Questões de Conhecimentos Gerais — TCU 2007

A estimativa de custo do projeto, segundo o PMBoK, se classifica como definitiva.

O modelo de processo mostrado apresenta elementos do paradigma iterativo e incremental.

A arquitetura de um sistema de workflow contempla cinco níveis principais: processo, instâncias ou casos, interação, segurança e auditoria.

Todos os processos de contratação de órgãos públicos federais têm de ser submetidos à Advocacia-Geral da União para análise e aprovação da contratação de acordo com a Lei n.o 8.666/1993.

Entre as tecnologias de GED, a de gerenciamento da imagem dos documentos (DI) controla o acesso físico aos documentos, indexa os documentos e controla suas versões.

O uso do framework MVC no elemento #3 da figura I implicará diretamente no emprego dos seguintes padrões de desenho orientado a objetos: façade; abstract factory; method template e observer.

Rotas são atributos que definem de que forma os dados que trafegam no fluxo de trabalho são processados, roteados e controlados pelo workflow.

Para atender à recomendação de não utilizar marcações para redirecionar páginas automaticamente, a orientação da cartilha é de não se utilizar atributos meta-refresh e, sim, cabeçalhos http.

As normas e recomendações de acessibilidade de nível 2 garantem o acesso às informações do documento e, se não forem cumpridas, grupos de usuários terão dificuldades para navegar e para acessar as informações do documento.

Em um sistema de GED, os registros unitários reúnem documentos diferentes por uma característica comum; sua estratégia de arquivamento difere do modelo seqüencial pelos objetivos funcionais e pelas diferentes épocas em que esses documentos são coletados e organizados em um registro comum.

O uso de XSLT, quando efetuado junto ao módulo servlet do elemento #3, da figura I, conferirá grande flexibilidade quanto ao uso de diferentes clientes http para a aplicação.

A integridade referencial é uma característica do workflow orientado a objeto que garante que qualquer informação adquirida ou passada por herança seja igual à informação que tiver dado origem às informações descendentes.

Para a contratação por inexigibilidade por parte de órgãos públicos para a área de tecnologia da informação, deve estar configurada a inviabilidade de competição ou o fornecimento por produtor, empresa ou representante comercial exclusivo, ou seja, é necessário que, ao ser deflagrado procedimento licitatório, não haja nenhuma outra empresa capaz de fornecer o bem ou prestar o serviço que atenda aos interesses da entidade.

Para a subscrição do usuário em um serviço RSS, a URL de um documento que contém os protocolos que fazem o recolhimento, a agregação e a distribuição de conteúdos é adicionada como canal no aplicativo leitor.

Considere que seja realizada uma simplificação na arquitetura de uma aplicação em desenvolvimento, consistindo na eliminação do elemento #3 mostrado na figura I e no conseqüente estabelecimento de ligação direta entre os elementos #2 e #4. Nesse caso, possivelmente ocorrerão os seguintes efeitos: incremento da complexidade de controle de GUI no elemento #2; aumento das vulnerabilidades da aplicação; possibilidade de uso de interface rica no cliente.

O uso de fontes sem serifa, como Times New Roman, seria uma recomendação adequada para figurar no guia de desenho de página visando a acessibilidade da mesma.

Diagramas UML de colaboração ou seqüência deverão ser construídos a fim de que ocorra a realização dos casos de uso de uma aplicação em desenvolvimento.

Plotando-se um gráfico da produtividade da referida organização durante o desenvolvimento de várias aplicações, que relacione o número de homens-hora de projeto para implementar cada aplicação e o número de pontos de função dessa aplicação, obtém-se uma curva aproximadamente linear.

A produção de artefatos visualmente descritivos do fluxo navegacional de uma aplicação web a ser construída na plataforma acima será, muito provavelmente, realizada por desenvolvedores projetistas de GUI, que produzirão um protótipo de interface de usuário, na disciplina de requisitos, durante a fase de iniciação do projeto.

A análise e decomposição de tarefas de um usuário é normalmente representada por uma estrutura hierárquica e em árvore.

Menções explícitas aos usos de JSP, servlets, EJB, JDBC e SQL deverão necessariamente ser efetuadas a fim de que o projeto de desenvolvimento de uma aplicação alcance o marco que separa as fases de elaboração e construção.

Considere que seja necessário estimar o tamanho de um projeto de uma nova aplicação a ser desenvolvida na plataforma mencionada. Nessa situação, é correto afirmar que a adição de uma nova página HTML produzirá um aumento no número total de pontos de função não ajustados; que o atendimento a uma demanda por produção de componentes de código reusáveis, para uso em outro projeto de desenvolvimento de software na mesma organização, incrementará o fator de

ajuste de medição (value adjustment factor) para esse projeto.

