Domenii conexe (tehnologie, management, strategie)

Se dorește ca firewall-ul să permită doar comunicația HTTPS de la interiorul companiei către un site web extern. Care este numărul de port destinație care trebuie permis?

1. 80
2. 443
3. 23
4. 25

Rețeaua internă a companiei a fost împărțită în subrețele pe departamente, iar comunicația între subrețele este controlată printr-un router. Care este scopul principal al acestei măsuri?

1. Criptarea întregului conținut al comunicației care traversează subrețelele, astfel încât să nu poată fi citit chiar dacă este interceptat pe traseu
2. Alocarea aceleiași adrese IP tuturor dispozitivelor interne, pentru a reduce semnificativ efortul de gestionare a adreselor
3. Blocarea completă, la graniță, a oricărui acces neautorizat din internetul extern, astfel încât niciun dispozitiv intern să nu poată fi penetrat
4. Chiar dacă un dispozitiv este infectat cu malware, prejudiciul rămâne limitat în interiorul zonei, iar comunicația poate fi blocată la graniță

Dispozitivelor interne li se alochează adrese IP private, care sunt convertite în adrese IP globale prin NAPT pentru conectarea la internet. Care este descrierea cea mai potrivită a acestei configurații?

1. Scopul principal al NAPT este economisirea adreselor IP globale, iar controlul comunicației dinspre exterior trebuie realizat separat, printr-un firewall
2. Folosind NAPT, conținutul comunicației este criptat automat, deci VPN devine inutil
3. NAPT este un mecanism care ascunde adresa sursă, deci întreaga comunicație neautorizată dinspre interior spre exterior este automat blocată
4. Dacă dispozitivele interne folosesc adrese IP private, deoarece nu pot fi atinse direct din exterior, dispozitivele nu se pot infecta cu malware

Un angajat care lucrează de acasă se conectează la sistemul intern al companiei printr-un VPN. Care este descrierea cea mai potrivită privind VPN?

1. VPN criptează și protejează traseul de comunicație, dar nu garantează siguranța dispozitivului care se conectează, așa că sunt necesare și măsuri pe partea dispozitivului
2. Prin utilizarea VPN, fișierele stocate pe dispozitivul de la sursa conexiunii sunt criptate automat
3. Dacă traseul de comunicație este criptat prin VPN, chiar dacă dispozitivul de la sursa conexiunii este infectat cu malware, aceasta nu va afecta sistemul intern
4. VPN este o linie dedicată fizică, care nu folosește internetul, și nu trece prin echipamentele unui operator de telecomunicații

Care este măsura cea mai potrivită de securitate a rețelei Wi-Fi a unui sediu de firmă?

1. Se folosește WPA2 sau WPA3 pentru criptare și autentificare, iar SSID-ul ascuns și filtrarea MAC sunt poziționate ca măsuri auxiliare
2. Dacă este configurată filtrarea după adresa MAC, alte măsuri, inclusiv criptarea, devin inutile
3. Rețeaua Wi-Fi pentru vizitatori și cea pentru activitatea internă sunt conectate la aceeași rețea, iar echipamentele și configurația punctelor de acces sunt gestionate centralizat
4. Dacă se activează funcția stealth pentru SSID, ascunzându-l din exterior, este suficient de sigur chiar dacă metoda de criptare rămâne WEP

Pentru a reduce prejudiciile cauzate de e-mailurile de tip uzurpare de identitate, care falsifică propriul domeniu, se introduce autentificarea domeniului de expediere. Care este descrierea cea mai potrivită pentru SPF, DKIM și DMARC?

