A respeito de segurança da informação, julgue o item a seguir.
Na arquitetura zero trust, nenhuma tentativa de acesso deve ser confiada por padrão, independentemente de ela vir de dentro ou de fora do perímetro da rede.
GabaritoC — Certo
✅ CERTO. A afirmação está correta: na arquitetura zero trust, nenhuma tentativa de acesso é confiada por padrão, independentemente de vir de dentro ou de fora do perímetro da rede. Esse é o princípio fundamental do modelo, sintetizado na máxima "nunca confiar, sempre verificar" — a confiança implícita da rede interna é eliminada, e todo acesso, inclusive de usuários internos, exige autenticação e autorização contínuas.
O modelo Zero Trust (ou Confiança Zero) é uma arquitetura de segurança que parte da premissa de que a rede corporativa não é um ambiente confiável por si só. Em vez de confiar em tudo que está "dentro do perímetro" e desconfiar do que está "fora", o Zero Trust trata cada solicitação de acesso como potencialmente maliciosa, exigindo verificação explícita e contínua. Isso contrasta com o modelo tradicional de segurança baseado em perímetro, onde, uma vez dentro da rede, o usuário ou dispositivo frequentemente gozava de ampla confiança e acesso.
O princípio central é o de acesso mínimo (least privilege): conceder apenas o mínimo de permissões necessário para a execução de uma tarefa, e sempre após autenticação e autorização rigorosas. A verificação é contínua e explícita, baseada em múltiplos fatores, como identidade do usuário, localização, tipo de dispositivo, comportamento e horário. Além disso, o modelo adota a premissa de "presumir violação": atuar como se a rede já tivesse sido comprometida, monitorando, segmentando e limitando o impacto de possíveis ataques.
Na prática, o Zero Trust é implementado com componentes como o Policy Decision Point (PDP), que decide se o acesso é permitido, e o Policy Enforcement Point (PEP), que aplica a decisão, controlando o tráfego entre o usuário e o recurso. A arquitetura também se beneficia da microssegmentação, que divide a rede em zonas menores, dificultando a movimentação lateral de um atacante.
A banca explora aqui um ponto crucial: a confiança não é baseada na localização física ou lógica do usuário (se está na rede interna ou na internet), mas sim na identidade e no contexto da solicitação. O NIST SP 800-207, publicação de referência sobre arquitetura zero trust, define que não há confiança implícita concedida a ativos ou contas de usuário com base apenas em sua localização física ou de rede. Portanto, a afirmação do enunciado está em perfeita consonância com o modelo.
A banca pode tentar confundir o candidato ao afirmar que o zero trust confia em acessos vindos de dentro da rede, ou que a confiança é baseada no perímetro. Lembre-se: no zero trust, a confiança é sempre verificada, independentemente da origem. A pegadinha clássica é inverter o princípio, sugerindo que acessos internos são confiáveis por padrão.
A afirmação está correta porque descreve exatamente o princípio fundamental do zero trust: nenhuma tentativa de acesso é confiada por padrão, seja ela originada de dentro ou de fora do perímetro da rede. O modelo elimina a confiança implícita da rede interna, tratando todos os acessos como potencialmente não confiáveis até que sejam verificados. Isso é o que diferencia o zero trust do modelo tradicional de segurança baseado em perímetro, onde a localização na rede interna era frequentemente suficiente para conceder acesso.
Gabarito: letra C
Link permanente: /questoes/ce390742