Segurança da Informação · CESGRANRIO · 2024 | Questão sqc-cg020928

Segurança da InformaçãoSegurança na Internet

Código: cg020928
Banca: CESGRANRIO
Órgão: BNDES
Ano: 2024
Nível: Superior

Cargo: Analista - Análise de Sistemas - Cibersegurança (Manhã)

O NIST cybersecurity framework (NCF) é um documento que provê organizações com instruções para melhorar o gerenciamento de riscos de segurança cibernética. Uma das sugestões é a representação da maturidade do gerenciamento e da governança de ameaças cibernéticas através de níveis (tiers). Considere que duas organizações, W e Y, utilizam-se do NCF como referência e indicam que estão, respectivamente, nos tiers 3 e 4. As organizações W e Y estão em níveis diferentes de maturidade e, por isso, têm características específicas em alguns aspectos.Quais são essas características específicas?

AY implementa o gerenciamento de risco cibernético de maneira irregular e por iniciativas pontuais de colaboradores.
BW gerencia os riscos cibernéticos em um nível organizacional, mas ainda sem a percepção de que esse gerenciamento é parte da cultura organizacional, como ocorre na organização Y.
CW está mais protegida contra ataques cibernéticos do que a organização Y.
DW e Y, embora estejam em níveis distintos, cuidam da segurança sem estabelecimento formal das práticas e procedimentos.
EY se encontra no nível mais alto de maturidade, não sendo mais necessário se atualizar a novos riscos cibernéticos.

Revelar gabarito e comentário

GabaritoB — W gerencia os riscos cibernéticos em um nível organizacional, mas ainda sem a percepção de que esse gerenciamento é parte da cultura organizacional, como ocorre na organização Y.

Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.

NIST Cybersecurity Framework – Tiers de Maturidade

Gabarito: letra B. O NIST CSF classifica a maturidade em gestão de riscos cibernéticos em quatro níveis (tiers): Partial (1), Risk Informed (2), Repeatable (3) e Adaptive (4). A organização W, no Tier 3 (Repeatable), gerencia riscos de forma organizacional e formalizada, mas ainda sem incorporar plenamente essa gestão à cultura organizacional. Já Y, no Tier 4 (Adaptive), tem a gestão de riscos como parte da cultura, com melhoria contínua e adaptativa. A alternativa B reproduz exatamente essa diferença.

Critério	Organização W (Tier 3 – Repeatable)	Organização Y (Tier 4 – Adaptive)
Nível de maturidade	Repetível	Adaptativo
Gestão de riscos cibernéticos	Nível organizacional, formalizado e repetível	Parte da cultura organizacional, com melhoria contínua
Incorporação à cultura	Ainda não é percebida como parte da cultura organizacional	Plenamente incorporada à cultura organizacional
Postura de segurança	Menos madura que Y	Mais madura, com aprendizado contínuo e adaptação a novos riscos

1Tier 1 – Partial
2Tier 2 – Risk Informed
3Tier 3 – Repeatable
4Tier 4 – Adaptive

LEVEL · soulevel.com.br

Alternativa A — ❌ Incorreta

Descreve características do Tier 1 (Partial): gestão irregular e iniciativas pontuais. No Tier 4 (Adaptive), a gestão é institucionalizada e contínua.

Alternativa B — ✅ Correta ⟵ GABARITO

"W gerencia os riscos cibernéticos em um nível organizacional, mas ainda sem a percepção de que esse gerenciamento é parte da cultura organizacional, como ocorre na organização Y." Essa é a distinção clássica entre Tier 3 (organizacional, repetível) e Tier 4 (cultural, adaptativo).

Alternativa C — ❌ Incorreta

Afirma que W está mais protegida que Y. Na verdade, Y (Tier 4) possui maior maturidade e tende a ter melhor postura de segurança, embora o nível de proteção não seja o único fator determinante.

Alternativa D — ❌ Incorreta

Diz que ambas não têm práticas e procedimentos formais. Tanto Tier 3 quanto Tier 4 exigem práticas documentadas e formalizadas; essa descrição se aplica, no máximo, aos tiers iniciais (1 e 2).

Alternativa E — ❌ Incorreta

Embora Y esteja no nível mais alto, a afirmação de que "não é mais necessário se atualizar" contradiz o espírito do Tier 4 (Adaptive), que enfatiza aprendizado contínuo e resposta a novos riscos.

NÃO CAIA NESSA!

Decore a progressão dos tiers: Partial (reativo, pontual) → Risk Informed (consciente, mas não institucionalizado) → Repeatable (formalizado, organizacional) → Adaptive (cultural, melhoria contínua). Nas provas, a banca costuma inverter características ou atribuir traços de tiers inferiores aos superiores.

Link permanente: /questoes/cg020928