B, que atua como líder de segurança da informação do departamento de contabilidade da empresa A, é responsável pela revisão anual das permissões de acesso às pastas compartilhadas do departamento. B recebeu do departamento de sistemas de informação a lista das configurações atuais. O departamento de vendas precisa consultar a pasta de faturas para verificar a situação de cobrança dos clientes que cada funcionário atende. O responsável pela folha de pagamento do departamento de recursos humanos precisa de permissão de gravação na pasta de folha de pagamento para calcular os salários. O departamento de contabilidade elabora faturas e lançamentos contábeis, e cada uma dessas tarefas exige permissão de gravação. A pasta de folha de pagamento guarda o salário de todos os funcionários e documentos relacionados ao My Number (número individual) de cada um. À luz do princípio do privilégio mínimo, qual configuração B deve pedir que seja corrigida primeiro?
Linha 3. Alterar a permissão de leitura e gravação do departamento de contabilidade na pasta de lançamentos contábeis para que fique ativa apenas no fim do mês
Linha 5. Abolir a possibilidade de todos os funcionários consultarem a pasta de folha de pagamento, restringindo-a aos responsáveis pela folha de pagamento do RH, que precisam dela para o trabalho
Linha 1. O departamento de contabilidade ter permissão de leitura e gravação na pasta de faturas é um privilégio forte demais, então mudar para somente leitura
Linha 2. Abolir a possibilidade de o departamento de vendas consultar a pasta de faturas e fazer com que pergunte ao departamento de contabilidade cada vez que precisar
RespostaB. Linha 5. Abolir a possibilidade de todos os funcionários consultarem a pasta de folha de pagamento, restringindo-a aos responsáveis pela folha de pagamento do RH, que precisam dela para o trabalho
A linha 5 deixa todos os funcionários em condições de ler o salário de outras pessoas e documentos relacionados ao My Number (マイナンバー), um privilégio sem nenhuma necessidade para o trabalho, por isso deve ser removido imediatamente. As linhas 1 e 3 são permissões de gravação de que o departamento de contabilidade realmente precisa para seu próprio trabalho, e a linha 2 é uma permissão de consulta de que o departamento de vendas precisa para seu trabalho; cada uma tem justificativa e não é a que precisa de correção. Privilégio mínimo (最小権限) não significa enfraquecer todos os privilégios por igual — significa remover os privilégios que não têm necessidade por trás.
Questão 2 | Segregação de funções
Na empresa A, a emissão de IDs de usuário do sistema da empresa é feita por uma única pessoa, C, do departamento de sistemas de informação. Pelo procedimento atual, quando chega um pedido por e-mail de algum departamento, C o lê, julga que é necessário e o registra diretamente no sistema. Os e-mails de pedido chegam endereçados pessoalmente a C, e não existe regra que exija guardar registro. Uma auditoria interna recente descobriu que havia sido registrado o ID de um usuário inexistente, mas não foi possível rastrear a pedido de quem ele foi criado. C trabalha com dedicação há muitos anos, e ninguém suspeita de C pessoalmente. Ao revisar esse procedimento, qual resposta é a mais adequada?
Rever o procedimento de emissão de IDs de usuário para que o chefe do departamento faça a solicitação, o gestor de informações aprove e outro funcionário execute o registro, guardando o registro da solicitação, da aprovação e do cadastro
Fazer com que os e-mails de pedido sejam enviados à caixa de correio compartilhada do departamento de sistemas de informação, e não a uma pessoa, e guardar os e-mails recebidos por um ano de forma pesquisável
Fazer C apresentar um termo de compromisso sobre confidencialidade e execução correta das funções, e participar de um treinamento de segurança da informação uma vez por ano
Para reduzir a carga de trabalho de C, aumentar para duas as pessoas responsáveis pelo registro, fazendo com que se alternem para julgar se um pedido é válido e para executar o registro
RespostaA. Rever o procedimento de emissão de IDs de usuário para que o chefe do departamento faça a solicitação, o gestor de informações aprove e outro funcionário execute o registro, guardando o registro da solicitação, da aprovação e do cadastro
A essência do problema é que a mesma pessoa julga se o pedido é válido e executa o registro, sem guardar nenhum registro. Separar solicitação, aprovação e registro em papéis diferentes e guardar o registro impediria que um cadastro sem fundamento passasse despercebido e permitiria rastreá-lo depois (segregação de funções, 職務分掌). Aumentar para duas pessoas não muda a estrutura em que uma pessoa pode concluir todo o processo sozinha, e um termo de compromisso ou um treinamento não reduzem a oportunidade de fraude em si. Passar para uma caixa de correio compartilhada e guardar as mensagens apenas melhora a rastreabilidade e não corrige a falta da etapa de aprovação.
Questão 3 | ID compartilhado
Em uma loja de varejo da empresa A, as operações do caixa POS usam um ID comum a toda a loja, “shop01”, cuja senha é conhecida pelos oito funcionários, incluindo o gerente da loja. Certo dia, a verificação de vendas da matriz descobriu que cancelamentos de venda, que normalmente quase nunca acontecem, tinham sido registrados várias vezes no mesmo dia. Quando a matriz pediu o log de operações da loja, obteve o registro abaixo. A loja não tem câmera de segurança, e a escala de turnos registra apenas o horário de trabalho, e não quem estava no caixa. A matriz não conseguiu identificar quem realizou essa operação. O que deve ser feito primeiro para evitar que isso se repita?
Reduzir os terminais POS a apenas um, o POS-1, e limitar previamente o local e o horário em que as operações de caixa podem ser feitas
Ampliar o período de guarda dos logs dos atuais três meses para três anos e voltar aos registros passados para encontrar todas as operações semelhantes
Emitir um ID individual para cada funcionário, abolir o ID compartilhado e tornar possível rastrear pelos logs quem realizou cada operação
Exigir que a senha do ID compartilhado “shop01” seja trocada todo mês, com o gerente da loja informando a nova senha verbalmente a todos os funcionários
RespostaC. Emitir um ID individual para cada funcionário, abolir o ID compartilhado e tornar possível rastrear pelos logs quem realizou cada operação
Como só o ID compartilhado aparece no log, mesmo havendo registro, não é possível identificar quem realizou a operação (falta de responsabilização, 責任追跡性の欠如). Passar para IDs individuais permite identificar o operador e também cria um efeito dissuasivo pela consciência de estar sendo observado. Ampliar o período de guarda, reduzir terminais ou trocar a senha periodicamente não resolvem a causa de fundo — enquanto o ID compartilhado continuar, não é possível identificar de quem foi a operação.
Questão 4 | Gestão de conta privilegiada
Na empresa A, uma conta privilegiada (特権ID) com direitos de administrador do sistema da empresa está permanentemente atribuída a três funcionários do departamento de sistemas de informação. Os três também verificam os e-mails do dia a dia e preparam documentos em aparelhos conectados com essa conta privilegiada. Recentemente, um dos três cometeu um erro de operação e apagou parte dos dados de produção. Os dados foram recuperados do backup, mas o departamento de auditoria apontou que é preciso rever a forma de gerenciar a conta privilegiada. Os três precisam de direitos de administrador para trabalhos de manutenção, mas esses trabalhos acontecem apenas algumas vezes por mês. Qual das alternativas a seguir é a forma mais adequada de operar a conta privilegiada?
