Resposta a incidentes e organização

Em um PC de trabalho, o software antivírus exibe um alerta de que “detectou um malware”, e o funcionamento do PC também ficou instável. O que o usuário deve fazer primeiro?

1. Excluir todo o histórico de detecções e os logs de alertas do software antivírus para que o alerta pare de aparecer
2. Desconectar o PC da rede, por exemplo desligando o cabo de LAN ou desativando o Wi-Fi
3. Manter pressionado o botão de energia para desligar o PC imediatamente
4. Procurar por conta própria na internet uma ferramenta de remoção, baixá-la, executá-la e tentar remover o malware sozinho

Para um aparelho com suspeita de infecção por malware, a regra é desconectá-lo da rede sem desligar a energia. Qual das alternativas a seguir é o motivo mais adequado para isso?

1. Preservar informações voláteis, como os dados na memória e o estado das conexões de rede, que se perderiam se a energia fosse desligada, para que possam ser usadas na investigação da causa
2. Porque desligar a energia faria com que todos os arquivos do disco rígido fossem criptografados
3. Porque desligar a energia reiniciaria os arquivos de definição do software antivírus
4. Porque desligar a energia funcionaria como um sinal que espalha automaticamente o malware pela rede interna

Segundo a JIS Q 27000, qual das alternativas a seguir descreve da forma mais adequada a relação entre um evento de segurança da informação e um incidente de segurança da informação?

1. Um incidente se refere a uma ocorrência pequena e cotidiana, e somente a parte com perda grande o bastante para exigir um comunicado à direção é chamada separadamente de evento.
2. Um evento se refere apenas a algo causado por um ataque de fora da organização, e um incidente se refere apenas a algo causado por uma pessoa interna que violou um regulamento.
3. Evento e incidente são sinônimos e diferem apenas no termo usado ao redigir um relatório.
4. Um evento indica a ocorrência de algo relacionado à segurança, e, entre esses, os que são considerados com alta probabilidade de comprometer as operações do negócio e ameaçar a segurança da informação são incidentes.

Qual das alternativas a seguir coloca corretamente as etapas da resposta a incidentes na sua sequência típica?

1. Análise e investigação → detecção e recebimento → comunicado → resposta inicial (triagem) → prevenção de recorrência → contenção e recuperação
2. Detecção e recebimento → análise e investigação → prevenção de recorrência → resposta inicial (triagem) → contenção e recuperação → comunicado
3. Detecção e recebimento → resposta inicial (triagem) → análise e investigação → contenção e recuperação → comunicado → prevenção de recorrência
4. Resposta inicial (triagem) → detecção e recebimento → contenção e recuperação → prevenção de recorrência → análise e investigação → comunicado

Um funcionário abriu um anexo de um e-mail que se fazia passar por um parceiro de negócios. Nada pareceu acontecer logo depois de abri-lo, mas o funcionário ficou preocupado. O que esse funcionário deve fazer primeiro?

1. Para descobrir se o e-mail era realmente suspeito, enviar um e-mail de consulta ao endereço do remetente e esperar uma resposta
2. Só por garantia, abrir o anexo de novo e verificar com cuidado, por conta própria, cada detalhe em busca de algo anormal
3. Desconectar o aparelho da rede e comunicar imediatamente o seu superior e a equipe de segurança da informação (CSIRT)
4. Como nada de especial aconteceu depois de abrir o anexo, esperar um tempo para ver e só comunicar ao ponto de contato quando algo anormal aparecer

Qual das alternativas a seguir descreve da forma mais adequada a triagem na resposta a incidentes?

1. Estimar rapidamente o alcance do impacto e a urgência de um caso comunicado e decidir a prioridade e quem vai cuidar dele
2. Dedicar tempo a identificar a causa raiz de um incidente e decidir e executar uma medida permanente para evitar a recorrência
3. Pedir ao funcionário de cada departamento que confirme, um por um, que as operações voltaram ao normal depois da recuperação
4. Confirmar, usando valores de hash, que as provas coletadas não foram alteradas ao longo do caminho, e registrar essa confirmação

Um funcionário percebe que um e-mail com uma lista de clientes anexada foi enviado ao destinatário errado, uma outra empresa externa. O que deve ser feito primeiro?

