Gestão da segurança da informação

Qual das alternativas a seguir descreve da forma mais adequada um ativo de informação no contexto da segurança da informação?

1. Refere-se apenas a equipamentos de informática, como servidores e PCs, e aos dados eletrônicos armazenados neles, sem incluir documentos impressos guardados em papel.
2. Refere-se apenas a dados digitalizados, excluindo documentos em papel e os procedimentos ou o know-how que só determinados funcionários conhecem.
3. Inclui de forma ampla dados, documentos, equipamentos e software, além de coisas valiosas para a organização, como o conhecimento que as pessoas possuem e a reputação da empresa.
4. Só contam como ativos de informação as coisas cujo valor pode ser estimado em dinheiro; as que não podem ser convertidas em valor monetário, como a confiança ou a marca, ficam fora do escopo da gestão.

Qual das alternativas a seguir NÃO é um item adequado para registrar em um inventário de ativos de informação?

1. O nome do ativo e o nome da pessoa responsável pela sua gestão (o seu proprietário)
2. A própria senha do usuário que acessa esse ativo
3. O local de armazenamento e o tipo de mídia em que ele está gravado
4. O nível de confidencialidade da informação e a sua classificação de importância para o negócio

Qual é o principal objetivo de classificar e rotular as informações como confidenciais, de uso interno, públicas etc.?

1. Para que quem lida com a informação possa julgar quanta proteção ela exige.
2. Para reduzir o espaço em disco necessário para armazenar a informação e cortar os custos de armazenamento.
3. Para eliminar totalmente a necessidade de classificar e rotular, criptografando todas as informações.
4. Para eliminar a necessidade de coletar e guardar logs de acesso.

Qual das alternativas a seguir é o papel mais adequado do responsável pela gestão de um ativo de informação (o proprietário do ativo)?

1. Auditar o ISMS da organização a partir de uma posição de terceiro e relatar um julgamento sobre se a certificação deve ser concedida.
2. Operar o ativo no dia a dia, cuidando de tarefas como inserir e atualizar dados como parte do trabalho diário.
3. Decidir a classificação do ativo, aprovar quem recebe qual nível de acesso e revisar isso periodicamente.
4. Executar de fato as mudanças de configuração em equipamentos de rede ou servidores.

Uma empresa vai terceirizar a uma empresa externa o descarte do disco rígido interno de um PC usado internamente. Do ponto de vista da prevenção de vazamento de informações, qual providência é a mais adequada?

1. Mover os arquivos em questão para a lixeira, esvaziá-la, confirmar na tela que foram excluídos e então entregar o disco à empresa.
2. Executar uma formatação rápida, confirmar na tela que os arquivos sumiram e entregar o disco à empresa do jeito que está.
3. Excluir apenas os arquivos importantes, deixar o restante como está e entregar o disco.
4. Realizar o apagamento por sobrescrita com um software de eliminação de dados ou a destruição física, e confirmá-lo presenciando o trabalho ou recebendo um certificado de apagamento.

Qual das alternativas a seguir é a forma mais adequada de descartar um documento em papel classificado como de uso interno?

1. Rasgá-lo ao meio e colocá-lo junto com os recicláveis.
2. Colocá-lo misturado ao lixo comum, para que seja mais difícil de ser notado por pessoas de fora.
3. Cobrir de preto apenas o título e depois descartá-lo assim mesmo.
4. Triturá-lo na fragmentadora ou terceirizar o seu processamento por dissolução.

Qual das alternativas a seguir é o motivo mais adequado para fazer periodicamente o inventário dos ativos de informação?

1. Para negociar a redução do preço de compra dos ativos de informação e conter o custo de aquisição ou substituição de equipamentos.
2. Para eliminar qualquer diferença entre o que o inventário registra e os ativos que realmente existem, de modo que os controles sejam aplicados sem lacunas.
3. Para garantir que o número total de ativos de informação da organização seja reduzido todos os anos, aliviando o trabalho de gestão.
4. Para acompanhar a frequência dos funcionários e revisar a distribuição do pessoal.

Considerando o ciclo de vida da informação como criação → uso → armazenamento → transporte → descarte, qual das alternativas a seguir é o conjunto de controles mais adequado para cada etapa?

