Sala de Estudos Karinoya

Qualificações · Laboratório de aprovação em Gestão de Segurança da Informação (SG)

Áreas relacionadas (tecnologia, gestão, estratégia)

Você pode ler as perguntas e explicações em português. As aulas (artigos explicativos) estão disponíveis apenas em japonês.

Ver a versão em japonês (com aulas) →

Questão 1 | Números de porta

Um firewall deve permitir apenas o tráfego que se conecta de dentro da empresa a um site externo via HTTPS. Qual número de porta de destino deve ser permitido?

  1. 80
  2. 443
  3. 23
  4. 25
RespostaB. 443

O HTTPS usa a porta TCP 443, por isso somente a 443 deve ser permitida. A porta 80 é o HTTP, em que o tráfego circula sem criptografia (平文), o que não atende ao objetivo aqui, de permitir apenas conexões criptografadas. A porta 25 é o SMTP (envio de e-mail) e a porta 23 é o Telnet (login remoto), ambos sem relação com a navegação na Web. O princípio de um firewall (ファイアウォール) é permitir apenas o tráfego necessário e negar todo o resto.

Questão 2 | Divisão da rede em zonas

A rede interna foi dividida em sub-redes por departamento, e a comunicação entre as sub-redes passou a ser controlada por um roteador. Qual é o principal objetivo dessa medida?

  1. Criptografar toda a comunicação que passa entre as sub-redes, para que seu conteúdo não possa ser lido mesmo que seja interceptado no caminho
  2. Atribuir de uma só vez o mesmo endereço IP a todos os dispositivos internos, reduzindo bastante o trabalho de gerenciamento de endereços
  3. Bloquear no perímetro todo acesso não autorizado vindo da internet externa, para que nenhum dispositivo interno possa jamais ser invadido
  4. Fazer com que, mesmo que um dispositivo seja infectado por malware, o dano fique contido dentro de sua zona e a comunicação possa ser bloqueada na fronteira
RespostaD. Fazer com que, mesmo que um dispositivo seja infectado por malware, o dano fique contido dentro de sua zona e a comunicação possa ser bloqueada na fronteira

O objetivo de dividir uma rede em zonas é conter a propagação lateral (横展開) depois que uma invasão ou infecção já ocorreu, e facilitar a contenção bloqueando o tráfego nos equipamentos de fronteira. Não é um mecanismo que bloqueia completamente as invasões vindas de fora; é uma medida que limita a propagação do dano internamente. O endereço IP precisa ser único para cada dispositivo para que a comunicação funcione, por isso não é possível atribuir o mesmo endereço a todos os dispositivos. A criptografia é papel de uma VPN ou do TLS e não é obtida com a divisão em sub-redes.

Questão 3 | Um equívoco sobre o NAPT

Os dispositivos internos recebem endereços IP privados e se conectam à internet por meio da tradução NAPT para um endereço IP global. Qual das alternativas a seguir descreve essa configuração da forma mais adequada?

  1. O principal objetivo do NAPT é economizar endereços IP globais; o controle da comunicação vinda de fora precisa ser feito separadamente com um firewall
  2. Usar o NAPT criptografa automaticamente o conteúdo da comunicação, tornando a VPN desnecessária
  3. Como o NAPT é um mecanismo que oculta o endereço de origem, a comunicação não autorizada de dentro para fora também é bloqueada automaticamente por completo
  4. Desde que os dispositivos internos usem endereços IP privados, eles não podem ser alcançados diretamente de fora e, por isso, nunca podem ser infectados por malware
RespostaA. O principal objetivo do NAPT é economizar endereços IP globais; o controle da comunicação vinda de fora precisa ser feito separadamente com um firewall

O NAT/NAPT é um mecanismo de tradução de endereços (アドレス変換) cujo objetivo é economizar endereços IP globais. Ele tem o efeito secundário de dificultar o acesso direto vindo de fora, mas não tem nenhuma função para selecionar qual tráfego permitir, por isso não substitui um firewall. Também não tem função de criptografia, então tampouco substitui uma VPN. Mesmo com endereços IP privados, um dispositivo ainda pode ser infectado por e-mail ou pela navegação na Web, e o NAPT não impede que um dispositivo infectado se comunique com um servidor externo de comando e controle (指令サーバ).

Questão 4 | Os limites de uma VPN

Um funcionário em trabalho remoto se conecta de casa ao sistema da empresa por meio de uma VPN. Qual das alternativas a seguir descreve uma VPN da forma mais adequada?

  1. Uma VPN criptografa e protege o caminho de comunicação, mas não garante que o próprio dispositivo que se conecta seja seguro, por isso também são necessárias medidas do lado do dispositivo
  2. Usar uma VPN criptografa automaticamente os arquivos armazenados no dispositivo que se conecta
  3. Desde que o caminho de comunicação esteja criptografado com uma VPN, uma infecção no dispositivo que se conecta não pode afetar os sistemas internos da empresa
  4. Uma VPN é uma linha dedicada física que não usa a internet e não passa pelas instalações de uma operadora de telecomunicações
RespostaA. Uma VPN criptografa e protege o caminho de comunicação, mas não garante que o próprio dispositivo que se conecta seja seguro, por isso também são necessárias medidas do lado do dispositivo

Uma VPN é uma tecnologia que cria uma linha dedicada virtual criptografada sobre uma rede pública (公衆網), e o que ela protege é a confidencialidade e a integridade do caminho de comunicação. Se um dispositivo infectado se conectar por VPN, o malware pode entrar na empresa pelo caminho criptografado; por isso, a aplicação de patches, as medidas contra malware e a autenticação multifator (多要素認証) continuam sendo necessárias separadamente do lado do dispositivo. Ela usa uma rede pública, como a internet, e não uma linha dedicada física, e não tem nenhuma função para criptografar os arquivos armazenados no dispositivo.

Questão 5 | Wi-Fi

Sobre as medidas de segurança para o Wi-Fi de um escritório, qual das alternativas a seguir é a mais adequada?