Manter a conta privilegiada sob a gestão conjunta dos três, como antes, mas mudar a prática para que, sempre que houver trabalho de administrador, pelo menos duas pessoas estejam presentes para conferir as ações uma da outra, registrando isso em um log de trabalho
Manter a conta privilegiada atribuída aos três como está e fazer com que cada um declare e registre, no fim de cada mês, os trabalhos de administrador que realizou
Não atribuir a conta privilegiada a ninguém em tempos normais; emprestá-la somente após solicitação e aprovação para cada trabalho de manutenção; exigir a devolução e trocar a senha depois; e conferir o registro de empréstimos com o log de operações
Trocar a senha da conta privilegiada por uma sequência complexa de 32 caracteres e guardá-la em um lugar que somente os três funcionários possam ver
RespostaC. Não atribuir a conta privilegiada a ninguém em tempos normais; emprestá-la somente após solicitação e aprovação para cada trabalho de manutenção; exigir a devolução e trocar a senha depois; e conferir o registro de empréstimos com o log de operações
Emprestar a conta somente quando necessário, exigir a devolução e trocar a senha depois elimina a oportunidade de erro de operação no trabalho do dia a dia, e conferir o registro de empréstimos com o log de operações (操作ログ) também permite descobrir operações privilegiadas que nunca foram registradas. Uma senha mais longa não muda o fato de a conta continuar utilizável o tempo todo e não evita erros de operação. A conferência mútua com a presença de duas pessoas é apenas uma medida complementar e deixa sem solução o problema da atribuição permanente. A autodeclaração corre o risco de que operações inconvenientes para a própria pessoa não sejam registradas e não constitui uma verificação de verdade.
Questão 5 | Permissões após uma transferência
D, que pertencia ao departamento de vendas da empresa A, foi transferido para o departamento de contabilidade a partir de 1º de abril. A pedido do chefe de seção de contabilidade, o departamento de sistemas de informação concedeu a D permissão de entrada de dados no sistema contábil. Por outro lado, ninguém pediu a remoção das permissões de D no sistema de gestão de clientes usado no departamento de vendas, e elas ficaram como estavam. D não precisa usar o sistema de gestão de clientes no trabalho de contabilidade. A empresa A manteve essa mesma prática também no passado, e entre os funcionários com mais de dez anos de casa há quem tenha permissões em cinco departamentos diferentes. Qual das alternativas a seguir é a resposta mais adequada a essa situação?
Como as permissões do departamento anterior não causam dano real desde que a pessoa não as use, deixar tudo como está até o próximo inventário anual
Para o funcionário que acumulou permissões, entregar a lista das permissões que ele tem hoje e fazê-lo declarar quais considera desnecessárias
Manter as permissões do departamento anterior por três meses após a transferência, caso sejam necessárias para a passagem de trabalho, e removê-las depois de três meses se a pessoa pedir
Criar uma regra para que o procedimento de transferência junte a remoção das permissões do departamento anterior com a concessão das permissões do novo departamento, mudando a prática para que a remoção seja confirmada antes da concessão
RespostaD. Criar uma regra para que o procedimento de transferência junte a remoção das permissões do departamento anterior com a concessão das permissões do novo departamento, mudando a prática para que a remoção seja confirmada antes da concessão
Continuar concedendo permissões sem a remoção correspondente na hora da transferência faz as permissões se acumularem, ampliando os possíveis danos de um erro de operação ou de uma fraude interna (内部不正). Juntar remoção e concessão em um único procedimento elimina com segurança as permissões antigas, sem depender de alguém se lembrar de pedir. A prática de mantê-las para a passagem de trabalho e a ideia de que não há problema desde que não sejam usadas contrariam o princípio do privilégio mínimo (最小権限). Deixar a cargo da autodeclaração da pessoa não substitui o inventário (棚卸し), já que a responsabilidade por esse julgamento não é do indivíduo, mas do gestor do departamento de negócios.
Questão 6 | Inventário de permissões
A empresa A faz um inventário das permissões de acesso ao seu sistema contábil a cada seis meses. E, líder de segurança da informação do departamento de contabilidade, revisa a lista preparada pelo departamento de sistemas de informação. A lista desta vez é a seguinte. “Otsu” foi transferido do departamento de contabilidade para o de vendas em junho, e as permissões no sistema contábil já foram removidas naquele momento; hoje Otsu usa apenas o sistema do departamento de vendas. “Hei” se desligou da empresa em 31 de maio, mas a lista ainda mostra as permissões como ativas. “Tei” continua no departamento de contabilidade, mas está em licença-maternidade e licença para cuidar dos filhos desde fevereiro, com retorno ao trabalho previsto. Qual das alternativas a seguir E deve tratar primeiro?
Como u101 faz login todos os dias e domina as operações, conceder também a permissão de aprovação, além da permissão de entrada de dados
Desativar u103 e identificar e corrigir o motivo de o procedimento de exclusão da conta não ter sido realizado no desligamento
Como a data do último login de u102 é antiga e não é possível confirmar uso recente, excluir a própria conta
Como u104 não tem registro de login há mais de seis meses, remover todas as permissões que possui e avisar a pessoa
RespostaB. Desativar u103 e identificar e corrigir o motivo de o procedimento de exclusão da conta não ter sido realizado no desligamento
Se a conta de um ex-funcionário continuar ativa, o uso indevido por um terceiro pode parecer uso legítimo e passar despercebido por mais tempo. O objetivo do inventário (棚卸し) é primeiro desativar u103 e depois corrigir o motivo de o procedimento de desligamento não ter funcionado. u104 tem retorno ao trabalho previsto, então não é adequado remover as permissões por igual com base na licença. As permissões contábeis de u102 já foram removidas, e a pessoa é um funcionário ativo que usa o sistema do departamento de vendas, então não é alvo de exclusão. Acrescentar a permissão de aprovação a u101 aumenta as permissões, o que vai contra o objetivo do inventário.
Questão 7 | Senha
A empresa A exige que todos os funcionários troquem a senha do sistema interno a cada 90 dias. Uma revisão das operações descobriu que muitos funcionários apenas aumentam em um o último dígito a cada troca, e a cada troca o departamento de sistemas de informação é inundado de consultas sobre “esqueci a senha”. A empresa A também passou recentemente o reembolso de despesas para um serviço de nuvem, que permite login de fora da empresa apenas com ID e senha. Um concorrente relatou logins não autorizados vindos de fora, causados por um ataque de lista de senhas (credential stuffing) que usou combinações de ID e senha vazadas de outros sites. Qual das alternativas a seguir é a revisão mais adequada das regras de uso de senhas?
