Prática de ativos de informação e riscos

A Empresa A é uma empresa de vendas de equipamentos industriais com 120 funcionários. B, do departamento de vendas, foi nomeado líder de segurança da informação do departamento e está criando pela primeira vez o inventário de ativos de informação do departamento de vendas. O departamento de vendas tem informações de contato de representantes de clientes registradas no sistema de gestão de clientes, contratos em papel, cartões de visita recolhidos em feiras comerciais, arquivos de orçamento em Excel, notebooks emprestados pela empresa e um serviço em nuvem de apoio às vendas. Quando B consultou o departamento de sistemas de informação, ouviu: “Sabemos o que está nos servidores, mas não sabemos das informações que o departamento guarda por conta própria.” O que B deve fazer primeiro ao criar o inventário?

1. Informar ao comitê de segurança da informação que o inventário ainda não foi feito e aguardar instruções para toda a empresa antes de fazer qualquer coisa
2. Transcrever diretamente a lista de servidores gerenciados pelo departamento de sistemas de informação como o inventário do departamento de vendas
3. Definir as avaliações de confidencialidade, integridade e disponibilidade apenas para os dados mantidos no sistema de gestão de clientes
4. Levantar tudo o que o departamento de vendas trata em seu trabalho, sem distinguir dados eletrônicos, papel, equipamentos ou serviços externos

B, do departamento de vendas da Empresa A, levantou as informações do departamento e criou a primeira versão do inventário de ativos de informação. O departamento de vendas trata informações de contato de clientes registradas no servidor de gestão de vendas, originais de contratos guardados no arquivo do terceiro andar, cartões de visita recolhidos em feiras e visitas, e um modelo de orçamento colocado em uma pasta compartilhada. B preencheu, para cada ativo, as colunas de departamento usuário, responsável pela gestão, local de armazenamento, meio e quantidade de registros. Para os cartões de visita, tendo ouvido que “cada funcionário recebe e guarda os seus”, B os registrou dessa forma. Antes de entregar o inventário concluído a um superior, B está verificando se há algum problema na forma como ele foi preenchido. Qual registro deste inventário mais precisa ser corrigido?

No  資産名          利用部門  管理責任者    保管場所          媒体  件数1   顧客連絡先一覧  営業部    営業部長      販売管理サーバ    電子  8,4002   契約書原本      営業部    営業事務課長  3階書庫(施錠)     紙    1,2003   受領した名刺    営業部    営業部全員    各自の名刺入れ    紙    不明4   見積書ひな形    営業部    営業企画課長  部門共有フォルダ  電子  40

1. Nº 4 — Um ativo que nunca é levado para fora da empresa não precisa ser registrado no inventário
2. Nº 1 — Um ativo com grande quantidade de registros deve sempre ser dividido em várias linhas, uma por quantidade
3. Nº 3 — O responsável pela gestão não está identificado como uma pessoa específica, e nem o local de armazenamento nem a quantidade de registros são controlados
4. Nº 2 — Documentos em papel estão fora do escopo de um inventário de ativos de informação, por isso esta linha deve ser excluída dele

Na Empresa A, as informações de clientes inseridas pelo departamento de vendas ao receber um pedido são usadas pelo departamento de logística para confirmar o endereço de entrega e pelo departamento de contabilidade para emitir faturas. As informações de clientes ficam armazenadas em um sistema de gestão de vendas operado pelo departamento de sistemas de informação. Na criação do inventário de ativos de informação, os departamentos discordam sobre quem deve ser o responsável pela gestão dessas informações de clientes. Logística e contabilidade afirmam que “apenas as usam”, enquanto o departamento de sistemas de informação diz que “apenas mantém o servidor e não conhece o conteúdo”. Qual é a forma mais adequada de decidir o responsável pela gestão?