1. Se o transporte for feito pelo malote interno, o registro de entrega pode ser dispensado.
2. Como a informação armazenada fica dentro da empresa e está segura, configurar direitos de acesso não é particularmente necessário.
3. Não decidir a classificação na etapa de criação; decidir a classificação e o tratamento de uma só vez apenas quando chegar a hora de descartar a informação.
4. Guardar trancada ou criptografar a informação durante o armazenamento; lacrá-la e manter um registro de entrega durante o transporte; e apagá-la ou destruí-la fisicamente no descarte.

Qual das alternativas a seguir é a forma de pensar mais adequada ao decidir o nível de classificação de uma informação?

1. Decidir apenas pela mídia em que ela está gravada — por exemplo, tratando todo arquivo eletrônico como confidencial e todo documento em papel como de uso interno.
2. Quanto mais pessoas houver no departamento que criou a informação, mais alta deve ser a sua classificação.
3. Decidir com base não só no impacto de um vazamento, mas também no impacto de uma adulteração ou de a informação ficar indisponível.
4. Uma vez decidida a classificação de uma informação, continuar a usá-la como está, sem revisão, mesmo que o conteúdo ou as circunstâncias mudem.

Qual das alternativas a seguir coloca corretamente as três atividades que compõem o processo de avaliação de riscos na sequência em que são realizadas?

1. Avaliação de riscos → análise de riscos → identificação de riscos
2. Identificação de riscos → avaliação de riscos → análise de riscos
3. Identificação de riscos → análise de riscos → avaliação de riscos
4. Análise de riscos → identificação de riscos → avaliação de riscos

A equipe identificou e anotou o seguinte em uma lista: “A sala de servidores fica no térreo, e uma chuva forte poderia inundá-la e parar os servidores.” A qual atividade do processo de avaliação de riscos esse trabalho corresponde?

1. Tratamento de riscos
2. Aceitação de riscos
3. Identificação de riscos
4. Avaliação de riscos

Qual das alternativas a seguir descreve da forma mais adequada a avaliação de riscos dentro do processo de avaliação de riscos?

1. Comparar o tamanho do risco obtido na análise com um critério de risco para decidir se é necessária uma resposta e em que ordem de prioridade.
2. Encontrar e descrever de forma abrangente os riscos presentes na organização a partir das combinações de ativos de informação, ameaças e vulnerabilidades.
3. Implantar de fato os controles escolhidos, colocá-los em operação e incorporá-los à prática.
4. Estimar separadamente a probabilidade de ocorrência e o grau de impacto e, a partir deles, calcular o tamanho do risco.

Uma organização contratou um seguro cibernético para se preparar para as indenizações e os custos de investigação que surgiriam de um vazamento de informações. Em qual categoria de tratamento de riscos isso se enquadra?

1. Evitar o risco
2. Reduzir o risco (mitigação)
3. Aceitar o risco (retenção)
4. Transferir o risco (compartilhamento)

Um determinado incidente causa uma perda de 6 milhões de ienes cada vez que ocorre, e espera-se que ocorra uma vez a cada dois anos. Qual é a expectativa de perda anual (ALE) desse incidente?

1. 1,500,000 ienes
2. 3 milhões de ienes
3. 6 milhões de ienes
4. 12 milhões de ienes

Um desastre causa uma perda de 40 milhões de ienes cada vez que ocorre, e sua probabilidade anual é estimada em 5%. Qual é a expectativa de perda anual (ALE) desse desastre?

1. 8 milhões de ienes
2. 2 milhões de ienes
3. 40 milhões de ienes
4. 4 milhões de ienes

Um determinado risco causa uma perda de 10 milhões de ienes cada vez que ocorre, e sua taxa anual de ocorrência é estimada em 0.4. A implantação de uma contramedida que custa 2.2 milhões de ienes por ano reduziria a taxa anual de ocorrência para 0.1. Qual das alternativas a seguir é a avaliação financeira mais adequada?

1. A contramedida reduz a expectativa de perda anual de 10 milhões de ienes para 1 milhão de ienes, uma redução de 9 milhões de ienes, que supera em muito o custo, então vale a pena.
2. A contramedida reduz a expectativa de perda anual de 4 milhões de ienes para 1 milhão de ienes, uma redução de 2 milhões de ienes, que fica abaixo do custo de 2,200,000 ienes, então não vale a pena.
3. A contramedida reduz a expectativa de perda anual de 4 milhões de ienes para 1 milhão de ienes, uma redução de 3 milhões de ienes, que supera o custo de 2,200,000 ienes, então vale a pena.
4. Como a taxa anual de ocorrência não foi reduzida a zero, o efeito da contramedida não pode ser avaliado em termos monetários.