1. DMARC este un mecanism care criptează corpul e-mailului, astfel încât conținutul să nu poată fi citit de un terț pe traseul comunicației.
2. SPF este un mecanism de verificare a semnăturii electronice, DKIM este un mecanism care publică prin DNS adresa IP a serverelor autorizate să trimită și o compară, iar DMARC este un mecanism prin care partea expeditoare publică politica de tratare a e-mailurilor care eșuează autentificarea.
3. SPF este un mecanism care publică prin DNS adresa IP a serverelor autorizate să trimită și o compară, DKIM este un mecanism de verificare a semnăturii electronice, iar DMARC este un mecanism care publică politica de tratare a e-mailurilor care eșuează autentificarea.
4. Toate cele 3 trebuie configurate doar pe serverul de e-mail al destinatarului, nefiind necesară nicio configurare pe domeniul expeditorului.

Serverele și echipamentele de rețea din companie sunt sincronizate cu un server NTP pentru a alinia ora. Care este motivul cel mai potrivit pentru care acest lucru este important din punct de vedere al securității informației?

1. Pentru că devine posibilă corelarea în ordine cronologică a jurnalelor mai multor echipamente, permițând urmărirea precisă a desfășurării unui incident și păstrând valoarea de urmă de audit
2. Pentru că, dacă ora este sincronizată, comunicația este criptată automat și nu mai poate fi interceptată
3. Pentru că, dacă ora este sincronizată, se poate prezice în avans ora la care malware-ul își va începe activitatea, iar comunicația de la acea oră poate fi blocată în prealabil
4. Pentru că, dacă ora este sincronizată, volumul fișierelor jurnal generate de fiecare echipament scade, permițând extinderea perioadei de păstrare a jurnalelor chiar pe același dispozitiv

Un server de lucru al companiei a fost construit folosind IaaS. Ce ar trebui să facă utilizatorul, conform modelului de responsabilitate partajată?

1. Aplicarea planificată, ca responsabilitate a utilizatorului, a patch-urilor sistemului de operare invitat (guest OS) și ale middleware-ului instalate de propria companie
2. Măsurile de securitate și aplicarea patch-urilor pentru platforma de virtualizare (hypervisor) în sine, ca responsabilitate a utilizatorului
3. Administrarea accesului la centrul de date și paza instalației, realizate direct de utilizator, la fața locului, inclusiv păstrarea evidențelor
4. Înlocuirea componentelor, în cazul unei defecțiuni hardware a serverului fizic, realizată de utilizator, deplasat la centrul de date

Compania folosea un serviciu SaaS de partajare a fișierelor pentru activitate, iar un responsabil a setat domeniul de partajare la „oricine cunoaște linkul”, ceea ce a permis vizualizarea unor fișiere confidențiale din afara companiei. Care este explicația cea mai potrivită, conform modelului de responsabilitate partajată?

1. În SaaS se consideră că furnizorul serviciului protejează totul, deci și acest incident este responsabilitatea furnizorului
2. Configurarea domeniului de partajare în timpul utilizării SaaS este optimizată automat de furnizorul serviciului, deci nu revine nicio responsabilitate nici utilizatorului, nici furnizorului
3. Configurarea drepturilor de acces și a domeniului de partajare, precum și gestionarea datelor stocate acolo, aparțin domeniului de responsabilitate al utilizatorului
4. În SaaS, utilizatorul nu are autoritate asupra configurării partajării, deci o astfel de situație nu se poate produce

O aplicație de lucru dezvoltată intern rulează pe PaaS. Dacă în această aplicație se descoperă o vulnerabilitate de tip injecție SQL, care este răspunsul cel mai potrivit?

1. Deoarece este o vulnerabilitate a sistemului de operare în sine, se rezolvă prin aplicarea de către utilizator a unui patch pe sistemul de operare invitat
2. Aplicația dezvoltată intern aparține domeniului de responsabilitate al utilizatorului, deci propria companie corectează programul
3. În PaaS, utilizatorul nu poate dezvolta aplicații, deci această vulnerabilitate nu poate apărea
4. Deoarece este o problemă a mediului de execuție furnizat de operatorul PaaS, se așteaptă pur și simplu furnizarea unei corecții din partea acestuia

Un dispozitiv A cu disponibilitatea 0,95 și un dispozitiv B cu disponibilitatea 0,90 sunt conectate în serie, sistemul funcționând doar dacă atât A, cât și B funcționează. Cât este disponibilitatea întregului sistem? (Defecțiunile lui A și B sunt independente între ele.)

