Alternativa 1 e 2 - Identificar dados detectados e classificá-los / Identificar funções, usuários e políticas autorizadas.
Análise da Questão
Esta questão aborda os fundamentos da Gestão de Segurança da Informação. Para proteger dados privados, um engenheiro de segurança deve seguir uma abordagem estratégica que prioriza o conhecimento do ambiente e o controle de acesso.
Por que estas são as respostas corretas?
- Identificar dados detectados e classificá-los:
- Conceito: A classificação de dados é o passo zero da segurança. Você não consegue proteger o que não conhece.
- Importância: Ao classificar os dados (ex: confidenciais, internos, públicos), a organização decide quais medidas de proteção aplicar. Dados sensíveis exigem proteções mais rigorosas do que dados públicos.
- Analogia: É como organizar uma casa. Antes de trancar as portas, você precisa saber quais cômodos contêm joias (dados valiosos) e quais contêm lixo comum (dados sem valor).
- Identificar funções, usuários e políticas autorizadas:
- Conceito: Isso refere-se ao Controle de Acesso e à Gestão de Identidade.
- Importância: A segurança depende de saber quem tem permissão para acessar o quê. Definir funções (papéis) e políticas garante o Princípio do Menor Privilégio, onde o usuário só acessa o estritamente necessário para sua função.
- Analogia: São as chaves e as listas de convidados. Você precisa saber quem é autorizado a entrar na sala forte e quais regras eles devem seguir.
Por que as outras opções estão incorretas?
| Opção | Motivo da Incorreção |
|---|
| Configurar SNMP em switches | O SNMP (Simple Network Management Protocol) é usado para monitoramento de rede. Embora útil para administração, configurar isso em todos os switches não protege diretamente os dados privados. Além disso, o SNMP mal configurado pode ser uma vulnerabilidade de segurança. |
| Criptografar todos os documentos | Criptografar todos os documentos indiscriminadamente é ineficiente e pode prejudicar a usabilidade. Dados públicos (como materiais de marketing) não precisam de criptografia. A criptografia deve ser aplicada baseada na classificação (opção 1), não cegamente. |
Conclusão
A proteção eficaz de dados baseia-se primeiro na governança (saber o que temos e quem pode acessar) antes de implementar controles técnicos específicos. Portanto, as tarefas fundamentais são classificar os ativos de informação e gerenciar os acessos aos mesmos.