Questão de Segurança da Informação — Análise de Vulnerabilidade e Gestão de Riscos — CESPE / CEBRASPE 2026

Vulnerabilidade ainda não explorada

Gabarito: letra E. A situação descrita (servidores utilizando senhas fracas, sem registro de acesso indevido ou dano) caracteriza uma vulnerabilidade ainda não explorada – uma fraqueza que pode ser usada por uma ameaça, mas que até o momento não foi alvo de exploração. Esse conceito é central na segurança da informação: vulnerabilidade é a fraqueza; ameaça é o agente que pode explorá-la; risco é a probabilidade de que isso ocorra; incidente é o evento concreto de dano.

O material de apoio define claramente:

• Vulnerabilidades: "são fraquezas que podem ser usadas para nos prejudicar. Em essência, são buracos que podem ser explorados por ameaças para nos causar danos."

• Ameaças: "algo que tem o potencial de causar danos."

• Riscos: "probabilidade de que algo ruim aconteça. Dito de outro modo, é o potencial de perda, dano ou destruição de um ativo como resultado de uma ameaça que explora uma vulnerabilidade."

• Impactos: "grau de dano causado por uma ameaça."

Assim, a senha fraca é uma vulnerabilidade (fraqueza). Como não houve exploração, ainda não se tornou um incidente, nem gerou impacto. O risco existe, mas não se materializou. A alternativa correta é a que identifica essa vulnerabilidade como "ainda não explorada".

Alternativa A — ❌ Incorreta

Afirma que é um "risco inexistente, por ausência de dano". O risco independe de dano já ocorrido; ele é a probabilidade de que um dano venha a ocorrer. A existência da vulnerabilidade (senha fraca) já configura um risco potencial, mesmo que ainda não tenha sido explorado.

Alternativa B — ❌ Incorreta

Considera a situação um "incidente de segurança da informação". Incidente requer a ocorrência concreta de um evento adverso (acesso indevido, dano). Aqui não houve registro de acesso indevido ou dano; portanto, não há incidente.

Alternativa C — ❌ Incorreta

Diz que é um "impacto operacional já materializado". Impacto é o dano efetivo causado por uma ameaça. Como não houve dano, o impacto não se materializou.

Alternativa D — ❌ Incorreta

Aponta uma "ameaça externa concretizada". Ameaça é um agente potencial de dano (ex.: um hacker). A fraqueza (senha fraca) é uma vulnerabilidade, não uma ameaça. Além disso, a ameaça não se concretizou, pois não houve exploração.

Alternativa E — ✅ Correta ⟵ GABARITO

Identifica corretamente a situação como "uma vulnerabilidade ainda não explorada". A senha fraca é a fraqueza (vulnerabilidade); o fato de não ter sido explorada significa que a vulnerabilidade existe, mas ainda não foi utilizada por uma ameaça para causar danos.

Gabarito: letra E.