Sobre o momento e o conteúdo do treinamento de segurança da informação para novos funcionários, qual das alternativas a seguir é a mais adequada?
Antes de começarem a trabalhar, explicar a política de segurança da informação da empresa e as normas que devem seguir no trabalho
Deixar que primeiro vivenciem o trabalho do departamento para o qual foram designados durante um ano e só dar o treinamento depois que eles próprios sentirem a necessidade
Direcioná-lo apenas a quem foi designado para o departamento de sistemas de informação, explicando em detalhe os procedimentos de configuração dos equipamentos
Como há um treinamento anual separado para toda a empresa, dispensar o treinamento individual dos novos funcionários e incluí-lo no treinamento anual
RespostaA. Antes de começarem a trabalhar, explicar a política de segurança da informação da empresa e as normas que devem seguir no trabalho
Começar a trabalhar sem conhecer as normas (規程) torna uma violação praticamente inevitável, por isso o princípio é transmitir a política (方針) e as normas a seguir antes do início do trabalho. Esperar um ano ou até o treinamento anual é inadequado porque cria um período de lacuna nesse intervalo. Explicar procedimentos de configuração é um treinamento adicional para uma função específica e não substitui o treinamento básico necessário a todos que lidam com informações.
Questão 2 | O objetivo do exercício simulado
Qual das alternativas a seguir é o objetivo mais adequado para realizar um exercício simulado de e-mail de ataque direcionado?
Verificar se as regras de comunicação do firewall estão configuradas corretamente
Analisar as amostras de malware coletadas no exercício para criar novos arquivos de padrões
Identificar e punir os funcionários que abriram o e-mail do exercício, para evitar a recorrência
Consolidar o comportamento de não abrir um e-mail suspeito e comunicá-lo imediatamente ao ponto de contato
RespostaD. Consolidar o comportamento de não abrir um e-mail suspeito e comunicá-lo imediatamente ao ponto de contato
O objetivo do exercício simulado de e-mail de ataque direcionado (標的型攻撃メール訓練) é consolidar o comportamento de não abrir um e-mail suspeito e comunicá-lo imediatamente, e confirmar que o ponto de contato para comunicação (報告窓口) realmente funciona. Usá-lo para punição cria um ambiente em que fica difícil comunicar e tem efeito contrário. O e-mail do exercício é uma simulação inofensiva, e não um meio de coletar amostras de malware. Verificar as regras do firewall é uma tarefa de conferir a configuração e tem um objetivo diferente de um exercício que mede o comportamento das pessoas.
Questão 3 | NDA
Sobre o acordo de confidencialidade (NDA) firmado com um funcionário, qual das alternativas a seguir é adequada?
Uma vez assinado o acordo, não há mais necessidade de verificar as práticas de gestão da empresa contratada
É firmado apenas com funcionários efetivos; trabalhadores temporários e de meio período podem ser excluídos
É comum estabelecer que o dever de sigilo continua por um período determinado mesmo após o desligamento da empresa
Vale somente enquanto a pessoa continua empregada, e o dever de sigilo desaparece no momento em que ela sai
RespostaC. É comum estabelecer que o dever de sigilo continua por um período determinado mesmo após o desligamento da empresa
Como os segredos continuam tendo valor mesmo depois que alguém sai, é normal estabelecer que a obrigação continua por um período determinado após o desligamento e reconfirmar isso no momento da saída. Deve-se obter um termo de compromisso (誓約) de todos que têm acesso às informações, independentemente do tipo de vínculo, por isso excluir trabalhadores temporários ou de meio período é inadequado. Um contrato é apenas uma promessa e não é motivo para deixar de verificar como ele está sendo cumprido na prática.
Questão 4 | No desligamento de um funcionário
Sobre os procedimentos de segurança da informação que acompanham o desligamento de um funcionário, qual das alternativas a seguir é a mais adequada?
Desativar a conta do sistema de negócios até o último dia de trabalho do funcionário e recolher os equipamentos emprestados
Não recolher itens emprestados, como crachá ou chaves, até que a própria pessoa se ofereça para devolvê-los
Como o dever de sigilo desaparece com o desligamento, dispensar a reconfirmação no momento da saída
Deixar a conta utilizável mesmo após o desligamento, para que ainda seja possível responder a consultas sobre o trabalho
RespostaA. Desativar a conta do sistema de negócios até o último dia de trabalho do funcionário e recolher os equipamentos emprestados
Se a conta de um funcionário que saiu continuar utilizável, o uso indevido por um terceiro será registrado como se fosse uso legítimo, o que dificulta a detecção; por isso, o princípio é desativá-la e recolher os itens emprestados até o último dia de trabalho. Se for preciso alguém para atender consultas posteriores, basta designar um sucessor (引継ぎ先) para isso. Deixar o recolhimento a cargo da própria pessoa e negar que o dever de sigilo continua após o desligamento são ambos errados.
Questão 5 | Categorias de contramedidas
As medidas de segurança da informação podem ser organizadas em medidas humanas, técnicas e físicas. Qual das alternativas a seguir é uma medida humana?
Criptografar arquivos importantes antes de armazená-los
Controlar a entrada e a saída da sala de servidores com cartões IC
Usar um firewall para bloquear comunicações desnecessárias vindas de fora da empresa
Realizar um exercício simulado de e-mail de ataque direcionado para todos os funcionários
RespostaD. Realizar um exercício simulado de e-mail de ataque direcionado para todos os funcionários
Uma medida humana (人的対策) atua sobre o comportamento das pessoas por meio de educação, treinamento, normas e contratos, e a realização de um exercício simulado se enquadra nisso. O controle de entrada e saída com cartões IC é uma medida física (物理的対策) que protege um local e suas instalações, e bloquear o tráfego com um firewall ou criptografar arquivos são medidas técnicas (技術的対策) que dependem das funções de equipamentos ou de software.
Questão 6 | Um parceiro terceirizado
Sobre como agir quando um trabalho é terceirizado e os funcionários da empresa contratada lidam com os dados pessoais da empresa, qual das alternativas a seguir é a mais adequada?
Estabelecer no contrato as condições de sigilo e de subcontratação, exigir um nível de gestão equivalente ao da própria empresa e verificar como isso está sendo cumprido na prática
Como os funcionários da empresa contratada não são funcionários da própria empresa, excluí-los do treinamento de segurança da informação e dos termos de compromisso
Priorizar a eficiência na subcontratação e permiti-la apenas com base em um entendimento informal entre os responsáveis no campo
Como a gestão é responsabilidade da empresa contratada, deixar de verificá-la por parte da própria empresa depois de assinado o contrato
RespostaA. Estabelecer no contrato as condições de sigilo e de subcontratação, exigir um nível de gestão equivalente ao da própria empresa e verificar como isso está sendo cumprido na prática
A responsabilidade pelos dados confiados a uma empresa contratada (委託先) continua com quem os entregou, por isso o contrato precisa definir o sigilo, se a subcontratação (再委託) é permitida e em que condições, a comunicação em caso de incidente e a devolução ou eliminação dos dados ao término do serviço, e o cumprimento deve ser verificado por meio de relatórios ou visitas. Não verificar depois de assinado o contrato, permitir a subcontratação com base em um entendimento verbal e excluir os funcionários da contratada do treinamento são todos inadequados, porque cada um deixa a gestão fora de alcance.
