Zkouška - 1. část Flashcards
- Kybernetická bezpečnost
A. je součástí informační bezpečnosti
B. je nadřazena informační bezpečnosti
C. se zabývá ochranou informací v jakékoliv podobě
D. je totéž, co informační bezpečnost
A. je součástí informační bezpečnosti
- Základní atributy bezpečnosti jsou
A. důvěrnost, soukromí a dostupnost
B. důvěrnost, integrita a dostupnost
C. důvěrnost, integrita a spolehlivost
D. diskrétnost, integrita a dostupnost
B. důvěrnost, integrita a dostupnost
- Dostupnost je zajištěna, pokud
A. má k určité informaci přístup pouze oprávněná osoba
B. se můžeme spolehnout na její správnost a úplnost
C. je informace k dispozici v okamžiku její potřeby
D. je zajištěna neodmítnutelnost
C. je informace k dispozici v okamžiku její potřeby
- Důvěrnost je zajištěna, pokud
A. má k určité informaci přístup pouze oprávněná osoba
B. se můžeme spolehnout na její správnost a úplnost
C. je informace k dispozici v okamžiku její potřeby
D. je zajištěna neodmítnutelnost
A. má k určité informaci přístup pouze oprávněná osoba
- Integrita je zajištěna, pokud
A. má k určité informaci přístup pouze oprávněná osoba
B. se můžeme spolehnout na její správnost a úplnost
C. je informace k dispozici v okamžiku její potřeby
D. je zajištěna neodmítnutelnost
B. se můžeme spolehnout na její správnost a úplnost
- Integrita může být nejlépe zajištěna
A. zálohováním
B. 2FA (dvou fázová autentizace)
C. kryptografickým hashem HMAC
D. silným heslem
C. kryptografickým hashem HMAC
- Požadavek na zajištění důvěrnosti, integrity a dostupnosti by měl být uveden v
A. bezpečnostní politice
B. bezpečnostním standardu
C. bezpečnostní baseline
D. příručce bezpečnosti
A. bezpečnostní politice
- Požadavky na délku hesla, jeho složitost a dobu platnosti by měly být uvedeny v
A. bezpečnostní politice
B. bezpečnostním standardu
C. bezpečnostní příručce
D. bezpečnostní strategii
B. bezpečnostním standardu
- Bezpečnostní politika je dokument
A. popisující záměr vedení organizace v oblasti informační bezpečnosti
B. obsahující informace o tom, jak má být bezpečně nastaven operační systém
C. definující postup správce systému při obnově serveru
D. obsahující minimální bezpečnostní požadavky
A. popisující záměr vedení organizace v oblasti informační bezpečnosti
- Bezpečnostní standard je dokument
A. popisující záměr vedení organizace v oblasti informační bezpečnosti
B. obsahující informace o tom, jak má být bezpečně nastaven operační systém
C. definující postup správce systému při obnově serveru
D. obsahující minimální bezpečnostní požadavky
B. obsahující informace o tom, jak má být bezpečně nastaven operační systém
- Security by obscurity je kontroverzní přístup k řízení bezpečnosti, který
A. spočívá v utajení použitých bezpečnostních opatření
B. nelze v žádném případě doporučit
C. lze doporučit pouze u šifrovacích algoritmů
D. lze doporučit pouze u CCTV systémů
A. spočívá v utajení použitých bezpečnostních opatření
- Výjimka z politiky by měla být udělena pokud
A. znepříjemňuje život uživatelům
B. škoda z případného incidentu je nižší než zisk
C. je politiku obtížné vynutit
D. tento požadavek vzniká často
B. škoda z případného incidentu je nižší než zisk
- Jaké bezpečnostní opatření by měl manažer bezpečnosti zavést, aby měl jistotu, že do datového centra vstupují jen oprávněné osoby?
A. CCTV
B. biometrický senzor
C. kontrola ostrahou
D. mantrap (dvoudveřový prostor pro řízení přístupu pro jednu osobu)
B. biometrický senzor
- Jaké bezpečnostní opatření kromě biometrie by měl manažer bezpečnosti zavést, aby měl jistotu, že do datového centra vstupují jen oprávněné osoby?
