ISO/IEC 27001 Lead Auditor

Dez questões de exemplo tiradas do simulado

Uma por área de competência, exatamente como no simulador.

1. Princípios e conceitos fundamentais de um SGSI

   A auditoria se concentra na propriedade de segurança que fornece garantia de que uma mensagem ou transação se origina genuinamente da fonte alegada, e não de um terceiro que se passa por ela. Qual é essa propriedade fundamental?

   1. Disponibilidade, a propriedade de estar acessível e utilizável sob demanda por uma entidade autorizada.
   2. Integridade, a propriedade de exatidão e completeza das informações e dos ativos.
   3. Confidencialidade, a propriedade de segurança segundo a qual a informação não é disponibilizada nem divulgada a entidades não autorizadas.
   4. Autenticidade, a propriedade que garante que uma entidade, um usuário, um processo ou uma fonte, é de fato aquela cuja identidade é alegada.

2. Sistema de Gestão da Segurança da Informação (SGSI)

   Na ISO/IEC 27001:2022, quais cláusulas contêm os requisitos certificáveis do SGSI verificados por uma auditoria?

   1. As cláusulas 1 a 3, que contêm os requisitos certificáveis do SGSI, as referências normativas e as definições.
   2. As cláusulas 4 a 10, do contexto à melhoria, que constituem os requisitos certificáveis do SGSI.
   3. O Anexo A, cujos controles constituem os requisitos verificados na certificação, em igualdade de condições com as cláusulas da norma relativas ao sistema de gestão.
   4. As cláusulas 4 a 8, uma vez que a melhoria contínua é tratada como recomendação.

3. Princípios e conceitos fundamentais de auditoria

   Três conceitos da ABNT NBR ISO 19011:2018 (Versão Corrigida:2019) estruturam toda auditoria: evidência de auditoria, constatações de auditoria e critérios de auditoria. Em que esses três conceitos diferem entre si?

   1. A evidência de auditoria corresponde ao resultado obtido depois que os fatos coletados são comparados com os critérios; portanto, ela se confunde com as constatações de auditoria.
   2. A evidência de auditoria reúne os fatos verificáveis coletados; as constatações resultam da comparação desse material com os critérios; os critérios de auditoria fornecem a referência para essa comparação.
   3. Os critérios de auditoria são registros ou fatos verificáveis coletados em campo, ou seja, evidência de auditoria, que a equipe registra ao longo das entrevistas e visitas às instalações do auditado.
   4. Uma constatação de auditoria é o conjunto de requisitos e políticas que serve de referência para a auditoria, ou seja, o parâmetro de comparação.

4. Preparação de uma auditoria ISO/IEC 27001

   O escopo da auditoria e o escopo do sistema de gestão da segurança da informação (SGSI) são dois conceitos que o auditor deve distinguir cuidadosamente. Qual afirmação estabelece corretamente a diferença entre eles?

   1. O escopo da auditoria sempre coincide com o escopo do SGSI, pois uma auditoria necessariamente aborda toda a extensão do sistema de gestão operado pela organização em todos os seus locais e unidades.
   2. O escopo da auditoria refere-se à extensão e aos limites da auditoria em questão, enquanto o escopo do SGSI delimita o que a organização decidiu abranger com seu sistema de gestão.
   3. O escopo do SGSI é o conjunto de requisitos e políticas que serve de referência para a comparação das evidências pela auditoria.
   4. O escopo da auditoria se confunde com o plano de auditoria: corresponde ao cronograma e aos recursos alocados ao trabalho, juntamente com a divisão do trabalho entre os membros da equipe designada.

5. Princípios e conceitos fundamentais de um SGSI

   Ao examinar logs, um auditor se concentra na propriedade que permite atribuir, sem ambiguidade, uma ação ou um evento à entidade que o realizou. Qual propriedade de segurança da informação corresponde precisamente a esse requisito de rastreabilidade das ações?

   1. Disponibilidade: a informação está acessível e utilizável sob demanda por uma entidade autorizada, inclusive durante períodos de alta demanda nos sistemas.
   2. Confidencialidade: a informação não é disponibilizada nem divulgada a entidades não autorizadas.
   3. Responsabilização, a propriedade que garante a rastreabilidade: ela vincula, sem ambiguidade, uma ação ou um evento à entidade que o realizou.
   4. Integridade: a propriedade de exatidão e completeza, que garante que a informação não seja alterada sem autorização durante seu processamento ou armazenamento.

6. Sistema de Gestão da Segurança da Informação (SGSI)

   Qual é a diferença de status entre a ISO/IEC 27001:2022 e a ISO/IEC 27002:2022?