Um negócio de vendas por correspondência que lida com um grande volume de dados pessoais, mas não mostra perspectiva de lucro, foi considerado de impacto grande demais caso ocorresse um vazamento, e a empresa se retirou do próprio negócio. Em qual categoria de tratamento de riscos isso se enquadra?

1. Evitar o risco
2. Transferir o risco (compartilhamento)
3. Aceitar o risco (retenção)
4. Reduzir o risco (mitigação)

Para enfrentar o risco de infecção por malware, uma organização implantou um software antivírus, aplicou rigorosamente as atualizações do sistema operacional e treinou os funcionários, diminuindo a probabilidade de infecção. Em qual categoria de tratamento de riscos isso se enquadra?

1. Aceitar o risco (retenção)
2. Reduzir o risco (mitigação)
3. Evitar o risco
4. Transferir o risco (compartilhamento)

Em relação a uma interrupção temporária do mural eletrônico interno, confirmou-se que o impacto nas operações era pequeno e que a perda esperada estava dentro dos critérios de aceitação de riscos; assim, com a aprovação do responsável, decidiu-se não tomar nenhuma contramedida adicional. Em qual categoria de tratamento de riscos isso se enquadra?

1. Transferir o risco (compartilhamento)
2. Evitar o risco
3. Reduzir o risco (mitigação)
4. Aceitar o risco (retenção)

Qual combinação de categoria de tratamento de riscos e exemplo concreto NÃO é adequada?

1. Aceitar o risco — ocorreria uma perda grave o bastante para ameaçar a continuidade do negócio, mas nada é feito porque uma contramedida dá trabalho demais.
2. Evitar o risco — encerrar um serviço on-line considerado perigoso demais e retirar-se desse negócio.
3. Transferir o risco — contratar um seguro para o caso de vazamento de informações, fazendo a seguradora arcar com parte da perda.
4. Reduzir o risco — criptografar os dados importantes e fazer backups periódicos guardados em outro local.

Qual das alternativas a seguir é a forma mais adequada de lidar com o risco residual?

1. Enquanto restar qualquer risco residual, por menor que seja, o tratamento de riscos conta como um fracasso e deve ser refeito até não restar absolutamente nada.
2. O risco residual deve ser tratado caso a caso, a critério do funcionário da linha de frente envolvido, deliberadamente sem manter nenhum registro do julgamento.
3. Como a execução do tratamento de riscos sempre reduz o risco residual a zero, não há necessidade de revisar e aprovar novamente o conteúdo depois de concluído o tratamento.
4. É o risco que permanece depois de executado o tratamento de riscos, e alguém em posição de responsabilidade, como a direção, julga e aprova se ele será aceito.

Qual das alternativas a seguir descreve da forma mais adequada a relação entre a JIS Q 27001 e a JIS Q 27002?

1. Ambas são normas que definem apenas terminologia, sem requisitos em seu escopo.
2. A 27001 é um código de prática para a implementação de controles, e a 27002 é a norma que define os requisitos de um ISMS.
3. Ambas são normas que definem requisitos de ISMS, e o seu conteúdo é idêntico.
4. A 27001 é a norma de certificação que define os requisitos de um ISMS, e a 27002 é um código de prática para a implementação de controles.

Uma empresa anunciou: “Obtivemos a certificação JIS Q 27002.” Qual das alternativas a seguir aponta da forma mais adequada o problema dessa afirmação?

1. A 27002 é um código de prática para a implementação de controles, e não uma norma de certificação; a certificação ISMS é concedida com base na JIS Q 27001.
2. A 27002 é uma norma que apresenta terminologia e uma visão geral, e não abrange controles concretos.
3. A 27002 é uma norma que trata apenas da proteção de dados pessoais, por isso não pode ser usada para certificar uma empresa comum que lida com a segurança da informação como um todo.
4. A 27002 é uma norma certificável, mas somente órgãos governamentais e agências administrativas independentes podem obtê-la; as empresas privadas ficam fora do seu escopo.

Qual das alternativas a seguir é o conteúdo mais adequado para registrar na declaração de aplicabilidade de um ISMS?

