Gabarito disponível
Texto-base:
Certa empresa brasileira de médio porte, que desenvolve soluções de software para o setor financeiro e armazena informações sensíveis de clientes, como dados bancários, documentos pessoais e credenciais de acesso, iniciou um processo de adequação à norma ISO/IEC 27001:2022, implementando um sistema de gestão da segurança da informação (SGSI). A equipe de segurança da empresa criou políticas para garantir confidencialidade, integridade, disponibilidade e autenticidade das informações e adotou criptografia assimétrica, controle de acesso baseado em função, e o NIST Cybersecurity Framework para resposta a incidentes. Foram identificadas vulnerabilidades de injeção SQL e a empresa sofreu um ataque DDoS que afetou a disponibilidade do sistema.
Com base na situação precedente, julgue os itens a seguir.
De acordo com o NIST Cybersecurity Framework adotado pela empresa em questão, é recomendável que ações como identificação de riscos e recuperação de sistemas façam parte do processo de segurança.
Certa empresa brasileira de médio porte, que desenvolve soluções de software para o setor financeiro e armazena informações sensíveis de clientes, como dados bancários, documentos pessoais e credenciais de acesso, iniciou um processo de adequação à norma ISO/IEC 27001:2022, implementando um sistema de gestão da segurança da informação (SGSI). A equipe de segurança da empresa criou políticas para garantir confidencialidade, integridade, disponibilidade e autenticidade das informações e adotou criptografia assimétrica, controle de acesso baseado em função, e o NIST Cybersecurity Framework para resposta a incidentes. Foram identificadas vulnerabilidades de injeção SQL e a empresa sofreu um ataque DDoS que afetou a disponibilidade do sistema.
Com base na situação precedente, julgue os itens a seguir.
De acordo com o NIST Cybersecurity Framework adotado pela empresa em questão, é recomendável que ações como identificação de riscos e recuperação de sistemas façam parte do processo de segurança.
Resolução comentada
O NIST CSF inclui funções como Identificar e Recuperar, então o item está correto.
O NIST Cybersecurity Framework organiza as ações de segurança em funções. Na versão 1.1 são Identificar, Proteger, Detectar, Responder e Recuperar. A versão 2.0 acrescenta Governar. Identificação de riscos (Identify) e recuperação de sistemas (Recover) fazem parte do framework.
Análise das alternativas
Certo: correta, pois cita duas funções do framework. Errado: ignora que o CSF cobre todo o ciclo, e não apenas a resposta a incidentes.
Referência: NIST Cybersecurity Framework 1.1 / 2.0.
Resolução comentada do VaiConcursos.