Mdulo Security Solutions 06/07/2010 1

SIMULADO 1
MCSO



1. Quais os princpios bsicos da segurana da informao segundo a ISO/IEC 17799:2005 (ISO
27002)?

a) Confidencialidade, Integridade, Rastreabilidade.
b) Confidencialidade, Autenticidade, Integridade.
c) Legalidade, Integridade, Disponibilidade.
d) Confidencialidade, Integridade e Disponibilidade.


2. Atribua categorias s vulnerabilidades e marque a alternativa correta.

1 Fsicas ( ) Falta de atualizao de firmware
2 Naturais ( ) Falta de aplicao de patches conforme recomendao dos fabricantes
3 Hardware ( ) Terremotos e inundaes
4 Software ( ) Usurios desrespeitando normas de segurana
5 Humana ( ) Extintor de incndio com prazo de validade vencido

a) 3, 1, 2, 4, 5
b) 3, 4, 2, 5, 1
c) 4, 3, 2, 1, 5
d) 3, 5, 2, 1, 4


3. H diferentes abordagens de categorizao para a tarefa de definio de escopo de um projeto
de anlise de riscos. A respeito destas podemos afirmar que:

a) A categorizao por processos de negcio garante que o levantamento de ativos seja
realizado de forma bastante rpida.
b) A categorizao por localidade fsica garante grande aproximao com a rea de negcio pelo
fato de ser realizada localmente.
c) A categorizao mista normalmente envolve fortes aspectos culturais.
d) Nenhuma das alternativas anteriores.


4. Quando a aceitao de riscos deve ser realizada?

a) No deve ser realizada.
b) Quando no conseguimos encontrar uma boa relao custo/benefcio
c) Quando os riscos envolverem itens muito complexos.
d) Quando houver a possibilidade de ser realizado um auto-seguro.


Mdulo Security Solutions 06/07/2010 2
SIMULADO 1
MCSO
5. Aps decidir que os papis confidenciais de sua empresa seriam descartados em uma lixeira
especial para coleta seletiva e fragmentao antes da venda para uma empresa de reciclagem, a
rea de segurana fsica adquiriu containers plsticos que no empenam e por isso no
permitem acesso fcil aos documentos. Contudo os containers so facilmente desmontveis com
uma chave de fenda e no deixam rastros de violao. Como a compra dos containers ocorreu
de maneira desestruturada e, por isso, sem sua participao, o ideal seria troc-los por
containers que oferecessem mais segurana, mas essa possibilidade j foi descartada por
motivos polticos e financeiros. Qual seria a sua melhor opo para o tratamento dos riscos
residuais dessa situao?

a) A implementao de lacres contra a violao seria uma soluo extremamente barata que
apesar de no impedir o acesso aos documentos, pois os containers continuam sendo
desmontveis, deixam rastro de que o container foi desmontado. Com isso voc passa a ter
casos reais de incidentes que reforaro a necessidade de trocar os containers ou chega
concluso que os lacres j esto adequados realidade da empresa.
b) Como a sua anlise de riscos j demonstrou que as fragmentadoras no fragmentam os
papis em um nvel considerado adequado, suas informaes j esto expostas quando so
vendidas. J que a informao est exposta fora da empresa no h justificativa para
investimos internamente.
c) Apesar dos custos de implementao de CFTV para monitorar os containers serem
extremamente elevados a rea de segurana da informao possui oramento para cobrir as
despesas e deve implementar cmeras para registrar incidentes.
d) Nenhuma das alternativas anteriores, pois o assunto deve esperar mais um ano para ser
resolvido.

6. Marque a alternativa correta para a definio de medidas de segurana.

a) So aes voltadas eliminao de vulnerabilidades com vistas a evitar a concretizao de
uma ameaa.
b) So aes voltadas eliminao de ameaas com vistas a evitar a concretizao de uma
vulnerabilidade.
c) So aes voltadas eliminao de riscos com vistas a evitar a concretizao de uma
vulnerabilidade.
d) So aes voltadas eliminao de impactos com vistas a evitar a concretizao de um risco.


7. Relacione a primeira coluna com a segunda:

A. rea de armazenamento sem proteo 1. ativo
B. Estaes de trabalho 2. vulnerabilidade
C. Falha de segurana em um software 3. ameaa
D. Perda de vantagem competitiva 4. impacto
E. Roubo de informaes 5. medida de segurana
F. Perda de negcios
G. No executado o logout ao trmino do uso dos sistemas
H. Perda de mercado
I. Implementar travamento automtico da estao aps perodo
de tempo sem uso

J. Servidores
K. Vazamento de informao

a) A2, B1, C2, D4, E4, F4, G2, H4, I5, J1, K3.
b) A2, B1, C2, D3, E3, F4, G2, H4, I5, J1, K4.
c) A2, B1, C3, D3, E4, F4, G2, H4, I5, J1, K3.
d) A2, B1, C2, D4, E3, F4, G2, H4, I5, J1, K3.

