Răspuns la incidente și organizare

Un PC de lucru afișează un avertisment al software-ului antivirus, „malware detectat”, iar funcționarea a devenit instabilă. Ce trebuie să facă mai întâi utilizatorul?

1. Se șterg toate istoricele de detecție și jurnalele de avertizare ale software-ului antivirus, pentru ca avertismentul să nu mai apară
2. Se deconectează PC-ul de la rețea, de exemplu scoțând cablul LAN sau dezactivând Wi-Fi-ul
3. Se ține apăsat butonul de alimentare al PC-ului și se oprește imediat, de îndată
4. Se caută pe cont propriu pe internet un instrument de dezinfectare, se descarcă, se execută și se elimină infecția de unul singur

Care este motivul cel mai potrivit pentru care se stabilește ca un dispozitiv suspectat de infectare cu malware să fie deconectat de la rețea fără a i se opri alimentarea?

1. Pentru a păstra, în scopul investigării cauzei, informațiile volatile — precum datele din memorie și starea comunicațiilor — care dispar odată cu oprirea alimentării
2. Pentru că oprirea alimentării ar cripta toate fișierele de pe hard disk
3. Pentru că oprirea alimentării ar reseta fișierele de definiții ale software-ului antivirus
4. Pentru că oprirea alimentării ar declanșa, ca semnal, răspândirea automată a malware-ului în rețeaua internă

Care este descrierea cea mai potrivită privind relația dintre evenimentul de securitate a informației și incidentul de securitate a informației, conform JIS Q 27000?

1. Incidentul este un fapt minor care apare zilnic, iar doar cel al cărui prejudiciu financiar este mare și necesită raportare către conducere se numește, separat, eveniment
2. Evenimentul se referă doar la fapte provocate de un atac din afara organizației, iar incidentul se referă doar la fapte provocate de o încălcare a regulamentului de către o persoană din interior
3. Evenimentul și incidentul sunt sinonime; diferă doar denumirea folosită la redactarea unui raport
4. Evenimentul indică apariția unui fapt legat de securitate, iar dintre acestea, cel care are o probabilitate ridicată de a pune în pericol funcționarea activității și de a amenința securitatea informației devine incident

Care este ordinea generală corectă a etapelor de răspuns la un incident?

1. Analiză/investigare → Detectare/primire → Raportare → Reacție inițială (triaj) → Prevenirea repetării → Izolare/recuperare
2. Detectare/primire → Analiză/investigare → Prevenirea repetării → Reacție inițială (triaj) → Izolare/recuperare → Raportare
3. Detectare/primire → Reacție inițială (triaj) → Analiză/investigare → Izolare/recuperare → Raportare → Prevenirea repetării
4. Reacție inițială (triaj) → Detectare/primire → Izolare/recuperare → Prevenirea repetării → Analiză/investigare → Raportare

Un angajat a deschis fișierul atașat al unui e-mail deghizat în corespondență de la un partener comercial și, deși imediat după deschidere nu s-a întâmplat nimic vizibil, a devenit neliniștit. Ce ar trebui să facă mai întâi acest angajat?

1. Pentru a verifica dacă e-mailul este într-adevăr suspect, trimite un e-mail de întrebare la adresa expeditorului și așteaptă să vină un răspuns
2. Deschide din nou, pentru orice eventualitate, fișierul atașat și verifică amănunțit, cu proprii ochi, dacă nu apare vreo anomalie în conținut
3. Deconectează dispozitivul de la rețea și raportează imediat superiorului și responsabilului de securitate a informației (CSIRT)
4. Deoarece nu s-a întâmplat nimic special după deschiderea atașamentului, așteaptă o vreme și raportează la ghișeu abia dacă apare vreo anomalie

Care este descrierea cea mai potrivită pentru triaj în cadrul răspunsului la incident?

1. Se estimează, într-un timp scurt, întinderea impactului și gradul de urgență al cazului primit, pentru a stabili prioritatea răspunsului și responsabilul
2. Se identifică, alocând timpul necesar, cauza fundamentală a incidentului, iar apoi se decide și se implementează o măsură permanentă de prevenire a repetării
3. Se confirmă, pe rând, cu responsabilii din departamentele utilizatoare, dacă activitatea a revenit la starea normală după recuperare
4. Se confirmă, folosind valori hash, că probele colectate nu au fost falsificate pe parcurs, iar acest lucru se consemnează

S-a observat că un e-mail cu lista de clienți atașată a fost trimis, din greșeală, la o altă companie din afară, din cauza confundării destinatarului. Ce trebuie făcut mai întâi?