  1. Usar WPA2 ou WPA3 para a criptografia e a autenticação, e tratar o SSID oculto (stealth) e a filtragem de endereços MAC apenas como medidas complementares
  2. Desde que a filtragem de endereços MAC esteja configurada, nenhuma outra medida, incluindo a criptografia, é necessária
  3. Conectar o Wi-Fi de visitantes e o Wi-Fi interno de trabalho à mesma rede, e gerenciar os equipamentos e as configurações dos pontos de acesso de forma centralizada
  4. Ativar o SSID oculto (stealth) para esconder o SSID de pessoas de fora basta para tornar o WEP suficientemente seguro como método de criptografia
RespostaA. Usar WPA2 ou WPA3 para a criptografia e a autenticação, e tratar o SSID oculto (stealth) e a filtragem de endereços MAC apenas como medidas complementares

O núcleo da segurança do Wi-Fi (無線LAN) é a criptografia e a autenticação, usando WPA2 ou WPA3. O WEP não deve ser usado, porque pode ser quebrado rapidamente. Tanto o SSID oculto (ステルスSSID) quanto a filtragem de endereços MAC (MACアドレスフィルタリング) podem ser contornados, porque o SSID ou o endereço MAC ficam visíveis ao se observar o tráfego; por isso, nenhum dos dois pode ser usado como medida isolada. O princípio é manter o Wi-Fi de visitantes separado da rede de trabalho; conectá-los à mesma rede cria o risco de que o dispositivo de um visitante alcance o interior da empresa.

Questão 6 | Autenticação de domínio do remetente

Para reduzir os danos causados por e-mails falsificados que se passam pelo domínio da própria empresa, está sendo introduzida a autenticação de domínio do remetente. Qual das alternativas a seguir descreve o SPF, o DKIM e o DMARC da forma mais adequada?

  1. O DMARC é um mecanismo que criptografa o corpo de um e-mail para que seu conteúdo não possa ser lido por terceiros durante o trânsito.
  2. O SPF é um mecanismo para verificar uma assinatura eletrônica, o DKIM é um mecanismo que publica no DNS os endereços IP dos servidores de envio autorizados para comparação, e o DMARC é um mecanismo em que o lado remetente publica uma política sobre como tratar os e-mails que falham na autenticação.
  3. O SPF é um mecanismo que publica no DNS os endereços IP dos servidores de envio autorizados para comparação, o DKIM é um mecanismo para verificar uma assinatura eletrônica, e o DMARC é um mecanismo que publica uma política sobre como tratar os e-mails que falham na autenticação.
  4. Os três só precisam ser configurados no servidor de e-mail receptor; nada precisa ser configurado no domínio remetente.
RespostaC. O SPF é um mecanismo que publica no DNS os endereços IP dos servidores de envio autorizados para comparação, o DKIM é um mecanismo para verificar uma assinatura eletrônica, e o DMARC é um mecanismo que publica uma política sobre como tratar os e-mails que falham na autenticação.

O SPF publica no DNS os endereços IP dos servidores autorizados a enviar e-mails de um domínio, e o lado receptor faz a verificação com base nisso. No DKIM, o lado remetente anexa uma assinatura eletrônica (電子署名), que o lado receptor verifica usando uma chave publicada no DNS. O DMARC leva em conta os resultados do SPF e do DKIM e faz com que o domínio remetente publique uma política sobre se os e-mails que falham na autenticação devem ser tratados como “nenhuma ação, quarentena ou rejeição”, além de receber relatórios com os resultados. A descrição que troca o SPF pelo DKIM e a que descreve o DMARC como criptografia do corpo estão ambas erradas. Todos esses mecanismos dependem de configurações do lado do domínio remetente, como os registros no DNS.

Questão 7 | Sincronização de horário

Os servidores internos e os equipamentos de rede são sincronizados com um servidor NTP para manter seus relógios alinhados. Qual das alternativas a seguir é o motivo mais adequado pelo qual isso é importante para a segurança da informação?

  1. Porque isso permite cruzar em ordem cronológica os logs de vários dispositivos, rastreando com precisão o curso de um incidente e preservando seu valor como trilha de auditoria
  2. Porque ter os relógios alinhados criptografa automaticamente a comunicação, de modo que ela não possa ser interceptada
  3. Porque ter os relógios alinhados permite prever com antecedência o horário em que o malware começará a agir, de modo que a comunicação nesse horário possa ser bloqueada previamente
  4. Porque ter os relógios alinhados reduz o tamanho dos arquivos de log gerados por cada dispositivo, ampliando por quanto tempo os logs podem ser mantidos no mesmo equipamento
RespostaA. Porque isso permite cruzar em ordem cronológica os logs de vários dispositivos, rastreando com precisão o curso de um incidente e preservando seu valor como trilha de auditoria

Se o relógio de cada dispositivo estiver desalinhado, mesmo colocando vários logs lado a lado a ordem dos eventos continua incerta, tornando impossível rastrear o que aconteceu e quando, além de comprometer sua confiabilidade como prova. É por isso que alinhar o horário por meio de um servidor NTP comum é uma condição prévia para a investigação de incidentes e para seu valor como trilha de auditoria (監査証跡). A sincronização de horário não tem nada a ver com o volume dos logs, não oferece nenhuma função de criptografia da comunicação e não permite prever quando o malware vai agir.

Questão 8 | Responsabilidade no IaaS

Uma empresa construiu seu servidor de negócios usando IaaS. À luz do modelo de responsabilidade compartilhada, qual das alternativas a seguir é algo que o usuário deve fazer?

  1. Aplicar os patches do sistema operacional convidado e do middleware que ele próprio instalou, como responsabilidade planejada do próprio usuário
  2. Aplicar as medidas contra vulnerabilidades e os patches da própria plataforma de virtualização (hypervisor), como responsabilidade planejada do próprio usuário
  3. Realizar o controle de entrada e saída e a segurança física do data center visitando pessoalmente o local, incluindo a manutenção de registros disso
  4. Ir até o data center e realizar pessoalmente a troca de peças quando o hardware físico do servidor falhar
RespostaA. Aplicar os patches do sistema operacional convidado e do middleware que ele próprio instalou, como responsabilidade planejada do próprio usuário

No IaaS, o provedor cobre desde as instalações até o hardware, a rede e a plataforma de virtualização, enquanto tudo o que está acima do sistema operacional convidado (ゲストOS) instalado pelo usuário — o SO, o middleware, as aplicações, os dados e as contas — fica dentro da área de responsabilidade do usuário. A aplicação de patches no SO convidado é, portanto, algo que o usuário faz. O controle de entrada e saída do data center, a troca do hardware físico e a segurança da plataforma de virtualização estão todos dentro da área de responsabilidade do provedor, e o usuário não pode realizá-los.