Mdulo Security Solutions 06/07/2010 3
SIMULADO 1
MCSO

8. Qual a principal diferena entre a anlise de risco e a gesto de riscos?

a) Na anlise estabelecida uma poltica de riscos e na gesto so estabelecidos critrios de
aceitao do risco.
b) Ambos os termos tm o mesmo significado.
c) A gesto inclui, alm da anlise, atividades de tratamento e comunicao dos riscos.
d) A anlise de riscos mais abrangente que a gesto de riscos.


9. Qual das seguintes abordagens de tratamento de risco envolve obrigatoriamente a participao
de terceiros?

a) Aceitar o risco.
b) Eliminar o risco.
c) Reduzir o risco.
d) Transferir o risco.


10. A poltica de segurana da informao deve ser elaborada de que maneira?

a) Depois de copiado um modelo da Internet devem ser negociadas as possibilidades de
implementao sob o ponto de vista tecnolgico. Os itens que no forem factveis devem ser
excludos do documento.
b) Deve ser realizada uma anlise e avaliao de riscos e um plano de ao para estabelecer o
nvel de segurana adequado ao ambiente. Concluda a implementao e estabelecido o
padro deve ser realizado a documentao do padro que ser conhecida como poltica para
aquele objeto especfico.
c) Utilizando melhores prticas que devem ser implementadas por serem consideradas solues
apropriadas de segurana da infomao.
d) Utilizando exclusivamente a ISO27005 como padro pois a documentao trata justamente da
diviso da poltica em nveis estratgico, ttico e operacional como sendo diretrizes, normas,
procedimentos e instrues.


11. Qual das seguintes opes considerada a mais crtica para o sucesso de um programa de
segurana da informao?

a) Auditoria.
b) Segregao de funes.
c) Suporte tcnico.
d) Conscientizao dos usurios.

12. O ideal para garantir a conformidade de aplicao da poltica de segurana sob o ponto cultural
:

a) Punir os desvios exemplarmente sempre que ocorrerem.
b) Premiar as reas que estiverem com maior conformidade.
c) Possui normatizao que defina as punies em caso de falta de conformidade.
d) Nenhuma das alternativas anteriores.



Mdulo Security Solutions 06/07/2010 4
SIMULADO 1
MCSO
13. A respeito do processo de gesto de ativos previsto na ISO27002 correto afirmar que todos os
ativos devem ser:

a) Identificados, inventariados e ter um responsvel.
b) Analisados, avaliados e protegidos.
c) Analisados, padronizados e documentados.
d) Analisados, priorizados e documentados.

14. Em um servidor compartilhado h informaes consideradas confidenciais e pblicas. Esse
servidor desse ser considerado:

a) De uso interno. A mdia aritmtica dos ndices indica que esse servidor tem importncia
mdia e por isso no pode ter a mesma classificao de um servidor que possui
exclusivamente informaes confidenciais.
b) Confidencial. A existncia da informao confidencial justifica essa deciso.
c) De uso interno-especial apesar de no haver esse critrio previsto na norma de
classificao da informao a rea de segurana deve ter um mtodo de tratar excees
regra.
d) Nenhuma das anteriores.

15. A liberao para acesso a informaes classificadas deve ser feita baseada em que princpio
bsico de segurana?

a) Confiana.
b) Segregao de funes.
c) Privilgio mnimo.
d) Rotao de tarefas.

16. Quem costuma desempenhar o papel de proprietrio de informaes (information owner) dentro
de uma organizao?

a) Os tcnicos do departamento de informtica.
b) O Security Officer.
c) Os gerentes de departamento.
d) O presidente da empresa.

17. Em planos de continuidade de negcios todos os itens abaixo devem fazer parte da cobertura do
plano, exceto:

a) Garantir a integridade fsica dos funcionrios.
b) Garantir o estabelecimento de procedimentos de emergncia.
c) Garantir a continuidade dos processos crticos.
d) Garantir que o plano contenha, no mnimo, um hotsite.

18. Quais reas de uma organizao devem ser atendidas por planos de continuidade de negcios?

a) Todas as reas que necessitem.
b) rea financeira e de tecnologia da informao.
c) reas operacionais.
d) reas de marketing, finanas e de tecnologia da informao.


