Para conseguirmos garantir que os dados sejam seguros, precisamos de um gerenciador deles que ofereça segurança. Esse gestor é o que chamamos de software seguro que pode ter diversas funcionalidades para o armazenamento e visualização e processamento dos dados. Neste sentido, selecione a opção correta que viabiliza desenvolver um código seguro. A avaliação de riscos em segurança da informação envolve identificar ameaças, vulnerabilidades e os possíveis impactos sobre os ativos de informação. Nesse contexto, assinale a alternativa que melhor descreve o objetivo principal desse processo.

Question

Para conseguirmos garantir que os dados sejam seguros, precisamos de um gerenciador deles que ofereça segurança. Esse gestor é o que chamamos de software seguro que pode ter diversas funcionalidades para o armazenamento e visualização e processamento dos dados. Neste sentido, selecione a opção correta que viabiliza desenvolver um código seguro.

A avaliação de riscos em segurança da informação envolve identificar ameaças, vulnerabilidades e os possíveis impactos sobre os ativos de informação. Nesse contexto, assinale a alternativa que melhor descreve o objetivo principal desse processo.

Através de diversos testes antes de entregar o software para o usuário final.
Com o uso de técnicas de embaralhamento de código que dificultam o entendimento deles por parte de invasores.
Deixar que o próprio programa trate os erros e os exiba para o usuário final.
Fazer uso de códigos obtidos em fóruns na Internet sem realizar testes.
Através da aplicação de práticas de codificação segura.
Eliminar todos os riscos associados ao sistema, garantindo segurança total.
Definir políticas de senha para impedir qualquer tipo de invasão ao sistema.
Estimar a probabilidade e o impacto de possíveis incidentes, permitindo priorizar ações de segurança.
Aumentar o número de controles de acesso para evitar comportamentos indevidos dos usuários.
Substituir auditorias periódicas, já que a avaliação de riscos cobre todas as necessidades de segurança.

Sapien IA · Accepted Answer

Esta análise aborda dois tópicos fundamentais de Segurança da Informação: Desenvolvimento Seguro de Software e Gestão de Riscos. Abaixo, apresento a resolução detalhada de cada questão.

Análise da Questão 5

Alternativa E - Através da aplicação de práticas de codificação segura.

Justificativa Didática

A questão foca na garantia de segurança dos dados através de um gerenciador seguro e do desenvolvimento de um código seguro. Vamos analisar os princípios envolvidos:

Desenvolvimento Seguro (DevSecOps): Para garantir que um software seja seguro, a segurança deve ser integrada desde a fase de design e codificação, não apenas testada no final.
Práticas de Codificação Segura: Envolvem regras e técnicas para evitar falhas comuns como injeção de SQL, cross-site scripting (XSS), e vazamento de memória.

Por que as outras alternativas estão incorretas?

Alternativa	Motivo da Incorreção
A	Testes são parte do ciclo, mas não garantem segurança se o código já nascer vulnerável.
B	Ofuscação (embaralhar código) esconde a lógica, mas não corrige falhas de segurança reais.
C	Exibir erros técnicos ao usuário final pode revelar informações internas valiosas para invasores.
D	Código de fontes desconhecidas sem testes introduz backdoors e vulnerabilidades graves.

Portanto, a única maneira viável e robusta de viabilizar um código seguro é através da aplicação sistemática de boas práticas de codificação.

Análise da Questão 6

Alternativa C - Estimar a probabilidade e o impacto de possíveis incidentes, permitindo priorizar ações de segurança.

Justificativa Didática

A questão trata da Avaliação de Riscos, um pilar da gestão de segurança da informação. O processo envolve identificar ativos, ameaças e vulnerabilidades.

O objetivo principal não é eliminar tudo (impossível), mas sim gerenciar o risco de forma eficiente.

Fórmula Básica de Risco:
$R = Probabilidade \times Impacto$

Ao calcular essa equação, a organização consegue criar uma matriz de riscos onde:

Alta Probabilidade + Alto Impacto: Requer ação imediata.
Baixa Probabilidade + Baixo Impacto: Pode ser aceito ou monitorado.

Por que as outras alternativas estão incorretas?

Alternativa	Motivo da Incorreção
A	Não é possível eliminar todos os riscos. O objetivo é reduzir para um nível aceitável.
B	Políticas de senha são controles específicos, não o escopo de toda a avaliação de riscos.
D	Aumentar controles é uma consequência da avaliação, não o objetivo do processo analítico.
E	Avaliação de riscos e auditorias são processos distintos e complementares, não substitutos.

Assim, a alternativa C descreve corretamente o propósito de classificar e priorizar os riscos para otimizar o investimento em segurança.

Explicação passo a passo

Análise da Questão 5

Justificativa Didática

Análise da Questão 6

Justificativa Didática

Mais questões de Engenharia

Tem outra questão de Engenharia?