A. včasná aktualizace access listu
B. PIN
C. kontrola vstupujících osob ostrahou
D. mantrap (dvoudveřový prostor pro řízení přístupu pro jednu osobu)
A. včasná aktualizace access listu
- Pokud jde o nastavení FAR (False Acceptance Rate - Míra falešného přijetí)a FRR (False Recognition Rate - Míra falešného rozpoznání) pro přístup do datacentra, tak je lepší, když:
A. je nastavena vyšší hodnota FRR
B. je nastavena vyšší hodnota FAR
C. se FAR rovná FRR
D. když je nižší EER
A. je nastavena vyšší hodnota FRR
- Nejspolehlivější metoda jak zabránit krádeži informací ze strany zaměstnance je
A. nechat zaměstnance podepsat NDA
B. řídit přístup na principu need to know (potřebuji to vědět)
C. provádět důkladnou bezpečnostní osvětu
D. při odchodu zaměstnance okamžitě zrušit všechny přístupy
B. řídit přístup na principu need to know (potřebuji to vědět)
- Nejspolehlivější metoda jak zabránit krádeži informací ze strany zaměstnance je
A. nechat zaměstnance podepsat NDA
B. dvoufaktorová autentizace
C. dobře zaměstnancům zaplatit a budovat dobrou firemní kulturu
D. při odchodu zaměstnance okmažitě zrušit všechny přístupy
C. dobře zaměstnancům zaplatit a budovat dobrou firemní kulturu
- Bezpečnostní standard ve srovnání s politikou obsahuje
A. konkrétní požadavky
B. obecné požadavky
C. jen nezávazné doporučení
D. minimální bezpečnostní požadavky
A. konkrétní požadavky
- Co je základní komponentou každého bezpečnostního programu?
A. RBAC (Role-Based Access Control – řízení přístupu k prostředkům)
B. bezpečnostní osvěta
C. IPS (Intrusion Prevention Systems - Systém prevence průniku)
D. mandatorní řízení přístupu
B. bezpečnostní osvěta
- Co by měl manažer informační bezpečnosti udělat jako první krok po svém jmenování do funkce?
A. Seznámit se se strategií businessu.
B. Nechat provést sken zranitelností.
C. Prověřit jaká je úroveň bezpečnostního povědomí v organizaci.
D. Provést analýzu rizik.
A. Seznámit se se strategií businessu.
- Manažer informační bezpečnosti se musí pokusit
A. vyrovnat s technickými a business požadavky.
B. eliminovat všechny zranitelnosti.
C. eliminovat všechna rizika.
D. splnit všechny legislativní a regulatorní požadavky.
A. vyrovnat s technickými a business požadavky.
- Podporu vrcholového managementu pro program bezpečnosti si lze nejlépe získat
A. srovnávací analýzou stávajích opatření proti best practice
B. srovnávací analýzou stávajích opatření proti ISO 2700x
C. uvedením příkladů úspěšných útoků na jiné firmy
D. propojením rizik s business cíly organizace
D. propojením rizik s business cíly organizace
- Manažer informační bezpečnosti pracující pro korporaci musí v zemi svého působení zajistit, že program informační bezpečnosti bude
A. v souladu s legislativou dané země
B. v souladu s legislativou ústředí společnosti
C. platný ve všech zemích
D. platný ve všech zemích EU
A. v souladu s legislativou dané země
- Co bezpečnostnímu manažerovi pomůže nejlépe přesvědčit představenstvo o nutnosti investice do daného bezpečnostního řešení?
A. Uvedení reálných hrozeb, které ohrožují cíle businessu.
B. Příklady incidentů ve firmách působících ve stejném odvětví. C. Doložení skutečnosti, že se jedná o best practice.
D. Předložení studie od velké čtyřky.
A. Uvedení reálných hrozeb, které ohrožují cíle businessu.
- Nejdůležitější součástí kontraktu je
A. SLA
B. právo na vypovězení smlouvy
C. právo na náhradu škody
D. právo na audit
A. SLA
- Jak donutit systémové administátory, aby si vzali bezpečnost za vlastní a nesli odpovědnost?