Encurtar o ciclo de troca de 90 para 30 dias e suspender automaticamente a conta dos usuários que não trocarem a senha dentro do prazo
Acrescentar a exigência de que as senhas tenham pelo menos um símbolo, manter a troca periódica a cada 90 dias e continuar permitindo o uso externo do serviço de nuvem apenas com ID e senha
Abolir a troca periódica obrigatória, exigir uma senha suficientemente longa e não reutilizada, introduzir a autenticação multifator no serviço de nuvem acessado de fora e exigir a troca imediata quando houver suspeita de vazamento
Fazer cada pessoa anotar a senha em papel e guardá-la na própria gaveta trancada, para consultá-la ali se esquecer
RespostaC. Abolir a troca periódica obrigatória, exigir uma senha suficientemente longa e não reutilizada, introduzir a autenticação multifator no serviço de nuvem acessado de fora e exigir a troca imediata quando houver suspeita de vazamento
Trocas forçadas em ciclos curtos levam a mudanças descuidadas e têm pouco efeito contra ataques de lista de senhas (リスト型攻撃). Combinar uma senha longa e não reutilizada com um fator de posse (所持), formando uma autenticação multifator (多要素認証), pode impedir o login não autorizado mesmo que a senha vaze. Encurtar o ciclo ou acrescentar símbolos apenas reforça o mesmo problema e não tem efeito contra ataques que usam senhas vazadas em outros lugares. Anotar em papel apenas reduz o esforço de memorizar e não melhora nem a força da autenticação nem o risco vindo de fora.
Questão 8 | Operação de logs
F, líder de segurança da informação da empresa A, recebeu do departamento de sistemas de informação um material que mostra a situação atual da operação de logs do sistema da empresa. A empresa A quer usar os logs para inibir fraudes internas e para investigar as causas quando ocorrerem incidentes. Os itens de log coletados e o período de guarda atendem aos requisitos definidos no regulamento interno. As verificações são feitas não pelos funcionários que operam o sistema, mas por funcionários do departamento de auditoria interna. Todos os funcionários foram informados, pelo regulamento de trabalho e pelo regulamento de segurança da informação, de que os logs são coletados. Qual item desse material é inadequado como proteção contra fraudes internas?
Escopo da coleta. Também são coletados os registros de falhas de login e de alterações de permissão, e a quantidade de itens coletados é excessiva
Verificação. Uma vez por mês é pouco, e além disso toda a verificação dos logs deve ser julgada automaticamente por um mecanismo
Período de guarda. O regulamento exige pelo menos 6 meses, mas os logs são guardados por um ano inteiro, o que é um período de guarda excessivo
Local de guarda. Se o próprio administrador do sistema pode editar ou apagar os logs, eles não servem como prova de uma fraude cometida pelo administrador
RespostaD. Local de guarda. Se o próprio administrador do sistema pode editar ou apagar os logs, eles não servem como prova de uma fraude cometida pelo administrador
Os logs só se tornam prova quando, além de coletados, estão protegidos contra adulteração e exclusão. Se ficam guardados localmente e o próprio administrador pode editá-los ou apagá-los, não é possível rastrear uma fraude desse administrador, por isso os logs precisam ser concentrados em outro lugar e protegidos contra alterações. O escopo da coleta consiste em itens necessários para rastrear fraudes internas (内部不正) e não é excessivo. O período de guarda supera a exigência do regulamento e não é problema. As verificações são feitas pelo departamento de auditoria interna, separado dos operadores, e a frequência mensal, por si só, não é inadequada.
Questão 9 | Divisão de responsabilidades
A empresa A decidiu desativar o sistema de apoio a vendas que operava em um servidor próprio e migrar para um SaaS externo. Antes de assinar o contrato, recebeu do fornecedor um material que mostra a divisão de responsabilidades. G, líder de segurança da informação da empresa A, ouviu em uma reunião interna a opinião de que “como vamos para a nuvem, daqui em diante as medidas de segurança podem ficar a cargo do fornecedor”, e sentiu a necessidade de alinhar o entendimento de todos. Após a migração, cerca de 200 vendedores da empresa A terão cada um seu ID de usuário, cadastrarão arquivos de informações de clientes e os compartilharão com pessoas de dentro e de fora da empresa. O material define a divisão de responsabilidades abaixo. Segundo essa divisão de responsabilidades, o que a própria empresa A deve realizar regularmente?
Criar um plano próprio de aplicação de patches do sistema operacional dos servidores e aplicar os patches ela mesma, no lugar do fornecedor do serviço
Obter uma vez por mês os registros de entrada e saída do data center, guardá-los internamente e se preparar para auditorias externas
Fazer regularmente o inventário dos IDs de usuário e das configurações de permissão de acesso e de escopo de compartilhamento dos arquivos, e remover o que for desnecessário
Fazer regularmente, por conta própria, o diagnóstico de vulnerabilidades da aplicação operada pelo fornecedor e comunicar os resultados ao fornecedor por escrito
RespostaC. Fazer regularmente o inventário dos IDs de usuário e das configurações de permissão de acesso e de escopo de compartilhamento dos arquivos, e remover o que for desnecessário
Segundo o material, a gestão dos IDs de usuário, as configurações de permissão de acesso e de escopo de compartilhamento e o conteúdo dos dados cadastrados são definidos como responsabilidade da empresa A. Portanto, cabe à empresa A continuar com o inventário (棚卸し) e a verificação, exatamente como em um sistema próprio. A correção do sistema operacional, a gestão do data center e o tratamento das vulnerabilidades (脆弱性) da aplicação fazem parte da área de responsabilidade do fornecedor e não são algo que a empresa A deva fazer no lugar dele. Ir para a nuvem não elimina a responsabilidade do lado do usuário.
Questão 10 | Configurações de compartilhamento
O departamento de marketing da empresa A usa um armazenamento em nuvem para trocar arquivos com uma produtora externa. A forma de compartilhar fica a critério de cada funcionário, e H, líder de segurança da informação do departamento, verifica a lista de configurações de compartilhamento uma vez por trimestre. A lista desta vez é a seguinte. A linha 1 é um catálogo de produtos já publicado no site. A linha 2 é uma lista de clientes com nome, telefone e e-mail dos contatos nas empresas clientes. A linha 3 é um compartilhamento destinado a dois funcionários específicos da produtora, com data de expiração também definida. Qual item dessa lista H deve corrigir primeiro?
Linha 1. Mesmo para um material já público, uma configuração que permite a qualquer pessoa com o link visualizá-lo deve ser proibida, então deve ser restringida apenas ao uso interno
Linha 3. Como é um compartilhamento com uma pessoa de fora, cancelá-lo imediatamente sem esperar a data de expiração
Linha 2. Como as informações pessoais dos contatos das empresas clientes podem ser vistas por qualquer pessoa que apenas saiba o link, cancelar esse compartilhamento imediatamente
Linha 4. Mesmo para uso interno, o escopo de compartilhamento das atas de reunião deve ser limitado apenas ao autor
RespostaC. Linha 2. Como as informações pessoais dos contatos das empresas clientes podem ser vistas por qualquer pessoa que apenas saiba o link, cancelar esse compartilhamento imediatamente
A linha 2 deixa uma lista de clientes, usada nas atividades internas de vendas, em um estado em que qualquer pessoa de fora da empresa pode vê-la só com o encaminhamento do link, o que leva diretamente a um vazamento de informações pessoais (個人情報の漏えい), por isso deve ser cancelada com a máxima prioridade. A linha 1 é um material já público, então o compartilhamento por link não cria um novo vazamento. A linha 3 é um compartilhamento adequado, com destinatários definidos, autenticação e data de expiração, e é necessário para o trabalho. Restringir a linha 4 apenas ao autor impossibilitaria o compartilhamento dentro do departamento, necessário para o trabalho.
