Questão de Segurança da Informação — Zero Trust (Modelo de Confiança Zero) — CESPE / CEBRASPE 2026
Segurança da Informação›Zero Trust (Modelo de Confiança Zero)
Código
ce390565
Banca
CESPE / CEBRASPE
Órgão
TCU
Ano
2026
Cargo
AUFC ( )
Acerca de modelos de controle de acesso e das arquiteturas de segurança RBAC (Role-Based Access Control) e Zero Trust, julgue o item a seguir. Na arquitetura Zero Trust, usuários conectados por VPN corporativa são tratados como confiáveis por padrão, uma vez que, nesse modelo, a confiança é eliminada independentemente da origem da conexão, incluído o perímetro da rede interna, exigindo-se autenticação contínua e validação de acesso a cada recurso.
CCerto
EErrado
Revelar gabarito e comentário▾
GabaritoE — Errado
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Arquitetura Zero Trust e a confiança implícita da VPN
❌ ERRADO. Na arquitetura Zero Trust, usuários conectados por VPN corporativa não são tratados como confiáveis por padrão; pelo contrário, o modelo elimina a confiança implícita independentemente da origem da conexão — inclusive dentro do perímetro da rede interna — exigindo autenticação contínua e validação de acesso a cada recurso. A afirmação do enunciado contradiz frontalmente o princípio central do Zero Trust: "nunca confiar, sempre verificar".
O Zero Trust (ou Confiança Zero) é um modelo de segurança que parte da premissa de que nenhum usuário, dispositivo ou aplicação deve ser confiável por padrão, mesmo que já esteja dentro da rede corporativa. A confiança implícita que tradicionalmente se concedia a quem estava "dentro do perímetro" é eliminada: todo acesso, de qualquer origem, deve ser verificado continuamente. Isso significa que uma VPN, que historicamente era vista como um túnel seguro que "trazia" o usuário remoto para dentro da rede confiável, não confere mais status de confiança automática no modelo Zero Trust.
O princípio fundamental é o de acesso mínimo (least privilege) e verificação contínua e explícita: autenticar e autorizar sempre, com base em múltiplos fatores (localização, dispositivo, comportamento). O Zero Trust também adota o princípio de presumir violação — atuar como se a rede já tivesse sido comprometida, monitorando, segmentando e limitando o impacto. Por isso, mesmo um usuário conectado via VPN corporativa é tratado como potencial risco e precisa ser autenticado e autorizado a cada tentativa de acesso a um recurso específico.
Na prática, isso se traduz em controles como autenticação multifator (MFA), microssegmentação de rede, firewalls baseados em identidade e aplicação, e monitoramento contínuo de comportamento (UEBA). A VPN, no Zero Trust, deixa de ser o "portal de confiança" e passa a ser apenas mais um vetor de acesso que deve ser tratado com o mesmo rigor de qualquer outro.
A pegadinha da banca está em inverter o princípio: ela afirma que a VPN torna o usuário confiável por padrão, quando o Zero Trust faz exatamente o oposto — elimina a confiança implícita da rede interna e exige verificação contínua para todos, independentemente da origem da conexão.
Zero Trust
1Princípio central
Nunca confiar, sempre verificar
Confiança implícita eliminada
Presumir violação
2Aplicação
Qualquer origem (inclusive rede interna)
VPN não confere confiança automática
Verificação contínua a cada recurso
3Controles
MFA
Microssegmentação
Monitoramento de comportamento (UEBA)
LEVEL · soulevel.com.br
NÃO CAIA NESSA!
A banca tenta confundir o candidato ao sugerir que a VPN corporativa confere confiança automática no Zero Trust. Na verdade, o modelo elimina a confiança implícita de qualquer origem — inclusive da rede interna — e exige autenticação contínua e validação de acesso a cada recurso. O termo "confiáveis por padrão" é o gatilho do erro: no Zero Trust, ninguém é confiável por padrão.