A. Požadovat po nich certifikaci.
B. Vyškolit je v penetračních testech a skenování zranitelností.
C. Naučit je provádět bezpečnostní audit.
D. Zahrnout požadavek na bezpečnost do jejich pracovní náplně a KPI (Key Performace Indicators – klíčový ukazatel výkonnosti).
D. Zahrnout požadavek na bezpečnost do jejich pracovní náplně a KPI (Key Performace Indicators – klíčový ukazatel výkonnosti).
- Jak nejlépe zajistit, že zaměstnanci chápou správně požadavky uvedené v politikách a směrnicích?
A. nechat je podepsat, že byli seznámeni
B. zaúkolovat přímé nadřízené
C. realizovat e-learning kurz zakončený testem
D. rozeslat phishingový email
C. realizovat e-learning kurz zakončený testem
- Nejúčinnější způsob jako uživatele upozornit na nebezpečí a nutnost dodržovat pravidla je
A. stránka na intranetu
B. email
C. papírový oběžník
D. zpráva na obrazovce zobrazovaná při přihlášení
D. zpráva na obrazovce zobrazovaná při přihlášení
- Indikátorem, že bezpečnostní osvěta byla úspěšná je
A. rostoucí počet hlášených incidentů
B. klesající počet hlášených incidentů
C. neměnný počet incidentů
D. počet incidentů pohybující se kolem průměru
A. rostoucí počet hlášených incidentů
- Když se objeví nový regulatorní požadavek, tak by manažer bezpečnosti měl jako první?
A. ověřit, zda stávající opatření jsou dostačující
B. se sejít s managementem a poradit se jak vyhovět požadavku
C. analyzovat rizika vyplývající z nesouladu
D. zavést požadovaná opatření
A. ověřit, zda stávající opatření jsou dostačující
- Co je charakteristické pro decentralizované řízení informační bezpečnosti v korporaci mající více poboček po celém světě?
A. lepší soulad s cíli businessu
B. lepší vynutitelnost politik
C. snížení nákladů
D. vyšší kvalita
A. lepší soulad s cíli businessu
- Co by se mělo objevit v pravidelném reportu o bezpečnosti předkládanému vrcholovému managementu?
A. počet serverů, které jsou v souladu s politikou
B. počet bezpečnostních incidentů
C. počet zranitelností
D. trend týkající se incidentů a souladu s politikou
D. trend týkající se incidentů a souladu s politikou
- Kdo je odpovědný za řízení přístupu k business datům?
A. vlastník dat
B. administrátor systému
C. manažer bezpečnosti
D. CIO (Chief Information Officer) - vedoucí oddělení IT)
A. vlastník dat
- Jestliže pro vyřešení problému programátor potřebuje přístup do produkčního systému, tak je nutné
A. logovat veškeré jeho aktivity a nechat je vyhodnotit
B. nechat ho podepsat prohlášení o plné odpovědnosti
C. použít dedikovaný účet pro tento účel
D. mu vyhovět
A. logovat veškeré jeho aktivity a nechat je vyhodnotit
- Nejspolehlivější metoda jak zajistit, že externisté nedostanou nevhodné přístupy je
A. RBAC (Role-Based Access Control - Řízení přístupu na základě rolí)
B. diskrétní řízení přístupu
C. mandatorní řízení přístupu
D. lattice-based access control (řízení přístupu založené na mřížce)
A. RBAC (Role-Based Access Control - Řízení přístupu na základě rolí)
- Jaká je nejúčinnější ochrana před nežádoucím sdílením informací mezi uživateli?