1. 0,990
2. 0,855
3. 0,900
4. 0,925

S-au pregătit 2 dispozitive cu disponibilitatea 0,90 fiecare, într-o configurație redundantă în care este suficient ca unul dintre ele să funcționeze pentru ca întregul sistem să funcționeze. Cât este disponibilitatea întregului sistem? (Defecțiunile celor 2 dispozitive sunt independente între ele.)

1. 0,90
2. 0,95
3. 0,81
4. 0,99

Discurile unui server de fișiere sunt configurate cu RAID 1 (oglindire). Care este evaluarea cea mai potrivită a acestei configurații ca măsură împotriva ransomware-ului?

1. RAID 1 este eficient împotriva unei defecțiuni de disc, dar criptarea se reflectă pe ambele discuri, deci este necesar ca backup-urile păstrate pe mai multe generații să fie stocate și offline sau într-un loc separat
2. Dacă se mărește numărul discurilor RAID 1 la o configurație cu 5, se poate preveni prejudiciul provocat de ransomware
3. RAID 1 este un mecanism care interzice întotdeauna scrierea pe disc, deci chiar dacă ransomware-ul încearcă să cripteze fișierele, nu le poate modifica, iar prejudiciul nu apare
4. Cu RAID 1, chiar și un fișier criptat poate fi refăcut automat pornind de la conținutul celuilalt disc, deci măsuri suplimentare precum obținerea de copii de rezervă nu sunt în mod special necesare

Tabelul angajaților din baza de date de resurse umane are coloanele: număr de angajat, nume, departament, funcție, salariu, cod numeric personal. Se dorește ca angajații obișnuiți să poată consulta, drept listă de angajați, doar numele, departamentul și funcția. Care este metoda cea mai potrivită?

1. Se definește o vedere de tip view care extrage doar coloanele nume, departament și funcție, iar angajaților obișnuiți li se acordă doar dreptul de consultare a acelei vederi
2. Se acordă tuturor angajaților dreptul de consultare a tabelului angajaților în sine, iar apoi se anunță intern să nu se privească la coloanele de salariu și cod numeric personal
3. Se schimbă dreptul asupra tabelului angajaților, astfel încât toți angajații să îl poată actualiza, iar valorile din coloanele de salariu și cod numeric personal rămân goale în permanență
4. Se plasează o copie de rezervă a tabelului angajaților într-un folder partajat, iar fiecare caută acolo informația de care are nevoie

Discul unui server de baze de date a devenit inutilizabil din cauza unei defecțiuni și a fost înlocuit cu un alt disc. Există o copie de rezervă din noaptea precedentă și jurnalul de tranzacții ulterioare (after image log). Care este metoda de a recupera starea exactă de dinaintea defecțiunii?

1. Se restaurează doar copia de rezervă și se reia operarea în starea de la momentul obținerii acesteia, din noaptea precedentă
2. Se restaurează copia de rezervă, apoi se aplică roll-forward, reflectând jurnalul de tranzacții ulterioare
3. Se recuperează efectuând doar rollback, care anulează tranzacția întreruptă la mijloc
4. Se folosește doar jurnalul de dinainte de actualizare (before image log), pentru a reveni la o stare anterioară momentului obținerii copiei de rezervă

În dezvoltarea unui nou sistem de lucru, care este abordarea conformă cu conceptul de „security by design”?

1. Se revine la etapa de proiectare doar dacă în etapa de testare se descoperă o vulnerabilitate, și se analizează și se adaugă, de fiecare dată, măsura de securitate necesară
2. Securitatea fiind o activitate realizată de responsabilii de operare, nu se ține cont de ea în niciun fel, nici ca cerință, nici ca proiectare, în etapele de dezvoltare
3. Se definesc, în etapa de planificare și definire a cerințelor, cerințele de securitate, precum modul de împărțire a drepturilor de acces, domeniul de obținere a jurnalelor, criptarea și metoda de autentificare
4. Se prioritizează mai întâi implementarea funcțiilor, iar funcțiile de securitate necesare se adaugă treptat, ulterior, după începerea exploatării în producție

Care este descrierea cea mai potrivită pentru testul de penetrare desfășurat înaintea publicării unui sistem web?