1. Os controles selecionados, os motivos da seleção, a situação da sua implementação e os motivos da exclusão de quaisquer controles não adotados
2. Uma lista das falhas ocorridas no último ano e um registro que resume o tempo levado para a recuperação de cada uma
3. Rascunhos de cartas de desculpas a enviar aos clientes quando ocorre um incidente e uma lista dos contatos a quem devem ser enviadas
4. Os resultados da avaliação de desempenho de cada funcionário e uma tabela com as metas de trabalho que cada um definiu para o próximo ano

No ciclo PDCA de um ISMS, em qual etapa se situam a auditoria interna e a análise crítica pela direção?

1. Do
2. Check
3. Plan
4. Act

Qual das alternativas a seguir é o ponto mais adequado a ter em mente ao realizar uma auditoria interna de um ISMS?

1. Tratar a auditoria interna como algo realizado apenas por um organismo de certificação externo e supor que a própria organização nunca a realiza.
2. Quando uma não conformidade for encontrada durante uma auditoria interna, apenas dar uma advertência verbal, sem manter nenhum registro.
3. Escolher auditores independentes do trabalho auditado, para que a objetividade e a imparcialidade possam ser mantidas.
4. Para manter a auditoria objetiva, o auditor audita e avalia o trabalho pelo qual ele mesmo é responsável.

Na concessão da Privacy Mark, a conformidade com qual norma é examinada?

1. ISO/IEC 27017
2. JIS Q 27001
3. JIS Q 15001
4. JIS Q 27002

Qual combinação descreve corretamente a ISO/IEC 27017 e a ISO/IEC 27701?

1. A 27017 é um código de prática para controles de segurança da informação para serviços em nuvem, e a 27701 é uma norma para um sistema de gestão da informação de privacidade.
2. A 27017 trata de saúde e segurança ocupacional, e a 27701 trata dos requisitos de gestão da continuidade de negócios.
3. A 27017 é uma norma que trata da segurança dos sistemas de controle usados em fábricas e locais semelhantes, e a 27701 define algoritmos criptográficos padrão e comprimentos de chave.
4. A 27017 é uma norma para um sistema de gestão da qualidade, e a 27701 é uma norma para um sistema de gestão ambiental; nenhuma delas tem relação com a segurança da informação.

Qual das alternativas a seguir descreve da forma mais adequada o sistema de avaliação de conformidade ISMS?

1. Um sistema em que a organização faz uma autoinspeção do próprio ISMS e é considerada certificada simplesmente por declarar, por conta própria, que está em conformidade com os requisitos.
2. Um sistema em que um organismo de certificação terceiro examina se o ISMS de uma organização está em conformidade com os requisitos da JIS Q 27001 e concede a certificação.
3. Um sistema em que um órgão público inspeciona em conjunto as vulnerabilidades dos sistemas de informação que uma organização usa e, se nenhum problema for encontrado, garante publicamente a sua segurança.
4. Um sistema em que, uma vez obtida a certificação, ela permanece válida indefinidamente, sem nenhum exame adicional.

Quando uma política de segurança da informação é organizada em três níveis, qual das alternativas a seguir os ordena corretamente de cima para baixo?

1. Padrões de contramedidas → política básica → procedimentos de implementação
2. Procedimentos de implementação → padrões de contramedidas → política básica
3. Política básica → procedimentos de implementação → padrões de contramedidas
4. Política básica → padrões de contramedidas → procedimentos de implementação

Qual das alternativas a seguir é o conteúdo mais adequado para a política básica de uma política de segurança da informação?

1. Os números de patrimônio dos PCs usados por cada departamento, junto com os seus locais e usuários
2. O nome do produto do software antivírus e os passos concretos para atualizar na tela os seus arquivos de definição
3. As regras de firewall configuradas em cada servidor e uma lista dos números de porta permitidos
4. O objetivo dos esforços de segurança da informação da organização, o seu escopo de aplicação e a responsabilidade da direção e a obrigação de cumprimento

Em qual dos três níveis de uma política de segurança da informação se encaixa uma regra como “A senha usada no trabalho deve ter no mínimo 12 caracteres e incluir letras maiúsculas, letras minúsculas, números e símbolos”?

1. Procedimentos de implementação
2. Padrões de contramedidas
3. Política básica
4. Declaração de aplicabilidade

Qual das alternativas a seguir é a característica mais adequada do nível dos procedimentos de implementação de uma política de segurança da informação?