1. Tornar responsável pela gestão o chefe do departamento de sistemas de informação, que opera o sistema que armazena as informações, e listar vendas, logística e contabilidade ao lado no inventário como departamentos usuários
2. Tornar responsável pela gestão o gestor do departamento de vendas, que gera as informações no curso do seu trabalho e responde por seu conteúdo e escopo de uso, e listar logística e contabilidade ao lado no inventário como departamentos usuários
3. Registrar em conjunto os gestores dos três departamentos usuários como responsáveis pela gestão, decidindo por consenso
4. Não designar um responsável pela gestão e registrar no inventário apenas os departamentos usuários

A Empresa A decidiu atualizar seu inventário de ativos de informação durante um levantamento anual realizado todo mês de março. Neste ano fiscal, no departamento de vendas, o responsável pelo sistema de gestão de clientes mudou em uma transferência de pessoal em abril. Em junho, um novo serviço em nuvem de apoio às vendas foi introduzido e passou a armazenar o histórico de negociações. Em setembro, 1,000 contratos em papel foram transferidos do arquivo interno para um depósito externo. Em novembro, um funcionário com contrato por prazo determinado saiu, e outro funcionário assumiu os arquivos de orçamento que essa pessoa cuidava. B pensa: “O levantamento anual é em março, então o inventário pode ficar como está até lá.” Qual das alternativas a seguir é a crítica mais adequada a esse raciocínio?

1. As informações armazenadas em um serviço em nuvem são gerenciadas pelo provedor, por isso não precisam constar no inventário da própria empresa
2. O inventário só precisa ser atualizado quando um sistema é substituído; uma transferência de pessoal ou uma mudança de local de armazenamento ficam fora do escopo de uma atualização
3. O inventário deve ser atualizado assim que um ativo muda, e o levantamento anual deve ser visto como a ocasião para preencher eventuais lacunas gerais
4. O inventário é um registro do momento em que foi criado, por isso, uma vez finalizado, nunca deve ser alterado, e um novo deve ser feito do zero no ano fiscal seguinte

B, do departamento de vendas da Empresa A, levantou os ativos de informação por meio de um questionário interno. As respostas recebidas cobriam apenas três itens: os dados do sistema de gestão de clientes, as propostas em uma pasta compartilhada e os contratos no arquivo. Mas, percorrendo pessoalmente o departamento, B encontrou um funcionário que mantinha um arquivo Excel com a lista de clientes na área de trabalho do notebook emprestado pela empresa, um funcionário que salvava propostas em um serviço gratuito de armazenamento em nuvem contratado pessoalmente e as editava de casa, um funcionário que guardava em uma gaveta um maço de cartões de visita recolhidos em feiras, e um funcionário que guardava um pen drive USB herdado de um colega que havia saído da empresa. Nada disso apareceu nas respostas do questionário. Qual das alternativas a seguir é a resposta mais adequada para B?

1. Como os cartões de visita e o pen drive USB são poucos, registrá-los juntos como um único item chamado “outros”, sem contá-los
2. Acrescentar ao inventário também as informações encontradas na verificação presencial, e revisar o método de levantamento para que ele não dependa apenas da autodeclaração
3. Considerar o trabalho de levantamento concluído assim que for elaborado um novo regulamento proibindo o uso de armazenamento em nuvem gratuito
4. Colocar no inventário apenas os ativos informados no questionário e tratar todo o resto como objetos pessoais gerenciados pelo indivíduo

B, do departamento de vendas da Empresa A, criou o inventário de ativos de informação do departamento e recebeu o pedido de verificar se há algum ativo que não esteja sendo gerenciado adequadamente. Um superior disse: “Não há tempo para verificar tudo de uma vez, então, por favor, olhe primeiro os mais arriscados.” O inventário registra, para cada ativo, o meio, o local de armazenamento, a quantidade de registros e se ele pode ser levado para fora. B acha que a situação da gestão pode ser lida a partir dos próprios registros e está comparando as linhas. Um trecho do inventário é mostrado abaixo. Qual ativo deve ter prioridade máxima para uma verificação presencial?