Mdulo Security Solutions 06/07/2010 5
SIMULADO 1
MCSO
19. Que cuidado deve ser tomado no armazenamento de fitas de backup fora da organizao?

a) O local de armazenamento deve estar protegido contra acessos no autorizados.
b) O local de armazenamento deve estar a, no mnimo, 25 quilmetros da organizao.
c) O local de armazenamento deve ser de fcil acesso durante o expediente.
d) O local de armazenamento deve estar protegido por guardas armados.

20. Qual a principal diferena entre um Plano de Continuidade de Negcios (PCN) e um Plano de
Recuperao de Desastres (PRD)?

a) O PCN direcionado para a recuperao de todos os ativos da empresa enquanto que o
PRD cobre somente os ativos de informao.
b) O PRD mais abrangente que o PCN.
c) O PRD responsvel pela continuidade dos processos de Tecnologia da Informao
enquanto que o PCN foca-se na continuidade para todos os processos.
d) O PCN foca-se no funcionamento contnuo dos processos enquanto que o PRD destinado
reparao dos danos causados.

21. Dentro do mbito da continuidade de negcios, tecnicamente, qual a definio para desastre?

a) Um evento sbito, que ocorre de maneira inesperada.
b) Uma catstrofe de grandes impactos.
c) Um evento que causa uma parada nos processos da organizao por um perodo de tempo
maior do que ela considera aceitvel.
d) Eventos de ordem natural ou acidental, como terremotos e incndios.


22. O mecanismo de extino de incndios conhecido por "dry pipe" :

a) Um sistema de sprinklers onde a gua no entra nos canos at que um sensor automtico
indique que existe fogo na rea.
b) Um sistema de sprinklers que utiliza p seco em vez de gua.
c) Um sistema de dixido de carbono usado para extinguir o fogo.
d) Um tipo de gs especial usado exclusivamente para incndios em datacenters.


23. Os itens abaixo podem ser considerados medidas preventivas, exceto:

a) Extintor de incndio.
b) Treinamento.
c) Controle de acesso fsico.
d) Circuito fechado de TV.

24. Qual dos controles abaixo um controle fsico para segurana fsica?

a) Treinamento dos colaboradores.
b) Iluminao.
c) Material das instalaes.
d) Procedimentos de resposta a incidentes de segurana fsica


Mdulo Security Solutions 06/07/2010 6
SIMULADO 1
MCSO
25. Com relao ao processo de comunicao correto afirmar:

I. A percepo que cada indivduo tem do mundo ou de uma situao em particular pode interferir
no processo de comunicao.
II. A decodificao da mensagem depende da interpretao dada aos cdigos usados pelo
emissor.
III. Cdigos que expressam sensaes e sentimentos caracterizam a comunicao oral e devem
ser considerados.
IV. Auto-suficincia, confuso de referncias e desconforto so considerados rudos da
comunicao apenas com relao ao receptor da mensagem.
V. O estado de esprito entre os interlocutores no interfere no processo de comunicao.
VI. A linguagem simblica no deve ser considerada para a segurana das informaes.

a) As alternativas I, II e VI esto corretas.
b) As alternativas III, IV e V esto corretas.
c) As alternativas I, IV e V esto corretas.
d) As alternativas I, II e III esto corretas.

26. Ao elaborar e comunicar uma Poltica de Segurana da Informao necessrio:

I. Usar uma linguagem conhecida.
II. Usar meios adequados aos tipos de mensagens e usurios.
III. Adotar estilo simples e claro.
IV. Respeitar o interlocutor sem superestim-lo nem subestim-lo.
V. Respeitar a cultura organizacional e a do pas a que se destina.

a) As alternativas I, II, III, IV e V esto corretas, pois ao elaborar uma poltica necessrio que ela
seja ajustada a cada instituio e deve ser comunicada de maneira que todos entendam.
b) As alternativas I, II, III e IV esto corretas, mas a V est errada porque a poltica nica,
mesmo para uma multinacional, e as caractersticas humanas e legais do pas na qual
aplicada no podem interferir na sua traduo.
c) As alternativas I, II, IV e V esto corretas, mas a III est errada porque uma poltica deve ser
construda considerando-se uma linguagem tecnolgica independentemente dos tipos de
usurios a que se destina.
d) As alternativas I, II, III e V esto corretas, mas a IV est errada porque deve supor-se que
todos os usurios foram selecionados pela empresa, portanto entendem a tecnologia usada.


27. Com relao aos crimes de informtica:

a) S h punio criminal possvel quando a lei prev expressamente crimes cometidos
mediante uso de computadores.
b) A maioria dos crimes de informtica j punida pelo Cdigo Penal e apenas uns poucos
dependem de lei especial.
c) Se uma conduta enseja o direito indenizao, automaticamente enseja tambm uma
sano criminal.
d) No existem crimes de informtica, da mesma forma como no existem crimes de mquinas
de escrever ou de televisores.