Questão 11 | Shadow IT
Ao tabular os logs do proxy que intermedeia as comunicações de dentro da empresa com a internet, o departamento de sistemas de informação da empresa A descobriu o uso de serviços que a empresa não havia aprovado. O resultado da tabulação é o seguinte. As entrevistas revelaram que o site de conversão de PDF era usado pelos funcionários da administração de vendas para juntar e dividir PDFs de contratos, e que o software interno aprovado não conseguia fazer o mesmo trabalho. O site de tradução era usado para traduzir e-mails de um parceiro de negócios no exterior. Nenhum dos funcionários sabia que isso era proibido pelo regulamento. Como líder de segurança da informação, o que deve ser feito primeiro?
Verificar o uso real e a necessidade para o trabalho, providenciar, como empresa, um meio seguro de fazer o mesmo trabalho, definir no regulamento quais serviços podem ser usados e divulgar isso
Para o serviço de armazenamento em nuvem aprovado, que tem o maior volume de tráfego de saída, definir um limite de uso por departamento
Identificar os usuários um por um, aplicar sanções disciplinares com base no regulamento de trabalho e anunciar o fato a toda a empresa para que não se repita
Bloquear imediatamente todos os destinos não aprovados, sem informar especificamente os motivos do bloqueio nem orientar sobre meios alternativos
RespostaA. Verificar o uso real e a necessidade para o trabalho, providenciar, como empresa, um meio seguro de fazer o mesmo trabalho, definir no regulamento quais serviços podem ser usados e divulgar isso
Grande parte da shadow IT (シャドーIT) começa para conseguir fazer o trabalho, por isso, se a necessidade não for verificada e não houver uma alternativa, o bloqueio ou a punição sozinhos só vão criar outro atalho. Entender a situação real, oferecer uma alternativa e incluí-la no regulamento com a devida divulgação é o caminho correto. Começar pela punição torna mais difícil relatar ou pedir orientação, e bloquear imediatamente sem alternativa paralisa o trabalho. Limitar o volume de uso de um serviço aprovado não tem relação com o problema do uso de serviços não aprovados.
Questão 12 | Regras de firewall
Ao introduzir o teletrabalho, a empresa A tornou possível conectar-se de fora da empresa, por meio de um equipamento de VPN, a um servidor interno de negócios (192.168.10.20). Os usuários do teletrabalho recebem um endereço da faixa 10.8.0.0/24 ao se conectar pela VPN, e o uso do servidor de negócios é limitado ao HTTPS (tcp/443) pelo navegador. A área de trabalho remota (tcp/3389) do servidor de negócios é operada de modo que só seja usada pelos responsáveis pela manutenção na LAN interna (192.168.10.0/24). As regras do firewall colocado na fronteira entre a LAN interna, a VPN e a internet são as seguintes; elas são avaliadas em ordem, de cima para baixo, e todo tráfego que não corresponder a nenhuma regra é bloqueado pela negação implícita no final. À luz do princípio do privilégio mínimo, qual regra deve ser revista primeiro?
ファイアウォールのルール（上から順に評価。最後は暗黙の拒否）
番号 送信元 宛先 プロトコル/ポート 動作1 192.168.10.0/24 インターネット tcp/443 許可2 10.8.0.0/24 192.168.10.20 tcp/443 許可3 any 192.168.10.20 tcp/3389 許可4 10.8.0.0/24 192.168.10.30 tcp/445 拒否5 any any any 拒否（暗黙）
Regra 2. Ela não identifica individualmente os usuários do teletrabalho, mas dá uma permissão geral no nível da rede, por isso essa regra deve ser excluída imediatamente
Regra 1. Ela permite todo o HTTPS da LAN interna para a internet, então há o risco de que tráfego desnecessário para o trabalho também saia
Regra 4. Ela nega o compartilhamento de arquivos (tcp/445) dos usuários do teletrabalho para outro servidor interno (192.168.10.30), mas, como isso também é necessário para o teletrabalho, mudá-la para permitir
Regra 3. Como a origem é 'any', ela também aceita área de trabalho remota vinda do lado da internet. Restringir a origem à LAN interna
RespostaD. Regra 3. Como a origem é 'any', ela também aceita área de trabalho remota vinda do lado da internet. Restringir a origem à LAN interna
A regra 3 tem origem 'any' e, como as regras são avaliadas em ordem de cima para baixo, ela permite que o lado da internet chegue à área de trabalho remota do servidor de negócios. Como a operação determina que apenas os responsáveis pela manutenção na LAN interna devem usá-la, restringir a origem a 192.168.10.0/24 é a prioridade máxima. A regra 1 é necessária para acessar a Web de dentro da empresa, e a regra 2 é a permissão mínima necessária para o teletrabalho. Mudar a regra 4 para permitir ampliaria o alcance a partir de fora da empresa, contrariando a decisão de que o uso do servidor de negócios é somente por HTTPS, o que vai na direção oposta ao privilégio mínimo (最小権限).
Questão 13 | No encerramento do contrato
A empresa A vai cancelar o serviço de controle de ponto em nuvem que usa há 3 anos e mudar para o serviço de outro fornecedor. O serviço atual guarda nome, setor, horas trabalhadas e dados de base para o cálculo da folha de pagamento de cerca de 400 funcionários. O contrato inclui uma cláusula sobre o tratamento dos dados no encerramento do contrato. I, líder de segurança da informação do departamento de assuntos gerais, ficou responsável pelo procedimento de cancelamento. Os registros de ponto dos 3 anos precisam ser levados para o novo serviço. O que I deve fazer no cancelamento?
De acordo com a cláusula do contrato, receber de volta os dados da própria empresa em um formato que possa ser usado na migração e confirmar, por meio de um documento como um certificado de eliminação, que os dados, inclusive os backups, foram apagados do lado do fornecedor
Supor que o cancelamento apaga automaticamente os dados do fornecedor junto com a conta e seguir apenas com o procedimento de cancelamento, sem nenhuma confirmação especial de devolução ou eliminação
Pedir que os dados fiquem como estão do lado do fornecedor mesmo depois do cancelamento e que voltem a ficar disponíveis, com um novo contrato, sempre que os registros dos 3 anos forem necessários
Abrir as telas de administração em ordem, salvar capturas de tela de todas elas, considerar isso como os registros dos 3 anos e dispensar tanto o pedido de devolução dos dados ao fornecedor quanto a confirmação da eliminação
RespostaA. De acordo com a cláusula do contrato, receber de volta os dados da própria empresa em um formato que possa ser usado na migração e confirmar, por meio de um documento como um certificado de eliminação, que os dados, inclusive os backups, foram apagados do lado do fornecedor
No encerramento do contrato, são necessárias tanto a devolução dos dados em um formato que a empresa possa usar quanto a confirmação de que eles foram apagados com segurança do lado do fornecedor (inclusive os backups), e isso deve ser documentado com algo como um certificado de eliminação (消去証明書). Supor que os dados somem automaticamente deixa sem tratamento o perigo de informações pessoais continuarem nos servidores de outra empresa. Capturas de tela não podem ser usadas para migrar para o novo serviço e são insuficientes como registro. Deixar os dados com o fornecedor após o cancelamento significa continuar mantendo informações pessoais em um lugar fora do controle da empresa, o que é inadequado.