No  資産名          媒体  保管場所                    件数   持出し1   顧客連絡先一覧  電子  社内ファイルサーバ          8,400  不可2   契約書原本      紙    3階書庫(施錠)               1,200  不可3   商談メモ        電子  各自の貸与PCのデスクトップ  不明   可4   請求書控え      紙    営業部キャビネット(施錠)    3,000  不可

1. Nº 1 (lista de contatos de clientes)
2. Nº 3 (anotações de negociação)
3. Nº 4 (cópias de faturas)
4. Nº 2 (originais de contratos)

O líder de equipe C, do departamento de vendas da Empresa A, deve sair da empresa no fim do próximo mês. C armazenou o histórico de negociações de 20 empresas clientes em uma pasta local do notebook emprestado pela empresa e na caixa de entrada do e-mail corporativo, tendo colocado apenas parte dele na pasta compartilhada do departamento. C também guarda em uma gaveta da mesa um pen drive USB com desenhos confiados por um cliente. Diante da orientação de um superior para “concluir a transferência de trabalho antes da saída”, B, como líder de segurança da informação, precisa organizar o procedimento. O que B deve fazer primeiro?

1. Reinicializar o notebook usado por C no último dia de trabalho e descartar o pen drive USB emprestado sem verificar seu conteúdo
2. Levantar e listar as informações que C mantém em seu trabalho e confirmar com o responsável pela gestão quais delas devem ser transferidas como ativo de informação
3. Fazer o superior ler toda a caixa de entrada do e-mail corporativo de C e encaminhar uma a uma, para a pasta compartilhada do departamento, as mensagens que parecerem necessárias
4. Desativar imediatamente todas as contas internas concedidas a C, para que C não possa usar nenhum sistema interno até o último dia de trabalho

No departamento de vendas da Empresa A, um funcionário havia contratado, em nome da eficiência, um serviço de questionários on-line em um plano gratuito. Esse serviço foi usado para coletar os nomes, nomes de empresas e endereços de e-mail dos visitantes de uma feira, usados depois nas atividades de vendas. Nenhuma solicitação de uso havia sido feita ao departamento de sistemas de informação, e apenas algumas pessoas do departamento sabiam de sua existência. Quando B descobriu isso durante o levantamento dos ativos de informação, cerca de 600 registros já haviam sido coletados. A tela de administração do serviço estava configurada para que dois funcionários pudessem fazer login com contas pessoais. Qual das alternativas a seguir é a resposta mais adequada para B?

1. Como o plano gratuito não gera custo, não registrá-lo no inventário e deixar que seu uso continue como está
2. Colocar os nomes dos dois titulares das contas na coluna de responsável pela gestão e deixar toda a gestão posterior a cargo dessas duas pessoas
3. Excluir imediatamente todas as informações pessoais coletadas e cancelar o serviço, dispensando tanto um relatório interno quanto um registro no inventário
4. Registrar no inventário as informações que estão sendo coletadas e seu uso, passar pelo procedimento interno de solicitação e verificar as medidas de controle de segurança do provedor

A partir deste ano fiscal, a Empresa A decidiu construir um inventário de ativos de informação em todos os departamentos, e o departamento de assuntos gerais realizou uma sessão explicativa. Após a sessão, vários funcionários perguntaram a B, do departamento de vendas: “Até onde o inventário vai ao considerar algo um ativo de informação?” O departamento de vendas tem um banco de dados de clientes, contratos em papel, notebooks e smartphones emprestados pela empresa, software de orçamentos e um serviço externo em nuvem de apoio às vendas. Há também know-how de negociação e de descontos conhecido apenas pelos funcionários veteranos. Um funcionário argumentou que “os equipamentos listados no inventário de equipamentos da empresa não deveriam contar como ativo de informação”, enquanto outro disse que “os dados na nuvem pertencem ao provedor”. Qual explicação do escopo dos ativos de informação é a mais adequada?

1. Só contam como ativos de informação as coisas cujo valor monetário pode ser estimado; o que não pode ser estimado, como o know-how de uma pessoa, fica fora do escopo
2. Dados eletrônicos, documentos em papel, equipamentos, software, serviços externos e conhecimentos que as pessoas detêm são todos tratados como ativos de informação, desde que tenham valor para o negócio
3. Só são ativos de informação as coisas que a empresa possui e mantém internamente; as informações armazenadas em um serviço externo em nuvem e os conhecimentos que as pessoas detêm não estão incluídos
4. Só os dados eletrônicos são ativos de informação; documentos em papel, equipamentos e serviços externos não estão incluídos

A Empresa A tem uma regra unificada para toda a empresa para definir a importância de um ativo de informação. Confidencialidade, integridade e disponibilidade são avaliadas cada uma em uma escala de três níveis — alto (3), médio (2) ou baixo (1) —, e a regra estabelece que a importância de um ativo é igual à mais alta das três avaliações. B, do departamento de vendas, avaliou os principais ativos do departamento segundo essa regra e obteve os resultados abaixo. B quer separar os ativos com importância “alta” para priorizar medidas para eles. Segundo essa regra, qual combinação de ativos tem importância “alta”?