A. RBAC (Role-Based Access Control - Řízení přístupu na základě rolí)
B. mandatorní řízení přístupu
C. diskrétní řízení přístupu
D. walled garden/lattice based access control (uzavřená platforma)
A. RBAC (Role-Based Access Control - Řízení přístupu na základě rolí)
- Jaký je nejúčinnější způsob řízení přístupu?
A. 2FA (dvou faktorová autentizace)
B. RBAC (Role-Based Access Control - Řízení přístupu na základě rolí)
C. diskrétní řízení přístupu
D. centralizované
B. RBAC (Role-Based Access Control - Řízení přístupu na základě rolí)
- Jaký je nejčastější způsob řízení přístupu v malých firmách?
A. mandatorní
B. diskrétní
C. RBAC (Role-Based Access Control - Řízení přístupu na základě rolí)
D. walled garden/lattice based access control (uzavřená platforma)
B. diskrétní
- Organizace uzavřela smlouvu s třetí stranou, která pro ni zajišťuje běh jejího účetního systému. Jaký požadavek je nejdůležitější uvést ve smlouvě?
A. školení zaměstnanců
B. právo na audit
C. konkrétní bezpečnostní požadavky
D. dodržování politiky
B. právo na audit
- Co je nejdůležitější při ukončení pracovního poměru?
A. zrušit všechny přístupy do systému
B. odebrat uživatele ze seznamu zaměstnanců
C. odebrat zaměstnanci přístupovou kartu
D. smazat všechna jeho data
B. odebrat uživatele ze seznamu zaměstnanců
- Princip oddělení pravomocí je narušen v okamžiku, kdy do produkční databáze a tabulky obsahující oprávnění jednotlivých uživatelů má právo zápisu
A. bezpečnostní administrátor
B. vlastník dat
C. programátor
D. gestor
C. programátor
- Kdy je organizace nejzranitelnější (z hlediska bezpečnosti)?
A. když otevírá novou pobočku
B. když dochází k fůzi
C. když se stěhuje do nové lokality
D. když se mění infrastruktura
B. když dochází k fůzi
- Který typ záložního datového centra skýtá největší záruky?
A. cold site (studené místo)
B. warm site (teplé místo)
C. hot site (horké místo)
D. síť partnera, s nímž je uzavřena reciproční dohoda
C. hot site (horké místo)
- Který z dokumentů se mění nejčastěji?
A. politika autentizace
B. hardening serveru (Proces zajištění vysoké úrovně bezpečnosti aplikací a operačních systémů na serveru)
C. politika zálohování
D. politika klasifikace informací
B. hardening serveru (Proces zajištění vysoké úrovně bezpečnosti aplikací a operačních systémů na serveru)
- Pokud jde o záložní datové centrum, tak to by mělo
A. být s primárním propojeno rychlou linkou
B. disponovat stejnou kapacitou
C. být vybaveno stejnými verzemi SW
D. být blízko primárního
B. disponovat stejnou kapacitou
- Bylo identifikováno několika různých zranitelností, co by měl manažer bezpečnosti udělat?
A. analýzu rizik
B. business impact analýzu
C. sken zranitelností
D. GAP analýzu (analýza tržních mezer)
A. analýzu rizik
- Objevila se kritická zranitelnost, co by měl manažer bezpečnosti udělat jako první?
A. nasadit patch (záplata)
B. otestovat patch (záplatu)
C. ověřit zda se ho zranitelnost týká
D. odpojit zranitelný systém od sítě
C. ověřit zda se ho zranitelnost týká
- Který z následujících není příkladem zranitelnosti
A. nedostatečné logování
B. nedostatečná kontrola vstupu
C. použití least privilege (nejmenší privilegia)
D. použití slabého hesla
C. použití least privilege (nejmenší privilegia)
- Kdo by měl provést analýzu bezpečnostních rizik v organizaci?
A. manažer bezpečnosti
B. vrcholový management
C. procesní manažer
D. výbor pro kybernetickou bezpečnost
A. manažer bezpečnosti
- Kdo by měl podporovat a požadovat provedení analýzy rizik v organizaci?