1. Este un test care examinează structura internă a programului și verifică dacă toate ramurile condiționale sunt executate cel puțin o dată, măsurând calitatea prin gradul de acoperire
2. Este un test în care se încearcă efectiv intruziunea din perspectiva unui atacator, pentru a verifica dacă apărarea poate fi străpunsă, iar desfășurarea sa necesită acordul prealabil al administratorului sistemului vizat
3. Este un test care verifică, din exterior, fără a analiza structura internă a programului, dacă ieșirea corespunde specificației pentru o anumită intrare, și care, ca verificare finală înaintea publicării, include și evaluarea posibilității de intruziune
4. Este un test în care utilizatorii operează efectiv sistemul, pentru a evalua claritatea și ușurința de utilizare a ecranelor

Care este descrierea cea mai potrivită privind diferența dintre managementul incidentelor și managementul problemelor, în managementul serviciilor?

1. Managementul incidentelor urmărește identificarea cauzei fundamentale și prevenirea repetării, iar managementul problemelor urmărește readucerea cât mai rapidă a serviciului la starea normală
2. Managementul incidentelor urmărește readucerea cât mai rapidă a serviciului la starea normală, iar managementul problemelor urmărește identificarea cauzei fundamentale și prevenirea repetării
3. Managementul incidentelor tratează doar incidentele legate de securitatea informației, iar managementul problemelor tratează toate celelalte defecțiuni și incidente — este o distincție bazată pe domeniul de aplicare
4. Managementul incidentelor și managementul problemelor desemnează exact aceeași activitate, având obiect, scop și procedură comune, diferind doar denumirea folosită la redactarea unui raport

Se externalizează operarea unui sistem de lucru și se încheie un SLA. Care este afirmația corectă privind SLA?

1. SLA este documentul prin care furnizorul și utilizatorul convin numeric asupra nivelului de calitate al serviciului, stabilind, pe lângă rata de funcționare și timpul obiectiv de recuperare, și elemente de securitate, precum termenul de raportare la un incident sau perioada de păstrare a jurnalelor
2. SLA este un regulament intern al furnizorului de servicii și nu este divulgat utilizatorului
3. În SLA se înscriu doar obiective legate de disponibilitate, precum rata de funcționare sau timpul obiectiv de recuperare, fiind interzisă înscrierea unor elemente de securitate, precum termenul de raportare la un incident sau perioada de păstrare a jurnalelor
4. Odată agreat, SLA nu trebuie revizuit, iar pe durata contractului nu se măsoară nici stadiul îndeplinirii lui

Care este combinația cea mai potrivită de descrieri pentru managementul schimbării și managementul configurației, în managementul serviciilor?

1. Managementul schimbării este activitatea care constituie un ghișeu unic pentru primirea întrebărilor sau sesizărilor de defecțiune ale utilizatorilor, iar managementul configurației este activitatea care urmărește recuperarea cât mai rapidă a serviciului după o defecțiune
2. Managementul schimbării este activitatea de identificare a cauzei fundamentale a unei defecțiuni, iar managementul configurației este activitatea de asigurare a capacității de procesare necesare activității
3. Managementul schimbării este activitatea de evaluare a impactului unei schimbări asupra sistemului, obținerea aprobării și implementarea și înregistrarea acesteia, iar managementul configurației este activitatea de a cunoaște permanent și corect elementele de configurare precum echipamentele, software-ul și setările și relațiile dintre ele
4. Managementul schimbării este activitatea prin care auditorul indică departamentului auditat îmbunătățirile necesare, iar managementul configurației este activitatea prin care conducerea decide dacă o investiție se justifică

S-a decis desfășurarea unui audit de sistem intern. Din perspectiva independenței auditorului de sistem, care este alegerea cea mai potrivită?

