Questões de Concurso

Um analista de segurança da informação está avaliando os riscos associados ao acesso a dados sensíveis em uma rede corporativa. Ele identifica que informações confidenciais sobre projetos de pesquisa e desenvolvimento estão armazenadas em servidores com acesso relativamente livre para diversos funcionários. Além disso, percebe que os computadores da empresa não possuem softwares antivírus atualizados e que as senhas utilizadas são, em sua maioria, fracas e facilmente descobertas.

(a)

A classificação da informação é irrelevante, pois o foco principal deve ser na segurança física dos equipamentos. Ataques de phishing e ransomware são considerados ameaças à segurança lógica, mas não impactam a classificação da informação.

(b)

A falta de atualização dos antivírus e o uso de senhas fracas representam vulnerabilidades significativas. A exposição de dados sensíveis sem controle de acesso adequado demonstra uma falha na segurança lógica e na análise de riscos, pois não há uma classificação clara da informação nem mecanismos para protegê-la.

(c)

A segurança física, como o controle de acesso aos servidores, é o único fator relevante. A segurança lógica, incluindo antivírus e senhas, é secundária e não contribui para a proteção de dados sensíveis.

(d)

A classificação da informação é um processo que se aplica apenas a documentos impressos. Ataques de hardware, como a inserção de dispositivos maliciosos, são os únicos tipos de ameaças que precisam ser gerenciados em um ambiente corporativo.

(e)

O gerenciamento de riscos se limita à análise de ameaças externas, como hackers. Vulnerabilidades internas, como senhas fracas, não são consideradas riscos relevantes, pois o acesso é controlado pela equipe de TI.