1. Telefonar ele mesmo ao destinatário para explicar a situação e, se ele prometer excluir o e-mail, deixar de comunicar o caso internamente
2. Registrar os fatos — o destinatário, o horário do envio e o conteúdo do anexo — e comunicar imediatamente o seu superior e o responsável pela segurança da informação
3. Excluir o e-mail da sua própria pasta de enviados para que não reste nenhum registro do envio em nenhum lugar da empresa
4. Para não causar transtornos aos clientes, telefonar a cada cliente afetado para pedir desculpas antes de avisar o seu superior

Qual das alternativas a seguir descreve da forma mais adequada a diferença entre o gerenciamento de incidentes e o gerenciamento de problemas?

1. O gerenciamento de incidentes visa identificar a causa raiz e evitar a recorrência, enquanto o gerenciamento de problemas visa aplicar uma solução de contorno temporária.
2. O gerenciamento de incidentes visa restabelecer o serviço o mais rápido possível, enquanto o gerenciamento de problemas visa identificar a causa raiz e evitar a recorrência.
3. O gerenciamento de incidentes é feito pela direção, e o gerenciamento de problemas pelo departamento da linha de frente — a diferença está em quem é o responsável.
4. O gerenciamento de incidentes trata apenas de casos de segurança da informação, e o gerenciamento de problemas trata apenas de falhas no sistema.

Um funcionário percebe que perdeu, fora do escritório, um notebook fornecido pela empresa que contém informações de clientes. O que esse funcionário deve fazer primeiro?

1. Como há chance de que ele apareça, procurá-lo por conta própria naquele dia e só comunicar na manhã seguinte se não for encontrado
2. Anotar o horário e as circunstâncias em que percebeu a perda e entrar em contato imediatamente com o seu superior e a equipe de segurança da informação
3. Primeiro registrar a perda na delegacia de polícia mais próxima e só comunicar internamente se o notebook nunca for encontrado
4. Entrar em contato com o cliente por decisão própria e informá-lo antes de tudo de que existe a possibilidade de as suas informações terem vazado

Um funcionário que revisava os logs do servidor encontrou um registro que mostra repetidas tentativas de login em uma conta de administrador tarde da noite, uma das quais teve sucesso. O que deve ser feito primeiro?

1. Simplesmente reinicializar o servidor por enquanto, restaurá-lo a partir do backup e continuar o trabalho normalmente
2. Preservar o log em questão (guardá-lo de modo que não possa ser sobrescrito) e comunicá-lo ao CSIRT e ao seu superior
3. Como as entradas do log são confusas, excluir as linhas em questão para organizá-lo e facilitar a leitura
4. Conectar-se por conta própria ao endereço IP que parece ser a origem do ataque, investigar o sistema da outra parte e se preparar para revidar

Qual das alternativas a seguir é a forma mais adequada de realizar a preservação de provas na forense digital?

1. Excluir primeiro os arquivos desnecessários que atrapalhariam a análise e delimitar o alvo antes de fazer uma cópia
2. Analisar diretamente o disco original em questão e extrair e salvar apenas os arquivos necessários
3. Como a investigação leva tempo, continuar o trabalho com um revezamento de funcionários, sem manter nenhum registro
4. Fazer uma cópia do disco em questão, demonstrar com um valor de hash que ela é idêntica e então analisar a cópia

Qual das alternativas a seguir é o papel mais adequado para um CSIRT criado dentro de uma empresa?

1. Receber os comunicados de incidentes por um único ponto de contato, decidir a triagem e a política de resposta e coordenar a comunicação dentro e fora da empresa
2. Auditar os sistemas de informação da empresa e, a partir de uma posição independente, apresentar à direção um relatório de auditoria com recomendações de melhoria
3. Assumir o desenvolvimento de sistemas de informação e cuidar de tudo, desde o projeto e a implementação das funções de segurança até a manutenção após a implantação
4. Monitorar continuamente a frequência dos funcionários e aplicar medidas disciplinares a quem violar as regras de trabalho

Qual das alternativas a seguir descreve da forma mais adequada a diferença de papéis entre um CSIRT e um SOC?

1. O SOC cuida apenas do trabalho de recuperação depois que ocorre um incidente, e o CSIRT cuida apenas do monitoramento contínuo de logs e alertas em tempos normais, ficando de fora da coordenação da resposta.
2. O SOC é responsável por reportar à direção e cuidar das relações públicas, e o CSIRT é responsável apenas por alterar a configuração dos equipamentos.
3. O SOC detecta e analisa sinais de ataque por meio do monitoramento contínuo de logs e alertas, e o CSIRT decide a política de resposta para um caso detectado e a coordena dentro e fora da empresa.
4. O SOC responde a vulnerabilidades nos produtos que a própria empresa fornece, e o CSIRT cuida apenas das consultas vindas de fora da empresa.