Questão 14 | Teletrabalho
A empresa A permite o trabalho em casa e o trabalho fora do escritório, e fornece notebooks da empresa aos funcionários. O uso de VPN é obrigatório para se conectar aos sistemas internos, mas as orientações concretas de comportamento ficaram a critério de cada um. J, líder de segurança da informação, vem anotando as práticas de trabalho reais relatadas pelos funcionários para incluí-las no regulamento. Os itens anotados tratam do trabalho em casa, do trabalho em um café fora do escritório e da realização de reuniões on-line. Qual das alternativas a seguir é inadequada como comportamento no teletrabalho?
Em casa, usar apenas o notebook fornecido pela empresa para trabalhar e não salvar dados de trabalho em um PC compartilhado com a família
Bloquear a tela mesmo em ausências breves e usar um filtro de privacidade em lugares com outras pessoas por perto
Gravar reuniões on-line somente depois de confirmar previamente a necessidade, e limitar onde os dados gravados são guardados e com quem podem ser compartilhados
Em um café fora do escritório, conectar-se ao Wi-Fi público da loja e conectar-se diretamente ao sistema interno sem usar VPN para trabalhar
RespostaD. Em um café fora do escritório, conectar-se ao Wi-Fi público da loja e conectar-se diretamente ao sistema interno sem usar VPN para trabalhar
O Wi-Fi público traz o risco de as comunicações serem interceptadas, e conectar-se diretamente a um sistema interno sem usar um caminho criptografado como a VPN leva diretamente a um vazamento de informações (情報漏えい), por isso é inadequado. Usar o aparelho fornecido pela empresa, bloquear a tela ao se afastar e usar filtro de privacidade, e confirmar a necessidade de gravar, limitando o local de guarda e o escopo de compartilhamento, são todos comportamentos básicos exigidos no teletrabalho.
Questão 15 | BYOD
No departamento de vendas da empresa A, há um forte desejo de consultar o e-mail da empresa fora do escritório, e vários funcionários, por decisão própria, configuraram a conta de e-mail da empresa em seus smartphones pessoais. A empresa não sabia dessa situação e não tem regulamento sobre o uso de aparelhos pessoais no trabalho. Como os funcionários do departamento de vendas passam a maior parte do dia fora do escritório, proibir o uso de aparelhos pessoais por igual atrasaria as respostas às consultas dos clientes e atrapalharia o trabalho. Por outro lado, alguns aparelhos pessoais não têm bloqueio de tela configurado, e a empresa não tem meios de apagá-los remotamente em caso de perda. Entre as respostas propostas pelo líder de segurança da informação, qual é a mais adequada?
Sem que a empresa decida se permite o uso de aparelhos pessoais no trabalho, avisar todos os funcionários para comunicar apenas quando um aparelho for perdido, deixando todo o tratamento seguinte a critério de cada um
Definir no regulamento as condições para permitir o uso de aparelhos pessoais no trabalho (configuração de bloqueio de tela, instalação de MDM, consentimento para bloqueio e apagamento remotos, escopo de dados de trabalho que podem ser guardados) e permitir o uso somente nos aparelhos que tiverem sido solicitados e aprovados
Como os aparelhos pessoais não são bens da empresa, continuar deixando a configuração de bloqueio de tela e o uso a critério de cada funcionário
Para os funcionários que confirmarem verbalmente que não guardam dados de trabalho no aparelho, permitir o uso do e-mail da empresa em um aparelho pessoal sem nenhuma solicitação nem regulamento, e deixar a configuração de bloqueio de tela a critério de cada um
RespostaB. Definir no regulamento as condições para permitir o uso de aparelhos pessoais no trabalho (configuração de bloqueio de tela, instalação de MDM, consentimento para bloqueio e apagamento remotos, escopo de dados de trabalho que podem ser guardados) e permitir o uso somente nos aparelhos que tiverem sido solicitados e aprovados
Uma situação em que há necessidade para o trabalho, mas não há regulamento, gera shadow IT (シャドーIT) que não pode ser acompanhada. Definir no regulamento as condições de permissão e limitar o uso aos aparelhos solicitados e aprovados permite continuar o trabalho sem interrupção e, ao mesmo tempo, ter proteções como o apagamento remoto (遠隔消去) em caso de perda. Deixar a critério de cada um, contentar-se com uma confirmação verbal ou exigir apenas a comunicação de perda sem decidir sobre a permissão deixam a empresa sem condições de conhecer ou gerenciar o estado dos aparelhos, sem nenhum recurso quando um deles for perdido.
Questão 16 | Perda de aparelho
K, funcionário da empresa A, esqueceu no bagageiro de um trem, na volta de uma viagem de trabalho, a bolsa com o notebook fornecido pela empresa, e só percebeu depois de sair da estação. O notebook guarda materiais de negociações com clientes e também tem as configurações de VPN para se conectar ao sistema interno. São 8 da noite de um dia útil, e o pessoal do departamento de sistemas de informação já foi embora, mas a empresa A tem um canal de contato de emergência 24 horas, e K sabe como acessá-lo. O notebook tem bloqueio de tela e criptografia de disco configurados, e permite bloqueio remoto e apagamento remoto via MDM. O que K deve fazer primeiro?
Como há chance de o notebook ser encontrado até a manhã seguinte, limitar-se naquele dia a perguntar à empresa ferroviária e informar o chefe na reunião da manhã seguinte
Para não causar transtornos à empresa, comprar com o próprio dinheiro um notebook do mesmo modelo para continuar trabalhando e depois relatar tudo de uma vez em outra data
Não comunicar a empresa até ter certeza de que o aparelho foi perdido e se concentrar primeiro em registrar o objeto perdido na polícia
Comunicar imediatamente o canal de contato de emergência definido e pedir o bloqueio remoto ou o apagamento remoto do aparelho e a suspensão da conta
RespostaD. Comunicar imediatamente o canal de contato de emergência definido e pedir o bloqueio remoto ou o apagamento remoto do aparelho e a suspensão da conta
Em caso de perda, o tempo é decisivo; comunicar o canal de contato no momento em que se percebe e realizar o bloqueio ou apagamento remoto e a suspensão da conta minimiza os danos. Se o aparelho for encontrado, basta restaurá-lo, então não há vantagem em esperar. Comunicar na manhã seguinte ou não comunicar até ter certeza da perda permite o uso indevido nesse meio-tempo. Comprar um substituto com o próprio dinheiro não protege em nada as informações do aparelho perdido e só agrava o maior problema, que é o atraso na comunicação.