A. manažer bezpečnosti
B. vrcholový management
C. procesní manažer
D. výbor pro kybernetickou bezpečnost
B. vrcholový management
- Jaká je nejlepší obrana před APT (Advanced Persistent Threat) útoky?
A. honey pot/decoy files (návnady)
B. monitoring přístupů k citlivým informacím
C. analýza logů IDS (Intrusion Detection System) systém detekce narušení)
D. analýza logů firewallu
A. honey pot/decoy files (návnady)
- Který server by měl být umístěn do DMZ (demilitarizované zóny)?
A. autentizační
B. databázový
C. IDS (Intrusion Detection Systém)
D. tiskový
C. IDS (Intrusion Detection Systém)
- Který server by měl být umístěn do DMZ (demilitarizované zóny)?
A. tiskový
B. autentizační
C. webový
D. databázový
C. webový
- Který server by měl být umístěn do DMZ (demilitarizované zóny)?
A. souborový
B. databázový
C. aplikační
D. proxy
C. aplikační
- Co nejlépe zajistí důvěrnost přenášených dat?
A. hash
B. 2FA (dvou faktorová autentizace)
C. šifrování
D. logování
C. šifrování
- Extranet (privátní internet) server je vhodné umístit
A. mezi dva firewally
B. před firewall
C. za firewall
D. do první pozice v racku
A. mezi dva firewally
- Příliš mnoho pravidel na firewallu může způsobit
A. pád firewallu
B. vygenerování většího počtu alertů
C. nezamýšlený efekt
D. snížení propustnosti
C. nezamýšlený efekt
- Jaká je výhoda dvou firewallů připojených do internetu?
A. load balancing
B. vyšší bezpečnost
C. nižší provozní náklady
D. žádná
A. load balancing
- Hlavní důvod zavedení SSO (Single Sign-On – mechanismus pro jediné přihlášení) je
A. snížení administrativní zátěže
B. zvýšení bezpečnosti
C. absence 2FA
D. prodloužit dobu platnosti hesla
A. snížení administrativní zátěže
- Wi-Fi by měla používat protokol
A. WEP
B. WAP
C. WPA2
D. WPE
C. WPA2
- Jaká je slabina bezpečnostních řešení založených na signaturách (charakteristických řetězcích – otisk viru)?
A. jsou výrazně dražší na provoz než behaviorální řešení
B. generují velký počet false positive alertů (falešně pozitivní výstrah)
C. neodhalí nové útoky
D. lze je snadno deaktivovat
C. neodhalí nové útoky
- Jaká je nejlepší obrana před APT (Advanced Persistent Threat) útoky?
A. auditing a monitoring
B. obrana v hloubce
C. dvoufaktorová autentizace
D. striktní řízení přístupu
B. obrana v hloubce
- I když je použita challenge response autentizace (výzva na odpověď při autentizaci), tak heslo může být odchyceno prostřednictvím techniky
A. MITM (Man-in-the-middle)
B. IP spoofing (vytvoření IP datagramu s falešnou zdrojovou IP adresou)
C. replay attack (útok přehřáním)
D. trojského koně
D. trojského koně
- Zranitelnost CSRF (Cross Site Request Forgery) spočívá v
A. přetečení zásobníku
B. absenci autorizačního tokenu
C. neošetření vstupních dat
D. neošetření výstupních dat
B. absenci autorizačního tokenu
- Nejlepší ochrana před DDoS (distributed denial-of-service attack) útokem je
A. nasadit load balancer
B. udržovat všechny prvky aktuální
C. zahazovat podezřelé pakety
D. používat NAT
C. zahazovat podezřelé pakety
- Nejspolehlivější metoda jak zabránit krádeži informací ze strany zaměstnance je
A. šifrování dat
B. nasazení host based DLP (hostitelské DLP- Data Loss Prevention – ochrana před ztrátou dat)
C. časté zálohování
D. nasazení RBAC (Role Based Access Control)
B. nasazení host based DLP (hostitelské DLP- Data Loss Prevention – ochrana před ztrátou dat)