1. Se sună personal la destinatar, se explică situația și, dacă acesta promite să șteargă e-mailul, cazul nu se raportează în mod special în companie
2. Se consemnează faptele (destinatar, ora trimiterii, conținutul atașamentului) și se raportează imediat superiorului și responsabilului de securitate a informației
3. Se șterge e-mailul respectiv din folderul de trimise proprii, aducând situația în starea în care în interiorul companiei nu rămâne nicio urmă a trimiterii
4. Pentru a nu deranja clienții, înainte de a anunța superiorul, se sună mai întâi la toți clienții pentru a le prezenta scuze

Care este descrierea cea mai potrivită privind diferența dintre managementul incidentelor și managementul problemelor?

1. Managementul incidentelor urmărește identificarea cauzei fundamentale și prevenirea repetării, iar managementul problemelor urmărește aplicarea unei soluții provizorii de ocolire
2. Managementul incidentelor urmărește recuperarea rapidă a serviciului, iar managementul problemelor urmărește identificarea cauzei fundamentale și prevenirea repetării
3. Managementul incidentelor este realizat de conducerea executivă, iar managementul problemelor de departamentul utilizator — aceasta este diferența de responsabil
4. Managementul incidentelor tratează doar cazuri legate de securitatea informației, iar managementul problemelor tratează doar defecțiunile de sistem — aceasta este diferența

Un angajat a observat că a pierdut, în deplasare, un laptop împrumutat pe care erau stocate informații despre clienți. Ce trebuie să facă mai întâi acest angajat?

1. Deoarece există posibilitatea de a-l găsi, caută pe cont propriu în acea zi și raportează abia dacă nu îl găsește până a doua zi dimineață
2. Notează ora și circumstanțele în care a observat pierderea și contactează imediat superiorul și responsabilul de securitate a informației
3. Depune mai întâi o declarație de pierdere la cea mai apropiată secție de poliție și raportează în companie doar dacă, în final, obiectul nu este găsit
4. Contactează clienții pe cont propriu, din proprie inițiativă, și îi anunță mai întâi că există posibilitatea unei scurgeri de informații

Un responsabil, verificând jurnalele unui server, a găsit o înregistrare conform căreia, în timpul nopții, s-au făcut numeroase încercări de conectare cu contul de administrator, dintre care una a reușit. Ce trebuie făcut mai întâi?

1. Se resetează serverul, pentru orice eventualitate, se restaurează din backup, iar activitatea continuă normal
2. Se conservă jurnalul respectiv (păstrându-l astfel încât să nu fie suprascris) și se raportează la CSIRT și la superior
3. Pentru a evita confuzia, se șterg liniile relevante din jurnal și se ordonează restul pentru claritate
4. Se conectează personal la adresa IP suspectată a fi sursa atacului, examinează sistemul acesteia și pregătește un contraatac

Care este modul cel mai potrivit de desfășurare a conservării probelor în informatica judiciară (digital forensics)?

1. Se șterg mai întâi fișierele considerate inutile, care ar împiedica analiza, apoi se restrânge obiectul și se face o copie
2. Se operează direct pe originalul discului vizat pentru analiză, extrăgându-se și păstrându-se doar fișierele necesare
3. Deoarece investigația necesită timp, responsabilii se schimbă pe rând, iar lucrul avansează fără a se ține vreo evidență
4. Se face o copie a discului vizat, se demonstrează identitatea acesteia cu originalul prin valoarea hash, iar analiza se efectuează asupra copiei

Care este rolul cel mai potrivit al CSIRT-ului instituit în interiorul companiei?

1. Primește raportarea incidentelor printr-un singur ghișeu, decide triajul și direcția de răspuns, și realizează comunicarea și coordonarea internă și externă
2. Auditează sistemul informatic al companiei și, dintr-o poziție independentă, prezintă conducerii un raport de audit, propunând îmbunătățiri
3. Preia dezvoltarea unui sistem informatic și răspunde, de la un capăt la altul, de proiectarea și implementarea funcțiilor de securitate, precum și de mentenanța ulterioară
4. Monitorizează permanent situația de prezență la muncă a angajaților și aplică sancțiuni disciplinare celor care încalcă regulamentul de muncă

Care este descrierea cea mai potrivită privind diferența dintre rolurile CSIRT și SOC?

1. SOC răspunde doar de lucrările de recuperare de după producerea unui incident, iar CSIRT răspunde doar de monitorizarea permanentă, în perioadele normale, a jurnalelor și alertelor, fiind exclus din coordonarea răspunsului
2. SOC răspunde de raportarea către conducere și de comunicarea publică, iar CSIRT răspunde doar de modificarea configurațiilor echipamentelor
3. SOC detectează și analizează indicii de atac prin monitorizarea permanentă a jurnalelor și alertelor, iar CSIRT decide direcția de răspuns pentru cazurile detectate și realizează coordonarea internă și externă
4. SOC răspunde de vulnerabilitățile produselor oferite de companie, iar CSIRT răspunde doar de ghișeul de întrebări din exterior

Care este descrierea cea mai potrivită pentru PSIRT?