Questão 17 | Prevenção de envio de e-mail ao destinatário errado
Um vendedor da empresa A enviou um e-mail divulgando um seminário da empresa aos contatos de 42 empresas clientes. Ao fazer isso, colocou os 42 endereços de e-mail no campo “Para” e enviou tudo de uma vez, de modo que cada destinatário podia ver o nome e o e-mail dos contatos das outras empresas. Uma das empresas clientes apontou o problema, e o caso foi comunicado como incidente. A empresa A não tinha nenhuma regra escrita sobre a forma de enviar e-mails em massa para pessoas de fora, e a verificação antes do envio ficava a critério de cada um. Incidentes semelhantes já tinham ocorrido duas vezes, e a cada vez foi emitido um aviso de alerta, mas o problema voltou a acontecer. Qual das alternativas a seguir é a medida mais adequada para evitar que isso se repita?
Definir no regulamento interno um procedimento que, ao perceber um envio ao destinatário errado, envie imediatamente aos mesmos destinatários um e-mail pedindo a exclusão e confirme por telefone que ele foi excluído
Fazer o funcionário que causou o envio errado apresentar uma carta de desculpas e distribuir a toda a empresa um aviso de alerta descrevendo o incidente
Avisar toda a empresa que a função de preenchimento automático de endereços do programa de e-mail deve ser ativada para todos, a fim de evitar erros na digitação dos endereços
Definir no regulamento que o CCO (BCC) deve ser usado em envios em massa para vários destinatários de fora, e combinar isso com um mecanismo que retém os envios por alguns minutos e exige a confirmação do chefe quando o número de destinatários passar de um limite definido
RespostaD. Definir no regulamento que o CCO (BCC) deve ser usado em envios em massa para vários destinatários de fora, e combinar isso com um mecanismo que retém os envios por alguns minutos e exige a confirmação do chefe quando o número de destinatários passar de um limite definido
Como os avisos de alerta sozinhos não impediram a repetição, é preciso um mecanismo que combine uma regra escrita de uso do CCO (BCC) com a retenção do envio e a confirmação do chefe para realmente evitar o problema. Um e-mail pedindo a exclusão não consegue apagar as informações que já estão nas mãos do destinatário e é apenas uma resposta posterior ao fato. O preenchimento automático de endereços é uma das causas de envio ao destinatário errado (誤送信), por escolher outra pessoa com nome parecido, e é contraproducente como medida. A carta de desculpas e o aviso de alerta são apenas a repetição de respostas que já se mostraram ineficazes.
Questão 18 | PPAP
Há anos a empresa A segue a prática de, ao enviar arquivos para pessoas de fora, sempre compactá-los em um ZIP protegido por senha e, logo em seguida, enviar ao mesmo destinatário um segundo e-mail contendo apenas a senha. No mês passado, um funcionário enviou o arquivo ao destinatário errado por engano e depois enviou também o e-mail com a senha a esse mesmo destinatário errado, fazendo com que o arquivo chegasse a um terceiro em condições de ser lido. Além disso, várias empresas clientes informaram que, “por motivos de segurança, configuramos nosso sistema para não aceitar arquivos ZIP protegidos por senha anexados”. O líder de segurança da informação da empresa A está pensando em rever essa prática. Qual das alternativas a seguir é a direção mais adequada para essa revisão?
Como os problemas são que o arquivo e a senha são enviados pelo mesmo canal e que o ZIP criptografado escapa da verificação de vírus do destinatário, mudar para outro meio de entrega, como um armazenamento compartilhado que define o destinatário e exige autenticação
Combinar previamente com cada empresa cliente uma senha fixa e compartilhá-la, continuando a enviar os arquivos anexados ao e-mail como antes
Aumentar o tamanho da senha de 8 para 16 caracteres e, no mais, manter a prática atual de enviar em dois e-mails separados
Passar a informar a senha verbalmente por telefone, abandonar o segundo e-mail e continuar anexando arquivos ZIP criptografados daqui em diante, mas, para os destinatários cujos sistemas não aceitam ZIP criptografado, anexar o arquivo ao e-mail sem criptografia
RespostaA. Como os problemas são que o arquivo e a senha são enviados pelo mesmo canal e que o ZIP criptografado escapa da verificação de vírus do destinatário, mudar para outro meio de entrega, como um armazenamento compartilhado que define o destinatário e exige autenticação
Enviar a senha pelo mesmo canal de e-mail não tem efeito nem contra a interceptação nem contra o envio ao destinatário errado, e o ZIP criptografado não passa pela verificação de vírus do destinatário, causando transtornos também às empresas clientes. Mudar para um meio de compartilhamento que define o destinatário e exige autenticação é a solução fundamental. Aumentar o tamanho da senha não muda a falha de usar o mesmo canal. Enviar anexos sem criptografia só piora a situação, abandonando a criptografia de vez. Uma senha fixa é perigosa porque, se vazar uma vez, todos os arquivos seguintes ficam legíveis.
Questão 19 | E-mail de ataque direcionado
L, do departamento de contabilidade da empresa A, recebeu um e-mail em nome de um contato de uma empresa parceira, com o assunto “Houve um erro na fatura. Segue em anexo a versão corrigida.” O corpo do e-mail mencionava trocas de mensagens anteriores, então L abriu o arquivo anexo; nesse momento, algo parecido com um aviso apareceu por um instante e depois nada mais aconteceu. Sentindo-se inseguro, L verificou de novo o endereço do remetente e percebeu que era de outro domínio, muito parecido com o domínio da empresa cliente. A empresa A tem um canal de comunicação para assuntos de segurança da informação, e o número do ramal é bem conhecido. O terminal de L está conectado à LAN interna por cabo, e a LAN sem fio também está ativada. O que L deve fazer primeiro?
Fazer por conta própria uma varredura completa do aparelho com o software antivírus e, se nada for detectado, não comunicar o canal de comunicação
Para evitar que outras pessoas sofram o mesmo dano, encaminhar o e-mail recebido, como está, a todos do departamento, alertando-os para não abri-lo
Para impedir que os danos se espalhem, desligar o aparelho imediatamente e levá-lo ao departamento de sistemas de informação na manhã seguinte para pedir orientação
Desconectar o aparelho da rede, tanto a cabeada quanto a sem fio, sem desligar a energia, e contatar imediatamente o canal de comunicação definido
RespostaD. Desconectar o aparelho da rede, tanto a cabeada quanto a sem fio, sem desligar a energia, e contatar imediatamente o canal de comunicação definido
Em um aparelho que pode estar infectado, primeiro é preciso cortar as comunicações para impedir que os danos se espalhem e que informações sejam enviadas para fora, e deixar a energia ligada para não perder informações necessárias à investigação, antes de comunicar o canal de comunicação. Decidir não comunicar se uma varredura feita por conta própria não detectar nada corre o risco de deixar passar um malware (不正プログラム) que a varredura não consegue detectar. Desligar o aparelho faz perder os vestígios na memória, e deixá-lo até a manhã seguinte é lento demais. Encaminhar um e-mail suspeito aumenta o número de pessoas que podem abri-lo.
