Questão de Segurança da Informação — Conceitos, Princípios e Atributos da Segurança da Informação — CESPE / CEBRASPE 2023
Segurança da Informação›Conceitos, Princípios e Atributos da Segurança da Informação
Código
ce397841
Banca
CESPE / CEBRASPE
Órgão
DATAPREV
Ano
2023
Cargo
Ana Proc ( )
Acerca de vulnerabilidades e ataques a sistemas computacionais, julgue o item a seguir. A violação do princípio de privilégio mínimo está relacionada a um recurso que deveria estar protegido, mas está disponível para qualquer pessoa.
CCerto
EErrado
Revelar gabarito e comentário▾
GabaritoC — Certo
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Princípio do privilégio mínimo e a violação de confidencialidade
✅ CERTO. A afirmação está correta: a violação do princípio do privilégio mínimo ocorre quando um usuário ou processo recebe mais permissões do que o necessário para suas funções, o que pode resultar em um recurso que deveria estar protegido ficando acessível a pessoas não autorizadas. Esse cenário está diretamente relacionado à quebra do princípio da confidencialidade, que limita o acesso à informação apenas às entidades legítimas.
O princípio do privilégio mínimo (ou least privilege) é um dos pilares da segurança da informação. Ele determina que cada usuário, programa ou processo deve ter apenas as permissões estritamente necessárias para realizar suas tarefas. Quando esse princípio é violado — por exemplo, ao conceder a um funcionário comum acesso administrativo a um sistema —, cria-se uma vulnerabilidade: um recurso que deveria estar protegido (acessível somente a administradores) fica disponível para qualquer pessoa com aquela conta. Essa exposição indevida é uma violação da confidencialidade, que, conforme os conceitos fundamentais da segurança da informação, busca "limitar o acesso à informação tão somente às entidades legítimas".
Na prática, imagine um servidor de arquivos com uma pasta contendo dados financeiros sigilosos. Se um analista de suporte recebe, por engano, permissão de leitura nessa pasta — quando deveria ter acesso apenas à pasta de chamados —, o princípio do privilégio mínimo foi violado. O recurso (a pasta sigilosa) está protegido por definição, mas, devido à configuração incorreta de permissões, tornou-se acessível a alguém não autorizado. É exatamente essa a situação descrita no enunciado: "um recurso que deveria estar protegido, mas está disponível para qualquer pessoa".
A banca explora aqui a relação entre o princípio do privilégio mínimo e a confidencialidade. O candidato pode confundir com outros princípios, como a disponibilidade (que garante acesso quando necessário) ou a integridade (que previne alterações não autorizadas). Mas o caso descrito — recurso protegido acessível a quem não deveria — é a essência da violação de confidencialidade, causada pela concessão excessiva de privilégios. O princípio do privilégio mínimo é justamente a medida preventiva que evita esse tipo de exposição.
Princípio do privilégio mínimo: Definição (Apenas permissões necessárias, Menor acesso possível); Violação (Permissões excessivas, Acesso indevido); Consequência (Quebra da confidencialidade, Recurso protegido exposto)
NÃO CAIA NESSA!
A banca troca o princípio do privilégio mínimo pela simples ideia de "recurso disponível", fazendo o candidato pensar em disponibilidade. Mas o foco está no acesso indevido: o recurso está protegido, porém acessível a quem não deveria — isso é violação de confidencialidade, não de disponibilidade. A disponibilidade garante acesso a quem é autorizado; aqui, o problema é justamente o acesso de quem não é.
PEGA ESSA DICA!
Para questões sobre princípios da segurança da informação, associe cada princípio a uma pergunta-chave: Confidencialidade → "quem pode acessar?" · Integridade → "os dados foram alterados?" · Disponibilidade → "o recurso está acessível quando necessário?" · Autenticidade → "quem enviou?" · Não repúdio → "pode negar a autoria?". Quando o enunciado falar em "recurso protegido, mas acessível a qualquer pessoa", a resposta é sempre confidencialidade.