Mdulo Security Solutions 06/07/2010 7
SIMULADO 1
MCSO
28. Qual o procedimento ideal e correto para preservao de uma prova eletrnica, nos casos
abaixo:

a) Pgina na Internet print screen.
b) Pgina na Internet impresso.
c) E-mail impresso e preservao da mensagem original com a gravao em mdia prpria.
d) E-mail elaborao de ata notorial e preservao da mensagem original com a gravao em
mdia prpria.

29. Quando uma empresa que prov acesso Internet informa os dados do usurio que utilizou
determinado endereo IP, em determinada data e horrio, para fins ilcitos, quais as sanes que
o usurio poderia sofrer apenas com esta informao:

a) Sanes na esfera Cvel e Criminal, pois com a informao prestada j sabemos quem o
autor do ato ilcito.
b) Apenas Sano na esfera Cvel, pois apenas sabemos quem o responsvel pelo Contrato
com a empresa que proveu o acesso Internet e no quem efetivamente cometeu o ato ilcito.
c) Se o fato constitui crime, apenas sano na esfera criminal.
d) Nenhuma das alternativas apontadas est correta.


30. Qual o maior obstculo ao aumento dos investimentos em Segurana da Informao dentro das
organizaes?

a) A falta de conscientizao da alta administrao.
b) Os altos preos praticados pelos fabricantes de solues.
c) A impossibilidade de justificar os benefcios dos investimentos.
d) A falta de argumentos que justifiquem os investimentos.

31. Indicadores so importantes na gesto da segurana da informao para:

a) Reduzir os riscos dos ambientes.
b) Melhorar a obteno de recursos.
c) Avaliar e comunicar os resultados trazidos.
d) Reduzir os riscos de problemas legais.

32. Sobre a organizao da rea de segurana da informao possvel afirmar que:

a) Caso a rea de segurana da informao esteja subordinada a rea de TI o CSO no
conseguir exercer suas responsabilidades pois est controlando o seu chefe.
b) O comit de segurana deve possuir apenas carter informativo pois os executivos no
devem ser envolvidos nas deliberaes de segurana da informao.
c) A rea de segurana existe para garantir a segurana da empresa e por isso deve realizar a
tarefa sozinha.
d) Nenhuma das alternativas anteriores.

33. O tamanho de uma chave criptogrfica esta diretamente relacionada:

a) qualidade do algoritmo de criptografia.
b) Ao tamanho do hash gerado por esta criptografia.
c) Ao tipo de criptografia a ser utilizada: simtrica ou assimtrica.
d) Ao tempo necessrio para se fazer um ataque de fora bruta.


Mdulo Security Solutions 06/07/2010 8
SIMULADO 1
MCSO
34. Qual dos itens abaixo no representa uma boa prtica de segurana no uso de criptografia?

a) Realizar a troca constante da chave de criptografia utilizada.
b) Fazer backups de chaves privadas usadas para assinatura digital, armazenando-as com
terceiros.
c) Utilizar algoritmos de criptografia pblicos j testados em diversos ambientes.
d) Utilizar dispositivos apropriados para a gerao e armazenamento de chaves.

35. Qual o maior diferencial dos algoritmos de criptografia assimtrica ECC (Elliptic Curve
Cryptography) em relao a tecnologias similares?

a) O ECC no precisa de chaves privadas para decodificar informaes.
b) O ECC o nico sistema assimtrico completo, incluindo confidencialidade, assinatura digital
e integridade.
c) O ECC oferece um nvel de segurana similar aos outros algoritmos assimtricos, porm
utilizando chaves menores.
d) O ECC o nico algoritmo suportado por smart cards.

36. Qual algoritmo abaixo no um Block Cipher?

a) DES.
b) RC4.
c) RC6.
d) Rijndael.

37. Qual algoritmo abaixo um algoritmo de transposio?

a) Scytale.
b) Enigma.
c) Cifra de Cesar.
d) Vigenr.


38. A biometria uma tecnologia que pode ser utilizada tanto no processo de identificao, como no
processo de autenticao.

a) Verdadeiro, pois a tecnologia oferece mecanismos que podem ser usados em ambos os
processos.
b) Falso, a biometria quando usada com outro mecanismo de autenticao torna a tecnologia
vulnervel.
c) Verdadeiro, porm, a biometria deve ser utilizada para os dois processos simultaneamente.
d) Falso, a biometria incapaz de oferecer informaes suficientes para identificao.