Questão 7 | Fraude interna
Qual das iniciativas a seguir pode ter efeito para dissuadir a fraude interna?
Informar os funcionários com antecedência de que são registrados logs de acesso aos dados importantes
Não aplicar restrição de privilégios aos gestores, deixando-os ver livremente todas as informações a qualquer momento
Esconder dos funcionários o fato de que os logs são registrados e descobrir e expor os infratores depois, todos de uma vez
Não criar um canal de consulta sobre irregularidades e, em vez disso, fazer com que quem perceber advirta a pessoa diretamente
RespostaA. Informar os funcionários com antecedência de que são registrados logs de acesso aos dados importantes
Dissuasão (抑止) significa fazer a pessoa desistir do impulso de cometer uma irregularidade, e comunicar com antecedência que os logs são registrados, criando a consciência de estar sendo observado, é eficaz. Esconder que os logs são registrados não tem efeito dissuasório e ainda gera desconfiança quando isso é descoberto. Ampliar os privilégios dos gestores só por causa do cargo viola o princípio do menor privilégio (最小権限) e aumenta os danos possíveis. Resolver as coisas diretamente entre os envolvidos, sem um canal de consulta, impede tanto a detecção precoce quanto o registro.
Questão 8 | Treinamento para gestores
Qual das alternativas a seguir é o conteúdo mais adequado para um treinamento de segurança da informação voltado a gestores?
A responsabilidade de quem aprova os direitos de acesso de um subordinado e o procedimento de escalonamento para quando chega uma comunicação
O procedimento para identificar e punir um subordinado que abriu um anexo durante um exercício simulado de e-mail de ataque direcionado
Aprender os procedimentos concretos de configuração de servidores e equipamentos de rede, para poder fazer alterações de configuração por conta própria
Tratar o mesmo conteúdo do treinamento dado a todos os funcionários, sem nada específico para gestores
RespostaA. A responsabilidade de quem aprova os direitos de acesso de um subordinado e o procedimento de escalonamento para quando chega uma comunicação
O gestor está na posição de aprovar os direitos de acesso de um subordinado e de ser o primeiro a receber a comunicação de um subordinado, por isso o treinamento precisa tratar da responsabilidade de quem aprova e do procedimento de escalonamento (エスカレーション) para levar a comunicação a um superior ou ao CSIRT segundo critérios definidos. Os procedimentos de configuração são conteúdo para os responsáveis do departamento de sistemas de informação. Usar os resultados de um exercício simulado para punir desestimula a comunicação e, ao contrário, atrasa a descoberta. Como posições diferentes exigem julgamentos diferentes, apenas o mesmo conteúdo dado a todos os funcionários não basta.
Questão 9 | Combinação de classificações
Qual das alternativas a seguir classifica corretamente as três medidas abaixo como humanas, técnicas ou físicas? (a) Firmar um acordo de confidencialidade com os funcionários. (b) Prender um notebook à mesa com um cabo de segurança. (c) Criptografar a comunicação com o servidor de arquivos usando TLS.
(a) Física, (b) Humana, (c) Técnica
(a) Humana, (b) Técnica, (c) Física
(a) Técnica, (b) Física, (c) Humana
(a) Humana, (b) Física, (c) Técnica
RespostaD. (a) Humana, (b) Física, (c) Técnica
(a) é uma medida humana (人的対策) que compromete o comportamento de uma pessoa por meio de um contrato, (b) é uma medida física (物理的対策) que prende o equipamento contra a ameaça física de furto, e (c) é uma medida técnica (技術的対策) que depende da função de software ou equipamento para criptografar a comunicação. As combinações que classificam (b) como técnica, (c) como física ou (a) como técnica ou física não correspondem à natureza de cada medida.
Questão 10 | Pacotes
Qual das alternativas a seguir é a informação que um firewall do tipo filtragem de pacotes usa para decidir se permite ou nega uma comunicação?
O próprio conteúdo de um valor digitado no campo de entrada de uma aplicação web
A relação pai-filho entre os processos executados em um dispositivo e o horário em que foram iniciados
Os endereços IP de origem e de destino, os números de porta e o protocolo
Palavras ou expressões contidas no corpo de um e-mail
RespostaC. Os endereços IP de origem e de destino, os números de porta e o protocolo
A filtragem de pacotes (パケットフィルタリング) funciona examinando os endereços IP, os números de porta e o protocolo no cabeçalho (ヘッダ) do pacote e comparando-os com um conjunto de regras. As palavras no corpo de um e-mail são o campo de um filtro de e-mail, os valores digitados em uma aplicação web são o campo de um WAF e o comportamento dos processos em um dispositivo é o campo do EDR; nenhum deles é a base da decisão de um firewall do tipo filtragem de pacotes.
Questão 11 | Inspeção com estado
Qual das alternativas a seguir descreve corretamente a inspeção com estado (stateful inspection) de um firewall?
Ela memoriza o estado de uma conexão e permite dinamicamente os pacotes de resposta a comunicações originadas de dentro
É instalada em cada dispositivo, monitora continuamente comportamentos suspeitos de malware desconhecido e isola o dispositivo automaticamente
Ela inspeciona o conteúdo das requisições a um servidor web, detectando e bloqueando ataques como a injeção de SQL
Ela usa informações do DNS no lado receptor para verificar se o domínio remetente de um e-mail é legítimo
RespostaA. Ela memoriza o estado de uma conexão e permite dinamicamente os pacotes de resposta a comunicações originadas de dentro
A inspeção com estado (ステートフルインスペクション) mantém o estado de uma conexão e permite dinamicamente o tráfego de retorno de uma conexão originada de dentro, o que elimina a necessidade de deixar uma ampla faixa de portas aberta com antecedência só para receber esse retorno. Verificar o domínio remetente é papel da autenticação de domínio do remetente (送信ドメイン認証), como o SPF; monitorar o comportamento dos dispositivos é papel do EDR; e inspecionar o conteúdo das requisições é papel de um WAF; nenhum deles é o que o controle de estado de um firewall faz.
Questão 12 | A DMZ
Qual das alternativas a seguir é a mais adequada para ser colocada em uma DMZ?
O servidor web da própria empresa, publicado na internet
O servidor de aplicação de um sistema contábil usado internamente
Um servidor de banco de dados interno que armazena informações de RH
Um servidor de diretório que apenas autentica usuários internos
RespostaA. O servidor web da própria empresa, publicado na internet
A DMZ é uma zona intermediária separada por firewall tanto da internet quanto da LAN interna, e nela ficam servidores que precisam ser expostos externamente, como o servidor web ou o servidor de e-mail. Colocá-los ali significa que, mesmo que um servidor público seja comprometido, isso não leva diretamente à LAN interna. Um banco de dados de RH, um servidor de autenticação e um sistema contábil são usados apenas de dentro da empresa, por isso devem ficar no lado interno, inalcançáveis a partir de fora.