Qual das alternativas a seguir descreve da forma mais adequada um PSIRT?

1. Uma equipe que monitora continuamente, 24 horas por dia, a rede interna e os servidores da própria empresa, detectando anomalias de comunicação em um estágio inicial
2. Uma organização em que empresas associadas de um setor reúnem informações sobre ameaças, analisam-nas e compartilham amplamente os resultados entre as empresas associadas
3. Uma equipe que recebe informações sobre vulnerabilidades nos produtos ou serviços que a própria empresa fornece e cuida da disponibilização de correções e da notificação aos clientes
4. Uma organização que formula a estratégia de cibersegurança de todo o governo e define e publica padrões unificados que cada ministério deve seguir

Qual organização japonesa recebe comunicados de incidentes, coordena as partes envolvidas, articula-se com CSIRTs de outros países e emite alertas?

1. ISMS-AC
2. NISC
3. a Comissão de Proteção de Informações Pessoais
4. JPCERT/CC

Qual das alternativas a seguir descreve da forma mais adequada a atividade do J-CRAT?

1. Reunir informações sobre contramedidas para vulnerabilidades e publicá-las para os usuários em um portal
2. Receber consultas de organizações com suspeita de terem sofrido um ataque direcionado e apoiá-las para impedir que os danos se espalhem e para responder rapidamente
3. Acreditar organismos de certificação de sistemas de gestão da segurança da informação
4. Tornar anônimas as informações sobre ataques direcionados que as organizações participantes reúnem e compartilhá-las, ajudando outras organizações a perceber as ameaças cedo

Você encontrou uma vulnerabilidade ainda não divulgada em um produto de software que a sua empresa usa. Qual das alternativas a seguir é a forma mais adequada de lidar com ela segundo a Parceria de Alerta Antecipado de Segurança da Informação?

1. Para verificar se ela pode realmente ser explorada, testá-la no servidor de outra empresa que roda o mesmo produto, disponível publicamente.
2. Comunicar as informações sobre a vulnerabilidade ao IPA e aguardar que o JPCERT/CC faça a coordenação com o desenvolvedor e providencie a divulgação.
3. Se ela não afetar a sua própria empresa, mantê-la totalmente dentro da empresa, tomar contramedidas internamente e não contar a ninguém.
4. Para alertar imediatamente os usuários sobre o perigo, publicar já nas redes sociais os detalhes da vulnerabilidade e como reproduzi-la.

Qual das alternativas a seguir descreve da forma mais adequada o SIEM?

1. Um mecanismo que reúne de forma centralizada os logs de diversos equipamentos e softwares e detecta, por meio da análise de correlação, sinais de um ataque que não seriam percebidos em nenhum log isolado
2. Um mecanismo que criptografa o conteúdo das comunicações para que, mesmo que seja interceptado no caminho, não possa ser lido
3. Um mecanismo que replica os dados importantes em um local remoto para que as operações possam ser retomadas rapidamente e continuar mesmo depois de um desastre
4. Um mecanismo que obriga os usuários dos aparelhos a trocar a senha periodicamente e proíbe reutilizá-la em outros serviços

Qual das alternativas a seguir descreve da forma mais adequada um exercício de mesa (tabletop) realizado como preparação para um incidente de segurança da informação?

1. Um exercício em que o sistema é de fato colocado fora do ar, o trabalho de recuperação é feito passo a passo no ambiente de produção, e o tempo gasto é medido e registrado
2. Um exercício em que e-mails de treinamento são enviados a todos os usuários de uma vez, contabilizando quantas pessoas os abriram e quantas os comunicaram ao ponto de contato
3. Um exercício em que um cenário de danos hipotético é apresentado no papel e os envolvidos se reúnem para percorrer o fluxo de decisões e comunicações, descobrindo lacunas no procedimento
4. Uma avaliação em que especialistas externos tentam de fato um ataque para testar se conseguem invadir o sistema e relatam os resultados

Um funcionário do departamento de vendas percebe um caso em que um arquivo com dados pessoais de clientes pode ter vazado para fora. O que esse funcionário deve fazer primeiro?

