Análise das Questões de Segurança da Informação
Abaixo apresento a resolução detalhada para as duas questões presentes na imagem, focando nos conceitos fundamentais de gestão de riscos e engenharia de software seguro.
1. Avaliação de Riscos em Segurança da Informação
Alternativa C
Análise do Enunciado:
A questão aborda o processo de avaliação de riscos, que é um pilar central da segurança da informação. O objetivo não é garantir uma segurança absoluta, mas sim gerenciar os riscos de forma inteligente.
Por que a Alternativa C está correta?
- Objetivo Principal: A avaliação de riscos visa identificar ameaças, vulnerabilidades e ativos para calcular a probabilidade de ocorrência e o impacto potencial.
- Priorização: Com esses dados (Probabilidade x Impacto), a organização pode decidir quais riscos aceitar, mitigar, transferir ou evitar, priorizando as ações mais críticas.
- Gerenciamento: Isso permite alocação eficiente de recursos para proteger o que é mais importante.
Por que as outras estão incorretas?
- A: É impossível eliminar todos os riscos; o objetivo é reduzi-los a um nível aceitável.
- B e D: São medidas de controle específicas (políticas e acesso), não o objetivo geral da avaliação.
- E: Auditorias e avaliações de risco são complementares; uma não substitui a outra.
2. Princípios de Design de Software Seguro
Alternativa B
Análise do Enunciado:
Esta questão foca em princípios de engenharia de software seguro, especificamente sobre como organizar o código e a arquitetura para aumentar a segurança.
Por que a Alternativa B está correta?
- Defesa em Profundidade (Defense in Depth): Este princípio preconiza o uso de múltiplas camadas de segurança. Se uma camada falhar, a próxima deve oferecer proteção.
- Camadas e Responsabilidades: A descrição "programação em camadas com atribuição de responsabilidades específicas" refere-se à criação de barreiras distintas (ex: firewall, autenticação, criptografia, validação de entrada) onde cada camada tem uma função específica na defesa do sistema.
Comparativo dos Conceitos:
| Princípio | Foco Principal |
|---|
| Privilégio Mínimo | Restringir permissões ao estritamente necessário. |
| Defesa em Profundidade | Múltiplas camadas de controle (resposta correta). |
| Separação de Funções | Dividir tarefas para evitar conflito de interesses ou erros únicos. |
Conclusão:
O conceito chave aqui é a palavra "camadas", que define inequivocamente a estratégia de Defesa em Profundidade.
Resumo Final
Ambas as questões testam conceitos teóricos essenciais para certificações e concursos da área de TI:
- Gestão de Riscos: Foca na análise de probabilidade e impacto para priorizar ações (Alternativa C).
- Arquitetura Segura: Utiliza múltiplas camadas de proteção (Alternativa B).