Questão de Segurança da Informação — Norma 27005 — CESPE / CEBRASPE 2022
Segurança da Informação›Norma 27005
Código
ce146815
Banca
CESPE / CEBRASPE
Órgão
SEFAZ-SE
Ano
2022
Nível
Superior
Cargo
Auditor Técnico de Tributos (tarde)
De acordo com a ABNT NBR ISO/IEC 27005:2019, na opção de tratamento modificação de risco, o fato de que controles de acesso complexos podem estimular os usuários a buscarem método de acesso alternativo não autorizado está relacionado a restrições para a modificação do risco denominado
Atécnicas.
Btemporais.
Cfacilidades de uso.
Doperacionais.
Eéticas.
Revelar gabarito e comentário▾
GabaritoC — facilidades de uso.
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
NBR ISO/IEC 27005 - Restrições para modificação do risco
Gabarito: letra C. A situação em que controles de acesso complexos incentivam os usuários a buscarem métodos alternativos não autorizados é um exemplo clássico de restrição de facilidades de uso (ease of use), conforme previsto na norma ABNT NBR ISO/IEC 27005:2019 para a opção de tratamento de risco "modificação do risco".
A norma elenca cinco tipos de restrições que podem limitar a implementação de controles na modificação do risco: técnicas, temporais, facilidades de uso, operacionais e éticas. Cada uma aborda um aspecto diferente. A questão testa o conhecimento sobre qual restrição se aplica quando a complexidade dos controles pode gerar comportamentos de contorno pelos usuários.
Tipo de Restrição
Descrição (NBR ISO/IEC 27005)
Relação com o Exemplo (controles complexos)
Facilidades de uso
Impacto da usabilidade dos controles sobre o comportamento dos usuários.
Correta. A complexidade estimula os usuários a buscarem métodos alternativos não autorizados.
Técnicas
Limitações tecnológicas ou de viabilidade técnica (ex.: incompatibilidade).
Incorreta. O exemplo não envolve impossibilidade técnica.
Temporais
Limitações de prazos ou janelas de tempo para implementação.
Incorreta. Não há menção a restrições de tempo.
Operacionais
Limitações de processos, responsabilidades ou procedimentos organizacionais.
Incorreta. O foco não é a operação, mas a reação do usuário.
Éticas
Limitações relacionadas a valores morais ou legais (ex.: privacidade).
Incorreta. Não há dilema ético no exemplo.
Alternativa A — ❌ Incorreta
Técnicas dizem respeito a limitações tecnológicas ou de viabilidade técnica, como incompatibilidade de sistemas ou falta de recursos técnicos. O exemplo não envolve impossibilidade técnica, mas sim consequências do excesso de complexidade na usabilidade.
Alternativa B — ❌ Incorreta
As restrições temporais referem-se a prazos ou janelas de tempo para implementação dos controles. O enunciado não menciona limitações de tempo, e sim o efeito colateral da complexidade sobre o comportamento dos usuários.
Alternativa C — ✅ Correta ⟵ GABARITO
Facilidades de uso (ease of use) abrangem justamente o impacto da usabilidade dos controles. Quando controles de acesso são complexos a ponto de estimular os usuários a buscarem rotas alternativas não autorizadas, a restrição é de facilidade de uso. A norma reconhece que a experiência do usuário é um fator crítico na efetividade dos controles.
Alternativa D — ❌ Incorreta
Restrições operacionais envolvem processos, responsabilidades ou procedimentos organizacionais. O exemplo não trata de como os controles são operados, mas sim da reação dos usuários à complexidade da interface.
Alternativa E — ❌ Incorreta
Restrições éticas estão relacionadas a valores morais ou legais, como privacidade ou conflitos de interesse. A situação descrita não envolve dilema ético, mas sim um problema de design de controles que afeta a usabilidade.
PEGA ESSA DICA!
Para memorizar as cinco restrições da ISO 27005:2019 para modificação do risco, pense na sigla TTFOE: Técnicas, Temporais, Facilidades de uso, Operacionais, Éticas. Em provas, o exemplo de "controles complexos que geram desvios" sempre aponta para Facilidades de uso.