Questões de Concurso

Disponibilidade é a garantia de que o acesso à informação seja obtido apenas por pessoas autorizadas.

Confidencialidade é a garantia de que os usuários autorizados obtenham acesso à informação e aos ativos correspondentes sempre que necessário.

No processo de autorização para a instalação de processamento da informação, importante para a segurança da informação, hardware e software são verificados de maneira independente; não há necessidade de se garantir compatibilidade com outros componentes do sistema.

Os controles de criptografia visam proteger a confidencialidade, a autenticidade e a integridade das informações consideradas de risco e para as quais outros controles não fornecem proteção adequada.

Assinaturas digitais, para serem implementadas por meio de técnicas criptográficas, necessitam de, pelo menos, dois pares de chaves relacionadas. Um par é utilizado para criar uma assinatura (privada), e o outro, para verificar a assinatura (pública).

Controles criptográficos garantem a confidencialidade por meio da utilização de assinaturas digitais ou códigos de autenticação de mensagens (MAC), que protegem a autenticidade, originalidade, presteza e integridade de informações sensíveis ou críticas, armazenadas ou transmitidas.

Não repúdio refere-se à utilização de técnicas de criptografia para obter prova da ocorrência ou não de um evento ou ação.

Técnicas criptográficas não podem ser utilizadas para proteger chaves criptográficas, pois existe sempre a ameaça de que seja forjada uma assinatura digital pela substituição da chave privada do usuário, em caso de utilização de criptografia simétrica.

Datas de ativação e desativação de chaves devem ser definidas sem restrições de tempo e independentes das avaliações de risco.

Além do gerenciamento seguro de chaves secretas e privadas, o processo de autenticação deve ser conduzido obrigatoriamente utilizando-se certificados de chave privada emitidos por autoridades certificadoras.

Após identificar os requisitos de segurança da informação e os riscos a que uma organização está exposta, convém que controles apropriados sejam selecionados e implementados para assegurar que os riscos sejam reduzidos a um nível aceitável, pois, segundo a norma, por meio do controle gerencia-se o risco.

A segurança da informação objetiva a preservação da confidencialidade, integridade e disponibilidade da informação. Cada categoria principal de segurança da informação contém um ou mais objetivos de controle que definem o que deve ser alcançado, além de um controle que pode ser aplicado para que os objetivos sejam alcançados.

Considera-se ativo tudo que tenha valor para a organização. São exemplos de ativos de informação os aplicativos, sistemas, ferramentas de desenvolvimento e utilitários.

Diretriz é a descrição que orienta o que deve ser feito e como deve ser feito, de modo a se alcançar os objetivos estabelecidos. Quanto às diretrizes para comércio eletrônico da norma em questão, as considerações podem ser implementadas pela aplicação de controles criptográficos de chave assimétrica, não sendo recomendada a utilização de chaves simétricas.

A referida norma recomenda o desenvolvimento e a implementação de uma política para avaliação e uso de controles criptográficos que, em conjunto com a análise e avaliação de riscos, são ações independentes que auxiliam na escolha dos controles de modo mais amplo.

Uma das vantagens da criptografia simétrica em relação à assimétrica é a maior velocidade de cifragem ou decifragem das mensagens. Embora os algoritmos de chave assimétrica sejam mais rápidos que os de chave simétrica, uma das desvantagens desse tipo de criptografia é a exigência de uma chave secreta compartilhada.

A criptografia assimétrica baseia-se no conceito de par de chaves. O RSA é um algoritmo assimétrico que utiliza duas chaves criptográficas e cuja segurança fundamenta-se na dificuldade de fatoração de números inteiros extensos.

Por definição, as funções de criptografia devem ser reversíveis. Alguns algoritmos como o DES (data encryption standard) e o DSS (digital signature standard) utilizam três chaves, uma para criptografar os dados (denominada chave pública), uma para decifrar os dados (denominada chave privada) e uma para aumentar a confiabilidade da encriptação (denominada chave confiável).

Na criptografia assimétrica, cada parte da comunicação possui um par de chaves. Uma chave é utilizada para encriptar e a outra para decriptar uma mensagem. A chave utilizada para encriptar a mensagem é privada e divulgada para o transmissor, enquanto a chave usada para decriptar a mensagem é pública.

Enquanto mecanismo de cifragem de bloco, a criptoanálise diferencial e linear tem como objetivo predizer a saída do bloco a partir das entradas, comparando-se as características entre os textos cifrados e decifrados byte a byte. Tais modalidades são utilizadas para decifrar o algoritmo simétrico RSA e facilitar a descoberta da chave.

A confidencialidade tem a ver com salvaguardar a exatidão e a inteireza das informações e métodos de processamento. Para tanto, é necessário que os processos de gestão de riscos identifiquem, controlem, minimizem ou eliminem os riscos de segurança que podem afetar sistemas de informações, a um custo aceitável.

A política de segurança da informação é um conjunto de práticas conhecidas pelo nível operacional de uma organização que busca estabelecer uma direção técnica clara que demonstre suporte e comprometimento com a segurança das informações.

A segurança física objetiva impedir acesso não autorizado, danos ou interferência às instalações físicas e às informações da organização. A proteção fornecida deve ser compatível com os riscos identificados, assegurando a preservação da confidencialidade da informação.

Define-se gestão de riscos de segurança da informação como a avaliação das ameaças e das facilidades de processamento, impactos e vulnerabilidades das informações e da probabilidade de ocorrência de tais riscos.

Serviços de não repudiação são técnicas utilizadas para detectar alterações não autorizadas ou corrompimento dos conteúdos de uma mensagem transmitida eletronicamente. Essas técnicas, que têm como base o uso de criptografia e assinatura digital, podem ajudar a estabelecer provas para substanciar se determinado evento ou ação ocorreu.