1. Auditul este realizat de un responsabil dintr-un departament de audit intern independent organizatoric de departamentul auditat, sau de un auditor extern
2. Șeful departamentului supus auditului își auditează el însuși activitatea propriului departament și întocmește și prezintă raportul de audit
3. Un responsabil operativ din departamentul de sisteme informatice își auditează el însuși sistemul de lucru pe care îl operează zilnic
4. Liderul de proiect care a răspuns de dezvoltarea sistemului vizat de audit auditează el însuși acel sistem

Care este descrierea cea mai potrivită privind urma de audit și urmărirea ulterioară (follow-up) în auditul de sistem?

1. Urma de audit este chiar raportul de audit întocmit de auditor, care, pentru a păstra independența, nu se divulgă departamentului auditat, iar la urmărirea ulterioară departamentul auditat evaluează el însuși stadiul îmbunătățirilor și declară finalizarea
2. Urma de audit este mecanismul sau înregistrarea prin care se poate urmări retroactiv când, de cine și cum a fost efectuată o procesare, iar la urmărirea ulterioară auditorul confirmă stadiul îmbunătățirilor pentru aspectele semnalate
3. Urma de audit se obține doar în perioada auditului, obținerea ei putând fi omisă în operarea obișnuită
4. La urmărirea ulterioară, auditorul elaborează și implementează el însuși măsurile de îmbunătățire, rezolvând problema

Care este descrierea cea mai potrivită pentru rolul CISO într-o companie?

1. Elaborează strategia de vânzări și de preț pentru produsele proprii și răspunde de atingerea obiectivelor de vânzări
2. Întocmește situațiile financiare și răspunde de explicarea aspectelor contabile în adunarea generală a acționarilor
3. Răspunde de elaborarea politicii de securitate a informației, decizia privind politica de răspuns la risc, coordonarea în caz de incident și raportarea către conducere
4. Realizează el însuși lucrările de instalare și cablare a PC-urilor și echipamentelor de rețea din companie, și se ocupă și de mentenanța zilnică și de răspunsul la defecțiuni

Din perspectiva controlului intern, care este practica conformă cu principiul separării sarcinilor?

1. Se separă persoana care efectuează comanda de achiziție de persoana care efectuează recepția mărfii livrate
2. Pentru a prioritiza eficiența activității, se acordă și responsabilului de dezvoltare a sistemului dreptul de a modifica mediul de producție
3. Se acordă tuturor angajaților drepturi de administrator, astfel încât oricine să poată efectua lucrarea necesară
4. Un singur responsabil efectuează, de la un capăt la altul, cererea, aprobarea, execuția și înregistrarea, clarificând astfel locul răspunderii

Care este fluxul de achiziție cel mai potrivit la externalizarea unui sistem de lucru?

1. Cerere de informații (RFI) → Cerere de propunere (RFP) → Primirea și evaluarea propunerilor → Contract
2. Contract → Cerere de propunere (RFP) → Primirea și evaluarea propunerilor → Cerere de informații (RFI)
3. Cerere de propunere (RFP) → Cerere de informații (RFI) → Contract → Primirea și evaluarea propunerilor
4. Primirea și evaluarea propunerilor → Cerere de informații (RFI) → Contract → Cerere de propunere (RFP)

O activitate care manipulează date cu caracter personal ale clienților este externalizată. Care este afirmația corectă privind selecția și gestionarea furnizorului?

1. Chiar dacă furnizorul subcontractează mai departe unui alt operator, nu este necesar să se anunțe cel care a externalizat
2. Este suficient să se selecteze furnizorul cu cel mai avantajos preț și termen, urmând ca stadiul obținerii certificărilor, aspectele de securitate și înțelegerile pentru caz de incident să fie discutate abia după încheierea contractului
3. Odată externalizat, întreaga responsabilitate de gestionare a datelor cu caracter personal trece la furnizor, iar cel care a externalizat se retrage complet din gestionare și supraveghere după selecție
4. Se precizează în criteriile de selecție și în contract stadiul obținerii certificărilor, tratamentul subcontractării, obligația de raportare în caz de incident, acceptarea unui audit, ștergerea datelor la finalizare etc., iar după externalizare se primesc rapoarte periodice și se exercită supravegherea

Un angajat a propus să folosească un serviciu de AI generativă în activitate. Din perspectiva scurgerii de informații, care este regula cea mai potrivită pe care ar trebui să o stabilească organizația?