No  資産名          機密性  完全性  可用性1   顧客連絡先一覧  高      中      中2   見積書ひな形    低      中      低3   受注データ      中      高      高4   展示会案内文    低      低      低

1. Nº 2 e Nº 3
2. Nº 3 e Nº 4
3. Nº 1 e Nº 2
4. Nº 1 e Nº 3

Para explicar aos funcionários do departamento a lógica por trás das avaliações, B, do departamento de vendas da Empresa A, usou como exemplo uma tabela de preços que lista as taxas de desconto por cliente. Se essa tabela chegasse a um concorrente, a empresa ficaria em desvantagem nas negociações de preço. Se um valor nela fosse reescrito por engano, um preço orçado incorreto poderia ser apresentado a um cliente, e teria de ser retirado depois. Por outro lado, se uma falha no sistema a tornasse ilegível por cerca de meio dia, o trabalho poderia continuar usando como substituta uma cópia impressa do mês anterior. Qual é a avaliação mais adequada para essa tabela de preços?

1. Confidencialidade alta, integridade baixa, disponibilidade alta
2. Confidencialidade baixa, integridade baixa, disponibilidade baixa
3. Confidencialidade baixa, integridade alta, disponibilidade alta
4. Confidencialidade alta, integridade alta, disponibilidade baixa

No departamento de vendas da Empresa A, as avaliações dos ativos de informação ficaram a critério de cada funcionário, e quase todos os ativos acabaram avaliados como “confidencialidade alta”. Pelo padrão de tratamento da empresa, um ativo com confidencialidade alta exige armazenamento em arquivo trancado, aprovação de um superior para ser levado para fora e criptografia mais registro de entrega quando compartilhado fora da empresa. Como resultado, até levar para fora um folheto de convite para uma feira ou um catálogo de produtos já publicado exigia aprovação. Os pedidos de aprovação passaram de uma dúzia ou pouco mais por mês para quase duzentos. Por fim, o superior começou a carimbar a aprovação sem verificar o conteúdo, e descobriu-se que até a saída da lista de clientes realmente sensível estava passando sem verificação. Qual das alternativas a seguir é a resposta mais adequada para B?

1. Para reduzir a carga de aprovações, abolir por completo a etapa de aprovação do superior para levar itens para fora, independentemente da importância, para todos os ativos
2. Rebaixar uniformemente para “média” a avaliação de todos os ativos do departamento de vendas e simplificar bastante o padrão de tratamento, mesmo para os ativos com confidencialidade alta
3. Apresentar um critério de avaliação que permita julgar pelo tamanho real do impacto, refazer as avaliações e rebaixar, de acordo com a realidade, a avaliação dos ativos de baixo impacto, como as informações públicas
4. Manter as avaliações dos ativos como estão e trocar, em todos os casos, o aprovador da saída de itens do superior para o próprio funcionário que de fato leva o item para fora da empresa

A Empresa A tem um padrão de tratamento vinculado à importância de cada ativo de informação. O gerente de vendas pediu a B, do departamento de vendas, que fornecesse a uma agência externa uma lista de contatos de clientes com importância “alta”, para uma campanha conjunta com um parceiro de negócios. Existe um contrato de prestação de serviços com a agência, mas B não verificou se ele inclui uma cláusula de confidencialidade. O gerente de vendas disse: “A campanha vai começar em breve, então, por favor, apresse-se.” Um trecho do padrão de tratamento é mostrado abaixo. O que B deve fazer primeiro?