1. Por ser um documento que mostra a postura da organização, é redigido de forma concisa partindo do pressuposto de que será divulgado externamente, e os valores de configuração concretos são deixados de fora.
2. Uma vez estabelecido, é um documento cujo conteúdo nunca deve ser alterado, mesmo que o sistema seja substituído.
3. É um documento consultado apenas pela direção, nunca distribuído aos funcionários da linha de frente, e o seu conteúdo é mantido em sigilo mesmo durante a operação.
4. Mostra passos concretos de operação e valores de configuração, quem é o responsável e como os registros são mantidos, e é revisado com frequência à medida que os sistemas mudam.

Qual das alternativas a seguir é o papel mais adequado de um CISO?

1. Servir de ponto de contato para as consultas dos clientes, orientando-os sobre como usar ou configurar os produtos da empresa.
2. Cuidar de tarefas como instalar os PCs em cada departamento ou fazer o cabeamento da rede.
3. Supervisionar a estratégia e as medidas de segurança da informação da organização como um todo e reportar à direção.
4. Examinar o ISMS da organização a partir de uma posição de terceiro e decidir objetivamente se a certificação deve ser concedida.

Por exigência de um parceiro de negócios, tornou-se necessário usar um serviço de compartilhamento de arquivos cujo uso é proibido pelo regulamento interno. Qual é a providência mais adequada para o funcionário envolvido?

1. Solicitar uma exceção, informando o motivo do uso, os dados envolvidos, o período e um controle alternativo, e usar o serviço somente depois de obter a aprovação do responsável e de registrá-la.
2. Não dizer nada ao parceiro de negócios e acabar trocando dados de trabalho por meio de uma conta pessoal na nuvem, fora do controle da empresa
3. Interpretar a situação como não prevista no regulamento interno e começar a usar o serviço imediatamente por decisão pessoal, dando prioridade ao andamento do trabalho
4. Considerar que a instrução do parceiro de negócios prevalece sobre o regulamento interno, começar a usar o serviço sem nenhuma aprovação ou registro do responsável e fazer depois apenas um breve relato verbal

Qual das alternativas a seguir descreve da forma mais adequada as Diretrizes de Gestão da Cibersegurança?

1. Um documento técnico voltado a engenheiros de sistemas de informação, que estabelece em detalhes valores de configuração e procedimentos de trabalho para firewalls e servidores.
2. Um conjunto de orientações para a direção, que apresenta três princípios dos quais os executivos devem estar cientes e dez itens importantes que os executivos devem mandar o seu CISO e outros executarem.
3. Uma lei que define as obrigações que as empresas que tratam dados pessoais devem cumprir e as penalidades legais por violá-las.
4. Uma norma internacional que define os requisitos que uma organização que busca a certificação ISMS deve satisfazer, usada como critério do exame por terceiros.

Qual das alternativas a seguir é a prática mais adequada para divulgar e revisar os regulamentos relacionados à segurança da informação?

1. Divulgá-los às pessoas envolvidas por meio do treinamento de integração e de sessões periódicas adaptadas ao público, e revisá-los sempre que uma lei for alterada, uma nova tecnologia for introduzida, a organização mudar, ocorrer um incidente ou uma auditoria apontar uma constatação.
2. Quando ocorrer uma violação, tratá-la uniformemente como responsabilidade do próprio funcionário, mesmo que o regulamento nunca lhe tenha sido divulgado, e dispensar a revisão do regulamento.
3. Uma vez estabelecidos os regulamentos, mantê-los inalterados mesmo quando uma lei for alterada ou a organização mudar.
4. Basta colocar os regulamentos em um servidor interno onde qualquer um possa vê-los; não há nenhuma necessidade especial de divulgá-los novamente por meio do treinamento de integração ou de sessões periódicas.

Qual das alternativas a seguir descreve da forma mais adequada a relação entre um BCP e a BCM?

1. O BCP é um documento compilado para a direção ler, e a BCM é um documento compilado para os funcionários da linha de frente lerem — uma distinção baseada apenas no leitor pretendido.
2. BCP e BCM significam a mesma coisa; os dois termos são sinônimos.
3. O BCP é o próprio plano, que estabelece como as operações críticas serão continuadas e recuperadas, e a BCM é o conjunto da atividade de gestão que formula esse plano e continua a treinar, simular, verificar e revisar.
4. O BCP se refere a todo o conjunto das operações diárias de segurança da informação, e a BCM se refere apenas às medidas técnicas dentro dele, como a configuração e o monitoramento de equipamentos.

Qual combinação descreve corretamente o RTO e o RPO?