1. Deoarece conținutul introdus este întotdeauna șters de operator, informațiile confidențiale pot fi introduse și ele liber
2. AI generativă fiind periculoasă, se interzice uniform utilizarea pe dispozitivele din companie, iar utilizarea pe dispozitive personale sau conturi individuale este lăsată la latitudinea fiecăruia
3. Fiecare angajat alege liber, după propria judecată, serviciul de AI generativă preferat, iar datele manipulate în activitate pot fi introduse liber, fără restricții
4. Se limitează serviciile utilizabile la cele aprobate de organizație, iar regula precizează explicit că nu trebuie introduse date cu caracter personal ale clienților sau informații de management nepublicate

S-a folosit o AI generativă pentru a redacta o schiță a unui document de prezentare destinat exteriorului. Care este tratamentul cel mai potrivit al acestei schițe?

1. AI generativă poate produce, în mod plauzibil, conținut care nu este adevărat, iar rezultatul generat poate fi similar cu o operă existentă, deci o persoană verifică faptele și relația cu drepturile de autor înainte de publicare
2. Dacă se adaugă sursa, se poate publica direct, fără a verifica faptele
3. Rezultatul unei AI generative este creat pe baza unui volum mare de date de antrenament, deci conținutul este întotdeauna exact și nu poate fi similar cu o operă existentă, așa că se publică direct, fără verificare
4. Un text creat de o AI generativă nu poate ridica niciodată o problemă de drept de autor, deci verificarea relației cu drepturile nu este necesară

Pentru un anumit activ informațional, s-a estimat că, în caz de incident, pierderea per apariție este de 20.000.000 de yeni, iar probabilitatea anuală de apariție este de 10%. Care este abordarea cea mai potrivită, din perspectiva deciziei de management, privind costul unei măsuri de prevenire a acestui incident?

1. Pierderea estimată fiind de 2 milioane de yeni pe an, se compară aceasta cu costul anual al măsurii, pentru a decide dacă investiția este justificată. Totuși, pentru aspecte legate de viața omului sau de conformarea legală, decizia nu se ia doar pe baza raportului cost-eficiență
2. Pierderea estimată este de 2 milioane de yeni pe an, dar costul măsurii ar trebui întotdeauna să fie egal cu suma integrală a pierderii per apariție, adică 20.000.000 de yeni, indiferent de sumă, fără a lua în calcul raportul cost-eficiență
3. Atâta timp cât probabilitatea de apariție nu este 100%, se consideră că incidentul nu se va produce, deci măsura este considerată inutilă
4. Deoarece o măsură de securitate este un cost care nu generează venituri, se renunță complet la orice cheltuială

Pentru a raporta numeric conducerii stadiul demersurilor de securitate a informației, se stabilesc KGI, CSF și KPI. Care este combinația cea mai potrivită?

1. KPI este un indicator secret, cunoscut doar de conducere, și nu se prezintă departamentului responsabil
2. KGI: „numărul de incidente majore zero”, CSF: „creșterea conștientizării de securitate a tuturor angajaților”, KPI: „rata de deschidere a exercițiului” sau „numărul mediu de zile pentru corectarea vulnerabilităților”
3. KGI, CSF și KPI sunt toate indicatori de rezultat final, iar același conținut se scrie de 3 ori pentru a-l reprezenta
4. KGI: „rata de deschidere a exercițiului cu e-mailuri de tip atac țintit sub 5%”, CSF: „repetarea anuală a exercițiului”, KPI: „numărul de incidente majore ajuns la zero”