重要度  保管                  持出し        社外共有                廃棄高      施錠書庫または暗号化  上長承認必須  契約と部門長承認が必要  溶解またはデータ消去の記録中      施錠書庫              上長承認必須  上長承認が必要          溶解またはデータ消去低      指定なし              承認不要      承認不要                一般廃棄可

1. Mudar a importância da lista de contatos de clientes para “média”, para que ela possa ser fornecida apenas com a aprovação de um superior
2. Como reduzir a quantidade fornecida para 100 registros baixaria a importância, criar uma versão resumida e fornecê-la sem aprovação
3. Verificar se o contrato com a agência contém uma cláusula de confidencialidade e dar andamento à obtenção da aprovação do chefe de departamento
4. Enviá-la ao contato da agência como um arquivo compactado protegido por senha e comunicar a senha em uma mensagem separada

No departamento de vendas da Empresa A, o arquivo de relatórios de atividades de vendas foi avaliado com importância “baixa” sob o argumento de que era “só um documento compartilhado internamente”, e foi colocado em uma pasta compartilhada que qualquer funcionário podia editar. O relatório às vezes registra o nome e o cargo da pessoa visitada, junto com o conteúdo da reunião e as condições comerciais com outras empresas. Um dia, um funcionário temporário cometeu um erro de operação e copiou a pasta de relatórios para a pasta compartilhada de toda a empresa, deixando-a visível por duas semanas para todos os funcionários de outros departamentos. Após esse evento, B precisa revisar a avaliação. Qual abordagem para a revisão é a mais adequada?

1. Refazer a avaliação com base no impacto caso as informações contidas no relatório vazassem, e aplicar uma regra de tratamento que eleve a avaliação de confidencialidade quando ele contiver informações de alto impacto, como condições comerciais
2. Como o relatório é atualizado diariamente e seu conteúdo muda constantemente, excluí-lo completamente da avaliação
3. Como a causa desta vez foi o erro de operação do funcionário temporário, manter inalterada a avaliação do relatório e evitar a recorrência excluindo a conta dessa pessoa
4. Basta revisar os direitos de acesso da pasta compartilhada de toda a empresa para que os funcionários de outros departamentos não possam ver o relatório, por isso a avaliação de confidencialidade do relatório pode ficar como está

A Empresa A definiu o critério de avaliação da confidencialidade como: “informações que poderiam gerar uma obrigação legal de notificação ou um pedido de indenização caso vazassem são avaliadas como altas”, “informações já publicadas são avaliadas como baixas” e “informações que não se enquadram em nenhum dos dois casos são avaliadas como médias”. No departamento de vendas, cada funcionário avaliou uma parte dos ativos, e B compilou os resultados. Nesse processo, B suspeita que o critério possa ter sido aplicado de forma inconsistente entre os funcionários, divergindo sobretudo quanto a se a informação foi coletada em um evento externo. Os resultados da avaliação do departamento de vendas são mostrados abaixo. Qual destas avaliações precisa ser corrigida segundo o critério?

No  資産名                  含まれる情報                                機密性の評価1   顧客連絡先一覧          顧客担当者の氏名・電話番号・メールアドレス  高2   展示会来場者アンケート  来場者の氏名・勤務先・メールアドレス        低3   契約書原本              取引条件・押印済みの署名                    高4   製品カタログ(公開版)    公開済みの製品仕様と価格                    低

1. Nº 1 (lista de contatos de clientes do departamento de vendas)
2. Nº 4 (catálogo de produtos atualmente publicado na Web)
3. Nº 3 (originais de contratos)
4. Nº 2 (questionário dos visitantes da feira)

Na Empresa A, cada departamento vinha avaliando os ativos de informação com seus próprios termos: vendas usava “importante / normal / secundário”, a produção usava “A / B / C” e a contabilidade usava “uma escala de 5 níveis, de 1 a 5”. Quando uma avaliação de riscos de toda a empresa tentou comparar os departamentos, foi impossível julgar qual ativo deveria ter prioridade nas medidas. Também se descobriu que até a mesma palavra, “importante”, era aplicada com raciocínios diferentes conforme o departamento. Qual das alternativas a seguir é a proposta mais adequada para B, que atua como secretaria do comitê de segurança da informação?

