A técnica de spoofing é muito empregada em testes de penetração e ataques cibernéticos. Ao usar spoofing pode-se escolher entre diversas possibilidades. Por exemplo, a aplicação apenas da técnica de IP spoofing permite

A OWASP (Open Web Application Security Project) é uma organização sem fins lucrativos dedicada a melhorar a segurança de software. O OWASP Top 10 é um documento de conscientização padrão para desenvolvedores e segurança de aplicações Web. Ele representa um amplo consenso sobre os 10 riscos de segurança mais críticos para as aplicações desse tipo.

A seguir são apresentados três riscos de segurança existentes na OWASP Top 10 do ano de 2021. Correlacione esses riscos com as falhas de desenvolvimento Web apresentadas na sequência.

1. Controle de Acesso Quebrado (Broken Access Control).

2. Falhas Criptográficas (Cryptographic Failures).

3. Injeção (Injection).

( ) A transmissão de senhas de login é realizada em texto claro, sendo possível sua visualização em interceptações.

( ) Comandos maliciosos são inseridos em campos de interação com o usuário, como os de login e senha, permitindo acesso não autorizado.

( ) Um usuário comum consegue acessar áreas administrativas sem a necessidade de autenticação.

A relação correta, na ordem apresentada, é:

O Tribunal de Justiça do Estado de Roraima está aprimorando seu Sistema de Gestão de Segurança da Informação (SGSI) e, para isso, segue as diretrizes da ABNT NBR ISO/IEC 27007:2021. A equipe de TI está classificando e controlando seus ativos de informação, visando proteger dados sensíveis e garantir a continuidade dos serviços judiciais. Durante esse processo, eles identificaram a necessidade de estabelecer níveis adequados de proteção para diferentes tipos de ativos.

Com base na situação apresentada, a equipe precisa definir critérios para a classificação dos ativos de informação, a fim de implementar controles de segurança apropriados.

Assinale a opção que apresenta um princípio fundamental na classificação dos ativos de informação.

De acordo com a norma ISO/IEC 27001, a organização precisa definir a aplicabilidade e os limites do sistema de gestão da segurança da informação para estabelecer o seu escopo.

Em relação ao tema, avalie as afirmativas a seguir e assinale (V) para a verdadeira e (F) para a falsa no que se refere ao que a organização deve considerar para a determinação do escopo descrito acima.

( ) Questões internas e externas importantes para o seu propósito e que afetam sua capacidade para atingir os resultados desejados do seu sistema de gestão da segurança da informação.

( ) Requisitos das partes interessadas relevantes para a segurança da informação, os quais podem incluir requisitos legais e regulamentares, bem como obrigações contratuais.

( ) Interfaces e dependências entre as atividades desempenhadas pela organização e aquelas que são executadas por outras instituições.

As afirmativas são, respectivamente,

Com base nas normas ABNT referentes à segurança da informação, julgue as afirmativas a seguir.

I. A Norma ABNT NBR ISO/IEC 27001:2022 estabelece requisitos genéricos e aplicáveis a todas as instituições, de qualquer tipo, tamanho ou natureza.

II. A Norma ABNT NBR ISO/IEC 27002:2022 fornece orientações para ajudar as organizações a cumprirem os requisitos da ABNT NBR ISO/IEC 27005 em relação às ações para abordar riscos de segurança da informação.

III. A Norma ABNT NBR ISO/IEC 27005:2022 determina os requisitos para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão da segurança da informação dentro do contexto da organização.

Está correto o que se afirma em

Considerando a norma ABNT NBR ISO/IEC 27701:2019 (versão corrigida: 2020), que apresenta requisitos e diretrizes quanto à gestão da privacidade da informação nas organizações, analise as afirmativas a seguir.

I. Convém que a organização designe um ponto de contato para ser usado pelo cliente, em relação ao tratamento de dados pessoais.

II. Convém que a organização assegure que o uso de dispositivos móveis não conduza a um comprometimento de dados pessoais.

III. Convém que a organização forneça informações para o cliente em relação às circunstâncias em que ela usa a criptografia para proteger os dados pessoais que ela trata.

Encontra-se presente na referida norma o que se afirma em

A Resolução CNJ nº 468, de 15 de julho de 2022, trata sobre diretrizes para as contratações de Solução de Tecnologia da Informação e Comunicação pelos órgãos submetidos ao controle administrativo e financeiro do Conselho Nacional de Justiça.

Com relação à essa resolução, julgue as afirmativas a seguir.

I. As contratações de STIC devem apresentar as seguintes fases: planejamento da contratação, seleção do fornecedor e gestão do contrato.

II. Nas contratações, via de regra, deve-se adotar a métrica homem-hora para aferição de esforço.

III. Na contratação por inexigibilidade, é facultativa a execução da fase de planejamento da contratação de STIC.

Está correto o que se afirma em

Os Manuais e Protocolos criados pela Resolução CNJ nº 396/2021, que instituiu a Estratégia Nacional de Segurança Cibernética do Poder Judiciário (ENSEC-PJ), aprovados pela Portaria nº 162, de 10/06/2021, normatizam diversas atividades na área de segurança cibernética a serem implantadas pelos diversos órgãos do Poder Judiciário.

Com base nos Manuais e Protocolos aprovados pela Portaria nº 162 de 10/06/2021, analise as afirmações a seguir.

I. Os Protocolos e Manuais serão atualizados a qualquer tempo por indicação do Comitê Gestor de Segurança Cibernética do Poder Judiciário.

II. O Protocolo de Investigação de Ilícitos Cibernéticos do Poder Judiciário (PIILC-PJ) deverá ser implementado por todos os órgãos do Poder Judiciário, com exceção do Supremo Tribunal Federal.

III. O Manual de Proteção de Infraestruturas de TIC descreve as ações responsivas a serem colocadas em prática quando ficar evidente que um incidente de segurança cibernética não será mitigado rapidamente e poderá durar dias, semanas ou meses.

Está correto o que se afirma em

De acordo com a Lei Geral de Proteção de Dados (LGPD), especificamente o Artigo 38, o Relatório de Impacto à Proteção de Dados Pessoais (RIPD) tem como conteúdo mínimo obrigatório

Um sistema de gerenciamento de dados dos beneficiários de um programa governamental coleta diversas informações pessoais, incluindo nome, endereço e dados bancários para depósito dos benefícios.

Durante uma auditoria, o auditor descobriu que:

1. O sistema não informa aos usuários como seus dados serão utilizados.

2. Não há procedimentos estabelecidos para que os beneficiários solicitem a remoção de seus dados.

3. Não existe a opção de correção de certos dados fornecidos pelo usuário.

Considerando os direitos do titular de dados pessoais previstos na LGPD, podemos dizer que, entre os direitos violados, encontra-se o direito de