Questão 13 | Regras do firewall
A tabela abaixo mostra as regras de permissão de comunicação de um firewall. As regras são avaliadas em ordem, a partir do menor número, e aplica-se a ação da primeira regra que corresponder. Todo tráfego que não corresponder a nenhuma regra é negado no final (negação implícita). Quando um PC da LAN interna se conecta a um site na internet via TCP/443, qual é a combinação correta entre o número da regra aplicada e o resultado?
ファイアウォールのルール表
番号 送信元 宛先 サービス 動作------------------------------------------------------1 LAN interna DMZ:servidor Web TCP/443 Permitir2 LAN interna Internet TCP/80,443 Permitir3 Internet DMZ:servidor Web TCP/443 Permitir4 インターネット 社内LAN すべて 拒否5 Todos Todos Todos Negar
Corresponde à regra 3 e é permitido
Corresponde à regra 1 e é permitido
A regra 2 é aplicada e é permitido
Corresponde à regra 5 e é negado
RespostaC. A regra 2 é aplicada e é permitido
O destino da regra 1 é o servidor Web da DMZ, o que não corresponde a este tráfego, cujo destino é a internet. A regra 2 corresponde, pois sua origem é a LAN interna, seu destino é a internet e seu serviço é TCP/80,443; portanto, o tráfego é permitido aqui e a avaliação termina. A regra 3 não corresponde porque sua origem é a internet, e a avaliação nunca chega à regra 5, então o tráfego também não é negado.
Questão 14 | Negação implícita
Um firewall tem as regras mostradas na tabela. As regras são avaliadas em ordem, de cima para baixo, e aplica-se a ação da primeira regra que corresponder. Todo tráfego que não corresponder a nenhuma regra é negado. Quando um dispositivo na internet tenta se conectar ao servidor de arquivos da LAN interna via TCP/445, como isso é tratado?
ファイアウォールのルール表（同じ設定を用いる）
番号 送信元 宛先 サービス 動作------------------------------------------------------1 LAN interna DMZ:servidor Web TCP/443 Permitir2 LAN interna Internet TCP/80,443 Permitir3 Internet DMZ:servidor Web TCP/443 Permitir4 インターネット 社内LAN すべて 拒否5 Todos Todos Todos Negar
Corresponde à regra 2 e é permitido
Corresponde à regra 3 e é permitido
Corresponde à regra 4 e é negado
Nenhuma regra corresponde, então é permitido por padrão
RespostaC. Corresponde à regra 4 e é negado
As regras 1 e 2 não correspondem porque sua origem é a LAN interna. O destino da regra 3 é o servidor Web da DMZ, o que não corresponde a este tráfego, cujo destino é a LAN interna. A regra 4 corresponde ao mesmo tempo na origem (internet), no destino (LAN interna) e no serviço, por isso o tráfego é negado. Mesmo sem a regra 4, a negação geral (包括的な拒否) da regra 5 o bloquearia, e um tráfego que não corresponde a nenhuma regra nunca é permitido por padrão.
Questão 15 | Ordem das regras
Para bloquear o tráfego do endereço IP 203.0.113.9, identificado como origem de um ataque, para o servidor Web da DMZ, foi adicionada a regra 3 da tabela. As regras são avaliadas em ordem, a partir do menor número, e aplica-se a ação da primeira regra que corresponder. No entanto, as conexões desse endereço continuaram mesmo depois da adição da regra. Qual das alternativas a seguir identifica corretamente a causa e a correção?
ルール追加後のファイアウォールのルール表
番号 送信元 宛先 サービス 動作------------------------------------------------------1 Todos DMZ:servidor Web TCP/443 Permitir2 LAN interna Internet TCP/443 Permitir3 203.0.113.9 DMZ:servidor Web Todos Negar4 Todos Todos Todos Negar
A regra 1 corresponde primeiro e permite o tráfego, então a regra 3 nunca é avaliada; mover a regra 3 para uma posição antes da regra 1
A regra 3 tem a condição mais específica e deveria ser aplicada com prioridade, então a causa deve ser uma falha do equipamento
O tráfego acabará sendo bloqueado pela negação geral da regra 4, então a configuração está adequada como está
As regras 2 e 3 se contradizem, então excluir a regra 2 bloqueará o tráfego
RespostaA. A regra 1 corresponde primeiro e permite o tráfego, então a regra 3 nunca é avaliada; mover a regra 3 para uma posição antes da regra 1
Como as regras são avaliadas de cima para baixo e o tratamento é decidido na primeira correspondência, este tráfego corresponde à regra 1, uma permissão geral para a DMZ a partir de qualquer origem, antes de chegar à regra 3, por isso a regra 3 nunca é avaliada. Portanto, a regra de negação precisa ser colocada antes da regra 1. As regras não são priorizadas pelo grau de especificidade da condição, e um tráfego já permitido antes nunca é bloqueado por uma regra de negação que vem depois. A regra 2 trata do tráfego da LAN interna para fora e não tem relação com este caso.
Questão 16 | WAF
Qual das alternativas a seguir é aquilo contra o que um WAF (firewall de aplicação web) protege principalmente?
A infecção de um dispositivo de trabalho por malware executado a partir de um anexo de e-mail
Ataques como a injeção de SQL, que exploram uma vulnerabilidade de uma aplicação web
A entrada de um estranho na sala de servidores e a retirada de equipamentos
A interceptação do conteúdo da comunicação captando o sinal de rádio de um Wi-Fi sem criptografia
RespostaB. Ataques como a injeção de SQL, que exploram uma vulnerabilidade de uma aplicação web
O WAF fica à frente do servidor web e inspeciona o conteúdo do tráfego HTTP, bloqueando ataques que visam falhas na forma como a aplicação foi construída, como a injeção de SQL (SQLインジェクション) ou o cross-site scripting (クロスサイトスクリプティング). O malware em anexos é tratado por um filtro de e-mail ou por software antivírus, a interceptação do Wi-Fi é tratada pela criptografia, como WPA2 ou WPA3, e a invasão de estranhos é tratada pela medida física de controle de entrada e saída (入退室管理); nenhum desses é o campo de um WAF.
Questão 17 | IDS e IPS
Qual das alternativas a seguir explica corretamente a diferença entre um IDS e um IPS?
O IDS é exclusivo para aplicações web, e o IPS é exclusivo para proteger o e-mail
O IDS só pode ser instalado em um dispositivo, enquanto o IPS só pode ser colocado em uma rede
O IDS é um mecanismo para criptografar a comunicação, enquanto o IPS é um mecanismo para descriptografar a comunicação criptografada
O IDS apenas detecta o tráfego não autorizado e o comunica, enquanto o IPS bloqueia o tráfego que detecta
RespostaD. O IDS apenas detecta o tráfego não autorizado e o comunica, enquanto o IPS bloqueia o tráfego que detecta
A diferença entre os dois está em parar na detecção ou ir até o bloqueio. O IDS detecta sinais de um ataque e notifica o administrador, enquanto o IPS fica no caminho da comunicação e bloqueia na hora o tráfego que detecta. O local de instalação de cada um depende do uso e não é uma distinção entre só dispositivo e só rede. Nenhum dos dois faz criptografia ou descriptografia, e nenhum se limita a um uso específico.
Questão 18 | EDR
Qual das alternativas a seguir descreve corretamente o EDR?
