Questão de Segurança da Informação — Controles de segurança — CESGRANRIO 2024
Segurança da Informação›Controles de segurança
Código
cg020906
Banca
CESGRANRIO
Órgão
BNDES
Ano
2024
Nível
Superior
Cargo
Analista - Análise de Sistemas - Cibersegurança (Manhã)
Os Controles CIS (Center for Internet Security) refletem o conhecimento combinado de inúmeros especialistas de várias áreas de segurança e de vários setores, que compartilham percepções sobre ataques e invasores, identificam as causas básicas e as traduzem em classes de ação defensivas. A versão 8 dos Controles CIS apresenta Grupos de Implementação (IG, sigla em inglês) de Controles CIS, e cada IG identifica um subconjunto dos Controles CIS que a comunidade avaliou amplamente para serem aplicáveis a uma empresa com um perfil de risco e recursos semelhantes para implementação. Dentre esses IG, um deles é recomendado para uma empresa que emprega especialistas em segurança especializados nas diferentes facetas da segurança cibernética (por exemplo, gestão de riscos, teste de invasão, segurança de aplicações) e na qual os ativos e os dados contêm informações ou funções confidenciais que estão sujeitas à supervisão regulatória e de conformidade, o que obriga a empresa a abordar a disponibilidade dos serviços e a confidencialidade e integridade dos dados sensíveis.Esse Grupo de Implementação de Controle CIS é o
AIG1
BIG2
CIG3
DIG4
EIG5
Revelar gabarito e comentário▾
GabaritoC — IG3
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
CIS Controls v8 — Grupos de Implementação (IG)
Gabarito: letra C (IG3). O Grupo de Implementação 3 (IG3) é o recomendado para organizações que possuem especialistas de segurança dedicados em diversas áreas (teste de invasão, gestão de riscos, segurança de aplicações) e que lidam com dados sensíveis sujeitos a supervisão regulatória, exigindo alta disponibilidade, confidencialidade e integridade. Os CIS Controls v8 definem três IGs: IG1 (básico), IG2 (intermediário) e IG3 (avançado). IG4 e IG5 não existem nesta versão.
A banca testa o conhecimento da classificação dos IGs conforme o perfil de maturidade da organização. A descrição fornecida no enunciado — "especialistas em segurança especializados", "ativos e dados com informações confidenciais" e "supervisão regulatória" — é a definição exata do IG3.
NÃO CAIA NESSA!
Cuidado com as alternativas IG4 e IG5! Elas não existem na versão 8 dos CIS Controls. A versão 8 só possui três IGs (IG1, IG2, IG3). Além disso, o IG2 é voltado para organizações com alguma estrutura de segurança, mas sem a necessidade de especialistas dedicados; já o IG3 exige equipe especializada e conformidade regulatória.
Grupo de Implementação (IG)
Perfil da Organização
Recursos de Segurança
Tipo de Dados/Ativos
IG1 (Básico)
Pequenas empresas, recursos limitados
Sem especialistas dedicados
Informações de baixa sensibilidade
IG2 (Intermediário)
Organizações com alguma estrutura de segurança
Equipe de segurança, sem especialistas dedicados em todas as áreas
Dados moderadamente sensíveis
IG3 (Avançado)
Organizações com supervisão regulatória
Especialistas dedicados (teste de invasão, gestão de riscos, segurança de aplicações)
Dados confidenciais, sujeitos a regulamentação (LGPD, PCI DSS, SOX)
CIS Controls v8 — IGs: IG1 (básico) (Recursos limitados, Sem especialistas dedicados); IG2 (intermediário) (Alguma equipe de segurança, Sem especialistas em todas as áreas); IG3 (avançado) (Especialistas dedicados, Dados sensíveis, Supervisão regulatória)
Alternativa A — ❌ Incorreta
IG1 é o grupo básico, voltado para pequenas empresas com recursos limitados e sem especialistas dedicados. O enunciado descreve uma organização com especialistas e exigências regulatórias, o que vai muito além do IG1.
Alternativa B — ❌ Incorreta
IG2 é intermediário, para organizações que possuem alguma equipe de segurança, mas ainda sem a necessidade de especialistas em todas as áreas listadas (teste de invasão, segurança de aplicações etc.). Também não abrange obrigatoriamente a supervisão regulatória descrita.
Alternativa C — ✅ Correta ⟵ GABARITO
IG3 é o grupo avançado. Conforme a documentação dos CIS Controls v8, o IG3 é projetado para organizações com especialistas de segurança dedicados em diferentes domínios (gestão de riscos, testes de invasão, segurança de aplicações) e que lidam com dados sensíveis sujeitos a regulamentações (como LGPD, PCI DSS, SOX). Exige controles mais rigorosos para garantir disponibilidade, confidencialidade e integridade.
Alternativa D — ❌ Incorreta
IG4 não existe na versão 8 dos CIS Controls. A versão 8 possui apenas três IGs. Esta alternativa é um distrator puro.
Alternativa E — ❌ Incorreta
IG5 também não existe na versão 8 dos CIS Controls. Mesmo raciocínio: a versão 8 limita-se a IG1, IG2 e IG3.
PEGA ESSA DICA!
Para a prova, memorize que o CIS Controls v8 possui 3 Grupos de Implementação: IG1 (básico), IG2 (intermediário) e IG3 (avançado). Não caia em números maiores! Relacione cada IG ao perfil da organização: IG1 → pequena/média sem especialistas; IG2 → equipe de segurança moderada; IG3 → especialistas dedicados e conformidade regulatória.
MNEMÔNICO
CID
CConfidencialidade (dados acessíveis só a quem é autorizado)IIntegridade (dados exatos, consistentes e não alterados indevidamente)DDisponibilidade (informação/sistemas acessíveis quando necessário)