Gestão de riscos em TI

(1)

Gestão de riscos em TI

Professor(a): Márcio dos Santos (Especialização)

1)

2)

3)

Prepare-se! Chegou a hora de você testar o conhecimento adquirido nesta disciplina. A Avaliação Virtual (AV) é composta por questões objetivas e corresponde a 100% da média final. Você tem até cinco tentativas para “Enviar” as questões, que são automaticamente corrigidas. Você pode

responder as questões consultando o material de estudos, mas lembre-se de cumprir o prazo estabelecido. Boa prova!

Quanto aos riscos em uma organização, é correto afirmar que: Alternativas:

Código da questão: 55121

Para implantar uma estrutura de governança de TI em uma organização, analise as afirmações a seguir e classifique-as como verdadeiras (V) ou falsas (F):

( ) É necessário requerer aprovação do gerente de TI, que será o diretor da governança. ( ) É necessário eleger o presidente da governança.

( ) Deve ocorrer quebra de paradigmas.

( ) Deve-se obter o apoio do alto escalão (presidência, diretoria, corpo executivo). ( ) Todos os membros devem ser do alto escalão da TI.

Assinale a alternativa que contenha a sequência correta: Alternativas:

Quanto ao processo de gerenciamento de riscos apresentado pela família de normas ISO 31000, analise as seguintes asserções:

I. O tratamento de riscos só pode ser executado após o processo de análise, e ele retroalimenta a estrutura por meio do monitoramento e revisão.

II. O monitoramento e revisão engloba todas as etapas do processo de gerenciamento de riscos.

III. A identificação dos riscos depende do estabelecimento de um contexto organizacional. IV. Estabelecer um contexto apenas fornece dados, mas não os recebe.

V. A etapa de avaliação de riscos possui três subetapas. São verdadeiras:

Alternativas:

Podem ser evitados, mas devem ocorrer para se comprovar a importância da informação. Devem ser eliminados pelo plano de gestão de riscos.

São de responsabilidade do departamento de TI.

São essenciais para que se avalie a importância da informação. Devem ser resolvidos pelo corpo executivo da governança de TI.

V – F – V – F – F. F – F – V – V – F. F – F – F – V – V. F – V – V – V – F. F – V – V – V – V. I - II - III - V. II - IV - V. II - III - IV. I - IV.

(2)

4)

5)

6)

Leia e associe as duas colunas.

Realizar a gestão de riscos é um processo que engloba um conhecimento profundo de cada setor de uma organização – motivo pelo qual a governança de TI precisa ser composta por membros de várias áreas e hierarquias. Apenas esses membros saberão o nível dos dados, informação e conhecimento que são trafegados em seus respectivos rols de atuação, bem como, os tipos de riscos e impactos que os afetam.

Neste ínterim, é necessário que cada colaborador da organização – e primordialmente aqueles que compõem a governança de TI – detenham pleno conhecimento sobre o que é um Mapa de Riscos e saibam diferenciar dados, informação e conhecimento.

Neste contexto, analise o quadro a seguir, relacionando as colunas.

Assinale a alternativa que traz a associação correta entre as duas colunas: Alternativas:

Quanto aos ativos dentro de uma organização, considere as afirmativas a seguir e classifique-as em verdadeiras (V) ou falsas (F).

( ) A informação é um ativo do tipo abstrato.

( ) Os dados podem ser considerados ativos quantitativos. ( ) Ativos podem ser impactados por ameaças, danosas ou não.

( ) Recursos humanos são ativos concretos, mas com aspectos abstratos. ( ) As características dos recursos humanos são ativos de menor valor. Assinale a alternativa que contenha a sequência correta:

Alternativas:

Alguns mecanismos de software podem ser utilizados em um ambiente de rede para prover maior nível de proteção contra ataques e invasão. Essas proteções contribuem na diminuição dos riscos, uma vez que as ameaças também são minimizadas. De acordo

com Stallings (2015), analise as afirmativas a seguir e classifique-as em verdadeiras (V) ou falsas (F):

III - V.

I-A; II-B; III-C. I-C; II-A; III-B. I-C; II-B; III-A. I-B; II-A; III-C. I-B; II-C; III-A.

F – F – F – V – V. F – V – V – V – V. V – F – V – V – F. V – F – V – F – F. F – F – V – V – F.

(3)

7)

8)

9)

( ) IPS e IDS atuam no servidor e cliente, respectivamente. ( ) IPS é um meio de proteção mais eficaz.

( ) IDS realiza a detecção quando o intruso já acessou a rede. ( ) IDS não pode ser utilizado em conjunto com um firewall.

( ) IPS necessita de um firewall para que sua atuação seja eficiente. Assinale a alternativa que contenha a sequência correta:

Alternativas:

Considere que você, membro da governança de TI da ABC S/A, precisa implantar a filosofia de gestão de riscos em TI dentro da organização utilizando a família de normas ISO 31000. Um dos primeiros passos que você dará será quanto:

Alternativas:

É correto afirmar que a norma ISSO 27001 estabelece: Alternativas:

Quanto ao Cobit e seus procedimentos aplicáveis à governança de TI, podemos afirmar que: I. A governança de TI tem como um dos objetivos compreender a necessidade estratégica da TI na organização

II. Cobit pode ser considerado como um framework.

III. Para a governança de TI, uma das maiores decisões está ligada à estratégia de infraestrutura.

IV. Uma das iniciativas descritas no Cobit é: medir e aprimorar, que visa mensurar as implementações e prover melhorias necessárias.

V. Para o Cobit, eficácia e eficiência são derivações do mesmo conceito. São verdadeiras: F – F – F – V – F. V – F – V – F – F. F – V – V – F – F. V – F – V – F – V. V – V – V – V – F.

À elaboração de um mapa de riscos, expondo as potenciais ameaças à fluidez dos processos.

A definir os riscos que podem afetar a organização.

A preparar um plano para diminuição dos riscos, já que é impossível removê-los. À definição do contexto da organização.

Ao estabelecimento de critérios para se transformar um risco em um projeto a ser sanado.

Critérios mandatórios para implantação de uma estrutura de gestão de riscos.

Requisitos para gestão de sistemas de informação baseada em um código de prática. Orientações técnicas para avaliação de riscos em TI.

Regras que devem ser seguidas à risca para que os resultados sejam de acordo com o esperado.

(4)

10)

Alternativas:

O quadro de ameaças é uma forma mais prática de elencar os possíveis componentes danosos e que deve ser conhecido por toda a organização. Este quadro deve especificar _________________ para que seja possível sua identificação clara e objetiva, além de citar ______________________ para fins de categorização. Neste raciocínio, recomenda-se elencar ___________________ da ameaça para que tratativas específicas possam ser aplicadas. Assinale a alternativa que completa adequadamente as lacunas acima:

Alternativas: Código da questão: 55133 I - II - IV - V. I - III - V. II - III - IV. I - IV I - II - III.

O nome da ameaça; Os impactos; O prazo de solução. O nível de criticidade; Sua origem; O modo de solução. A origem; O impacto; O modo de solução.

O nome da ameaça; Seu tipo; A origem.

O tipo de ameaça; Seu nome; Os prazos de solução.