1. Definir, para toda a empresa, tanto os níveis de avaliação quanto os critérios (o impacto de um vazamento, de uma alteração ou da perda de uso) para enquadrar algo em cada nível, e fazer todos os departamentos refazerem suas avaliações segundo o mesmo critério
2. Fazer o departamento de sistemas de informação realizar sozinho a avaliação de toda a empresa, sem envolver os departamentos na avaliação
3. Padronizar a notação de todos os departamentos na escala mais detalhada de 5 níveis da contabilidade, deixando os critérios sobre em qual nível algo se enquadra a critério de cada departamento, como antes
4. Manter a notação de avaliação de cada departamento como está e fazer cada departamento escolher seus próprios três primeiros para servir como lista de medidas de toda a empresa

No departamento de vendas da Empresa A, os dados de pedidos são inseridos no sistema de gestão de vendas, e as instruções de expedição e o faturamento se baseiam todos nesses dados. Se o sistema parar, as remessas não podem sair naquele dia; uma interrupção de um dia inteiro empurra cerca de 20 milhões de ienes em vendas para o mês seguinte e também causa atrasos de entrega aos clientes. Por outro lado, uma pasta compartilhada com anotações de negociações passadas não causa grande transtorno ao trabalho diário mesmo que fique indisponível por uma semana. As anotações de negociação também somam mais registros do que os dados de pedidos. B precisa decidir a avaliação de disponibilidade de ambos. Qual forma de pensar é a mais adequada?

1. A disponibilidade é um assunto a ser decidido pelo departamento de sistemas de informação, que opera o sistema, e o departamento de vendas, como departamento usuário, deve abster-se de participar da avaliação
2. Como ambas são informações usadas rotineiramente no trabalho interno, definir a mesma avaliação de disponibilidade para as duas
3. Revisar e definir para as anotações de negociação, que têm mais registros, uma avaliação de disponibilidade mais alta do que a dos dados de pedidos
4. Avaliar pelo quanto o trabalho é interrompido quando algo fica inutilizável e por quanto tempo uma interrupção pode ser tolerada, dando alta aos dados de pedidos e baixa às anotações de negociação

No departamento de vendas da Empresa A, a lista de contatos de clientes fica no servidor de arquivos interno, configurado para que todos os funcionários possam acessá-la. No mês passado, descobriu-se que a conta de um funcionário que havia saído não tinha sido excluída. Os funcionários também consultam o mesmo arquivo de fora do escritório, via VPN, em seus notebooks fornecidos pela empresa. B está iniciando um processo de avaliação de riscos para esse ativo, começando pela identificação de riscos. Qual das alternativas a seguir é a tarefa mais adequada a realizar como identificação de riscos?

1. Combinar as ameaças à lista de contatos de clientes (acesso não autorizado, fraude interna, perda etc.) com as vulnerabilidades que poderiam ser exploradas (uma conta desnecessária que ficou ativa, privilégios concedidos em excesso etc.) para identificar os eventos que poderiam ocorrer
2. Estimar o custo de uma medida para cada risco identificado, realizar as que couberem no orçamento começando pelas mais baratas e registrar sua situação de implementação
3. Excluir imediatamente a conta remanescente do ex-funcionário na lista de contatos de clientes, restringir os direitos de acesso de todos os funcionários ao necessário para o trabalho e considerar concluída, nesse ponto, toda a sequência de trabalho sobre esse ativo
4. Estimar a probabilidade de ocorrência e o grau de impacto para a lista de contatos de clientes, multiplicá-los para calcular o tamanho do risco e compará-lo com os critérios de aceitação

A Empresa A definiu em seus regulamentos um método de cálculo do nível de risco e um critério de aceitação. O nível de risco é o produto “probabilidade de ocorrência (alta 3, média 2, baixa 1) × impacto (alto 3, médio 2, baixo 1)”. Um produto de 6 ou mais é tratado como um risco inaceitável, a ser tratado com prioridade. B, do departamento de vendas, analisou os riscos do departamento com esse método e obteve os resultados abaixo. Um superior disse: “Quero restringir a um item e avançar primeiro com uma medida.” Segundo esse critério, qual risco deve ser tratado com prioridade?