1. O RTO é a meta de até qual ponto no tempo os dados serão restaurados, e o RPO é a meta de quanto tempo pode ser gasto desde a falha até a recuperação.
2. Tanto o RTO quanto o RPO representam o nível-alvo ao qual as operações devem ser restabelecidas após a recuperação, e não há diferença entre eles.
3. O RTO representa o número de gerações de backup mantidas, e o RPO representa o tipo de mídia de armazenamento usada para os backups.
4. O RTO é a meta de quanto tempo pode ser gasto desde a falha até a recuperação, e o RPO é a meta de até qual ponto no tempo os dados serão restaurados.

Um sistema definiu o seu RPO em 4 horas. Qual das práticas operacionais a seguir é a mais adequada para cumprir essa meta?

1. Estabelecer uma estrutura e procedimentos capazes de restaurar o sistema em até 4 horas após a ocorrência de uma falha, e também realizar simulações regulares de recuperação.
2. Fazer backups pelo menos a cada 4 horas, para que, em caso de falha, não se percam mais do que as 4 horas mais recentes de dados.
3. Definir como meta restabelecer a capacidade de processamento do sistema, depois de recuperado, a pelo menos um quarto do nível normal, e montar uma estrutura com base nisso.
4. Preparar quatro tipos diferentes de mídia de backup e passar a guardar cada uma delas em um local separado.

Um plano de continuidade de negócios estabelece: “Após a ocorrência de um desastre, retomar primeiro apenas as operações de recebimento de pedidos, com 50% da capacidade normal de processamento.” Qual métrica representa essa meta?

1. BIA (análise de impacto nos negócios)
2. RPO (objetivo de ponto de recuperação)
3. RLO (objetivo de nível de recuperação)
4. RTO (objetivo de tempo de recuperação)

Qual das alternativas a seguir é o objetivo mais adequado de uma análise de impacto nos negócios (BIA)?

1. Medir a carga de trabalho e as horas trabalhadas de cada funcionário para otimizar a distribuição do pessoal por departamento.
2. Inspecionar de forma abrangente as vulnerabilidades presentes em um sistema de informação para identificar o que precisa ser corrigido e com que prioridade, e elaborar antecipadamente um plano de correção.
3. Analisar o tamanho e a extensão no tempo do impacto caso as operações parem, para identificar quais operações críticas devem ser recuperadas primeiro e de quais recursos elas dependem.
4. Comparar os preços unitários das mídias de backup e escolher a mais barata para cortar custos.

Um backup completo é feito no domingo, e um backup incremental é feito todos os dias, de segunda a sábado. Se ocorrer uma falha na quinta-feira à noite, qual combinação de backups é necessária para restaurar o sistema?

1. Apenas dois: o backup completo feito no domingo e o backup incremental feito na quinta-feira
2. Todos os backups incrementais de segunda a quinta-feira, excluindo o backup completo de domingo
3. O backup completo de domingo e todos os backups incrementais de segunda, terça, quarta e quinta-feira
4. Apenas o backup incremental feito na quinta-feira, o imediatamente anterior à falha, sem nenhum dos anteriores

Um backup completo é feito no domingo, e um backup diferencial é feito todos os dias, de segunda a sábado. Se ocorrer uma falha na quinta-feira à noite, qual combinação de backups é necessária para restaurar o sistema?

1. Apenas o backup diferencial de quinta-feira
2. Todos os backups diferenciais de segunda a quinta-feira
3. O backup completo de domingo e o backup diferencial de quinta-feira
4. O backup completo de domingo e todos os backups diferenciais de segunda, terça, quarta e quinta-feira

Qual das alternativas a seguir descreve da forma mais adequada a regra de backup 3-2-1 e como ela deve ser aplicada ao armazenamento como contramedida contra ransomware?

1. É uma orientação para um procedimento em que três funcionários fazem uma dupla verificação e um responsável aprova antes de o backup ser feito.
2. É uma orientação sobre a frequência dos backups e por quanto tempo guardá-los: fazer backups três vezes por dia, guardar o equivalente a duas semanas e descartar tudo o que tiver mais de um ano.
3. Manter três cópias dos dados, incluindo o original, em dois tipos diferentes de mídia, com uma delas guardada em um local separado; além disso, desconectar o backup da rede e guardá-lo off-line depois de feito.
4. É um esquema de armazenamento que criptografa duplamente os dados com três algoritmos criptográficos diferentes e gerencia as chaves de forma centralizada em um único local.