É colocado no perímetro da rede e bloqueia o tráfego desnecessário
Fica entre os usuários e um serviço de nuvem, tornando o uso visível e controlando-o
Executa um arquivo desconhecido em um ambiente isolado da produção para julgar se ele é perigoso
Registra o comportamento de endpoints, como PCs e servidores, detectando atividades suspeitas após uma invasão para apoiar o isolamento e a investigação
RespostaD. Registra o comportamento de endpoints, como PCs e servidores, detectando atividades suspeitas após uma invasão para apoiar o isolamento e a investigação
O EDR registra continuamente o comportamento dos endpoints (エンドポイント), detecta atividades suspeitas depois que ocorreu uma invasão e ajuda no isolamento e na investigação da causa, sendo um exemplo representativo de medida interna (内部対策). Bloquear o tráfego no perímetro é o firewall, julgar um arquivo executando-o em um ambiente isolado é a sandbox (サンドボックス), e tornar o uso da nuvem visível e controlável é o CASB; cada um deles tem um alvo e um objetivo diferentes do EDR.
Questão 19 | Medidas de entrada
Na defesa em profundidade, as medidas são consideradas como medidas de entrada, medidas internas e medidas de saída. Qual das alternativas a seguir é uma medida de entrada?
Inspecionar o corpo e os anexos dos e-mails enviados em busca de informações confidenciais
Dividir a rede interna por departamento, para que um servidor de um departamento não possa ser alcançado diretamente a partir de outro
Registrar os logs de operação de cada dispositivo e revisá-los periodicamente em busca de atividades suspeitas
Inspecionar o anexo de um e-mail recebido em uma sandbox antes de entregá-lo
RespostaD. Inspecionar o anexo de um e-mail recebido em uma sandbox antes de entregá-lo
As medidas de entrada (入口対策) impedem, desde o início, que invasões vindas de fora ou e-mails fraudulentos entrem na organização, e inspecionar um anexo recebido se enquadra nisso. Inspecionar o conteúdo dos e-mails enviados é uma medida de saída (出口対策), que impede que as informações saiam, e dividir a rede ou registrar e revisar logs de operação são medidas internas (内部対策), que partem do pressuposto de que a invasão já aconteceu e procuram limitar os danos.
Questão 20 | Medidas internas
Supondo que um ataque direcionado já tenha invadido a rede interna, qual das alternativas a seguir é a medida interna mais adequada?
Restringir a comunicação de saída para que passe apenas por um proxy e bloquear o tráfego para destinos suspeitos
Bloquear os e-mails suspeitos antes que os usuários os recebam, usando um filtro de spam e a inspeção de anexos
Usar um firewall para bloquear o tráfego desnecessário que vem de fora para dentro da empresa
Dividir a rede interna, exigir autenticação multifator para o acesso a servidores importantes e monitorar o comportamento dos dispositivos
RespostaD. Dividir a rede interna, exigir autenticação multifator para o acesso a servidores importantes e monitorar o comportamento dos dispositivos
As medidas internas (内部対策) procuram conter o movimento lateral (横方向への拡大) do atacante depois de uma invasão e percebê-lo cedo. Dividir a rede, exigir autenticação multifator (多要素認証) para os servidores importantes e monitorar o comportamento dos dispositivos se enquadram nisso. Bloquear spam e bloquear com um firewall são medidas de entrada, e restringir e bloquear o tráfego de saída é uma medida de saída, que impede que as informações sejam levadas para fora.
Questão 21 | Medidas de saída
Qual das alternativas a seguir é a medida de saída mais adequada para se preparar para o caso de um dispositivo infectado por malware tentar enviar informações internas para o servidor de um atacante?
Revisar periodicamente os registros de entrada e saída da sala de servidores em busca de atividades suspeitas
Aplicar os patches do sistema operacional e do software de trabalho assim que forem lançados
Restringir o tráfego de saída para que passe apenas por um proxy, registrá-lo e bloquear o tráfego para destinos suspeitos
Verificar o resultado da autenticação de domínio do remetente (SPF) nos e-mails recebidos para identificar falsificações
RespostaC. Restringir o tráfego de saída para que passe apenas por um proxy, registrá-lo e bloquear o tráfego para destinos suspeitos
As medidas de saída (出口対策) impedem que as informações roubadas saiam e que um dispositivo se comunique com um servidor externo de comando e controle (指令サーバ), e concentrar e registrar o tráfego de saída, bloqueando destinos suspeitos, se enquadra nisso. Aplicar patches e verificar a autenticação de domínio do remetente são medidas de entrada, que impedem a invasão, e revisar os registros de entrada e saída é uma medida física; nenhuma delas impede diretamente que as informações sejam levadas para fora.
Questão 22 | Wi-Fi
Sobre a segurança do Wi-Fi usado dentro de uma empresa, qual das alternativas a seguir é adequada?
Configurar a filtragem de endereços MAC pode impedir a interceptação do conteúdo da comunicação
Mesmo com a criptografia desativada, ocultar o SSID para que não seja visto protege o conteúdo da comunicação
O WEP é altamente compatível e seguro, por isso ainda é amplamente recomendado hoje
O WPA3 foi padronizado depois do WPA2 e tem criptografia e autenticação mais fortes
RespostaD. O WPA3 foi padronizado depois do WPA2 e tem criptografia e autenticação mais fortes
O WPA3 é mais novo que o WPA2 e reforça tanto a criptografia quanto a autenticação. A forma de quebrar o WEP é amplamente conhecida, e ele não deve ser usado. Mesmo com o SSID oculto, o próprio sinal de rádio continua sendo transmitido, e seu conteúdo pode ser lido se não estiver criptografado. A filtragem de endereços MAC (MACアドレスフィルタリング) apenas restringe quais dispositivos podem se conectar e não tem nada a ver com a criptografia da comunicação.
Questão 23 | Carona (tailgating)
Qual combinação descreve corretamente a carona (tailgating ou piggybacking) no controle de entrada e saída, junto com sua contramedida?
Ficar só o registro de saída, sem registro de entrada; evitado sincronizando o horário dos dispositivos de controle de entrada e saída
Entrar falsificando um crachá ou usando o de outra pessoa; evitado criptografando as informações do cartão para dificultar a cópia e proibindo o empréstimo
Vários usuários fazendo login no mesmo dispositivo ao mesmo tempo; evitado com a introdução da autenticação multifator
Uma pessoa não autenticada entrar logo atrás de um usuário legítimo pela porta que este abriu; evitado com anti-passback, uma porta com estrutura que deixa passar uma pessoa por vez e o treinamento dos funcionários
RespostaD. Uma pessoa não autenticada entrar logo atrás de um usuário legítimo pela porta que este abriu; evitado com anti-passback, uma porta com estrutura que deixa passar uma pessoa por vez e o treinamento dos funcionários
A carona (共連れ) é quando uma pessoa não autenticada entra logo atrás de alguém que se autenticou, o que é perigoso porque o registro mostra apenas uma pessoa entrando. A contramedida combina o anti-passback (アンチパスバック), que impede a saída de quem não tem registro de entrada, uma porta que deixa passar uma pessoa por vez, o monitoramento e o treinamento. As outras alternativas descrevem a falsificação de cartões, a falta de um registro e o login simultâneo, e nenhuma delas é carona.