Questão 20 | Escolha do meio de entrega
A empresa A precisa entregar um arquivo de cadastro com nome, endereço e telefone dos participantes de uma pesquisa a dois funcionários de uma produtora para a qual terceirizou a tabulação da pesquisa. O regulamento da empresa A determina que, ao fornecer informações pessoais a terceiros de fora, deve ser usado um meio que permita limitar quem as recebe e que deixe um registro sob controle da empresa, e é proibido usar no trabalho um serviço contratado pessoalmente por um indivíduo. O responsável comparou os quatro meios abaixo. D é um serviço de armazenamento on-line contratado pessoalmente pelo funcionário, e a empresa não consegue acompanhar o seu uso. O link público de B pode ser baixado por qualquer pessoa que saiba a URL. Com base nessa tabela comparativa, qual é a forma mais adequada de entregar o arquivo de cadastro?
A. Como o arquivo está criptografado, ele é seguro qualquer que seja o caminho, e é melhor que não fique nenhum registro de download, para não deixar informações desnecessárias
B. Como ficam tanto a data de expiração quanto o registro de download, basta avisar os dois funcionários do link compartilhado por e-mail
C. Permite limitar os destinatários aos dois funcionários definidos, e tanto a data de expiração quanto o registro de download ficam sob controle da empresa, atendendo aos requisitos do regulamento
D. O funcionário já está acostumado com ele, e é possível manter tanto a data de expiração quanto o registro de download, o que o torna a forma mais confiável de entrega
RespostaC. C. Permite limitar os destinatários aos dois funcionários definidos, e tanto a data de expiração quanto o registro de download ficam sob controle da empresa, atendendo aos requisitos do regulamento
O regulamento exige tanto a possibilidade de limitar os destinatários quanto que o registro da entrega fique sob controle da empresa, e somente C atende às duas condições. A não permite limitar os destinatários e não deixa registro. B pode ser baixado por qualquer pessoa se o link for encaminhado, então não é possível limitar os destinatários. D permite limitar os destinatários e manter registro, mas não está sob controle da empresa, e o uso no trabalho de um serviço contratado pessoalmente é proibido pelo regulamento, então não pode ser escolhido.
Questão 21 | Fornecimento a terceiros
O departamento de vendas da empresa A recebeu um telefonema de alguém que dizia ser um contato da empresa cliente B. A pessoa disse: “Apaguei sem querer o arquivo da lista de clientes que vocês nos enviaram no mês passado. Preciso dele hoje, então, por favor, me liguem de volta neste número e reenviem para o meu e-mail.” O funcionário que atendeu lembra que de fato foram fornecidos materiais à empresa B, mas não era um caso de que ele cuidasse pessoalmente. O regulamento da empresa A exige a aprovação do gestor de informações para fornecer a terceiros informações que contenham dados pessoais. A pessoa ao telefone insiste repetidamente que é urgente. Qual é a resposta mais adequada para esse funcionário?
Não enviar na hora; ligar de volta não para o número informado por telefone, mas para o contato conhecido da empresa B, para confirmar se o pedido é verdadeiro, e responder depois de obter a aprovação do gestor de informações, de acordo com o regulamento
Como é o mesmo conteúdo que já foi fornecido antes, reenviar na hora por decisão própria do funcionário
Como a outra parte está com pressa, enviar o arquivo primeiro e obter a aprovação do gestor de informações depois
Como enviar com senha protege o conteúdo, ligar de volta para o número informado por telefone e enviar, dispensando o procedimento de aprovação do gestor de informações
RespostaA. Não enviar na hora; ligar de volta não para o número informado por telefone, mas para o contato conhecido da empresa B, para confirmar se o pedido é verdadeiro, e responder depois de obter a aprovação do gestor de informações, de acordo com o regulamento
Como existem golpes que obtêm informações fingindo ser um parceiro de negócios, o fato do pedido deve ser confirmado pelo contato legítimo que a própria empresa conhece, e não pelo contato indicado por quem ligou. Em seguida, obter a aprovação exigida pelo regulamento é a ordem correta. Enviar na hora por causa de negócios anteriores, adiar a aprovação por causa da urgência ou dispensar a aprovação porque foi colocada uma senha deixam, em todos os casos, o risco tanto de falsificação de identidade (なりすまし) quanto de violação do regulamento.
Questão 22 | Retirada de mídias
A empresa A exige que, ao levar dados eletrônicos para fora da empresa, seja obtida aprovação prévia do chefe, seja usado um pen drive com criptografia ou um notebook fornecido pela empresa, e a retirada seja anotada em um registro de retiradas. É proibido usar no trabalho mídias de armazenamento pessoais, e a regra é que as mídias retiradas sejam devolvidas assim que o trabalho terminar, com a data de devolução anotada no registro. O aprovador é definido como o chefe do departamento (chefe de seção ou gerente de departamento), e o aprovador não muda conforme o conteúdo das informações retiradas. No mês passado, no departamento de vendas, sumiu um pen drive com uma lista de clientes, e decidiu-se verificar o registro de retiradas todo mês. Quando o líder de segurança da informação do departamento de assuntos gerais verificou o registro de retiradas deste mês, encontrou os registros abaixo. Qual anotação desse registro de retiradas é inadequada segundo o regulamento?
No.2. Usa uma mídia pessoal, o que é proibido, não tem criptografia nem aprovação do chefe e não tem registro de devolução
No.1. Mesmo os materiais para distribuir em uma exposição, se forem levados para fora da empresa, devem ser enviados por correio, e não em uma mídia
No.4. Como a cópia do orçamento é confidencial, não deve ser levada para fora mesmo que esteja criptografada
No.3. Um chefe de seção aprovou a retirada dos slides da reunião, mas o aprovador deve ser sempre um gerente de departamento
RespostaA. No.2. Usa uma mídia pessoal, o que é proibido, não tem criptografia nem aprovação do chefe e não tem registro de devolução
O No.2 não atende a nenhum dos requisitos do regulamento — proibição de mídias pessoais, criptografia, aprovação prévia do chefe e registro de devolução no controle — e, além disso, o que foi levado para fora era uma lista de clientes. Os No.1, No.3 e No.4 têm mídia fornecida pela empresa, criptografia, aprovação do chefe e registro de devolução, e não violam o regulamento. Não há neste regulamento nenhuma regra que limite o aprovador a um gerente de departamento ou que proíba por igual a retirada de materiais confidenciais.
Questão 23 | Papéis e visitantes
A empresa A realiza reuniões com parceiros de negócios externos em uma sala de reunião em um canto do andar do escritório. O caminho até a sala de reunião vai da recepção pelo andar do escritório, passando ao lado das fileiras de mesas dos funcionários. Recentemente, um visitante notou e comentou o valor estimado de um assunto sem relação com ele, que tinha ficado escrito no quadro branco da sala de reunião, o que levou o líder de segurança da informação a rever as práticas. Ao mesmo tempo, o departamento está revendo a guarda e o descarte de documentos em papel e o procedimento de recepção de visitantes. O andar do escritório tem uma fragmentadora instalada e também uma caixa de coleta para a terceirização da trituração e dissolução de documentos confidenciais. Qual das práticas a seguir é inadequada?