Questão 9 | Responsabilidade no SaaS

Em um serviço de compartilhamento de arquivos SaaS usado no trabalho, um funcionário definiu o escopo de compartilhamento como “qualquer pessoa com o link”, deixando um arquivo confidencial visível de fora da empresa. Qual das alternativas a seguir é a explicação mais adequada à luz do modelo de responsabilidade compartilhada?

  1. No SaaS, o provedor do serviço deve proteger tudo, por isso esse evento também é responsabilidade do provedor
  2. A configuração do escopo de compartilhamento durante o uso do SaaS é otimizada automaticamente pelo provedor do serviço, por isso nem o usuário nem o provedor têm responsabilidade
  3. Configurar os direitos de acesso e o escopo de compartilhamento, e gerenciar os dados ali colocados, fazem parte da área de responsabilidade do usuário, por isso isso é responsabilidade do usuário
  4. Como o SaaS não dá ao usuário nenhuma autoridade sobre as configurações de compartilhamento, esse tipo de situação não pode ocorrer
RespostaC. Configurar os direitos de acesso e o escopo de compartilhamento, e gerenciar os dados ali colocados, fazem parte da área de responsabilidade do usuário, por isso isso é responsabilidade do usuário

No SaaS, o funcionamento da aplicação e as medidas contra suas vulnerabilidades são responsabilidade do provedor, mas os próprios dados, as contas de usuário e a configuração dos direitos de acesso e do escopo de compartilhamento continuam dentro da área de responsabilidade do usuário (利用者の責任範囲). Usar a nuvem não transfere essa parte da responsabilidade para o provedor. O provedor não otimiza as configurações automaticamente, e é justamente porque o usuário tem autoridade sobre as configurações de compartilhamento que vazamentos causados por erros de configuração como este de fato ocorrem com frequência na prática.

Questão 10 | Responsabilidade no PaaS

Uma empresa executa sobre um PaaS uma aplicação de negócios desenvolvida internamente. Se for encontrada uma vulnerabilidade de injeção de SQL nessa aplicação, qual das alternativas a seguir é a resposta mais adequada?

  1. Como se trata de uma vulnerabilidade do próprio sistema operacional, corrigi-la fazendo o usuário aplicar um patch ao SO convidado
  2. Como a aplicação desenvolvida internamente faz parte da área de responsabilidade do usuário, corrigir o programa internamente
  3. Como o PaaS não permite que o usuário desenvolva aplicações, essa vulnerabilidade não pode ocorrer
  4. Como se trata de um problema do ambiente de execução fornecido pelo provedor do PaaS, basta esperar por uma correção do provedor
RespostaB. Como a aplicação desenvolvida internamente faz parte da área de responsabilidade do usuário, corrigir o programa internamente

No PaaS, o provedor gerencia desde o SO até o middleware e o ambiente de execução, enquanto a aplicação e os dados que o usuário desenvolveu e implantou sobre essa base, junto com o gerenciamento de contas, ficam dentro da área de responsabilidade do usuário. A injeção de SQL (SQLインジェクション) é uma vulnerabilidade que surge da forma como a própria aplicação da empresa foi construída, por isso a empresa corrige o programa por conta própria. Não é algo para esperar do provedor, nem algo corrigido por um patch do SO. O PaaS é justamente uma plataforma para o usuário desenvolver e executar aplicações, por isso a afirmação de que não é possível desenvolver também está errada.

Questão 11 | Disponibilidade em série

O dispositivo A, com disponibilidade de 0.95, e o dispositivo B, com disponibilidade de 0.90, estão conectados em série, de modo que o sistema como um todo só funciona quando A e B estão funcionando. Qual é a disponibilidade do sistema como um todo? Considere que as falhas de A e de B são independentes entre si.

  1. 0.990
  2. 0.855
  3. 0.900
  4. 0.925
RespostaB. 0.855

Em uma configuração em série, todos os dispositivos precisam estar funcionando ao mesmo tempo, por isso a disponibilidade (稼働率) total é o produto das disponibilidades de cada dispositivo: 0.95 × 0.90 = 0.855. 0.925 é a média simples das duas disponibilidades ((0.95 + 0.90) ÷ 2), e 0.900 é a disponibilidade do dispositivo B sozinho; nenhum dos dois é o valor de uma configuração em série. 0.990 também é um valor sem fundamento; como referência, uma configuração em paralelo, em que basta que um dos dois funcione, daria 1 − (1 − 0.95) × (1 − 0.90) = 0.995. Como a disponibilidade total cai quanto mais dispositivos são adicionados em série, as partes que precisam de disponibilidade devem, em vez disso, ser tornadas redundantes.

Questão 12 | Disponibilidade em paralelo

Dois dispositivos, cada um com disponibilidade de 0.90, são instalados em uma configuração redundante em que o sistema como um todo funciona desde que qualquer um deles esteja funcionando. Qual é a disponibilidade do sistema como um todo? Considere que as falhas dos dois dispositivos são independentes entre si.

  1. 0.90
  2. 0.95
  3. 0.81
  4. 0.99
RespostaD. 0.99

A disponibilidade (稼働率) de uma configuração em paralelo (redundante, 冗長) é obtida subtraindo de 1 a probabilidade de que todos os dispositivos parem ao mesmo tempo: 1 − (1 − 0.90) × (1 − 0.90) = 1 − 0.10 × 0.10 = 1 − 0.01 = 0.99. 0.81 é o valor de uma configuração em série que exige que ambos estejam funcionando (0.90 × 0.90), e 0.90 é o valor de um único dispositivo. 0.95 é um valor sem fundamento que não resulta de nenhum desses cálculos; nenhum deles é o resultado de uma configuração redundante. Os números confirmam que a redundância aumenta a disponibilidade total e contribui para a continuidade dos negócios.

Questão 13 | RAID e cópias externas

Os discos de um servidor de arquivos estão configurados em RAID 1 (espelhamento). Qual das alternativas a seguir é a avaliação mais adequada disso como medida contra ransomware?