A macroestrutura de um storyboard seria mais adequadamente representada por um diagrama de estados em UML que por um diagrama de classes.

As atividades que ocorrem no início do processo são menos sujeitas à automação que as atividades que ocorrem ao final do processo.

No Linux, o comando ifconfig permite habilitar ou desabilitar o protocolo ARP para determinada interface.

O protocolo PPTP (point-to-point tunneling protocol) disponível no Linux, kernel 2.4 e posterior, é utilizado para conexão com servidores de acesso remoto. O protocolo PPTP não está disponível no Windows XP Professional.

O gerenciador de memória virtual do Windows XP Professional utiliza páginas de 4 kB tanto para arquiteturas de 32 bits como para arquiteturas de 64 bits.

A checagem do sistema de arquivos permite verificar se a estrutura para armazenamento de arquivos, diretórios, permissões, conectividade e superfície do disco estão funcionando corretamente. No Linux, o comando fsck permite checar e, eventualmente, reparar o sistema de arquivos.

No datamining, o agrupamento e a classificação funcionam de maneira similar: o agrupamento reconhece os padrões que descrevem o grupo ao qual um item pertence, examinando os itens existentes; a classificação é aplicada quando nenhum grupo foi ainda definido.

Assim como no ciclo de vida de desenvolvimento de sistemas clássicos, o ciclo de vida de desenvolvimento do data warehouse é também baseado em requisitos.

O processamento OLAP é mais flexível do que aquele que ocorre no nível estruturado organizacional do data warehouse.

Considerando que estejam envolvidas 40 pessoas na primeira fase do projeto e 25, na segunda, a diferença no número de canais de comunicação entre as duas fases é de 455.

O sistema de arquivos padrão do Windows XP Professional é o NTFS. Entretanto, o sistema de arquivos FAT16 ainda é utilizado pelo Windows XP para a leitura de floppy disks.

No data warehouse, o instantâneo (snapshot) disparado por um evento é composto de quatro componentes básicos: uma chave, uma unidade de tempo, dados primários relacionados apenas à chave e dados secundários que não possuem relacionamento direto nem com os dados primários nem com a chave.

Quanto ao nível de granularidade dos dados do data warehouse, é correto afirmar que quanto maior for o nível de detalhe, mais alto será o nível de granularidade dos dados e maior será a possibilidade de o sistema responder a qualquer consulta.

Na aquisição de produtos de TI por órgãos públicos federais, terá preferência o fornecedor desses recursos que se comprometa a prestar serviços de manutenção até a total obsolescência.

O outsourcing das áreas de processos relativas ao elemento #4 da figura II aumentará a necessidade de controles relativos ao provimento de serviços de sistemas de informação. Nesse caso, a contratante, se adotar um modelo de qualidade baseado no ITIL, deverá desenvolver maior capacidade em seus processos de gerenciamento de acordos de nível de serviço, em detrimento de seus processos de gerenciamento de capacidade.

Uma gerência de configuração implantada na organização em questão de forma aderente ao modelo ITIL atuará com maior intensidade na gestão de informações sobre os dispositivos que suportam as atividades de #5 a #9 que sobre os dispositivos que suportam as atividades de #10 a #14.

As metas gerais do nível 3 da área de processos desenvolvimento de requisitos estarão satisfeitas, e, entre as atividades apresentadas, as que melhor satisfazem essas metas são as realizadas no escopo das atividades #10.

A organização obrigatoriamente deverá possuir uma política organizacional de gerência de configuração.

Conforme a ISO 17799, é obrigatório o relatório de incidentes de segurança ao ponto de contato designado. Assim, um funcionário de uma organização que realiza operações de alto risco e identifica uma violação de acesso, porém encontra- se sob coação, poderá utilizar-se de um método secreto para indicar esse evento de segurança. Esse método é conhecido como alarme de coação.

Uma gerência de capacidades implantada na referida organização de forma aderente ao modelo ITIL possivelmente incorporaria as atividades #17.

As práticas específicas de níveis 1 e 2 da área de processos gerenciamento de riscos serão necessariamente satisfeitas e poderão empregar os mesmos métodos de avaliação de risco descritos no modelo ISO 17799.

Alguns princípios e práticas dos praticantes que distribuem software livre são distintos daqueles que aderem ao modelo de distribuição por código aberto. No primeiro caso, existe: rejeição a licenças do estilo BSD, MIT e Apache; rejeição ao uso de software para a prática comercial; e rejeição ao uso de shareware.

Durante a implantação dos processos do domínio de monitoramento, produziu-se impacto imediato sobre o funcionamento de várias atividades do setor #1.

A ISO 17799 define diretrizes para certificação de que uma organização está em conformidade à própria norma. Essa certificação é conferida por meio de uma auditoria de terceira parte, nos moldes da ISO 19011.

