Em relação à segurança da informação e aos controles de acesso físico e lógico, considere: Se um usuário não mais faz parte da lista de grupos de acesso aos recursos de processamento da informação, é certo que o grupo seja extinto com a criação de um novo, contendo os usuários remanescentes. II. Direitos de acesso (físicos e lógicos) que não foram aprovados para um novo trabalho devem ser retirados ou adaptados, incluindo chaves e qualquer tipo de identificação que associe a pessoa ao novo projeto. III. O acesso às áreas em que são processadas ou armazenadas informações sensíveis deve ser controlado e restrito a pessoas autorizadas, preferencialmente por controles de autenticação, por exemplo, cartão de controle de acesso mais PIN (personal identification number).

Análise da Questão

A questão aborda conceitos fundamentais de Segurança da Informação, especificamente focados na gestão de identidades, controles de acesso físico e lógico.

Avaliação das Afirmações

Item I: Incorreto.

"Se um usuário não mais faz parte da lista de um grupo de acesso... é certo que o grupo seja extinto..."

• Raciocínio: Na administração de sistemas e segurança, quando um usuário deixa um grupo, a prática padrão é simplesmente remover esse usuário do grupo existente, e não extinguir o grupo inteiro para criar um novo.
• Motivo: Extinguir e recriar grupos é ineficiente, aumenta a chance de erros humanos durante a migração de permissões e viola princípios de eficiência operacional. O sistema deve permitir a edição direta dos membros de um grupo sem precisar apagar a estrutura original.

Item II: Correto.

"Direitos de acesso... que não foram aprovados para um novo trabalho devem ser retirados ou adaptados..."

• Raciocínio: Isso reflete o Princípio do Menor Privilégio e a necessidade de revisão periódica de acessos.
• Contexto: Quando um colaborador muda de função ou projeto, seus acessos anteriores podem não ser necessários e podem representar riscos de segurança (excesso de privilégios). Portanto, é obrigatório revisar e desativar/ajustar credenciais físicas (chaves) e lógicas (senhas/permissões) para garantir que ele tenha acesso apenas ao necessário para a nova atividade.

Item III: Correto.

"O acesso às áreas em que são processadas ou armazenadas informações sensíveis deve ser controlado... por exemplo, cartão de acesso mais PIN..."

• Raciocínio: Para proteção de ativos críticos, utiliza-se Autenticação Forte ou Múltiplos Fatores.
• Exemplo: O uso de cartão (algo que você tem) combinado com PIN (algo que você sabe) é uma forma clássica de autenticação multifator. Isso reduz drasticamente o risco de acesso não autorizado, pois um invasor precisaria de ambos os elementos para entrar na área sensível.

Conclusão

Com base na análise acima:

• Item I está errado.
• Item II está correto.
• Item III está correto.

Portanto, as afirmações corretas são apenas II e III.

Alternativa D