  1. O RAID 1 é eficaz contra uma falha de disco, mas, como a criptografia é refletida nos dois discos, também é preciso manter backups com gerenciamento de gerações off-line ou em um local remoto
  2. Ampliar o RAID 1 para uma configuração de cinco discos evitaria os danos do ransomware
  3. O RAID 1 é um mecanismo que sempre proíbe a gravação no disco, por isso, mesmo que o ransomware tente criptografar um arquivo, não consegue reescrevê-lo e nenhum dano ocorre
  4. Com o RAID 1, até um arquivo criptografado pode ser restaurado automaticamente a partir do conteúdo do outro disco, por isso nenhuma medida adicional, como fazer backups, é particularmente necessária
RespostaA. O RAID 1 é eficaz contra uma falha de disco, mas, como a criptografia é refletida nos dois discos, também é preciso manter backups com gerenciamento de gerações off-line ou em um local remoto

O que o RAID protege é a falha física do disco; a criptografia ou a exclusão acidental feitas como uma gravação legítima são refletidas igualmente em todos os discos. Por isso, o RAID não substitui os backups (バックアップ). É preciso fazer backups de várias gerações, mantendo pelo menos um deles em um local desconectado da rede ou em um local remoto, e verificar periodicamente se é possível restaurar a partir deles. O RAID não tem nenhuma função para proibir gravações, e adicionar mais discos não muda a forma como a criptografia é refletida.

Questão 14 | Uso de uma visão (view)

A tabela de funcionários de um banco de dados de RH tem colunas de número do funcionário, nome, departamento, cargo, salário e número individual. Os funcionários em geral devem poder consultar apenas o nome, o departamento e o cargo, como um diretório de funcionários. Qual das alternativas a seguir é o método mais adequado?

  1. Definir uma visão que extraia apenas as colunas de nome, departamento e cargo, e conceder aos funcionários em geral permissão de consulta somente a essa visão
  2. Conceder a todos os funcionários permissão de consulta à própria tabela de funcionários, e avisar todos internamente para não olharem as colunas de salário e de número individual
  3. Alterar a tabela de funcionários para que todos os funcionários possam atualizá-la, e operá-la com as colunas de salário e de número individual permanentemente em branco
  4. Colocar um backup da tabela de funcionários em uma pasta compartilhada para que todos encontrem e usem a partir dele as informações de que precisam
RespostaA. Definir uma visão que extraia apenas as colunas de nome, departamento e cargo, e conceder aos funcionários em geral permissão de consulta somente a essa visão

Uma visão (ビュー) é uma tabela virtual que extrai apenas as colunas ou linhas necessárias da tabela original, e conceder permissão de consulta somente à visão mantém intocadas as colunas de salário e de número individual. Isso está de acordo com o princípio do menor privilégio (最小権限の原則), que concede apenas o acesso mínimo necessário. Confiar em avisar as pessoas para não olharem não oferece nenhuma restrição técnica e não consegue impedir um vazamento. Deixar as colunas em branco destrói os próprios dados, e conceder permissão de atualização a todos os funcionários está fora de questão. Colocar um backup em uma pasta compartilhada cria uma cópia não gerenciada e amplia o caminho por onde um vazamento pode ocorrer.

Questão 15 | Recuperação de um banco de dados

O disco de um servidor de banco de dados falhou e ficou inutilizável, e foi substituído por outro disco. Estão disponíveis um backup da noite anterior e o log de imagem posterior registrado desde então. Qual método restaura o sistema ao estado imediatamente anterior à ocorrência da falha?

  1. Restaurar apenas o backup e retomar a operação a partir do estado da noite anterior
  2. Restaurar o backup e então executar um roll-forward que aplica o log de imagem posterior
  3. Recuperar executando apenas um rollback que desfaz uma transação interrompida no meio do processamento
  4. Usar apenas o log de imagem anterior para voltar a um estado anterior ao momento em que o backup foi feito
RespostaB. Restaurar o backup e então executar um roll-forward que aplica o log de imagem posterior

A recuperação de uma falha de mídia (媒体障害) é feita restaurando o backup e então executando um roll-forward (ロールフォワード) que aplica em ordem o log de imagem posterior (更新後ログ) subsequente, levando o sistema até o estado imediatamente anterior à falha. Restaurar apenas o backup perde todas as atualizações feitas depois dele. Um rollback (ロールバック) desfaz uma transação interrompida no meio do processamento, voltando-a ao estado anterior ao seu início, e não recupera as atualizações feitas desde o backup. Usar o log de imagem anterior para voltar a um ponto anterior ao backup não é recuperação. Qualquer tipo de recuperação depende de os logs terem sido preservados.

Questão 16 | Definição de requisitos

No desenvolvimento de um novo sistema de negócios, qual abordagem segue a ideia de security by design?

  1. Voltar à etapa de projeto somente quando uma vulnerabilidade for encontrada durante os testes, considerando e acrescentando nesse momento a medida de segurança que for necessária
  2. Como a segurança é trabalho da equipe de operação, não considerá-la de forma alguma, nem como requisito nem no projeto, durante a fase de desenvolvimento
  3. Definir os requisitos de segurança, como a forma de dividir os direitos de acesso, o escopo dos logs a registrar, a criptografia e o método de autenticação, na etapa de planejamento e definição de requisitos
  4. Priorizar primeiro a implementação das funcionalidades e seguir com o desenvolvimento, acrescentando uma a uma as funções de segurança necessárias depois que o sistema entrar em produção
RespostaC. Definir os requisitos de segurança, como a forma de dividir os direitos de acesso, o escopo dos logs a registrar, a criptografia e o método de autenticação, na etapa de planejamento e definição de requisitos

Security by design (segurança desde a concepção, セキュリティバイデザイン) é a ideia de incorporar a segurança ao projeto a partir da etapa de planejamento e definição de requisitos (要件定義). Tentar acrescentá-la em uma fase posterior gera grande retrabalho envolvendo mudanças de projeto, aumentando custo e prazo, e muitas vezes deixa pontos sem correção completa quando a operação começa. Acrescentá-la depois de entrar em produção, considerá-la somente quando uma vulnerabilidade é encontrada ou não considerá-la durante o desenvolvimento são caminhos que provocam esse tipo de retrabalho e medidas insuficientes.

Questão 17 | Teste de penetração

Qual das alternativas a seguir descreve da forma mais adequada o teste de penetração realizado antes de um sistema Web ser publicado?

