Muitas são as organizações que sugerem estruturas metodológicas para construção de software seguro. A OWASP, uma dessas organizações, promove um framework voltado para este fim. Sobre esse framework, leia as afirmativas a seguir e assinale a alternativa mais adequada a indicar cada uma das fases apresentadas pelas afirmações: I - O objetivo desta fase é identificar e documentar as falhas de segurança que possam se configurar em ameaças. II - Nesta fase o aplicativo é desenvolvido tomando por base o emprego de práticas de codificação seguras. III - Nesta fase o aplicativo é acompanhado passando por monitoramento constante a fim de que sejam detectadas ameaças de segurança.

Alternativa B

A questão aborda as fases do ciclo de vida de desenvolvimento de software seguro, com foco nas diretrizes da OWASP (Open Web Application Security Project). Para responder corretamente, é necessário correlacionar as descrições das atividades com as etapas padrão de segurança na engenharia de software.

Análise Detalhada

Cada afirmativa descreve uma etapa específica do processo de segurança:

• Item I: "Identificar e documentar as falhas de segurança que possam se configurar em ameaças"
• Esta atividade ocorre geralmente no início ou durante o desenho do sistema. O objetivo é entender quais riscos existem antes de escrever o código.
• Isso define a Modelagem de Ameaças (Threat Modeling). Ela visa antecipar problemas de segurança mapeando ativos e vetores de ataque potenciais.
• Item II: "O aplicativo é desenvolvido tomando por base o emprego de práticas de codificação seguras"
• Refere-se à fase onde o código é realmente escrito.
• Utilizar padrões seguros para evitar vulnerabilidades comuns (como injeção SQL, XSS) caracteriza a fase de Implementação (ou Desenvolvimento Seguro).
• Item III: "O aplicativo é acompanhado passando por monitoramento constante a fim de que sejam detectadas ameaças de segurança"
• Refere-se ao período após o software estar em produção.
• O monitoramento contínuo de logs, tráfego e comportamento ocorre após a entrega do produto ao usuário final. Portanto, trata-se da fase de Pós-lançamento (ou Operações/Monitoramento).

Comparativo das Alternativas

Embora a alternativa A esteja próxima, o termo "lançamento" refere-se ao evento de colocar o software no ar. Já o "monitoramento constante" descrito no item III acontece de forma contínua após esse evento, tornando a opção B (pós-lançamento) a terminologicamente mais precisa para a fase de operação e manutenção segura.

Alternativa B.