Questão de Governança de TI — Gerência de Processos — CESPE / CEBRASPE 2023
Governança de TI›Gerência de Processos
Código
ce152801
Banca
CESPE / CEBRASPE
Órgão
CNMP
Ano
2023
Nível
Superior
Cargo
Analista do – Àrea: Tecnologia da Informação e Comunicação - Especialidade: Desenvolvimento de Sistemas
Julgue o próximo item relativos a segurança da informação no gerenciamento de projetos, segurança em recursos humanos, gestão de incidentes de segurança da informação e a aspectos pertinentes à segurança da informação na gestão da continuidade do negócio.Especialmente por questões de confidencialidade, e como forma de minimizar a exposição de potenciais fragilidades do ambiente organizacional, convém evitar o uso de casos de incidentes atuais de segurança da informação em treinamentos ou palestras, optando-se, nesses eventos, pelo uso exemplificativo de lições técnicas aprendidas com a solução de casos de incidentes passados.
CCerto
EErrado
Revelar gabarito e comentário▾
GabaritoE — Errado
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Segurança da Informação – Gestão de Incidentes e Treinamento
Gabarito: E (Errado). A afirmativa de que se deve evitar o uso de incidentes atuais em treinamentos para não expor fragilidades contraria as boas práticas de segurança da informação e gestão de incidentes. Tanto a ISO/IEC 27035 (Gestão de Incidentes de Segurança) quanto o ITIL (Gerenciamento de Incidentes) recomendam que lições aprendidas de incidentes reais, inclusive atuais, sejam compartilhadas de forma controlada e anonimizada para promover a melhoria contínua e a conscientização – nunca simplesmente evitadas.
A banca tenta confundir o candidato ao sugerir que incidentes atuais representam risco de exposição indevida, quando na verdade a abordagem correta é tratá-los com as devidas proteções (anonimização, confidencialidade) e utilizá-los como material didático de alto valor, pois refletem ameaças e vulnerabilidades reais. Evitar o uso de casos recentes privaria os treinandos de exemplos relevantes e atualizados, prejudicando a eficácia do treinamento.
NÃO CAIA NESSA!
A banca troca a recomendação real pela aparentemente prudente: “evitar incidentes atuais para não expor fragilidades”. O candidato pode associar “confidencialidade” com sigilo excessivo, mas as normas pregam o compartilhamento controlado, não a omissão.
1Incidente real ocorre
2Anonimização e proteção de dados
3Compartilhamento controlado
4Lições aprendidas (ISO 27035)
5Melhoria contínua e conscientização
LEVEL · soulevel.com.br
Análise da afirmativa — ❌ Errada
A assertiva afirma que “convém evitar o uso de casos de incidentes atuais” e “optar pelo uso exemplificativo de lições técnicas aprendidas com a solução de casos de incidentes passados”. O erro está em contrapor “atuais” e “passados” como se apenas os passados fossem adequados. As boas práticas recomendam:
ISO/IEC 27035: estabelece um processo de gestão de incidentes que inclui a fase de “Lições Aprendidas”, onde os incidentes (atuais e passados) são analisados e as lições são disseminadas para toda a organização, com respeito à confidencialidade.
ITIL – Gerenciamento de Incidentes: após o incidente, realiza-se a “revisão pós-incidente” e as informações são usadas para melhorar processos e treinamentos, sem restrição temporal.
Portanto, a restrição sugerida não encontra respaldo em normas ou frameworks de segurança. A confidencialidade deve ser garantida por técnicas de anonimização e controle de acesso, não pela exclusão de incidentes recentes.