GabaritoE — Errado
❌ ERRADO. A afirmação está incorreta porque, embora a segurança deva continuar após a implantação, a responsabilidade por responder a incidentes de segurança não é uma atribuição específica da fase de suporte e manutenção do ciclo de vida de desenvolvimento seguro — ela é uma função contínua e transversal da organização, geralmente exercida por um CSIRT (Computer Security Incident Response Team) ou equipe de resposta a incidentes, que atua independentemente das fases do desenvolvimento. O gabarito oficial é a letra E.
O ciclo de vida de desenvolvimento seguro (SDL – Security Development Lifecycle) é uma abordagem que integra práticas de segurança em todas as fases do desenvolvimento de software, desde a concepção até a descontinuação. As fases típicas incluem: treinamento, requisitos, design, implementação, verificação, lançamento e, finalmente, suporte e manutenção. Cada fase tem responsabilidades específicas de segurança. Na fase de suporte e manutenção, por exemplo, espera-se que haja monitoramento contínuo, aplicação de patches e atualizações de segurança, e gestão de vulnerabilidades.
No entanto, a criação de um time ou grupo responsável por respostas a incidentes de segurança não é uma atividade exclusiva ou característica dessa fase. A resposta a incidentes é uma função de segurança da informação que deve existir de forma permanente na organização, independentemente do ciclo de vida de desenvolvimento. O CSIRT, por exemplo, é uma equipe dedicada que opera continuamente, preparando-se, detectando, contendo, erradicando e recuperando-se de incidentes, conforme as melhores práticas como as do SANS Institute ou da norma ISO/IEC 27035. Essa equipe não é "estabelecida" na fase de suporte e manutenção de um projeto de software; ela é uma estrutura organizacional que existe para proteger todos os ativos da organização, incluindo, mas não se limitando, aos softwares em produção.
A pegadinha da banca está em associar a resposta a incidentes à fase de suporte e manutenção, quando na verdade essa é uma atividade contínua e independente. O candidato pode ser levado a pensar que, como a fase de suporte envolve a operação do software, a resposta a incidentes seria uma atribuição dessa fase. Mas a resposta a incidentes é uma função de segurança mais ampla, que não se limita a uma fase específica do desenvolvimento. Ela é acionada quando um incidente ocorre, independentemente de qual fase do ciclo de vida o software esteja.
Para ilustrar: imagine que uma empresa desenvolve um sistema de pagamento. Durante a fase de suporte e manutenção, um atacante explora uma vulnerabilidade e compromete o sistema. A equipe de resposta a incidentes (CSIRT) é acionada para conter o ataque, erradicar a ameaça e recuperar o sistema. Essa equipe não foi criada na fase de suporte; ela já existia na organização, com políticas, procedimentos e treinamento definidos na fase de preparação da gestão de incidentes. A fase de suporte e manutenção pode ter a responsabilidade de aplicar o patch que corrige a vulnerabilidade, mas a resposta ao incidente em si é do CSIRT.
Portanto, a afirmação de que "na fase de suporte e manutenção, deve ser estabelecido um time ou grupo responsável por respostas a incidentes de segurança" é incorreta, pois a resposta a incidentes é uma função contínua e não uma atividade específica dessa fase. O que se espera na fase de suporte é a manutenção da segurança do software, mas a estrutura de resposta a incidentes é organizacional e permanente.
A banca tenta fazer o candidato acreditar que a resposta a incidentes é uma atividade da fase de suporte e manutenção, quando na verdade é uma função contínua e independente do ciclo de vida de desenvolvimento. O CSIRT, por exemplo, é uma equipe permanente que atua em todas as fases, não apenas na manutenção. Fique atento: a resposta a incidentes é uma estrutura organizacional, não uma etapa do SDL.
Para questões sobre ciclo de vida de desenvolvimento seguro, lembre-se de que cada fase tem responsabilidades específicas, mas a segurança é uma preocupação transversal. A resposta a incidentes é uma função contínua, geralmente atribuída a um CSIRT, e não a uma fase específica. Associe a fase de suporte e manutenção a atividades como monitoramento, patches e gestão de vulnerabilidades, mas não à criação de equipes de resposta a incidentes.
Gabarito: letra E
Link permanente: /questoes/ce397914