Questão 24 | Medidas físicas
Qual das medidas a seguir é uma medida física?
Manter atualizado o arquivo de padrões do software antivírus
Trancar a porta da sala de servidores e registrar quem entra e sai
Realizar um treinamento de segurança da informação para os funcionários
Definir uma senha para um ID de usuário
RespostaB. Trancar a porta da sala de servidores e registrar quem entra e sai
Uma medida física (物理的対策) protege o local e as instalações onde fica um ativo de informação, e trancar uma porta e registrar a entrada e a saída se enquadram nisso. Realizar um treinamento é uma medida humana (人的対策), que atua sobre o comportamento das pessoas, e definir uma senha ou atualizar um arquivo de padrões são medidas técnicas (技術的対策), que dependem da função de equipamentos ou de software.
Questão 25 | Resistência à violação
Qual das alternativas a seguir descreve corretamente a resistência à violação (tamper resistance) exigida de algo como um cartão IC?
A propriedade de passar automaticamente para um sistema reserva quando ocorre uma falha, continuando o processamento sem parar
A propriedade de criptografar o conteúdo de uma troca para impedir a interceptação ou a leitura do conteúdo durante a transmissão
A propriedade de, entre outras reações, deixar de funcionar se alguém tentar ler indevidamente as informações internas, dificultando a análise
A propriedade de proteger o equipamento interno e preservar o funcionamento mesmo quando ocorre uma anomalia de energia, como um raio ou uma queda de energia
RespostaC. A propriedade de, entre outras reações, deixar de funcionar se alguém tentar ler indevidamente as informações internas, dificultando a análise
A resistência à violação (耐タンパ性) é a propriedade de tornar as informações internas ilegíveis quando o dispositivo sofre um ataque físico, como a desmontagem ou a análise. A preparação para raios ou quedas de energia é o campo de um nobreak (UPS) ou de proteção contra surtos, a prevenção da interceptação é o campo da criptografia da comunicação, e a passagem para um sistema reserva é uma propriedade ligada à tolerância a falhas (フォールトトレランス); cada uma delas significa algo diferente da resistência à violação.
Questão 26 | Mídias removíveis
Qual das alternativas a seguir é a forma mais adequada de gerenciar mídias removíveis, como pen drives USB?
Por precaução, deixar os dados que foram levados para fora na mídia mesmo depois de ela ser devolvida
Exigir solicitação e aprovação para levá-la para fora, registrar isso em um livro de registro e criptografar os dados armazenados nela
Desde que os dados estejam criptografados, não é necessária solicitação nem registro para levá-la para fora
Priorizar a eficiência e deixar que pen drives USB pessoais sejam usados livremente nos PCs de trabalho, sem nenhuma solicitação
RespostaB. Exigir solicitação e aprovação para levá-la para fora, registrar isso em um livro de registro e criptografar os dados armazenados nela
As mídias removíveis (可搬媒体) são um caminho para vazamentos por perda ou furto, por isso a operação deve combinar solicitação e aprovação, registro em livro, criptografia e minimização dos dados e eliminação garantida na devolução. O uso livre de mídias pessoais favorece tanto a entrada de malware quanto a retirada não autorizada de dados. Deixar os dados na mídia depois de devolvida só aumenta a chance de vazamento, e a criptografia não é motivo para dispensar a solicitação.
Questão 27 | Descarte de papel
Qual das alternativas a seguir é a forma mais adequada de descartar um documento em papel que contém informações pessoais?
Jogá-lo fora como está, junto com o lixo comum
Reutilizá-lo internamente como papel de rascunho, já que o verso está em branco
Guardá-lo em uma caixa de coleta por um longo período e colocá-lo para fora uma vez por mês junto com o lixo combustível
Picá-lo em uma fragmentadora ou descartá-lo com segurança terceirizando a trituração e dissolução (polpação)
RespostaD. Picá-lo em uma fragmentadora ou descartá-lo com segurança terceirizando a trituração e dissolução (polpação)
Para evitar o scavenging (スキャベンジング), a coleta de informações a partir do lixo descartado, o documento precisa ser posto em uma forma que não possa ser reconstruída antes do descarte, por isso fragmentar ou dissolver (溶解処理) é o adequado. Reutilizá-lo internamente como papel de rascunho traz o risco de visualização ou retirada não intencionais dentro da empresa. Jogá-lo fora como está, ou acumulá-lo sem fragmentar antes de colocá-lo para fora, deixa o documento em um estado que um terceiro poderia ler.
Questão 28 | Físico ou técnico
Uma empresa adota as medidas (a) a (d) a seguir. Qual das alternativas lista exatamente as que são medidas físicas? (a) Instalar câmeras de segurança no escritório. (b) Guardar documentos importantes em um armário com chave. (c) Criptografar os dados de um pen drive USB. (d) Conservar os registros de entrada e saída por um período determinado.
(a), (c)
(a), (b), (c), (d)
(b), (c), (d)
(a), (b), (d)
RespostaD. (a), (b), (d)
Instalar câmeras de segurança, guardar documentos em um armário com chave e conservar os registros de entrada e saída são todas medidas físicas (物理的対策) voltadas a um local ou instalação. A criptografia dos dados em (c) é uma medida técnica (技術的対策), que protege o conteúdo por meio de uma função de software, e por si só não impede que a mídia seja levada para fora, por isso não é incluída entre as medidas físicas.
Questão 29 | Divisão em zonas
Qual das alternativas a seguir é a forma de pensar mais adequada para gerenciar um escritório dividindo-o em zonas, como recepção, área de trabalho e sala de servidores?
Impor uma autenticação mais rigorosa às zonas que contêm ativos de informação mais importantes, restringindo quem pode entrar à medida que se avança para dentro
Deixar que visitantes e funcionários circulem pelo mesmo trajeto, para reduzir o trabalho de orientar e acompanhar as pessoas
Colocar placas nos corredores do prédio para que os visitantes encontrem facilmente a localização da sala de servidores
Deixar a área de trabalho destrancada; basta trancar apenas a sala de servidores
RespostaA. Impor uma autenticação mais rigorosa às zonas que contêm ativos de informação mais importantes, restringindo quem pode entrar à medida que se avança para dentro
O ponto principal da divisão em zonas (区画分け) é criar camadas conforme a importância, tornando a autenticação mais rigorosa e restringindo quem pode entrar quanto mais interna for a zona. Não separar os trajetos de visitantes e funcionários permite que estranhos entrem na área de trabalho. Divulgar amplamente a localização da sala de servidores facilita a invasão. A área de trabalho também contém ativos de informação, por isso não é aceitável dispensar o trancamento ou o controle de entrada e saída nela.
Questão 30 | Menor privilégio
A tabela mostra os direitos de acesso configurados no sistema de negócios de uma empresa. O responsável de RH registra e atualiza as informações de RH; o responsável pela folha de pagamento faz o cálculo da folha (o que exige consultar as informações de RH); o vendedor e o auxiliar administrativo de vendas (trabalhador temporário) inserem os pedidos; e o departamento de vendas não lida com informações de RH nem de folha de pagamento. Qual das configurações a seguir deve ser revista à luz do princípio do menor privilégio?