  1. Um teste que examina a estrutura interna do programa para confirmar que cada ramificação de sua lógica é executada pelo menos uma vez, medindo a qualidade pelo grau de cobertura
  2. Um teste que de fato tenta uma invasão do ponto de vista de um atacante para verificar se as defesas podem ser rompidas, exigindo o consentimento prévio do administrador do sistema-alvo para ser realizado
  3. Um teste que verifica, de fora e sem olhar a estrutura interna do programa, se a saída corresponde à especificação para uma determinada entrada, servindo também como avaliação da possibilidade de invasão na verificação final antes do lançamento
  4. Um teste em que usuários reais operam o sistema para avaliar se as telas são claras e fáceis de usar
RespostaB. Um teste que de fato tenta uma invasão do ponto de vista de um atacante para verificar se as defesas podem ser rompidas, exigindo o consentimento prévio do administrador do sistema-alvo para ser realizado

O teste de penetração (ペネトレーションテスト) verifica a possibilidade de invasão do ponto de vista de um atacante, um objetivo diferente do de um teste que verifica se as funções funcionam conforme a especificação. Mesmo que todos os testes funcionais sejam aprovados, às vezes a invasão ainda é possível. Examinar a estrutura interna para confirmar a cobertura das ramificações é o teste de caixa branca (ホワイトボックステスト), verificar entradas e saídas sem olhar a estrutura interna é o teste de caixa preta (ブラックボックステスト), e avaliar a facilidade de uso é o teste de usabilidade; cada um deles é algo diferente. Observe também que tentar invadir o sistema de outra pessoa sem permissão pode violar a Lei de Proibição do Acesso Não Autorizado a Computadores (不正アクセス禁止法), e é por isso que o consentimento prévio é indispensável.

Questão 18 | Gestão de problemas

Na gestão de serviços, qual das alternativas a seguir descreve da forma mais adequada a diferença entre a gestão de incidentes e a gestão de problemas?

  1. A gestão de incidentes visa identificar a causa raiz e evitar a recorrência, enquanto a gestão de problemas visa restaurar o serviço ao estado normal o mais rápido possível
  2. A gestão de incidentes visa restaurar o serviço ao estado normal o mais rápido possível, enquanto a gestão de problemas visa identificar a causa raiz e evitar a recorrência
  3. A gestão de incidentes trata apenas de incidentes relacionados à segurança da informação, e a gestão de problemas trata de todos os outros tipos de falha ou incidente — uma distinção por escopo
  4. A gestão de incidentes e a gestão de problemas referem-se exatamente à mesma atividade, com o mesmo objeto, objetivo e procedimento, diferindo apenas no nome usado em um relatório
RespostaB. A gestão de incidentes visa restaurar o serviço ao estado normal o mais rápido possível, enquanto a gestão de problemas visa identificar a causa raiz e evitar a recorrência

O objetivo da gestão de incidentes (インシデント管理) é a rápida recuperação do serviço, e não há problema em restaurar as operações com uma solução de contorno temporária, mesmo sem conhecer a causa raiz. O objetivo da gestão de problemas (問題管理) é identificar a causa raiz e evitar a recorrência por meio de uma correção permanente. Como seus objetivos são diferentes, elas são gerenciadas como processos separados. A descrição que troca os dois objetivos e a que as trata como a mesma atividade estão ambas erradas, e a distinção não se baseia em ser ou não um incidente de segurança.

Questão 19 | SLAs

Ao terceirizar a operação de um sistema de negócios, é firmado um SLA. Qual das alternativas a seguir descreve um SLA da forma mais adequada?

  1. Um SLA é um documento em que o provedor e o usuário acordam níveis numéricos de qualidade do serviço, definindo não só a disponibilidade e o tempo-alvo de recuperação, mas também itens de segurança, como o prazo para comunicar um incidente e o período de retenção dos logs
  2. Um SLA é um regulamento interno do provedor do serviço e não deve ser divulgado ao usuário
  3. Um SLA deve registrar apenas metas relacionadas à disponibilidade, como a taxa de disponibilidade e o tempo-alvo de recuperação, e nunca deve registrar itens relacionados à segurança, como o prazo para comunicar um incidente ou o período de retenção dos logs
  4. Uma vez acordado, um SLA nunca deve ser revisto, e o seu cumprimento também não é medido durante o período do contrato
RespostaA. Um SLA é um documento em que o provedor e o usuário acordam níveis numéricos de qualidade do serviço, definindo não só a disponibilidade e o tempo-alvo de recuperação, mas também itens de segurança, como o prazo para comunicar um incidente e o período de retenção dos logs

Um SLA (acordo de nível de serviço) é um documento acordado entre o provedor e o usuário que define metas numéricas como a disponibilidade (稼働率), o tempo-alvo de recuperação em caso de falha e o tempo de resposta. Definir também itens relacionados à segurança — o prazo para comunicar um incidente, o período de retenção dos logs, o tempo de resposta a uma vulnerabilidade etc. — deixa claro o que o provedor fará pelo usuário quando ocorrer um incidente. Não é um regulamento interno apenas do provedor; o nível acordado é medido, avaliado e melhorado continuamente (SLM) e revisto conforme necessário.

Questão 20 | Mudanças e configuração

Qual combinação descreve da forma mais adequada a gestão de mudanças e a gestão de configuração na gestão de serviços?

  1. A gestão de mudanças é a atividade de servir como ponto único de contato que recebe consultas e relatos de falhas dos usuários, e a gestão de configuração é a atividade que visa restaurar o serviço após uma falha o mais rápido possível
  2. A gestão de mudanças é a atividade de identificar a causa raiz de uma falha, e a gestão de configuração é a atividade de garantir a capacidade de processamento necessária para os negócios
  3. A gestão de mudanças é a atividade de avaliar o impacto de uma mudança em um sistema, obter aprovação e então realizá-la e registrá-la; a gestão de configuração é a atividade de acompanhar de forma contínua e precisa os itens de configuração, como equipamentos, software e configurações, e as relações entre eles
  4. A gestão de mudanças é a atividade em que um auditor instrui o departamento auditado a fazer melhorias, e a gestão de configuração é a atividade em que a direção decide se fará um investimento
RespostaC. A gestão de mudanças é a atividade de avaliar o impacto de uma mudança em um sistema, obter aprovação e então realizá-la e registrá-la; a gestão de configuração é a atividade de acompanhar de forma contínua e precisa os itens de configuração, como equipamentos, software e configurações, e as relações entre eles

A gestão de mudanças (変更管理) é um mecanismo que evita mudanças desordenadas avaliando seu impacto, obtendo aprovação antes de realizá-las e mantendo um registro — o próprio ato de impedir uma mudança não aprovada já é uma medida de segurança. A gestão de configuração (構成管理) é a atividade de acompanhar de forma contínua e precisa as versões e configurações dos equipamentos e do software e como eles se relacionam entre si, de modo que, quando uma vulnerabilidade é divulgada, os ativos afetados possam ser identificados imediatamente. Um ponto único de contato para consultas é a central de serviços, a recuperação rápida é a gestão de incidentes, a identificação da causa raiz é a gestão de problemas, e a garantia da capacidade de processamento é a gestão de capacidade; cada um deles é um processo separado.

