Qual é a definição de "vulnerabilidade" na segurança da informação?

Alternativa D - Uma fragilidade de um ativo que pode ser explorada por ameaças.

Introdução ao Conceito

Na Segurança da Informação, é fundamental distinguir termos técnicos que são frequentemente confundidos em provas e concursos. O termo "vulnerabilidade" refere-se especificamente a uma falha ou fraqueza no sistema.

Para entender corretamente, precisamos visualizar como os conceitos se relacionam:

• Ativo: Algo que tem valor (dados, servidores, pessoas).
• Ameaça: Um agente ou situação capaz de causar dano.
• Vulnerabilidade: O ponto fraco que permite que a ameaça atinja o ativo.

Desenvolvimento Didático

A definição técnica mais aceita globalmente, baseada em normas como a ISO/IEC 27000, descreve vulnerabilidade como uma fraqueza de um ativo ou de seus controles associados que pode ser explorada por uma ou mais ameaças.

Isso significa que uma vulnerabilidade sozinha não causa dano imediato; ela precisa ser "ativada" por uma ameaça. Imagine um portão trancado com uma fechadura velha (vulnerabilidade). Se alguém tentar arrombar (ameaça), o portão será aberto. Se ninguém tentar nada, o problema existe, mas o dano não ocorre.

Análise das Alternativas

Vamos dissecar cada opção para identificar o erro conceitual nelas:

• Alternativa A (Incorreta): "Uma causa potencial de um incidente indesejado" descreve uma Ameaça. Ameaças são os agentes externos ou internos que buscam explorar as falhas.
• Alternativa B (Incorreta): "Uma mudança não desejável nos objetivos de negócios" refere-se ao impacto do risco ou a um desvio estratégico, não à falha técnica específica.
• Alternativa C (Incorreta): "Uma medida que pode modificar o risco" define um Controle (ou Tratamento de Risco). Controles são implementados justamente para reduzir vulnerabilidades.
• Alternativa D (Correta): "Uma fragilidade de um ativo que pode ser explorada por ameaças" é a definição exata. Ela conecta a fraqueza interna (fragilidade) com a possibilidade externa de ataque (ameaça).
• Alternativa E (Incorreta): "Um evento indesejado que compromete a segurança da informação" é a definição de Incidente de Segurança. O incidente é a materialização do risco quando a vulnerabilidade é explorada com sucesso.

Conclusão

Portanto, a alternativa correta é a D, pois identifica a vulnerabilidade como a falha intrínseca ("fragilidade") que abre porta para possíveis ataques ("explorada por ameaças").