39. Das opes abaixo, qual a forma mais utilizada para armazenar as senhas dos usurios dentro
de um sistema operacional:

a) Codific-las usando criptografia assimtrica.
b) Codific-las com uma chave simtrica armazenada dentro do sistema.
c) Usar uma funo hash em cada uma das senhas e armazenar os resultados em um arquivo
sem proteo criptogrfica.
d) Usar um sistema de dupla criptografia no arquivo de senhas.


Mdulo Security Solutions 06/07/2010 9
SIMULADO 1
MCSO
40. Qual seria a principal vantagem de se utilizar certificados digitais para autenticao em
comparao com o uso de senhas estticas?

a) Os certificados digitais provm tambm a irretratabilidade (no-repdio).
b) Os certificados digitais s funcionam com tokens de autenticao.
c) Os certificados digitais permitem a autenticao de dois fatores.
d) A autenticao via certificados digitais possui uma integrao mais fcil com sistemas antigos.

41. O conceito de single sign-on prev que:

a) Os usurios se autentiquem em cada sistema utilizando uma base de dados centralizada.
b) Os usurios se autentiquem somente uma vez e possam acessar todos os recursos
disponveis a eles.
c) Os usurios se autentiquem utilizando certificados digitais.
d) Os usurios possam acessar os sistemas que tm permisso sem um processo formal de
autenticao.

42. Qual modelo de controle de acesso especifica interfaces restritas como proteo

a) Biba.
b) Bell-LaPadula.
c) Clark-Wilson.
d) Terminal Services.

43. Qual a principal diferena entre ataques passivos e ativos?

a) Ataques passivos interagem com a vtima sem realizar alteraes; ativos alteram o estado ou
comportamento da vtima sem interagir com ela.
b) Ataques passivos representam testes, o que no causa danos vtima.
c) Ataques passivos sempre afetam de maneira conjunta os trs princpios da segurana:
Confidencialidade, Integridade e Disponibilidade.
d) Ataques ativos comprometem o funcionamento dos sistemas atacados, sendo que os ataques
passivos apenas capturam informaes.

44. Qual das opes abaixo um exemplo de host?

a) Estao de trabalho.
b) Roteador.
c) Switch.
d) Bridge.

45. Modelo TCP/IP, tambm conhecido como Modelo DoD (Department of Defense), possui quais
camadas de comunicao?

a) Fsica, Enlace, Rede, Transporte e Aplicao.
b) Fsica, Enlace, Internet, Transporte e Aplicao.
c) Fsica, Enlace, Internet, e Aplicao.
d) Acesso a rede, Internet, Transporte e Aplicao.


Mdulo Security Solutions 06/07/2010 10
SIMULADO 1
MCSO
46. O que pode ser considerado uma limitao do NAT (Network Address Translation) esttico em
comparao com o dinmico?

a) S permite a converso de conexes abertas para as portas privilegiadas do TCP/IP.
b) Todas as mquinas a serem convertidas precisam estar localizadas em um mesmo segmento
da rede.
c) O campo de dados do pacote no pode ser cifrado.
d) Quando usado na traduo de pacotes saindo de uma rede invlida, um endereo vlido
necessrio para cada endereo invlido sendo convertido.

47. Qual dos seguintes protocolos pode ser utilizado para autenticar usurios em uma rede Wi-Fi?

a) WEP (Wireless Equivalent Privacy).
b) WPA (Wi-Fi Protected Access).
c) WPA2 (Wi-Fi Protected Access 2).
d) EAP-TLS (Extensible Authentication Protocol-Transport Layer Security).


48. Uma prtica comum de segurana replicar as informaes de log dos servidores para uma
mquina dedicada (Syslog Host). A afirmao :

a) Falsa, pois expe os logs de outros servidores em caso de invaso.
b) Verdadeira, pois isola os logs em caso de invaso.
c) Falsa, pois aumenta o nmero de arquivos de log analisados.
d) Verdadeira, pois separa os logs do sistema de logs de uma invaso.

49. Qual dos seguintes protocolos oferece single sign-on?

a) LM (Lan Manager).
b) NTLM (NT Lan Manager).
c) NTLMv2 (NT Lan Manger version 2).
d) Kerberos.

50. Qual das opes abaixo melhor descreve o conceito do reference monitor?

a) Um mecanismo utilizado para autenticar os usurios.
b) Um componente da arquitetura dos sistemas operacionais responsvel por mediar as
operaes de controle de acesso.
c) A implementao do security kernel do sistema operacional.
d) um componente que s existe em sistemas que implementam Mandatory Access Control
(MAC).