Questões de Direito Constitucional

Com o objetivo de aferir a integralidade do registro contábil do ativo imobilizado do órgão X, o pessoal da área de controle interno da referida entidade vem realizando inventário físico dos bens permanentes registrados nos documentos contábeis desse órgão, selecionando sempre os dez primeiros itens de cada grupo de contas do ativo imobilizado, que representam cerca de 10% da quantidade de bens registrados. Aos bens permanentes relacionados na amostra e não localizados, o pessoal da área de controle interno vem considerando que se trata de "empréstimos" desses bens permanentes a outros setores da mesma entidade, que não foram efetivamente formalizados no setor de patrimônio, por isso não vem realizando apontamento nesse sentido. Com base nessa situação hipotética, elabore relatório de auditoria acerca da atuação do pessoal da área de controle interno, desenvolvendo, necessariamente, os seguintes tópicos:

aspectos considerados na determinação do tamanho da amostra; riscos de amostragem, nos testes de observância e nos testes substantivos, no que se refere à não localização do bem.

Dado o padrão culto da linguagem, a impessoalidade e a formalidade que caracterizam o texto, ele poderia constar de um expediente de comunicação oficial.

No padrão Ethernet, quando ocorre uma colisão, a retransmissão do frame pode ser tentada até 20 vezes.

Os roteadores são responsáveis pela movimentação de datagramas entre redes distintas, tomando as decisões de encaminhamento com base nos endereços de origem e destino.

Os endereços IP 10.1.120.1 e 10.1.130.1 pertencerão à mesma rede se utilizarem a máscara 225.255.192.0.

Os switches de camada 3 diferem dos de camada 2 por incluírem, entre suas funcionalidades, a capacidade de encaminhar pacotes entre redes distintas.

O uso de firewalls na rede de computadores é mais eficaz na prevenção de incidentes que para o tratamento dos eventuais incidentes que nela ocorrem. Os firewalls stateless, ou de filtragem de pacotes, são especialmente eficazes no bloqueio a vários tipos de ataques, como phishing e spoofing.

Os protocolos ARP e ICMP, que fazem parte da pilha TCP/IP, são responsáveis, respectivamente, pela tradução entre endereços físicos e lógicos, e pela geração de mensagens de erro e controle.

Considere que o plano de classificação de ativos de uma das organizações auditadas valore os ativos usando uma metodologia mista, isto é, empregando ora a valoração qualitativa, ora a valoração quantitativa. Nesse caso, tal abordagem produz desconformidades com o prescrito em modelos da ABNT e da ISO/IEC, uma vez que se deve adotar um ou outro modelo, mas não ambos simultaneamente.

Para que o plano de continuidade de negócios apresentado por uma das organizações avaliadas seja considerado conforme a Norma NBR ISO/IEC 15.999, ele deve ter referências implícitas ou explícitas a um dos seguintes documentos: plano de gerenciamento de incidentes; plano de recuperação de negócios; declaração de política de gestão de continuidade dos negócios (GCN); e relatório de análise de impactos sobre negócios BIA (business impact analysis).

Se a equipe de uma organização realizou o processo formal de análise/avaliação de riscos apenas após a elaboração da primeira declaração de aplicabilidade, é correto afirmar que esse procedimento está aderente ao prescrito na Norma 27.001.

Considere que, em uma organização, os auditores observaram que algumas das atividades de identificação de riscos foram efetuadas parcialmente, na seguinte sequência: inventário dos ativos; identificação de ameaças; e identificação de vulnerabilidades. Nesse caso, a sequência de levantamento de dados realizada está coerente com o indicado na Norma 27.005.

Considere que, utilizando um sniffer junto ao segmento que liga a rede de uma organização à Internet, um dos auditores identifique, durante poucos segundos, a ocorrência de milhares de pacotes SYN e SYN/ACK trafegando na rede, para os quais não havia correspondentes pacotes ACK. Considere ainda que o auditor constate que os endereços fonte dos pacotes SYN e os endereços destino dos pacotes SYN/ACK eram de um host desconhecido pela organização, enquanto os endereços destino dos pacotes SYN e os endereços fonte dos pacotes SYN/ACK eram de um host pertencente à rede DMZ da organização. Nesse caso, a partir dos dados coletados, é correto inferir que a organização poderia estar, naquele momento, sofrendo um ataque de negação de serviço DOS (denial of service).

Se a análise do plano de tratamento de riscos de uma das organizações, no escopo de seu centro de dados, revelou que, para a eliminação de todos os riscos identificados no escopo, foi adotada a redução por meio de controles, é correto afirmar que tal abordagem está coerente com a prática do gerenciamento de riscos de segurança.

Considere que os auditores identifiquem, entre a rede de uma organização e a Internet, um sistema em funcionamento que realiza a filtragem e correção automática do fluxo de pacotes e datagramas estabelecidos entre os hosts da organização e aqueles da Internet. Considere também que o referido sistema realiza inspeção e eventuais ajustes nos pedidos e respostas http que trafegam em ambos sentidos. Nesse caso, diante das informações mencionadas, é correto afirmar que tal sistema pode ser classificado como de prevenção de intrusão em rede NIPS (network intrusion prevention system) e

não apenas como de detecção de intrusão IDS (intrusion detection system).

Se uma das organizações utiliza o protocolo https para estabelecer algumas comunicações seguras com seus usuários da extranet, então, sempre que uma sessão https for estabelecida com esse servidor, todos os fluxos de dados que transitam nessa sessão serão criptografados por meio de algoritmos de criptografia assimétrica, utilizando-se, para isso, um algoritmo de cifra de fluxo, como o AES.