Considere-se que, durante certo tempo, haja paralisação das atividades dos empregados envolvidos no projeto. Nessa situação, durante o período de paralisação, o componente desperdício deverá ficar fora dos custos.

A seleção de controles de segurança da informação a implantar deverá ser fundamentada principalmente na identificação das ameaças aos ativos organizacionais. Para cada ameaça mapeada, deverão ser identificados os controles de segurança aplicáveis.

A organização deverá estabelecer um programa avançado de treinamento técnico em segurança da informação para todos os seus empregados relacionados com a prestação de atividades-fim relacionadas ao seu negócio.

Suponha-se que, ao longo da execução do projeto, o presidente da empresa seja informado da necessidade de estabelecer procedimento de correção de urgência, atividade nãoconsiderada no planejamento do projeto, e que solicite ao gerente do projeto a inclusão dessa atividade. Nessa situação, o gerente do projeto deve negar esse pedido.

É objetivo da política da informação assegurar a interoperabilidade entre os sistemas de segurança da informação.

Os produtos de tecnologia devem observar os requisitos do negócio, e ser sempre adquiridos pelo menor custo de mercado, independentemente do parque computacional implementado na entidade ou das especificações técnicas, conforme dispõe a Lei n.o 8.666/1993.

A migração da plataforma de desenvolvimento de software da organização para um modelo aderente aos preceitos do software livre, envolvendo inclusive o engajamento na distribuição de todos os seus aplicativos internamente desenvolvidos dentro de distrôs especiais do Gnu/Linux, implicará o uso de uma licença de copyleft e migração para um outro tipo de linguagem de programação.

Para a correta implementação do modelo mencionado, as práticas-base da gerência quantitativa de processos deverão ser desempenhadas de forma satisfatória.

Entre os requisitos de negócio para a governança da informação, três deles são diretamente associados à segurança da informação, conforme a ISO 17799.

O gerente do referido projeto tem como uma de suas atribuições determinar a legalidade dos procedimentos da organização.

As tecnologias de difícil manutenção e de difícil suporte técnico tendem a se situar fora dos padrões de mercado e a se tornar obsoletas.

Um birô de serviços implantado na organização em apreço de forma aderente ao modelo ITIL incorporaria as atividades #9.

A política corporativa de segurança da informação deverá ser elaborada somente após o estabelecimento das políticas de segurança no desenvolvimento de software e de segurança em operações de TI.

Uma gerência de disponibilidade implantada na referida organização de forma aderente ao modelo ITIL possivelmente seria responsável pelas atividades #6, #5 e #7, mas não por #21 e #15.

O outsourcing de todas as áreas de processos relativas ao elemento #4 da figura II, em detrimento do outsourcing de todas as áreas de processos relativas ao elemento #3, possui maior chance de provocar impacto negativo sobre a estratégia de negócios de uma organização de prestação de serviços de TI.

A implantação dos processos do domínio entrega e suporte pode produzir impacto direto sobre o funcionamento das atividades do setor #2.

Todo evento de segurança da informação identificado no âmbito da organização corresponderá a uma ou mais violações da política de segurança da informação da organização.

Considere-se que, em determinado momento, o custo atual do projeto era de R$ 4 bilhões e seu valor agregado era de R$ 3,5 bilhões. Nessa situação, o progresso do projeto, nesse momento, corresponde a 87,5% de seu valor planejado.

O outsourcing das áreas de processos relativas ao elemento #3 da figura II aumentará a necessidade de controles relativos ao desenvolvimento terceirizado de software e sistemas. Assim, a contratante, caso adote um modelo de qualidade embasado no CMMI, deverá desenvolver maior capacidade em seus processos de aquisição e solução técnica de verificação e validação, em detrimento dos processos de gerenciamento de requisitos.

Problemas de indisponibilidade de serviços de TI podem ocorrer devido a incompatibilidade de versões de softwares aplicativos utilizados na rede.

Uma gerência de continuidade de serviços de TI implantada na organização em apreço de forma aderente ao modelo ITIL realizará estudos de análise de impacto sobre negócios, visando obter informações sobre o elemento #24 para garantir fundamentalmente o funcionamento dos elementos de #1 a #23.

O COBIT 4.0 classifica recursos de TI em quatro categorias, sendo que uma delas não encontra representação da figura III.

A organização deverá ter em prática um processo de medição e análise que comprove, por meio de evidências documentais e testemunhais, entre outras, que as métricas produzidas estão sendo usadas para o monitoramento e controle do projeto.

Os riscos de segurança da informação identificados no âmbito da organização deverão ser analisados quanto às possíveis opções de tratamento: mitigação ou redução; aceitação; eliminação ou contorno; e transferência. Entre as quatro alternativas de tratamento, a que apresenta maior demanda por implantação de controles é a mitigação ou redução. Os

riscos aceitos são os de menor nível ou que atendam a critérios de avaliação previamente definidos.