Ao levar documentos em papel para fora da empresa, colocá-los em um envelope que esconda o conteúdo e carregá-los em uma bolsa que possa ser trancada
Rasgar à mão em pedaços pequenos uma lista de clientes que não é mais necessária e jogá-la no lixo comum do andar do escritório
Emitir e registrar um crachá de visitante na recepção e sempre fazer com que um funcionário acompanhe o visitante em toda a área do escritório
Antes de receber um visitante, apagar o que estiver escrito no quadro branco da sala de reunião e recolher os materiais deixados sobre a mesa
RespostaB. Rasgar à mão em pedaços pequenos uma lista de clientes que não é mais necessária e jogá-la no lixo comum do andar do escritório
Papel apenas rasgado à mão pode ser reconstituído, e o lixo comum corre o risco de ser levado por alguém, por isso informações pessoais como uma lista de clientes devem ser descartadas na fragmentadora ou na caixa de coleta para dissolução. Emitir crachá de visitante com acompanhamento de um funcionário, limpar o quadro branco e as mesas antes de receber visitantes (mesa limpa, クリアデスク) e carregar documentos em um envelope fechado dentro de uma bolsa que possa ser trancada são todas práticas adequadas.
Questão 24 | Postagem em rede social
Um funcionário da empresa A postou em sua conta pessoal de rede social fotos de uma confraternização do departamento. No fundo das fotos apareciam, sem querer, o codinome e a previsão de lançamento de um novo produto ainda não anunciado, escritos no quadro branco da sala de reunião, e documentos com o nome de uma empresa cliente deixados sobre uma mesa. A postagem veio à tona depois do alerta de um terceiro de fora e foi apagada rapidamente, mas, a essa altura, já tinha sido repostada em outros lugares. A empresa A não proíbe o uso pessoal de redes sociais e não tem regras sobre postagens. O funcionário não teve má intenção e não tinha percebido o que aparecia no fundo. Qual é a medida mais adequada daqui em diante?
Criar regras que exijam verificar o que aparece no fundo das fotos tiradas dentro da empresa antes de postá-las e obter aprovação prévia do departamento de relações públicas para postagens relacionadas ao trabalho, e oferecer treinamento usando este caso real como exemplo
Desde que sejam omitidos os nomes da empresa, dos clientes e das pessoas, assuntos de trabalho, inclusive conteúdos sobre o produto não anunciado, podem continuar sendo postados livremente nas redes sociais pessoais, como antes
Como postar em uma conta pessoal é uma questão de liberdade individual, a empresa não deve criar regras sobre fotos ou postagens nem se envolver
Como uma postagem para de se espalhar depois de apagada, definir e divulgar apenas a prática de fazer a pessoa apagá-la quando for descoberta
RespostaA. Criar regras que exijam verificar o que aparece no fundo das fotos tiradas dentro da empresa antes de postá-las e obter aprovação prévia do departamento de relações públicas para postagens relacionadas ao trabalho, e oferecer treinamento usando este caso real como exemplo
Como a causa desta vez não foi má intenção, mas a falta de consciência sobre o que aparece no fundo das fotos e a ausência de regras, é eficaz criar regras de verificação do fundo antes de postar e de aprovação das postagens relacionadas ao trabalho, e treinar o pessoal usando este caso real. Uma política de não envolvimento não vai impedir a repetição. Omitir os nomes não resolve o problema, já que o próprio conteúdo da informação não divulgada (未公表情報) é o vazamento. Uma postagem publicada pode ser repostada, então depender apenas de apagá-la depois é insuficiente.
Questão 25 | Uso de IA generativa
Na empresa A, havia muitas reclamações de que preparar atas de reunião e redigir documentos leva muito tempo, e vários departamentos tinham começado a usar serviços gratuitos de IA generativa conversacional com contas individuais. Em um departamento, atas de reunião contendo nomes de clientes, preços de transações e um cronograma de lançamento ainda não anunciado foram coladas como estavam para serem resumidas. Os termos desse serviço dizem que o conteúdo inserido pode ser usado para melhorar o serviço. Não há regra de uso em toda a empresa, nem proibindo nem permitindo. As expectativas de ganho de eficiência são altas, e uma simples proibição corre o risco de as pessoas continuarem usando assim mesmo. Entre as respostas propostas pelo líder de segurança da informação, qual é a mais adequada?
Como ajuda a melhorar a eficiência, continuar deixando a escolha do serviço e o escopo das informações inseridas a critério de cada um
Definir como regra da empresa apenas o mascaramento dos nomes de clientes, permitir que preços de transações e cronogramas de lançamento não anunciados continuem sendo inseridos como antes e deixar cada um escolher livremente o serviço que vai usar
Definir no regulamento o escopo de informações que podem ser inseridas, proibindo a inserção de informações confidenciais e pessoais, oferecer, como empresa, um serviço corporativo com contrato em que o conteúdo inserido não é usado para treinamento, e exigir que o resultado seja sempre verificado pelo responsável
Avisar toda a empresa por e-mail da proibição total do uso de IA generativa e deixar o tratamento seguinte a critério de cada departamento
RespostaC. Definir no regulamento o escopo de informações que podem ser inseridas, proibindo a inserção de informações confidenciais e pessoais, oferecer, como empresa, um serviço corporativo com contrato em que o conteúdo inserido não é usado para treinamento, e exigir que o resultado seja sempre verificado pelo responsável
Como inserir dados em uma IA generativa (生成AI) equivale a fornecer informações a terceiros de fora, é eficaz traçar no regulamento uma linha clara sobre quais informações podem ser inseridas e oferecer um serviço corporativo, providenciado pela empresa, que não use os dados inseridos para treinamento, criando um caminho seguro. Exigir a verificação do resultado também evita que erros passem. Deixar a critério de cada um apenas ratifica a situação atual. Mascarar apenas os nomes de clientes ainda deixa os preços e os cronogramas não anunciados como informações confidenciais. Uma proibição geral feita só com um aviso, sem alternativa, faz o uso ir para a clandestinidade e virar shadow IT (シャドーIT) impossível de gerenciar.
Prática: responda às perguntas desta página
Esta é uma ferramenta de prática com perguntas em ordem aleatória (funciona quando o JavaScript está ativado). Mesmo sem ela, você pode ler todas as perguntas e explicações acima.
* As explicações são informações para fins de estudo. O conteúdo e o sistema dos exames mudam de ano para ano, por isso confira sempre os comunicados oficiais da entidade organizadora.
Esta página é uma tradução do texto original em japonês. Em caso de diferença entre a tradução e o original, prevalece a versão em japonês. Esta tradução foi feita com IA e pode conter erros.Informar um erro de traduçãoVer o original em japonês