   1. A ISO/IEC 27001 fornece orientações para implementação, enquanto a ISO/IEC 27002 contém os requisitos certificáveis.
   2. A ISO/IEC 27001 contém os requisitos certificáveis, enquanto a ISO/IEC 27002 fornece orientações complementares para implementação, mas não constitui, isoladamente, uma base para certificação.
   3. Ambas as normas contêm requisitos certificáveis complementares, e a auditoria de certificação verifica igualmente a conformidade da organização com a ISO/IEC 27001 e com a ISO/IEC 27002.
   4. A ISO/IEC 27002 constitui, por si só, uma norma de certificação para organizações.

7. Princípios e conceitos fundamentais de auditoria

   A FabriTech, um grupo industrial com várias unidades, é auditada sucessivamente por suas próprias equipes, por um cliente importante e por um organismo de certificação. Como essas três auditorias são classificadas segundo a ABNT NBR ISO 19011:2018 (Versão Corrigida:2019)?

   1. A auditoria de primeira parte seria aquela realizada por um organismo de certificação independente, na modalidade conhecida como auditoria de terceira parte.
   2. A auditoria de segunda parte seria a auditoria interna que a FabriTech realiza em si mesma com seus próprios auditores, como parte da supervisão exercida pela organização sobre seu próprio sistema de gestão.
   3. A auditoria de primeira parte é interna, a auditoria de segunda parte é realizada por uma parte interessada, como um cliente, e a auditoria de terceira parte, por um organismo de certificação independente.
   4. A auditoria de terceira parte seria aquela que um cliente realiza nas instalações de seu fornecedor para verificar compromissos contratuais.

8. Preparação de uma auditoria ISO/IEC 27001

   A MetroCounty, uma autoridade local com vários locais, está implementando um programa de auditoria plurianual e preparando, para cada local, um documento específico para a auditoria em questão. Qual é a diferença entre o programa de auditoria e o plano de auditoria?

   1. O programa de auditoria e o plano de auditoria designam o mesmo documento, que descreve a condução de uma determinada auditoria.
   2. O plano de auditoria abrange o programa de auditoria: cobre o conjunto completo de auditorias do período, sendo cada programa uma ramificação local dele, em uma inversão da verdadeira relação hierárquica entre ambos.
   3. O programa de auditoria abrange o conjunto completo de auditorias planejadas para um determinado período, enquanto o plano de auditoria descreve a condução de uma auditoria específica.
   4. O programa de auditoria é o conjunto de requisitos e procedimentos que serve de referência para as auditorias do período.

9. Princípios e conceitos fundamentais de um SGSI

   Uma organização deseja poder provar que um evento realmente ocorreu e que uma parte não poderá negar posteriormente sua ocorrência. Qual propriedade de segurança da informação atende a essa necessidade específica, distinguindo-se da simples verificação da identidade alegada por uma entidade?

   1. Confiabilidade: a propriedade de apresentar comportamento e resultados pretendidos de maneira consistente ao longo do tempo em um sistema ou processo.
   2. Autenticidade: a propriedade que garante que uma entidade é de fato aquela cuja identidade é alegada, sem, contudo, possibilitar a prova de que determinado ato foi realizado.
   3. Disponibilidade: a propriedade de estar acessível quando necessário a uma entidade autorizada, mediante a manutenção dos serviços em condições operacionais.
   4. Não repúdio: a capacidade de provar a ocorrência de um evento ou uma ação de modo que não possa ser posteriormente contestada.

10. Sistema de Gestão da Segurança da Informação (SGSI)

    Qual é a função do Anexo A da ISO/IEC 27001:2022 na abordagem do SGSI?

    1. Fornecer um conjunto de referência de controles de segurança da informação, alinhado à ISO/IEC 27002, utilizado na cláusula 6.1.3 para determinar os controles necessários.
    2. Impor todos os seus controles como obrigatórios para qualquer organização que busque a certificação.
    3. Servir como um catálogo indicativo, separado da Declaração de Aplicabilidade, ficando cada organização livre para elaborar sua lista de controles a partir de outras estruturas reconhecidas.
    4. Constituir as cláusulas de requisitos do SGSI, em igualdade de condições com contexto ou liderança.

Responda às mesmas dez questões no simulador e leia a explicação de cada opção, inclusive das incorretas. Abre sem cadastro →

Sobre o exame oficial: o formato, a duração e o número de questões são definidos pelo organismo de certificação e podem mudar; por favor, confira nos documentos dele antes de se inscrever. Este material treina com base na norma, não no exame de um organismo específico, e por isso também é útil para se certificar em outro lugar.