1. O echipă care monitorizează permanent, 24 de ore din 24, rețeaua internă și serverele companiei, detectând din timp anomaliile de comunicație
2. O organizație în care companii membre la nivel de industrie își aduc informațiile despre amenințări, iar rezultatele analizei sunt împărtășite pe scară largă între companiile membre
3. O echipă care primește informații despre vulnerabilități ale produselor sau serviciilor oferite de companie, oferă versiuni corectate și anunță clienții
4. O organizație care elaborează strategia de securitate cibernetică la nivelul întregului guvern și stabilește și publică standardele unitare pe care trebuie să le respecte fiecare minister

Care este organizația internă care primește raportarea incidentelor, realizează coordonarea între cei implicați și legătura cu CSIRT-uri din străinătate, și emite avertismente?

1. ISMS-AC
2. NISC
3. Comisia pentru protecția datelor cu caracter personal
4. JPCERT/CC

Care este descrierea cea mai potrivită pentru activitatea J-CRAT?

1. Centralizează informațiile despre măsurile de contracarare a vulnerabilităților și le publică pe un portal destinat utilizatorilor
2. Primește sesizări din partea organizațiilor suspectate de a fi victime ale unui atac țintit și sprijină prevenirea extinderii prejudiciului și un răspuns rapid
3. Acreditează organismele de certificare ale sistemelor de management al securității informației
4. Anonimizează informațiile despre atacurile țintite aduse de organizațiile participante și le partajează, contribuind la observarea timpurie a altor organizații

S-a descoperit o vulnerabilitate nepublicată într-un produs software folosit de companie. Care este tratamentul cel mai potrivit, conform Parteneriatului pentru avertizare timpurie privind securitatea informației?

1. Pentru a verifica dacă poate fi exploatată efectiv, se încearcă pe un server al aceluiași produs, publicat de o altă companie
2. Se notifică informația despre vulnerabilitate la IPA și se așteaptă coordonarea cu dezvoltatorul și publicarea realizate de JPCERT/CC
3. Dacă nu are impact asupra propriei companii, se rezolvă doar intern, fără a anunța pe nimeni
4. Pentru a avertiza utilizatorii cu privire la pericol, se publică imediat pe rețelele sociale detaliile vulnerabilității și pașii de reproducere

Care este descrierea cea mai potrivită pentru SIEM?

1. Centralizează jurnalele diferitelor echipamente și programe și, prin analiză corelată, detectează indicii de atac imposibil de observat dintr-un singur jurnal
2. Este un mecanism care criptează conținutul comunicației, astfel încât acesta să nu poată fi citit chiar dacă este interceptat pe traseu
3. Este un mecanism prin care datele importante sunt duplicate într-o locație aflată la distanță, astfel încât activitatea să poată fi reluată și continuată rapid chiar și în caz de dezastru
4. Este un mecanism care impune în mod obligatoriu utilizatorilor de dispozitive schimbarea periodică a parolei și interzicerea refolosirii pe alte servicii

Care este descrierea cea mai potrivită pentru exercițiul pe hârtie (tabletop exercise), organizat ca pregătire pentru un incident de securitate a informației?

1. Un exercițiu în care sistemul este efectiv oprit, iar lucrările de recuperare se execută pas cu pas în mediul real de producție, măsurându-se și înregistrându-se timpul necesar
2. Un exercițiu de forma în care se trimite simultan tuturor utilizatorilor un e-mail de instruire, se numără câți l-au deschis și câți au raportat la ghișeu, iar rezultatele sunt centralizate
3. Un exercițiu în care este prezentat pe hârtie un scenariu de prejudiciu ipotetic, iar cei implicați se reunesc și urmăresc fluxul de decizii și comunicări, pentru a identifica lacunele din procedură
4. O verificare de forma în care experți externi lansează efectiv un atac, testează dacă pot pătrunde în sistem, iar rezultatul este raportat

Un responsabil din departamentul de vânzări a observat un eveniment care sugerează posibilitatea ca un fișier conținând date cu caracter personal ale clienților să fi ajuns la exterior. Ce ar trebui să facă mai întâi acest responsabil?