O auxiliar administrativo de vendas (temporário) ter acesso de consulta ao banco de dados de RH
O vendedor ter acesso de atualização ao banco de dados de pedidos
O responsável de RH ter acesso de atualização ao banco de dados de RH
O responsável pela folha de pagamento ter acesso de consulta ao banco de dados de RH
RespostaA. O auxiliar administrativo de vendas (temporário) ter acesso de consulta ao banco de dados de RH
O trabalho do auxiliar administrativo de vendas é inserir pedidos, sem necessidade de ver informações de RH, por isso o acesso de consulta ao banco de dados de RH é um privilégio desnecessário para o trabalho e deve ser removido. O acesso de atualização do responsável de RH ao banco de dados de RH, o acesso de consulta do responsável pela folha ao banco de dados de RH, necessário para o cálculo da folha, e o acesso de atualização do vendedor ao banco de dados de pedidos são, cada um, o privilégio mínimo necessário para realizar as tarefas atribuídas, segundo o princípio do menor privilégio (最小権限の原則).
Questão 31 | Direitos após uma transferência
A tabela mostra os direitos de acesso atualmente concedidos a Tanaka, do departamento de RH. Tanaka será transferido para o departamento de vendas neste mês, onde seu trabalho será inserir pedidos e preparar documentos compartilhados dentro do departamento de vendas. Qual das alternativas a seguir é a forma mais adequada de configurar os direitos de acesso após a transferência?
異動前（現在）のアクセス権
対象システム 現在の権限--------------------------------BD de RH AtualizarBD de folha ConsultarBD de pedidos Não部内共有（人事部） 更新可部内共有（営業部） 不可
Para a passagem de trabalho, manter por um ano o acesso de consulta ao banco de dados de RH e conceder adicionalmente acesso de atualização ao banco de dados de pedidos e à pasta compartilhada do departamento de vendas
Manter as configurações atuais sem alteração até que Tanaka faça uma solicitação
Revogar o acesso ao banco de dados de RH, ao banco de dados da folha de pagamento e à pasta compartilhada do departamento de RH, e conceder acesso de atualização ao banco de dados de pedidos e à pasta compartilhada do departamento de vendas
Manter as configurações atuais como estão e conceder adicionalmente acesso de atualização ao banco de dados de pedidos e à pasta compartilhada do departamento de vendas
RespostaC. Revogar o acesso ao banco de dados de RH, ao banco de dados da folha de pagamento e à pasta compartilhada do departamento de RH, e conceder acesso de atualização ao banco de dados de pedidos e à pasta compartilhada do departamento de vendas
Após uma transferência (異動), a pessoa deve ter apenas os direitos necessários para o novo trabalho, por isso os direitos do departamento anterior devem ser removidos antes de conceder os direitos do novo departamento. Manter os direitos antigos por muito tempo a pretexto da passagem de trabalho, ou apenas adicionar novos direitos, faz os direitos se acumularem e viola o princípio do menor privilégio (最小権限の原則). Esperar uma solicitação cria um período em que a pessoa mantém direitos desnecessários já trabalhando na nova função, por isso também é inadequado.
Questão 32 | Revisão dos direitos (inventário)
A tabela lista os direitos de acesso ao banco de dados da folha de pagamento. Somente os funcionários do departamento de RH responsáveis pelo cálculo da folha usam esse banco de dados no trabalho. Em uma revisão anual, qual das alternativas a seguir lista exatamente os direitos que devem ser removidos?
給与DBのアクセス権一覧（棚卸しの対象）
利用者 所属・担当 給与DBの権限 最終ログイン----------------------------------------------------------A RH (cálculo da folha) Atualizar 08-18B Vendas (pedidos) Consultar 01-10C RH (cálculo da folha) Consultar 08-15D Já desligado Consultar 03-20
Apenas D
B e D
A, B e D
A e C
RespostaB. B e D
B pertence ao departamento de vendas, que não tem nenhum trabalho que exija o uso do banco de dados da folha, por isso esse direito é desnecessário para o trabalho e deve ser removido. D já saiu da empresa, por isso a própria conta deve ser desativada e removida junto com o direito. A e C são funcionários do RH que lidam com o banco de dados da folha e o usaram recentemente, por isso seus direitos devem ser mantidos. Remover um direito ainda necessário só porque o último login é antigo, ou, ao contrário, manter o direito de alguém que já saiu, são julgamentos errados.
Questão 33 | Contas privilegiadas
Qual das alternativas a seguir é a forma mais adequada de gerenciar a conta privilegiada de um sistema (uma conta com direitos de administrador)?
Por eficiência, fazer com que todos os administradores compartilhem uma única conta, inclusive a senha
Exigir solicitação e aprovação para cada uso e manter registro do empréstimo, da devolução e das operações realizadas
Para economizar o trabalho de trocar de conta, fazer login com a conta privilegiada mesmo no trabalho comum do dia a dia
Como apenas funcionários de confiança usam a conta privilegiada, dispensar o registro dos logs de operação
RespostaB. Exigir solicitação e aprovação para cada uso e manter registro do empréstimo, da devolução e das operações realizadas
Como uma conta privilegiada (特権ID) tem um impacto amplo, exigir solicitação e aprovação para cada uso, registrar o empréstimo e a devolução e registrar os logs de operação permitem rastrear quem fez o quê. Compartilhar a conta e a senha torna impossível identificar o indivíduo. O uso rotineiro no trabalho comum amplia os danos possíveis de um erro ou de uma infecção por malware. Dispensar os logs por confiança significa que os fatos não poderão ser confirmados se ocorrer um incidente.
Questão 34 | Operação dos logs
Qual das alternativas a seguir é a forma mais adequada de registrar e conservar os logs de acesso?
Concentrá-los em um servidor de logs separado, armazená-los em uma forma que não possa ser alterada e revisar o conteúdo periodicamente
Deixar a configuração do horário de cada dispositivo a critério do responsável por esse dispositivo
Deixar que um administrador edite livremente os logs registrados sempre que necessário
Excluir de propósito os registros de tentativas de login malsucedidas para economizar capacidade de armazenamento
RespostaA. Concentrá-los em um servidor de logs separado, armazená-los em uma forma que não possa ser alterada e revisar o conteúdo periodicamente
Um log é uma trilha (証跡) usada para confirmar os fatos, por isso só serve para a dissuasão e a detecção precoce quando é preservado em uma forma que não possa ser alterada nem apagada e é revisado periodicamente. Ser editável destrói seu valor como trilha. Um login malsucedido é, por si só, um sinal de acesso não autorizado e deve sempre ser mantido. Se os relógios divergirem, os logs de vários dispositivos não podem ser cruzados, por isso a sincronização de horário (時刻同期) é necessária.
Questão 35 | Aplicação de patches
Sobre como priorizar a aplicação de patches em um grande número de sistemas, qual das alternativas a seguir é a mais adequada?
