Para a troca segura de grandes volumes de documentos de fiscalização com seus jurisdicionados, a equipe de infraestrutura de um tribunal projeta uma solução criptográfica híbrida.

Sobre os mecanismos criptográficos envolvidos, é correto afirmar que

A política de controle de acesso de um órgão estadual passou a exigir autenticação multifator (MFA) para o ingresso no sistema de processo eletrônico. Na especificação técnica, a equipe de segurança precisa indicar combinações de mecanismos que efetivamente caracterizem o uso de múltiplos fatores.

Assinale a opção que apresenta uma combinação caracterizadora de autenticação multifator.

No decorrer de fiscalização em um órgão estadual, a equipe de auditoria de TI do TCE-PE encontra, em um servidor de aplicação, um executável sem documentação nem código-fonte disponível, suspeito de desviar pagamentos. A auditora responsável decide submeter o artefato a procedimentos de engenharia reversa.

Nessa situação, assinale a afirmativa correta.

Aplicando o método quantitativo (nível 2) da ISSAI 5310 na revisão de segurança dos sistemas de uma entidade estadual, a equipe do TCE-PE levantou os seguintes dados sobre dois sistemas, considerando, para cada um, um evento de ameaça específico:

• Sistema X - soma dos valores financeiros dos impactos do evento: R$ 400.000,00; frequência anual estimada do evento: 0,25;
• Sistema Y - soma dos valores financeiros dos impactos do evento: R$ 60.000,00; frequência anual estimada do evento: 3.

Segundo esse método, as contramedidas devem ser dirigidas primeiro ao ativo com maior expectativa anual de perda (ALE), calculada pela combinação do valor dos impactos com a frequência estimada do evento.

Assinale a opção que indica o sistema a ser priorizado e o valor da respectiva ALE.

Em fiscalização de conformidade na área de segurança da informação, a equipe de auditoria do TCE-PE examina o sistema de gestão de segurança da informação (SGSI) de uma autarquia estadual, utilizando como critérios as normas ISO/IEC 27001 e ISO/IEC 27002.

Sobre o emprego dessas normas como critérios de auditoria, é correto afirmar que

O Tribunal de Contas dispõe de duas bases de dados:

• a primeira contém registros de contratações já analisadas, cada um identificado como regular ou como fraude confirmada;
• a segunda contém contratações recentes, ainda não analisadas e sem classificação prévia.

A equipe pretende utilizar essas bases para:

1. estimar o risco de fraude nas contratações recentes com base nos resultados das análises anteriores; e
2. identificar, entre os registros recentes, padrões anômalos que possam não estar representados nos casos históricos.

Considerando as técnicas de machine learning supervisionado e não supervisionado, assinale a estratégia mais adequada.

Uma secretaria estadual avalia migrar seus sistemas para a nuvem e compara os modelos de serviço definidos pelo NIST na publicação especial SP 800-145: IaaS, PaaS e SaaS.

Com base nessas definições, é correto afirmar que

A diretoria de TI de um órgão estadual contratou consultoria para reorganizar o atendimento aos usuários com base nas práticas da ITIL 4, com três frentes: central de serviços (service desk), acordos de nível de serviço (SLAs) e catálogo de serviços.
Sobre essas frentes, analise as afirmativas a seguir.

I. A central de serviços concentra os contatos dos usuários com o provedor e recebe, entre outras demandas, registros de incidentes e pedidos de serviço.
II. Os acordos de nível de serviço devem basear-se exclusivamente em métricas operacionais objetivas, como o percentual de disponibilidade, sendo vedada a inclusão de metas relacionadas à experiência do usuário com o serviço.
III. O catálogo reúne, de forma organizada e adequada a cada público, informações sobre os serviços e as ofertas disponibilizadas pelo provedor.

Está correto o que se afirma em

O conselho diretor de uma empresa estatal pernambucana discute a implantação de um modelo de governança corporativa de TI alinhado à ABNT NBR ISO/IEC 38500, e surge dúvida entre os conselheiros sobre o que distingue a governança da gestão de TI.

Sobre essa distinção, é correto afirmar que

Durante auditoria realizada pelo TCE-PE em contrato de desenvolvimento e sustentação de sistemas de uma autarquia estadual, constatou-se que a remuneração era calculada em Unidades de Serviço Técnico (UST), utilizadas no contrato para quantificar os serviços técnicos executados.
A análise do contrato e dos pagamentos revelou que

• a UST era definida apenas como “unidade representativa do esforço técnico”, sem critérios objetivos para sua quantificação;
• não havia catálogo de serviços, fatores de complexidade ou memória de cálculo dos quantitativos;
• os relatórios mensais registravam principalmente as horas e a disponibilidade dos profissionais alocados;
• não existiam critérios objetivos de aceite nem vinculação dos pagamentos a entregas ou níveis de serviço;
• os valores mensais pagos permaneciam praticamente constantes, independentemente da quantidade de demandas concluídas.
Para a auditoria, foram adotados como critérios a objetividade e a mensurabilidade da unidade de serviço, a rastreabilidade entre a demanda, a execução, o aceite e o pagamento, bem como a vinculação da remuneração aos serviços efetivamente prestados.

Diante das constatações apresentadas, assinale a conclusão mais adequada em relação aos critérios adotados pela auditoria.