ISO/IEC 27001 Lead Implementer

Dez questões de exemplo tiradas do simulado

Uma por área de competência, exatamente como no simulador.

1. D1 Princípios e conceitos fundamentais de um SGSI

   Na classificação funcional que distingue documentos prescritivos e registros de evidência, como devem ser classificados um procedimento de auditoria e os relatórios de auditoria que ela gera?

   1. O procedimento de auditoria é um documento e os relatórios que gera são registros
   2. O procedimento de auditoria é um registro e os relatórios de auditoria são documentos que a suportam
   3. São ambos registros, pois ambos são produtos do processo de auditoria
   4. São ambos documentos procedimentais prescritivos que definem como deve ser realizada a auditoria

2. D2 Requisitos de um SGSI

   Uma organização adota uma arquitetura de segurança orientada a serviços para oferecer proteções coerentes a múltiplas aplicações e processos. Qual elemento constitui o núcleo dessa arquitetura?

   1. Uma hierarquia de políticas e procedimentos aprovados, usada para disciplinar o comportamento do pessoal
   2. Um inventário dos ativos de informação e uma matriz que atribui um titular a cada ativo
   3. Um programa de testes de penetração e varreduras de vulnerabilidades para todos os sistemas em produção
   4. Um conjunto de capacidades compartilhadas, reutilizáveis por processos, sistemas e aplicações

3. D3 Planejamento da implementação de um SGSI

   Durante o planejamento de um SGSI, um consultor afirma que, para obter a certificação, é necessário adotar todas as boas práticas contidas nas diretrizes ISO utilizadas pela metodologia. Como essa afirmação deve ser avaliada?

   1. É errada, pois uma boa prática é uma recomendação amplamente compartilhada, não um requisito vinculante de certificação
   2. É correta, pois as boas práticas das diretrizes ISO tornam-se requisitos obrigatórios assim que a organização decide obter a certificação
   3. É correta, pois as boas práticas são geralmente reconhecidas pelos especialistas e, portanto, são vinculantes para qualquer organização que aplica a metodologia
   4. É errada apenas para as pequenas organizações, que podem omitir as boas práticas superiores aos seus recursos

4. D4 Implementação de um SGSI

   Um implementador está definindo o cabeçalho do modelo dos documentos do SGSI. Qual par de escolhas é correto?

   1. Indicar autor e órgão aprovador com o nome das pessoas interessadas e usar o formato GG/MM/AA para cada data no documento e no nome do arquivo
   2. Indicar autor e órgão aprovador por função. Usar o formato YYYY-MM-DD nas datas para que os arquivos sejam ordenados cronologicamente e facilmente recuperáveis
   3. Omitir qualquer atribuição de paternidade e datar cada versão com o número de dias transcorridos desde a instituição do SGSI
   4. Indicar apenas o consultor externo que revisou o documento e datá-lo com o número da semana do ano

5. D5 Monitoramento e medição de um SGSI

   Durante uma auditoria interna, a equipe encontra um controle obrigatório que foi aprovado, mas nunca entrou em operação. Para decidir se isso constitui uma não conformidade, qual critério o Lead Implementer deve aplicar?

   1. Considerar apenas se houve interrupção temporária dos serviços por manutenção planejada e comunicada aos usuários
   2. Verificar se houve o não atendimento de um requisito aplicável à organização
   3. Classificar qualquer falha de comunicação com as partes interessadas como não conformidade, mesmo sem requisito associado
   4. Registrar como não conformidade somente se a organização auditada aceitar o achado na reunião de encerramento

6. D6 Melhoria contínua de um SGSI

   Durante uma revisão do SGSI, uma empresa logística avalia mudanças no contexto, na tecnologia e na organização que poderiam modificar riscos ou requisitos. Qual elemento, considerado isoladamente, NÃO sinaliza uma mudança pertinente ao SGSI?

   1. A introdução de uma plataforma cloud e a migração dos dados dos clientes para o novo serviço
   2. A entrada em vigor de obrigações contratuais e requisitos de segurança impostos por um cliente estratégico
   3. A escolha das cores para a vitrine sazonal de um ponto de venda que não trata informações do SGSI
   4. Uma reorganização que transfere responsabilidades e controles para uma nova unidade da empresa

7. D7 Preparação para auditoria de certificação

   Um organismo nacional acredita os organismos de certificação operantes no seu país e deve demonstrar competência e confiabilidade na prestação dos serviços de acreditação. A que norma deve se conformar?

   1. ISO/IEC 17021-1:2015, pois disciplina os organismos que realizam auditorias e certificações dos sistemas de gestão
   2. ISO/IEC 17065, pois se aplica aos organismos que certificam produtos, processos e serviços oferecidos ao público
   3. ISO/IEC 17011, pois estabelece os requisitos gerais para os organismos que avaliam e acreditam os organismos de certificação
   4. ISO/IEC 17024, pois se aplica à certificação das pessoas em relação a um esquema de certificação definido

8. D1 Princípios e conceitos fundamentais de um SGSI

   Uma organização quer saber exatamente o que deve fazer para declarar a conformidade com uma norma sobre sistemas de gestão da segurança da informação. Qual afirmação descreve corretamente o que oferece ISO/IEC 27001?

   1. Define requisitos para estabelecer, implementar, manter e melhorar continuamente um SGSI
   2. Fornece uma visão geral do SGSI e os termos e definições utilizados em toda a família de normas
   3. Fornece um conjunto de referência de controles genéricos acompanhados de diretrizes para a implementação
   4. Fornece diretrizes para a gestão do risco da segurança da informação em qualquer organização

9. D2 Requisitos de um SGSI

   Por que é importante que os funcionários com responsabilidades relevantes pela segurança da informação participem da elaboração, da revisão e da validação dos procedimentos e das políticas de segurança da informação?

   1. Porque ISO/IEC 27001 exige explicitamente que os funcionários redigam e aprovem as informações documentadas do sistema de gestão
   2. Porque isso os motiva a contribuir para a implementação dos controles
   3. Porque permite economizar tempo e recursos reduzindo o número de ciclos de revisão dos documentos
   4. Porque transfere a responsabilidade pelo risco residual do proprietário do risco para as pessoas que aprovaram o procedimento

10. D3 Planejamento da implementação de um SGSI

    Em que diferem as definições de política e diretriz?

    1. Uma política é uma informação não obrigatória que leva a uma solução conforme, enquanto uma diretriz expressa as intenções e a orientação de uma organização
    2. Uma política é um tipo de diretriz que fornece indicações sobre vários temas e ambas são igualmente facultativas para a organização
    3. Os dois termos são intercambiáveis na documentação do SGSI, pois ambos descrevem simplesmente como realizar uma atividade
    4. A política estabelece regras obrigatórias; a diretriz recomenda como aplicá-las sem criar o mesmo grau de obrigação

Responda às mesmas dez questões no simulador e leia a explicação de cada opção, inclusive das incorretas. Abre sem cadastro →

Sobre o exame oficial: o formato, a duração e o número de questões são definidos pelo organismo de certificação e podem mudar; por favor, confira nos documentos dele antes de se inscrever. Este material treina com base na norma, não no exame de um organismo específico, e por isso também é útil para se certificar em outro lugar.