No  リスク                          発生可能性  影響度  積1   顧客連絡先一覧の外部への漏えい  低(1)       高(3)   32   退職者アカウントによる不正閲覧  中(2)       高(3)   63   紙の契約書の紛失                中(2)       中(2)   44   展示会案内文の誤送信            高(3)       低(1)   3

1. Nº 2 (visualização não autorizada por meio da conta de um ex-funcionário)
2. Nº 3 (perda de um original de contrato em papel)
3. Nº 4 (e-mail enviado ao destinatário errado com o convite para uma feira)
4. Nº 1 (vazamento externo em grande escala da lista de contatos de clientes)

No departamento de vendas da Empresa A, foi realizada uma reunião para decidir a política de tratamento de riscos com base nos resultados do processo de avaliação de riscos. Participaram o gerente de vendas, B e um representante do departamento de sistemas de informação. A discussão resultou em um tipo diferente de tratamento para cada um de quatro riscos. B precisa classificar as decisões por tipo de tratamento de riscos para reportá-las ao comitê de segurança da informação de toda a empresa. As decisões são mostradas abaixo. Ao classificar cada tratamento como evitar o risco, reduzir o risco, transferir o risco ou reter o risco (aceitação), qual combinação está correta?

No  リスク                      決めた対応1   展示会での名刺収集時の紛失  名刺の収集をやめ、来場者情報は取引先経由でのみ受け取る2   ファイルサーバへの不正侵入  アクセス権の見直しと多要素認証の導入を行う3   サイバー攻撃による損害賠償  サイバー保険に加入する4   社内掲示板の記載誤り        影響が小さいため対策は行わず、記録を残して年次で再評価する

1. 1 = evitar, 2 = reduzir, 3 = transferir, 4 = reter
2. 1 = transferir, 2 = reduzir, 3 = evitar, 4 = reter
3. 1 = reduzir, 2 = evitar, 3 = reter, 4 = transferir
4. 1 = evitar, 2 = transferir, 3 = reduzir, 4 = reter

No departamento de vendas da Empresa A, uma medida de redução, como a revisão dos direitos de acesso, foi realizada para o risco de vazamento da lista de contatos de clientes, mas o nível de risco continuou ligeiramente acima do critério de aceitação. Está sendo considerada como medida adicional a introdução de um sistema dedicado de controle da saída de dados, mas ele custaria 8 milhões de ienes por ano. Por outro lado, a perda esperada desse risco é estimada em cerca de 1 milhão de ienes por ano. B está decidindo como tratar o risco restante. Qual resposta é a mais adequada?

1. Como excede o critério de aceitação, uma medida adicional deve sempre ser realizada, independentemente do custo
2. Alterar o método de cálculo do nível de risco e refazer a avaliação para que ele fique dentro do critério de aceitação
3. Organizar a relação custo-benefício e a natureza do risco restante, explicá-las às pessoas de nível gerencial que têm a responsabilidade e registrá-lo como risco residual depois de obtida a aprovação delas
4. Como o custo não compensa, B, como líder de segurança da informação, decide por conta própria aceitar o risco, sem manter nenhum registro específico

A Empresa A realiza um processo de avaliação de riscos todo mês de abril. Neste ano fiscal, um novo serviço em nuvem de apoio às vendas foi introduzido em junho e passou a armazenar informações de clientes. Em setembro, entrou em vigor uma revisão da lei que rege o tratamento de informações pessoais. Em novembro, ocorreu um incidente de infecção por malware em outro departamento, e foi emitido um alerta para toda a empresa. Em janeiro, o departamento de vendas e o departamento de planejamento de vendas foram fundidos, mudando o responsável pela gestão e o escopo de autoridade. B pensa: “A próxima avaliação é em abril, então os resultados atuais podem valer até lá.” Qual das alternativas a seguir é a crítica mais adequada a esse raciocínio?

1. A introdução de um novo serviço, uma revisão legal, a ocorrência de um incidente e uma mudança organizacional são todos eventos que mudam as premissas da avaliação e exigem uma revisão a cada vez
2. Responder a uma revisão legal é tarefa do departamento jurídico, e não motivo para revisar o processo de avaliação de riscos do departamento de vendas
3. Um incidente ocorrido em outro departamento não tem nada a ver com este departamento, por isso não é motivo para uma revisão
4. Como ficou decidido que o processo de avaliação de riscos acontece uma vez por ano, as mudanças ocorridas durante o ano podem simplesmente ser incorporadas de uma vez na próxima avaliação, sem necessidade de revisão a cada vez

B, do departamento de vendas da Empresa A, está realizando o primeiro processo de avaliação de riscos do departamento. Em mãos há um inventário de ativos de informação concluído na semana passada, que registra o nome de cada ativo, o responsável pela gestão, as avaliações de confidencialidade/integridade/disponibilidade e a importância. Um superior disse: “Como o tempo disponível é limitado, quero tratar primeiro os itens de maior prioridade.” A empresa tem regulamentos que definem um método de cálculo do nível de risco e um critério de aceitação. O que B deve fazer em seguida?