Questão 21 | Independência da auditoria

Uma empresa decidiu realizar uma auditoria de sistemas internamente. Do ponto de vista da independência do auditor de sistemas, qual das alternativas a seguir é a mais adequada?

  1. Um funcionário do departamento de auditoria interna, organizacionalmente independente do departamento auditado, ou um auditor externo realiza a auditoria
  2. O chefe do departamento auditado audita o trabalho do seu próprio departamento e elabora e entrega o relatório de auditoria
  3. Um funcionário de operação do departamento de sistemas de informação audita o próprio sistema de negócios que ele opera no dia a dia
  4. O líder do projeto que foi responsável pelo desenvolvimento do sistema auditado audita esse sistema ele mesmo
RespostaA. Um funcionário do departamento de auditoria interna, organizacionalmente independente do departamento auditado, ou um auditor externo realiza a auditoria

Exige-se do auditor de sistemas (システム監査人) que seja organizacionalmente independente do departamento auditado (independência externa, 外観上の独立性) e que seja capaz de julgar de forma justa e objetiva (independência interna, 精神上の独立性). Auditar algo que a própria pessoa construiu ou operou cria o risco de deixar passar fatos inconvenientes, ou de ser suspeito de tê-los deixado passar, o que não satisfaz a independência. Um funcionário de operação, o líder do projeto de desenvolvimento e o chefe do departamento auditado estariam, cada um, auditando o próprio trabalho e são todos inadequados; a auditoria deve ser realizada por um departamento de auditoria interna independente ou por um auditor externo.

Questão 22 | Trilhas de auditoria

Sobre a trilha de auditoria e o acompanhamento (follow-up) em uma auditoria de sistemas, qual das alternativas a seguir os descreve da forma mais adequada?

  1. A trilha de auditoria é o próprio relatório de auditoria elaborado pelo auditor, que não é divulgado ao departamento auditado para manter a independência, e no acompanhamento o departamento auditado avalia sua própria situação de melhoria e encerra o assunto
  2. A trilha de auditoria é um mecanismo ou conjunto de registros que permite rastrear o processamento posteriormente, mostrando quando, por quem e como ele foi realizado; no acompanhamento, o auditor confirma a situação da melhoria dos pontos apontados
  3. A trilha de auditoria só é registrada durante o período de auditoria e pode ser dispensada durante a operação normal
  4. No acompanhamento, o próprio auditor elabora e executa as medidas de melhoria, resolvendo o problema
RespostaB. A trilha de auditoria é um mecanismo ou conjunto de registros que permite rastrear o processamento posteriormente, mostrando quando, por quem e como ele foi realizado; no acompanhamento, o auditor confirma a situação da melhoria dos pontos apontados

A trilha de auditoria (監査証跡) refere-se a um mecanismo ou registro, como logs de acesso, histórico de operações ou registros de aprovação, que permite rastrear depois o curso do processamento, e é justamente por ser registrada e mantida continuamente, mesmo em tempos normais, que a verificação posterior se torna possível. O acompanhamento (フォローアップ) é a atividade em que o auditor confirma se a melhoria foi de fato realizada nos itens apontados no relatório de auditoria. Realizar a própria melhoria é tarefa do departamento auditado; se o auditor a realizasse ele mesmo, a próxima auditoria significaria auditar o próprio trabalho, comprometendo a independência. A trilha de auditoria é algo diferente do relatório de auditoria.

Questão 23 | CISO

Qual das alternativas a seguir descreve da forma mais adequada o papel de um CISO em uma empresa?

  1. Elaborar a estratégia de vendas e de preços dos produtos da própria empresa e ser responsável por atingir as metas de vendas
  2. Preparar as demonstrações financeiras e ser responsável por explicar os assuntos contábeis na assembleia de acionistas
  3. Ser responsável por formular a política de segurança da informação, decidir a política de tratamento de riscos, comandar a resposta a um incidente e reportar à direção
  4. Realizar pessoalmente a instalação e o cabeamento dos PCs e equipamentos de rede internos, e cuidar da manutenção diária e da resposta a falhas
RespostaC. Ser responsável por formular a política de segurança da informação, decidir a política de tratamento de riscos, comandar a resposta a um incidente e reportar à direção

O CISO (diretor de segurança da informação, 最高情報セキュリティ責任者) é o principal responsável, no nível da direção, pela segurança da informação, encarregado de formular a política, decidir a política de tratamento de riscos, comandar a resposta a um incidente grave e reportar à direção e a partes externas. A estratégia de vendas cabe ao departamento de vendas, a preparação e a explicação das demonstrações financeiras cabem a um CFO ou ao departamento financeiro, e a instalação de equipamentos ou a manutenção diária são trabalho prático do departamento de sistemas de informação; nenhum desses é o papel do CISO. Colocar um responsável no nível da direção, em vez de deixar a segurança a cargo de funcionários individuais, tem valor por si só.

Questão 24 | Segregação de funções

Do ponto de vista do controle interno, qual das práticas a seguir segue a ideia de segregação de funções?