Tendo em vista o ambiente de TI implantado em uma entidade, faz-se necessário que essa entidade disponha de critérios de aceitação para novos sistemas.

A identificação periódica dos recursos, das demandas e dos problemas de TI, a atualização do plano de continuidade de negócios e a manutenção do parque informacional são necessárias para prevenir a obsolescência e preservar a confidencialidade, disponibilidade e integridade dos dados geridos e armazenados.

As setas no diagrama da figura II indicam o sentido inverso do fluxo temporal de definição dos indicadores de planejamento e o sentido direto do fluxo temporal de agregação da coleta de dados de monitoramento.

Se a estrutura organizacional da referida empresa for funcional, os seus gerentes de projeto devem ter pouca autoridade.

Em geral, os firewalls inspecionam todo o pacote, enquanto os IDSs inspecionam apenas os cabeçalhos.

A tecnologia RSS utiliza a linguagem HTML para que conteúdos de sítios e weblogs possam ser explorados por navegadores.

O emprego de beans de entidade na camada #4 mostrada na figura I permitirá aos implementadores de aplicativos grande independência para a criação do modelo de dados de uma aplicação em desenvolvimento, reduzindo a necessidade de interação com o administrador de bancos de dados, pois a tecnologia tornará semi-automática a produção de um modelo de dados normalizado e aderente às políticas de segurança dessa organização.

O MRTG (the multi router traffic grapher) é uma ferramenta open source que permite visualizar o tráfego da rede. O MRTG implementa o protocolo SNMP (simple network management protocol) para obter informações dos equipamentos de rede. Entretanto, o MRTG ainda não permite o acesso a contadores de 64 bits da versão 2 do SNMP.

O protocolo HTTP, definido nas RFCs 1945 e 2616, não permite a utilização de conexões persistentes.

No modelo OSI da ISO, o protocolo RARP (reverse address resolution protocol) é um exemplo de protocolo da camada de transporte.

Em geral, um sistema criptográfico impede que dados sejam deletados, ou que o programa que o implementa seja comprometido.

Utilização de scheduler, de senhas e de sistemas de permissão de acesso e atribuição de privilégios são alguns dos principais elementos da segurança de host.

Enquanto a criptografia simétrica utiliza apenas uma chave para cifração e decifração, a assimétrica usa duas.

O Nagios é um programa open source de monitoramento de redes que verifica constantemente a disponibilidade do serviço. O Nagios permite, entre outras coisas, monitorar os serviços de rede, tais como SMTP, POP3 e HTTP, e pode ser configurado para reportar, por meio de e-mail ou até mesmo celular (SMS), sobre o problema ocorrido.

O IEEE padronizou vários protocolos de redes locais, entre eles o ethernet, definido no padrão IEEE 802.3. O ethernet utiliza o método de acesso CSMA/CD (carrier sense multiple access/collision detection) como método de acesso múltiplo.

Algumas providências que um processo de hardening deve incluir são: limitar o software instalado àquele que se destina à função desejada do sistema; aplicar e manter os patches atualizados, tanto de sistema operacional quanto de aplicações; revisar e modificar as permissões dos sistemas de arquivos, em especial no que diz respeito a escrita e execução; reforçar a segurança do login, impondo uma política de senhas fortes; habilitar apenas os serviços necessários.

A criptografia assimétrica requer menor esforço computacional que a simétrica.

A segurança de um sistema criptográfico depende, entre outros fatores: do segredo da guarda da chave ou das chaves; da dificuldade em se adivinhar ou tentar uma a uma as possíveis chaves; da dificuldade de se inverter o algoritmo de cifração sem conhecimento da chave; da existência ou não de formas de uma mensagem cifrada ser decifrada sem conhecimento da chave; da possibilidade de se decifrar uma mensagem cifrada conhecendo-se apenas como parte dela é decifrada; da possibilidade de se conhecer e usar propriedades das mensagens em claro para decifrar mensagens cifradas.

Uma técnica comumente usada na segurança de redes é o estabelecimento de um perímetro de segurança cuja finalidade é controlar o tráfego ingresso na rede e o egresso da rede.

Roteadores de borda, firewalls, IDSs, IPSs e VPNs são alguns dos principais elementos do perímetro de segurança da rede.

Atualmente, os sistemas criptográficos utilizados são incondicionalmente seguros por se basearem na dificuldade de resolução de problemas matemáticos específicos ou em limitações na tecnologia computacional vigente.

Os recursos e os ambientes de desenvolvimento, teste e produção devem interagir permanentemente para a obtenção da compatibilidade e da harmonia pretendida.