1. Urmează ruta de raportare stabilită prin regulamentul intern și raportează imediat responsabilului de protecție a datelor cu caracter personal sau responsabilului de securitate a informației
2. Continuă investigația doar în cadrul propriului departament și raportează intern abia din momentul în care scurgerea devine certă
3. Deoarece nu s-a confirmat dacă a existat sau nu o scurgere, contactează individual clienții care ar putea fi vizați, pentru a verifica
4. Sună direct la Comisia pentru protecția datelor cu caracter personal, în nume personal, pentru a explica situația, și raportează superiorului din companie abia după ce primește instrucțiuni

Care este descrierea cea mai potrivită privind raportarea către Comisia pentru protecția datelor cu caracter personal, în cazul unei scurgeri de date cu caracter personal?

1. Raportul rapid se face prompt după luarea la cunoștință a situației, iar raportul final se face, ca regulă, în cel mult 30 de zile (60 de zile pentru situațiile care ar fi putut fi comise cu intenție frauduloasă)
2. Nu este necesar niciun raport, nici rapid, nici final, până la finalizarea investigației și stabilirea cauzei și a întinderii impactului; se raportează o singură dată, laolaltă, după stabilirea acestora
3. Raportul este acceptat doar în scris și se depune la Comisia pentru protecția datelor cu caracter personal în cel mult 3 luni de la data luării la cunoștință
4. Nu există distincție între raportul rapid și cel final; se raportează o singură dată, laolaltă, în cel mult 1 an de la data luării la cunoștință

Dintre situațiile de scurgere a datelor cu caracter personal, care nu se încadrează în situațiile pentru care este obligatorie raportarea către Comisia pentru protecția datelor cu caracter personal?

1. Situația în care date cu caracter personal conținând un număr de card de credit au fost scurse, existând riscul unui prejudiciu patrimonial cauzat de utilizarea frauduloasă
2. Situația în care, printr-un acces neautorizat din exterior, există suspiciunea că datele cu caracter personal deținute au fost scoase spre exterior
3. Situația în care date cu caracter personal conținând informații care necesită o atenție specială, precum istoricul medical al unui angajat, au ajuns să fie scurse la exterior
4. Situația în care un document de dezvoltare a produsului, destinat exclusiv uzului intern, a fost trimis din greșeală la exterior, dar nu conținea date cu caracter personal

Care este descrierea cea mai potrivită privind notificarea persoanei vizate în cazul unei scurgeri a datelor cu caracter personal?

1. Notificarea persoanei vizate este doar un obiectiv de efort; dacă regulamentul intern stabilește dinainte că nu se face notificarea, se poate renunța complet la orice acțiune, inclusiv la publicare sau la instituirea unui ghișeu
2. Se notifică prompt, în funcție de situația concretă, dar dacă notificarea este dificilă, de exemplu pentru că datele de contact nu sunt cunoscute, se pot lua măsuri alternative, precum publicarea sau instituirea unui ghișeu de întrebări
3. Notificarea persoanei vizate nu poate fi făcută decât după depunerea raportului final la Comisia pentru protecția datelor cu caracter personal și după primirea confirmării conținutului
4. Dacă raportarea către Comisia pentru protecția datelor cu caracter personal se face în termen, notificarea persoanei vizate devine, în mod uniform, inutilă

Care este descrierea cea mai potrivită privind independența auditorului de sistem?

1. Auditorul trebuie să realizeze el însuși lucrările de îmbunătățire pentru aspectele semnalate și să verifice el însuși rezultatul
2. Auditorul nu are voie să auditeze un sistem informatic la a cărui proiectare, dezvoltare sau operare a participat el însuși
3. Auditorul poate audita departamentul auditat chiar dacă este el însuși membru al acestuia și se ocupă de activitatea zilnică a departamentului respectiv
4. Auditorul trebuie să fie independent față de conducerea executivă și nu are voie să prezinte raportul de audit conducerii executive

Care este descrierea cea mai potrivită privind desfășurarea unui audit de sistem?

1. Deoarece se pune accent pe convingerea auditorului, se renunță la colectarea unor probe obiective, precum urmele de audit (audit trail)
2. Se desfășoară mai întâi investigația principală, se colectează faptele, iar apoi, în funcție de acest conținut, se elaborează ulterior planul de audit și procedurile de audit
3. Auditul se încheie în momentul prezentării raportului de audit conducerii executive, așa că urmărirea ulterioară, care verifică dacă s-au făcut îmbunătățiri pentru aspectele semnalate, se omite
4. Se elaborează planul de audit, se face o investigație preliminară pentru a înțelege situația generală, apoi se desfășoară investigația principală, se trece prin evaluare și concluzie, se prezintă raportul, iar apoi, printr-o urmărire ulterioară (follow-up), se verifică stadiul îmbunătățirilor