  1. Separar o funcionário que faz o pedido de compra daquele que inspeciona os produtos entregues
  2. Priorizar a eficiência e conceder também aos funcionários de desenvolvimento de sistemas a autoridade para alterar o ambiente de produção
  3. Conceder direitos de administrador a todos os funcionários para que qualquer pessoa possa realizar a tarefa que for necessária
  4. Fazer um único funcionário realizar de forma contínua tudo, desde a solicitação até a aprovação, a execução e o registro, para deixar clara a responsabilidade
RespostaA. Separar o funcionário que faz o pedido de compra daquele que inspeciona os produtos entregues

A segregação de funções (職務分掌) é um princípio básico do controle interno (内部統制) que divide papéis como solicitação, aprovação, execução e registro entre várias pessoas, criando uma estrutura em que a verificação mútua torna fraudes ou erros menos prováveis. Separar quem faz o pedido de quem inspeciona a entrega é um exemplo típico. Uma situação em que uma única pessoa pode concluir sozinha toda uma sequência de processamento torna a fraude difícil de descobrir e viola a segregação de funções. Conceder aos funcionários de desenvolvimento a autoridade para alterar o ambiente de produção também deve ser evitado, pois permite uma mudança sem passar por aprovação. Conceder direitos de administrador a todos também viola o princípio do menor privilégio.

Questão 25 | RFI e RFP

Qual das alternativas a seguir descreve da forma mais adequada o fluxo de aquisição ao encomendar um sistema de negócios a um fornecedor externo?

  1. Solicitação de informações (RFI) → Solicitação de proposta (RFP) → recebimento e avaliação das propostas → contrato
  2. Contrato → Solicitação de proposta (RFP) → recebimento e avaliação das propostas → Solicitação de informações (RFI)
  3. Solicitação de proposta (RFP) → Solicitação de informações (RFI) → contrato → recebimento e avaliação das propostas
  4. Recebimento e avaliação das propostas → Solicitação de informações (RFI) → contrato → Solicitação de proposta (RFP)
RespostaA. Solicitação de informações (RFI) → Solicitação de proposta (RFP) → recebimento e avaliação das propostas → contrato

Primeiro, uma RFI (solicitação de informações, 情報提供依頼書) reúne informações dos fornecedores sobre quais produtos, serviços e tecnologias existem no mercado. Com base nessas informações, os requisitos são organizados em uma RFP (solicitação de proposta, 提案依頼書), e vários fornecedores são solicitados a apresentar propostas concretas. As propostas e orçamentos apresentados são avaliados segundo critérios definidos previamente para selecionar um fornecedor, e o contrato é firmado. A etapa de reunir informações vem primeiro, e a de solicitar propostas vem depois; as outras alternativas invertem essa ordem e estão erradas. Os requisitos de segurança precisam estar explicitados na RFP.

Questão 26 | Seleção de uma empresa contratada

Uma empresa vai terceirizar um trabalho que envolve dados pessoais de clientes. Sobre a seleção e a gestão da empresa contratada, qual das alternativas a seguir é a mais adequada?

  1. Mesmo que a empresa contratada subcontrate ainda outra empresa, não há necessidade de informar a contratante
  2. Basta selecionar o fornecedor com o melhor preço e prazo de entrega; a situação de certificações, os itens de segurança e os procedimentos em caso de incidente podem ser discutidos depois da assinatura do contrato
  3. Uma vez terceirizado o trabalho, a responsabilidade pela gestão dos dados pessoais passa inteiramente para a empresa contratada, e a contratante deixa por completo de gerenciá-la ou supervisioná-la após a seleção
  4. Explicitar nos critérios de seleção e no contrato itens como a situação de certificações, o tratamento da subcontratação, a obrigação de comunicar um incidente, a aceitação de auditorias e a eliminação dos dados ao final do trabalho, e continuar recebendo relatórios periódicos e supervisionando mesmo após a terceirização
RespostaD. Explicitar nos critérios de seleção e no contrato itens como a situação de certificações, o tratamento da subcontratação, a obrigação de comunicar um incidente, a aceitação de auditorias e a eliminação dos dados ao final do trabalho, e continuar recebendo relatórios periódicos e supervisionando mesmo após a terceirização

Ao selecionar uma empresa contratada (委託先), a segurança deve ser incluída como item de avaliação ao lado do preço e do prazo de entrega. A situação da certificação ISMS ou da Privacy Mark (プライバシーマーク), se a subcontratação (再委託) é permitida e como um eventual subcontratado será gerenciado, a obrigação e o prazo para comunicar um incidente, uma cláusula de aceitação de auditorias e o método para devolver ou eliminar os dados ao final do contrato devem estar todos explicitados nos critérios de seleção e no contrato. Mesmo após terceirizar o tratamento de dados pessoais, a contratante (委託元) mantém a obrigação de exercer a supervisão necessária e adequada sobre a empresa contratada, e a responsabilidade não é transferida. Permitir que a empresa contratada subcontrate sem informar a contratante também é inadequado.

Questão 27 | IA generativa e confidencialidade

Um funcionário pediu para usar um serviço de IA generativa no trabalho. Do ponto de vista da prevenção de vazamento de informações, qual regra a organização deve estabelecer?

  1. Como o conteúdo inserido é sempre excluído pelo provedor, permitir que informações confidenciais também sejam inseridas livremente
  2. Como a IA generativa é perigosa, proibir de forma geral seu uso nos dispositivos internos, mas deixar o uso por meio de um dispositivo pessoal ou de uma conta pessoal a critério de cada um
  3. Deixar que cada funcionário escolha livremente o serviço de IA generativa de sua preferência e que insira nele livremente quaisquer dados de trabalho, sem restrição
  4. Limitar os serviços utilizáveis aos aprovados pela organização e declarar explicitamente nas regras que informações pessoais de clientes e informações de gestão não divulgadas não devem ser inseridas
RespostaD. Limitar os serviços utilizáveis aos aprovados pela organização e declarar explicitamente nas regras que informações pessoais de clientes e informações de gestão não divulgadas não devem ser inseridas

O conteúdo inserido em uma IA generativa (生成AI) pode ser armazenado pelo provedor ou usado para treinamento, por isso inserir informações confidenciais cria o risco de que elas vazem para fora a partir daí. A organização deve, portanto, limitar os serviços utilizáveis aos que ela aprovou e declarar explicitamente nas regras quais informações podem e quais não podem ser inseridas. Não há garantia de que o conteúdo inserido seja sempre excluído. Deixar os funcionários escolherem livremente, ou proibir o uso interno deixando o uso em dispositivos pessoais a critério de cada um, cria shadow IT (シャドーIT) fora do controle da organização e, na verdade, aumenta o risco de vazamento.