1. Seguir o canal de comunicação definido no regulamento interno e comunicar imediatamente o gestor de proteção de dados pessoais ou o responsável pela segurança da informação
2. Investigar o caso apenas dentro do departamento e só comunicar internamente quando tiver certeza de que houve vazamento
3. Como ainda não está confirmado se houve vazamento, entrar em contato individualmente com os clientes que possam ter sido afetados para verificar
4. Telefonar diretamente, em nome próprio, à Comissão de Proteção de Informações Pessoais para explicar a situação e só comunicar o seu superior interno depois de receber as instruções da Comissão

Em relação à comunicação de um vazamento de dados pessoais à Comissão de Proteção de Informações Pessoais, qual das alternativas a seguir é a mais adequada?

1. Enviar um relatório preliminar prontamente após tomar conhecimento da situação e enviar o relatório final, em princípio, em até 30 dias (em até 60 dias para uma situação com suspeita de ter sido praticada com intenção ilícita)
2. Não é preciso enviar nem o relatório preliminar nem o final até que a investigação termine e a causa e o alcance sejam confirmados; um único relatório combinado pode ser enviado depois
3. Os relatórios são aceitos apenas por escrito e devem ser enviados à Comissão de Proteção de Informações Pessoais em até três meses após tomar conhecimento da situação
4. Não há distinção entre relatório preliminar e final; um único relatório que cobre tudo é enviado em até um ano após tomar conhecimento da situação

Entre os casos de vazamento de dados pessoais, qual das alternativas a seguir NÃO é uma situação em que a comunicação à Comissão de Proteção de Informações Pessoais é obrigatória?

1. Uma situação em que vazaram dados pessoais com números de cartão de crédito, criando o risco de danos financeiros por uso fraudulento
2. Uma situação em que dados pessoais mantidos pela organização podem ter sido levados para fora devido a um acesso não autorizado vindo de fora
3. Uma situação em que vazaram para fora dados pessoais que contêm informações pessoais que exigem atenção especial, como o histórico médico de um funcionário
4. Uma situação em que um documento de desenvolvimento de produto de uso exclusivamente interno foi enviado por engano para fora, mas não continha dados pessoais

Em relação à notificação das pessoas afetadas quando ocorre um vazamento de dados pessoais, qual das alternativas a seguir é a mais adequada?

1. Notificar as pessoas afetadas é apenas um dever de se esforçar, sem obrigatoriedade, então, se o regulamento interno decidir com antecedência não notificá-las, nada precisa ser feito, nem mesmo um anúncio público ou um canal de atendimento
2. Notificá-las prontamente conforme as circunstâncias da situação, mas, quando a notificação for difícil, por exemplo porque os dados de contato são desconhecidos, podem ser adotadas medidas alternativas, como um anúncio público ou a criação de um canal de atendimento
3. As pessoas afetadas não podem ser notificadas antes que o relatório final seja enviado à Comissão de Proteção de Informações Pessoais e o seu conteúdo seja confirmado
4. Desde que o comunicado à Comissão de Proteção de Informações Pessoais seja enviado dentro do prazo, a notificação das pessoas afetadas se torna desnecessária em todos os casos

Em relação à independência de um auditor de sistemas, qual das alternativas a seguir é a mais adequada?

1. O auditor deve executar pessoalmente o trabalho de melhoria referente a uma constatação que ele apontou e confirmar pessoalmente o resultado
2. O auditor não deve auditar um sistema de informação em cujo projeto, desenvolvimento ou operação ele próprio tenha se envolvido
3. O auditor pode auditar o departamento auditado enquanto também cuida do trabalho diário desse departamento como um de seus membros
4. O auditor deve ser independente da direção e não deve apresentar o relatório de auditoria à direção

Em relação a como deve ser conduzida uma auditoria de sistemas, qual das alternativas a seguir é a mais adequada?

1. Como a impressão do próprio auditor é o que mais importa, dispensar o trabalho de reunir provas objetivas, como uma trilha de auditoria
2. Realizar primeiro a investigação principal para reunir os fatos e só depois elaborar o plano de auditoria e os procedimentos de auditoria de acordo com o que foi encontrado
3. A auditoria se conclui quando o relatório de auditoria é apresentado à direção, por isso o acompanhamento que depois confirma se as constatações apontadas foram corrigidas é omitido
4. Elaborar um plano de auditoria, compreender o panorama por meio de uma investigação preliminar, realizar a investigação principal, passar pela avaliação e pelas conclusões, apresentar um relatório e então confirmar a situação das melhorias por meio de um acompanhamento