Questão FC483980
Certa empresa brasileira de médio porte, que desenvolve soluções de software para o setor financeiro e armazena informações sensíveis de clientes, como dados bancários, documentos
Frameworks de Segurança da Informação e Segurança Cibernética
CEBRASPE (CESPE) · 2025
Certa empresa brasileira de médio porte, que desenvolve soluções de software para o setor financeiro e armazena informações sensíveis de clientes, como dados bancários, documentos pessoais e credenciais de acesso, iniciou um processo de adequação à norma ISO/IEC 27001:2022, implementando um sistema de gestão da segurança da informação (SGSI). A equipe de segurança da empresa criou políticas para garantir confidencialidade, integridade, disponibilidade e autenticidade das informações e adotou criptografia assimétrica, controle de acesso baseado em função, eo NIST Cybersecurity Framework para resposta a incidentes. Foram identificadas vulnerabilidades de injeção SQL e a empresa sofreu um ataque DDoS que afetou a disponibilidade do sistema.
Com base na situação precedente, julgue o item a seguir.
De acordo com o NIST Cybersecurity Framework adotado pela empresa em questão, é recomendável que ações como identificação de riscos e recuperação de sistemas façam parte do processo de segurança.
Mostrar resposta e comentário
Gabarito
Certo
Comentário do professor
A afirmação é CERTA porque o NIST Cybersecurity Framework organiza atividades em cinco funções que orientam a gestão de segurança: Identificar, Proteger, Detectar, Responder e Recuperar. A função Identificar abrange a identificação de ativos, vulnerabilidades e riscos, enquanto a função Recuperar trata da restauração de serviços e capacidades após incidentes.
No caso apresentado, ações como avaliação de risco para injeções SQL e planejamento de recuperação frente a um ataque DDoS se enquadram exatamente nessas funções do Framework. Medidas já adotadas pela empresa, como criptografia e controle de acesso, correspondem à função Proteger, e o uso do NIST para resposta a incidentes refere-se às funções Detectar e Responder.
Portanto, é recomendável e coerente que identificação de riscos e recuperação de sistemas façam parte do processo de segurança alinhado ao NIST CSF e ao SGSI conforme ISO/IEC 27001:2022.
Conteúdo do catálogo FC Concursos · Atualizado em