Questão 28 | Respostas da IA

Uma IA generativa foi usada para redigir o rascunho de um documento explicativo destinado à divulgação fora da empresa. Qual das alternativas a seguir é a forma mais adequada de tratar esse rascunho?

  1. Como a IA generativa pode produzir conteúdo de aparência plausível que não corresponde aos fatos, e sua saída pode se parecer com uma obra protegida por direitos autorais já existente, fazer uma pessoa verificar os fatos e checar a situação dos direitos antes de publicá-lo
  2. Desde que uma fonte seja citada, ele pode ser publicado como está, sem verificar os fatos do conteúdo
  3. Como a saída da IA generativa se baseia em um enorme volume de dados de treinamento, seu conteúdo é sempre preciso e nunca se parece com uma obra protegida já existente, por isso pode ser publicado como está, sem verificação
  4. Como um texto criado por IA generativa nunca pode gerar um problema de direitos autorais, verificar a situação dos direitos é desnecessário
RespostaA. Como a IA generativa pode produzir conteúdo de aparência plausível que não corresponde aos fatos, e sua saída pode se parecer com uma obra protegida por direitos autorais já existente, fazer uma pessoa verificar os fatos e checar a situação dos direitos antes de publicá-lo

A IA generativa pode produzir alucinações (ハルシネーション), frases de aparência plausível que não se baseiam em fatos, por isso sua saída nunca deve ser tratada como correta tal como está. Também pode acontecer de a saída se parecer com uma obra protegida por direitos autorais (著作物) já existente, e publicá-la ou vendê-la como está cria o risco de violar direitos. Uma pessoa deve, portanto, verificar os fatos e checar os direitos e os termos de uso antes da publicação. Basear-se em dados de treinamento não a torna precisa, e citar uma fonte não substitui a verificação dos fatos.

Questão 29 | Uma decisão de investimento

Para um determinado ativo de informação, estima-se que a perda causada por um incidente seja de 20 milhões de ienes por ocorrência, com probabilidade anual de 10%. Qual das alternativas a seguir é a forma de pensar mais adequada, do ponto de vista da direção, sobre o custo de uma medida para evitar esse incidente?

  1. A perda anual esperada chega a 2 milhões de ienes, por isso esse valor deve ser comparado com o custo anual da medida para julgar se o investimento vale a pena — exceto que tudo o que envolva vidas humanas ou o cumprimento da lei não deve ser decidido apenas pela relação custo-benefício
  2. A perda anual esperada chega a 2 milhões de ienes, mas, independentemente do valor, o custo da medida deve sempre ser fixado nos 20 milhões de ienes inteiros, igual à perda por ocorrência, sem considerar a relação custo-benefício
  3. Desde que a probabilidade de ocorrência não seja de 100%, o incidente pode ser tratado como algo que não acontece, por isso nenhuma medida é necessária
  4. Como as medidas de segurança são um custo que não gera receita, nenhum valor deve ser gasto com elas
RespostaA. A perda anual esperada chega a 2 milhões de ienes, por isso esse valor deve ser comparado com o custo anual da medida para julgar se o investimento vale a pena — exceto que tudo o que envolva vidas humanas ou o cumprimento da lei não deve ser decidido apenas pela relação custo-benefício

A perda anual esperada pode ser estimada aproximadamente como a perda por ocorrência multiplicada pela probabilidade anual de ocorrência: 20,000,000 × 10% = 2,000,000 ienes. A abordagem básica é comparar quanto essa perda esperada seria reduzida por uma medida com o custo anual dessa medida, para julgar se o investimento vale a pena. Gastar sempre o valor total da perda, ou não gastar nada, não é racional em nenhum dos casos, e julgar a medida desnecessária só porque a probabilidade não é de 100% também é errado. Dito isso, uma medida que envolva vidas humanas ou o cumprimento da lei (法令遵守) não deve ser decidida apenas pela relação custo-benefício (費用対効果).

Questão 30 | KGI e KPI

Para reportar à direção, em forma numérica, a situação dos esforços de segurança da informação, são definidos um KGI, um CSF e um KPI. Qual combinação é a mais adequada?

  1. O KPI é um indicador secreto conhecido apenas pela direção e não é mostrado ao departamento responsável
  2. Definir o KGI como “zero incidentes graves”, o CSF como “aumentar a consciência de segurança de todos os funcionários” e o KPI como “a taxa de abertura no treinamento” ou “o número médio de dias para corrigir uma vulnerabilidade”
  3. KGI, CSF e KPI são todos indicadores de resultado final, por isso o mesmo conteúdo é escrito três vezes para expressá-los
  4. Definir o KGI como “uma taxa de abertura de 5% ou menos no treinamento com e-mails de ataque direcionado”, o CSF como “repetir o treinamento todos os anos” e o KPI como “reduzir a zero o número de incidentes graves”
RespostaB. Definir o KGI como “zero incidentes graves”, o CSF como “aumentar a consciência de segurança de todos os funcionários” e o KPI como “a taxa de abertura no treinamento” ou “o número médio de dias para corrigir uma vulnerabilidade”

O KGI é o indicador de resultado final a ser alcançado, o CSF (fator crítico de sucesso) é o fator de sucesso decisivo para alcançá-lo, e o KPI é um indicador intermediário que mede o progresso. Assim, “zero incidentes graves”, como resultado final, é colocado como KGI; o aumento da consciência, como fator de sucesso, é colocado como CSF; e a taxa de abertura no treinamento ou o número médio de dias para corrigir uma vulnerabilidade, que medem como esse progresso está andando, são colocados como KPIs. A combinação que troca o KGI e o KPI está errada. Os três são indicadores distintos, com papéis diferentes, e o KPI é algo que deve ser compartilhado com o departamento responsável para que ele possa melhorar suas atividades do dia a dia.

Prática: responda às perguntas desta página

Esta é uma ferramenta de prática com perguntas em ordem aleatória (funciona quando o JavaScript está ativado). Mesmo sem ela, você pode ler todas as perguntas e explicações acima.

* As explicações são informações para fins de estudo. O conteúdo e o sistema dos exames mudam de ano para ano, por isso confira sempre os comunicados oficiais da entidade organizadora.

Esta página é uma tradução do texto original em japonês. Em caso de diferença entre a tradução e o original, prevalece a versão em japonês. Esta tradução foi feita com IA e pode conter erros. Informar um erro de tradução Ver o original em japonês