Dispensar a verificação do funcionamento em um ambiente de testes e aplicar o patch em todos os sistemas de uma vez, no mesmo dia em que for publicado
Dar prioridade a uma vulnerabilidade cuja exploração já foi confirmada e que afeta um servidor exposto à internet
Aplicá-los em ordem a partir do sistema com menos usuários, deixando o mais usado por último
Aplicá-los mecanicamente em ordem, a partir da data de publicação mais antiga
RespostaB. Dar prioridade a uma vulnerabilidade cuja exploração já foi confirmada e que afeta um servidor exposto à internet
A prioridade deve ser julgada considerando se houve exploração, se o sistema está exposto externamente, a gravidade e a importância do ativo afetado, por isso uma vulnerabilidade (脆弱性) com ataques observados que afeta um servidor exposto externamente tem a máxima prioridade. A ordem pela data de publicação ou pelo número de usuários não corresponde ao grau de perigo. Aplicar tudo de uma vez sem verificação traz o risco de parar as operações; quando um patch (修正プログラム) não puder ser aplicado, deve-se usar uma alternativa, como restringir o tráfego.
Questão 36 | PPAP
Qual das alternativas a seguir é o problema mais adequado da prática (às vezes chamada de PPAP) de anexar um arquivo ZIP protegido por senha a um e-mail e, logo em seguida, enviar a senha ao mesmo destinatário em outro e-mail?
A senha de um arquivo ZIP é limitada a 8 caracteres, o que torna impossível definir uma senha suficientemente forte
O destinatário precisa comprar e instalar separadamente um software dedicado e pago para extrair o arquivo
Como o arquivo ZIP tem uma taxa de compressão baixa, o volume de tráfego de e-mail aumenta bastante, elevando a carga do servidor de e-mail interno
Como o arquivo e a senha trafegam pelo mesmo canal, a prática é fraca contra interceptação ou envio ao destinatário errado, e a criptografia impede que o lado receptor faça a verificação de vírus
RespostaD. Como o arquivo e a senha trafegam pelo mesmo canal, a prática é fraca contra interceptação ou envio ao destinatário errado, e a criptografia impede que o lado receptor faça a verificação de vírus
Como ambos são enviados pelo mesmo canal de e-mail, interceptar esse canal expõe os dois, e enviar ao destinatário errado entrega tanto o arquivo criptografado quanto a senha à mesma pessoa errada. Além disso, um ZIP criptografado não pode ter o conteúdo inspecionado por um gateway ou por software antivírus, o que deixa o malware passar. A taxa de compressão, a necessidade de software dedicado e o limite de caracteres não são o problema essencial dessa prática.
Questão 37 | Prevenção do envio de e-mail ao destinatário errado
Qual das alternativas a seguir é a contramedida mais adequada contra o vazamento de informações por um e-mail enviado ao destinatário errado?
Ao enviar para muitos destinatários de uma vez, colocar todos no campo Para, para que todos vejam quem mais recebeu
Usar um mecanismo que retém a mensagem por alguns minutos antes do envio e aproveitar esse tempo para conferir os destinatários e os anexos
Deixar o preenchimento do destinatário a cargo do recurso de preenchimento automático e dispensar a conferência antes do envio, para enviar rapidamente
Se perceber um e-mail enviado ao destinatário errado, esperar um tempo para ver o que acontece sem avisar o destinatário
RespostaB. Usar um mecanismo que retém a mensagem por alguns minutos antes do envio e aproveitar esse tempo para conferir os destinatários e os anexos
Reter a mensagem por alguns minutos (送信保留) é eficaz porque permite cancelar o envio assim que o erro é percebido, e deve ser combinado com a conferência dos destinatários e dos anexos. Colocar no campo Para muitos destinatários que não se conhecem expõe o endereço de todos a todos, por isso deve-se usar o CCO (BCC). Confiar no preenchimento automático favorece a troca de endereços parecidos. Deixar sem providência um envio errado já percebido só faz o dano se espalhar.
Questão 38 | Configurações da nuvem
Sobre a gestão do escopo de compartilhamento de um armazenamento em nuvem usado no trabalho, qual das alternativas a seguir é a mais adequada?
Continuar usando o escopo de compartilhamento padrão e revisá-lo só se ocorrer um problema
Conferir o escopo de compartilhamento ao criar um arquivo e fazer um inventário periódico para revogar exposições desnecessárias
Como as normas internas proíbem o compartilhamento fora da empresa, não há necessidade especial de conferir as configurações de compartilhamento
Configurá-lo como “qualquer pessoa com o link” é seguro, porque quem não conhece o URL não consegue ver
RespostaB. Conferir o escopo de compartilhamento ao criar um arquivo e fazer um inventário periódico para revogar exposições desnecessárias
A exposição não intencional causada por um erro de configuração na nuvem é uma das principais causas de vazamento, por isso a conferência na criação precisa vir acompanhada de um inventário (棚卸し) periódico. Manter a configuração padrão, ou revisar só depois que ocorre um problema, é tarde demais. O compartilhamento com qualquer pessoa que tenha o link pode ser visto por qualquer um a quem o URL for encaminhado, e a simples existência de uma norma não garante que as configurações reais estejam corretas.
Questão 39 | Classificação das medidas
As medidas (a) a (c) a seguir foram adotadas contra o vazamento de informações. Qual combinação classifica corretamente cada uma como humana, técnica ou física? (a) Foi criada uma norma proibindo o uso de pen drives USB pessoais no trabalho, comunicada a todos os funcionários. (b) As portas USB dos PCs de trabalho foram desativadas por configuração. (c) Decidiu-se guardar os documentos importantes em um armário com chave.
(a) Física, (b) Técnica, (c) Humana
(a) Humana, (b) Física, (c) Técnica
(a) Humana, (b) Técnica, (c) Física
(a) Técnica, (b) Humana, (c) Física
RespostaC. (a) Humana, (b) Técnica, (c) Física
(a) é uma medida humana (人的対策), que rege o comportamento das pessoas por meio de uma norma e de sua divulgação; (b) é uma medida técnica (技術的対策), que restringe por meio de uma função de equipamento ou software, isto é, a configuração do dispositivo; e (c) é uma medida física (物理的対策), que tranca um item físico, os documentos. Observe que mesmo medidas com o mesmo objetivo, impedir que pen drives USB sejam levados para fora, são classificadas de forma diferente conforme sejam impostas por uma norma ou por uma configuração.
Questão 40 | Senhas
Qual das alternativas a seguir é a forma mais adequada de um usuário gerenciar a própria senha?
Como misturar símbolos já basta para ser seguro, é possível definir uma senha curta, com menos de 8 caracteres, fácil de lembrar
Usar uma frase-senha longa e diferente para cada serviço e, se não for possível lembrar de todas, usar um gerenciador de senhas aprovado
Para não esquecer, reutilizar a mesma senha em todos os serviços e nunca trocá-la
Para não esquecer, escrevê-la em um post-it e colá-lo na borda da tela
RespostaB. Usar uma frase-senha longa e diferente para cada serviço e, se não for possível lembrar de todas, usar um gerenciador de senhas aprovado
O comprimento é o que mais influi na força de uma senha, e não reutilizá-la impede que um vazamento em um lugar se propague para outros serviços. Quando há senhas demais para gerenciar, deve-se usar um gerenciador de senhas aprovado. A reutilização faz o dano de um ataque de lista de senhas (パスワードリスト攻撃, credential stuffing) se espalhar de uma só vez. Misturar símbolos não compensa uma senha curta, e exibi-la em um post-it permite que um terceiro a veja facilmente.
