Questão de Segurança da Informação — Questões Mescladas de Autenticação e Controle de Acesso — CESPE / CEBRASPE 2026

Princípio do menor privilégio e redução de superfície de ataque em nuvem pública

✅ CERTO. A afirmação está correta: aplicar o princípio do menor privilégio na configuração de controles de acesso de serviços gerenciados em nuvem pública reduz a superfície de ataque, pois limita as permissões ao mínimo necessário para cada função, diminuindo as possibilidades de exploração por um atacante que comprometa uma identidade ou um serviço.

O princípio do menor privilégio (ou privilégio mínimo) é um pilar fundamental da segurança da informação. Ele determina que cada usuário, processo ou serviço deve ter apenas as permissões estritamente necessárias para executar suas funções legítimas — nada além disso. Em um ambiente de nuvem pública, isso se traduz em configurar políticas de acesso granulares (como as baseadas em papéis — RBAC, ou em atributos — ABAC) para que, por exemplo, uma aplicação que só precisa ler dados de um bucket de armazenamento não tenha permissão de escrita ou exclusão, e um serviço de banco de dados não tenha acesso à rede inteira.

A relação com a superfície de ataque é direta: quanto mais permissões uma identidade ou serviço possui, maior é o dano potencial caso ele seja comprometido. Se um atacante obtém acesso a uma credencial com privilégios excessivos, ele pode se mover lateralmente, acessar dados sensíveis, modificar configurações ou destruir recursos. Ao restringir os privilégios ao mínimo, cada ponto de entrada comprometido oferece ao atacante um leque muito menor de ações possíveis, reduzindo efetivamente a área exposta a ataques. Essa é uma prática recomendada por frameworks de segurança como o NIST e a ISO/IEC 27002, que listam o controle de privilégios como uma medida essencial de hardening e de proteção de sistemas.

Na prática, considere um serviço de computação em nuvem (IaaS) que hospeda uma aplicação web. Se a máquina virtual que roda a aplicação tiver permissões de administrador sobre toda a conta da nuvem, um atacante que explore uma vulnerabilidade na aplicação poderá, por exemplo, criar novas máquinas, acessar todos os bancos de dados ou apagar backups. Se, ao contrário, a máquina virtual tiver apenas as permissões necessárias para executar a aplicação e se comunicar com o banco de dados específico, o atacante ficará confinado àquele recurso, e o dano potencial será muito menor. A configuração de controles de acesso no nível dos serviços gerenciados (como bancos de dados, filas de mensagens, ou funções serverless) segue a mesma lógica: cada serviço deve ter permissões mínimas para interagir com os demais.

A pegadinha que a banca poderia explorar seria inverter a lógica: afirmar que o menor privilégio aumenta a superfície de ataque, ou que ele se aplica apenas a usuários humanos, e não a serviços. A questão, no entanto, está alinhada com o conceito correto e com as boas práticas de segurança em nuvem. Guarde a relação: menor privilégio → menos permissões → menor superfície de ataque → menor risco. É exatamente esse encadeamento que a assertiva descreve.

✅ CERTO.