Questões de concursos sobre "Norma 27005" | Segurança da Informação - página 7

deve produzir ou obter a lista de processos de negócios aos quais estarão vinculados os demais ativos de informação a serem identificados na atividade de identificação de riscos.

deve particionar entre os quatro membros a responsabilidade pelo desempenho dos seguintes papéis, entre outros: identificação e análise das partes interessadas, estabelecimento de ligações com as funções de gerência de riscos de alto nível, especificação dos critérios para a avaliação dos riscos, estimativa de impactos e aceitação do risco para a organização.

deve aplicar uma metodologia de análise quantitativa de riscos, excluindo a aplicação de uma metodologia qualitativa.

deve implantar o sistema de gestão de segurança da informação, antes de desenvolver o plano de gestão de riscos.

deve particionar entre seus quatro membros a responsabilidade da execução simultânea das seguintes atividades: definição do escopo, identificação dos riscos, tratamento dos riscos e comunicação do risco.

A segregação de regras de controle de acessos no órgão é fundamentada na ideia de que o atendimento a pedidos de acesso, a autorização dos acessos propriamente ditos e a administração dos acessos são realizados por uma mesma pessoa no órgão.

A abordagem e o desenho dos controles de acesso físico e lógico no órgão deve ser feita de forma independente.

A autenticação baseada em três fatores é válida unicamente para sistemas de controle de acesso lógico, e não para sistemas de controle de acesso físico.

Em aderência aos controles previstos pela norma ISO/IEC 27001, faz-se necessário utilizar a autenticação baseada em dois fatores, tanto no acesso de origem externa à rede quanto no acesso de qualquer usuário ao sistema operacional, desde que esses ativos estejam incluídos em um escopo de implantação de um sistema de gestão da segurança da informação.

Para que os controles de acessos físico e lógico sejam implementados de forma consistente em diferentes sistemas e redes do órgão, é recomendada a prévia classificação, quanto à segurança necessária, dos ativos de informação a eles relacionados.

das ameaças.

dos controles existentes.

das vulnerabilidades.

das consequências.

dos ativos.

A remoção da fonte do risco é forma de tratamento do risco conhecida como modificação do risco.

Os riscos residuais são aqueles classificados como impossíveis de ser tratados.

A retenção do risco consiste na ação de implementar controles que busquem reduzir os riscos a um nível aceitável pela organização.

O compartilhamento do risco envolve transferência ou compartilhamento do risco com entidades internas da organização com vistas a balancear os prejuízos entre as unidades na ocorrência de perdas advindas de um incidente.

A escolha de controles para reduzir os riscos a um nível aceitável pela organização deve considerar os seus critérios para a aceitação do risco, a exemplo dos requisitos legais, culturais e ambientais.

Somente as afirmações I e III estão corretas.

Somente as afirmações I, II e III estão corretas.

Somente as afirmações II e III estão corretas.

Somente as afirmações I e IV estão corretas.

Somente as afirmações III e IV estão corretas.

análise de impacto do risco, monitoramento do risco e comunicação do risco.

aceitação do risco, comunicação e consulta do risco e monitoramento e análise crítica de riscos.

mitigação do impacto do risco e análise crítica sobre o risco.

análise de impacto do risco, comunicação do risco e definição de ações de contenção do risco.

tomada de decisão sobre o risco, divulgação do risco na organização e monitoramento e controle de riscos.

compartilha-se a responsabilidade de gerenciar riscos e também a responsabilidade legal por um impacto.

se o risco atender aos critérios legais para a aceitação do risco, devem ser implementados controles adicionais para que o risco possa ser aceito.

riscos considerados de impacto mediano ou alto, mesmo que os custos do tratamento não excedam os benefícios, devem ser evitados completamente.

o nível de risco pode ser gerenciado através da inclusão, exclusão ou alteração de controles, para que o risco residual possa ser reavaliado e então considerado aceitável.

determinar se o risco residual está ou não abaixo ou acima de um limite bem definido deve ser o único critério para aceitar ou não o risco.

identificação de riscos.

definição do contexto.

avaliação de riscos.

tratamento do risco.

monitoração dos riscos.

Na etapa de definição do contexto, a organização busca atingir seus objetivos; nela, são determinados os valores dos ativos da organização, identificadas as ameaças e vulnerabilidades existentes e determinadas as potenciais consequências dessas ameaças e vulnerabilidades.

A presença de uma vulnerabilidade é sempre uma ameaça à segurança da informação. A identificação das vulnerabilidades é realizada na etapa de análise/avaliação de riscos.

Na etapa de aceitação de risco, lida-se com modelos predefinidos de escalas de níveis, dentre os quais a organização deve optar pelo mais adequado aos seus negócios.

Na etapa de monitoramento de riscos, recomenda-se que as vulnerabilidades e os riscos sejam reavaliados periodicamente, entre um mês e um semestre.

A etapa de tratamento de risco conta com as seguintes opções, não excludentes entre si: redução, retenção, evitação e transferência de risco.