1. Começando pelos ativos de maior importância, identificar os riscos a partir das combinações de ameaça e vulnerabilidade, e calcular os níveis de risco a partir da probabilidade de ocorrência e do impacto
2. Reunir exemplos de incidentes ocorridos em outras empresas e aplicar as mesmas medidas uniformemente a todos os ativos
3. Deixar de usar o critério de aceitação e realizar a primeira medida que vier à mente
4. Para todos os ativos do inventário, obter orçamentos de produtos de segurança de vários fornecedores e comparar custo e eficácia

No departamento de vendas da Empresa A, foi elaborado um plano de tratamento de riscos com base nos resultados do processo de avaliação de riscos. O modelo do plano registra, para cada risco, a medida, o responsável, o prazo e como será tratado o eventual risco residual após a implementação. O dono de cada risco redigiu sua própria parte, e B as compilou. Ao compilar, B percebeu que algumas linhas haviam sido entregues em branco ou com redação pouco clara. Um trecho do plano elaborado é mostrado abaixo. Qual registro deste plano mais precisa ser corrigido?

No  リスク                      対応策                        責任者            期限            残留リスクの扱い1   退職者IDによる不正閲覧      退職手続にID即時停止を組込み  営業事務課長      10月末          受容し記録する2   紙の契約書の紛失            施錠書庫での保管と持出し記録  営業部長          11月末          受容し記録する3   ノートPC紛失時の情報漏えい  全台のディスク暗号化          情報システム部長  12月末          受容し記録する4   顧客情報の誤送信            注意喚起の周知                未定              できるだけ早く  未検討

1. Nº 4 — Nem o responsável nem o prazo foram decididos, e a forma de tratar o risco residual também está indefinida
2. Nº 2 — O responsável foi definido no nível de chefe de departamento, um cargo alto demais para que isso seja eficaz
3. Nº 3 — O responsável é um gestor de um departamento completamente diferente, que não é o de vendas
4. Nº 1 — A medida depende apenas de um procedimento operacional, e não de um meio técnico

No departamento de vendas da Empresa A, está sendo considerada uma medida para o risco de vazamento de informações pela perda de um notebook que armazena informações de clientes. A perda esperada caso ocorra um vazamento é de 5 milhões de ienes por incidente e, com base na experiência anterior, espera-se uma perda de notebook aproximadamente uma vez a cada cinco anos, ou seja, 0.2 vez por ano. A opção A é introduzir um software de criptografia de disco, ao custo de 300,000 ienes por ano, que evita quase totalmente o vazamento mesmo que o notebook seja perdido. A opção B é substituir todos os notebooks levados para fora por um modelo com recursos antiperda, ao custo de 4 milhões de ienes por ano. A opção C é não adotar nenhuma medida e, em vez disso, pagar uma indenização de cortesia ao cliente quando ocorrer uma perda, com desembolso anual esperado de 1 milhão de ienes. Qual das alternativas a seguir é o conteúdo mais adequado para B explicar na reunião da direção?

1. Como, para começar, o tamanho de um risco não pode ser expresso em termos monetários, a comparação de custo-benefício das medidas deve ser totalmente dispensada
2. Como o custo de todas as medidas excede a perda anual esperada, nenhuma delas deve ser realizada, e a opção C deve simplesmente ser escolhida como está
3. A perda anual esperada é de 1 milhão de ienes, e a opção A, que evita quase totalmente o vazamento por 300,000 ienes por ano, é a melhor em termos de custo-benefício
4. Deve-se escolher a opção B, a medida mais forte, e não é preciso dar peso especial ao tamanho de seu custo anual de 4 milhões de ienes