização e que procedimentos sejam adotados para assegurar que toda a informação relevante não possa ser utilizada fora da organização e de seus equipamentos inventariados.

os resultados da classificação indiquem o valor dos ativos em função da sua sensibilidade e criticidade para a organização em termos do CID e que estes sejam atualizados de acordo com as mudanças do seu valor ao longo do seu ciclo de vida.

cada um dos ativos identificados tenha um proprietário indicado e também sejam indicados e assegurados todos os direitos de propriedade sobre o ativo.

o proprietário do ativo é o responsável pela classificação da informação, que é um recurso intangível, com base na análise e avaliação de riscos. Mesmo que a informação seja de baixo valor, seu nível de confidencialidade deve ser rotulado como alto.

o estágio de rotulagem é quando se atribui um nível de classificação a uma informação, fazendo com que a mesma passe a respeitar as proteções associadas ao nível de classificação escolhido. Nem todo ativo de informação deve ser classificado. Esta é uma regra da Norma ABNT NBR ISO/IEC 27001:2013.

não pode haver reclassificação de uma informação, pois isso colocaria em risco sua integridade e confidencialidade. Esta é uma regra da Norma ABNT NBR ISO/IEC 27002:2013.

um documento em papel de uma empresa classificado como Uso Interno deveria ser mantido em um armário trancado, circular internamente em envelopes lacrados e, caso fosse enviado para fora da organização, deveria ser por meios registrados e seguros.

a desclassificação se refere à remoção do nível de proteção da informação. Este estágio somente se aplica quando o estado “não-classificado” estiver previsto. Um exemplo poderia ser um ativo governamental que após alguns anos ou décadas passa a ser automaticamente não-classificado ou tornado público.

os proprietários dos ativos determinem regras apropriadas de controle de acesso, direitos de acesso e restrições para papéis específicos dos usuários acessarem seus ativos, com o nível de detalhe e o rigor dos controles que reflitam os riscos de segurança da informação associados

os proprietários dos ativos sejam os responsáveis por definir a política de controle de acesso da organização, ficando responsáveis pela sua documentação e análise crítica com base nos requisitos de segurança da informação e dos negócios.

a política de controle de acesso da organização seja feita em documentos e por pessoas distintas, cada qual ficando responsável por elaborar os controles de acesso lógico, os controles de acesso físico e os controles operacionais de forma separada, visando mitigar os riscos de segurança da informação.

seja estabelecida a regra “tudo é permitido a menos que expressamente proibido”, que é mais forte que a regra “tudo é proibido a menos que expressamente permitido”.

seja contemplada a regra geral para todos os perfis de acesso “você não tem permissão para acessar nenhuma informação” para que somente o proprietário da informação possa liberar o acesso à informação quando esta for necessária ao desempenho da função.

concessão e uso de privilégios sejam restritos e controlados.

sistemas sensíveis tenham um ambiente computacional dedicado (isolado).

sessões inativas sejam encerradas após um período definido de inatividade.

métodos apropriados de autenticações sejam usados para controlar acesso de usuários remotos.

eventos de segurança da informação sejam relatados através dos canais apropriados da direção.

atribuir o processo de revisão do nível de confidencialidade de um documento à alta gerência.

manter a responsabilidade pela atribuição do nível de confidencialidade de um documento com o setor de TI.

manter os rótulos de classificação originais nos documentos oriundos de outras organizações.

manter o princípio de equidade que garante aos funcionários com funções similares o mesmo direito de acesso às informações classificadas.

rotular as informações e as saídas geradas pelos sistemas que tratam dados confidenciais, segundo seu valor e sensibilidade para a organização.

Segurança física e do ambiente

Gerenciamento das operações e comunicações

Gestão de ativos

Controle de acesso

Aquisição, desenvolvimento e manutenção de sistemas de informação