Questão 41 | Phishing
Chega um e-mail que diz ser de um banco, com a mensagem: “Sua conta será suspensa. Verifique imediatamente pelo link abaixo.” Qual das alternativas a seguir é a reação mais adequada do usuário?
Abrir o link e julgar se a página exibida tem o mesmo design da verdadeira
Como o texto em japonês é natural e sem erros, julgar que é verdadeiro e digitar o ID e a senha na página do link
Sem usar o link do e-mail, verificar a situação pelo favorito ou pelo aplicativo oficial que já usa normalmente
Ligar para o número de telefone escrito no e-mail e seguir as instruções dessa pessoa
RespostaC. Sem usar o link do e-mail, verificar a situação pelo favorito ou pelo aplicativo oficial que já usa normalmente
Um site falso de phishing (フィッシング) é feito para parecer igual ao verdadeiro, por isso a aparência ou a naturalidade do texto não servem para julgá-lo. Como o link ou o contato do e-mail podem ter sido preparados pelo atacante, não devem ser usados; o correto é verificar por um canal que a pessoa já usa normalmente. Um texto que apressa o leitor é uma técnica clássica para tirar a capacidade de julgamento, e digitar o ID deve ser sempre evitado.
Questão 42 | Wi-Fi público
Sobre os cuidados ao usar Wi-Fi público para o trabalho fora do escritório, qual das alternativas a seguir é a mais adequada?
Também pode ser usado para fazer login nos sistemas internos da empresa, desde que a sessão seja curta
Ativar a conexão automática evita pontos de acesso perigosos
Mesmo um Wi-Fi público sem criptografia é seguro se o SSID for igual ao nome da loja
Passar por uma VPN fornecida pela empresa ou usar o compartilhamento de internet (tethering) do smartphone
RespostaD. Passar por uma VPN fornecida pela empresa ou usar o compartilhamento de internet (tethering) do smartphone
O Wi-Fi público (公衆無線LAN) pode não ter o tráfego criptografado, e também existem pontos de acesso falsos feitos para parecer legítimos, por isso proteger o tráfego com uma VPN ou usar o compartilhamento de internet do smartphone (テザリング) é a forma segura. O nome de um SSID pode ser definido livremente, por isso não prova a autenticidade. A conexão automática aumenta o risco de se conectar sem querer a um ponto de acesso falso, e a duração da sessão não muda o grau de perigo.
Questão 43 | Gestão de smartphones
Qual das alternativas a seguir é a forma mais adequada de gerenciar um smartphone usado no trabalho?
Um aplicativo de calculadora pede permissão para acessar os contatos, e ela é concedida porque é conveniente
Um aplicativo distribuído em outro lugar que não a loja oficial de aplicativos é instalado e usado porque os usuários o avaliaram bem
Como a atualização do sistema operacional pode deixar o funcionamento instável, adiar sua aplicação por enquanto e continuar o trabalho na versão atual
Configurar o bloqueio de tela, instalar aplicativos apenas da loja oficial e verificar se a permissão solicitada é razoável em vista da função do aplicativo
RespostaD. Configurar o bloqueio de tela, instalar aplicativos apenas da loja oficial e verificar se a permissão solicitada é razoável em vista da função do aplicativo
O básico é o bloqueio de tela (画面ロック) para o caso de perda, instalar apenas de uma loja oficial cuja origem possa ser verificada e não conceder permissões desproporcionais à função do aplicativo. Uma calculadora pedir acesso aos contatos é algo estranho e sugere que dados estão sendo levados para fora. Um aplicativo de fora da loja oficial não pode ter a origem nem a segurança verificadas. Adiar as atualizações significa continuar exposto a ataques que visam vulnerabilidades já conhecidas.
Questão 44 | Equilíbrio com a eficiência
No campo surgem queixas: “As normas de segurança da informação são rigorosas demais e o trabalho não anda.” Qual das alternativas a seguir é a reação mais adequada do líder de segurança da informação?
Deixar a critério do próprio campo aplicar ou não a norma, permitindo que seja ignorada sempre que parecer inviável
Decidir não punir as violações, mantendo o conteúdo atual da norma sem alterações
Ouvir como o trabalho realmente acontece, avaliar se o procedimento pode ser simplificado mantendo o mesmo nível de risco e revisar a norma se necessário
Como as normas existem para ser seguidas, ignorar as opiniões do campo e mandar que sejam cumpridas à risca
RespostaC. Ouvir como o trabalho realmente acontece, avaliar se o procedimento pode ser simplificado mantendo o mesmo nível de risco e revisar a norma se necessário
Uma norma que ninguém consegue seguir é ignorada no campo e abre brechas, como o uso de nuvem pessoal ou o compartilhamento de senhas, o que é ainda mais perigoso. Por isso, o correto é ouvir como as coisas realmente funcionam, tornar o procedimento mais fácil de seguir sem baixar o nível de risco e revisar a própria norma (規程) se necessário. Apenas mandar cumprir à risca não muda a realidade, e deixar a aplicação a critério do campo ou deixar de aplicar as penalidades transforma a norma em letra morta.
Questão 45 | Medidas para o trabalho em casa
Para o trabalho em casa, foram adotadas as medidas (a) a (c) a seguir. Qual combinação as classifica corretamente como medidas humanas, técnicas ou físicas? (a) A senha de administrador do roteador Wi-Fi de casa foi alterada, deixando de ser o valor padrão de fábrica. (b) Foi aplicado um filtro de privacidade na tela. (c) Foi criada uma norma proibindo que familiares usem o PC de trabalho, comunicada a todos os funcionários.
(a) Técnica, (b) Humana, (c) Física
(a) Física, (b) Técnica, (c) Humana
(a) Humana, (b) Física, (c) Técnica
(a) Técnica, (b) Física, (c) Humana
RespostaD. (a) Técnica, (b) Física, (c) Humana
(a) é uma medida técnica (技術的対策), que impede operações indevidas mudando a configuração de um dispositivo; (b) é uma medida física (物理的対策), que usa um acessório que bloqueia fisicamente a visão; e (c) é uma medida humana (人的対策), que rege o comportamento das pessoas por meio de uma norma e de sua divulgação. As combinações que tratam (b) como humana ou técnica, ou (a) como humana ou física, não correspondem ao meio usado por cada medida.
Prática: responda às perguntas desta página
Esta é uma ferramenta de prática com perguntas em ordem aleatória (funciona quando o JavaScript está ativado). Mesmo sem ela, você pode ler todas as perguntas e explicações acima.
* As explicações são informações para fins de estudo. O conteúdo e o sistema dos exames mudam de ano para ano, por isso confira sempre os comunicados oficiais da entidade organizadora.
Esta página é uma tradução do texto original em japonês. Em caso de diferença entre a tradução e o original, prevalece a versão em japonês. Esta tradução foi feita com IA e pode conter erros.Informar um erro de traduçãoVer o original em japonês