Questão de Segurança da Informação — Práticas de Segurança e Ameaças em Programação — CESPE / CEBRASPE 2023

Security by Design e Privacy by Design: princípios de concepção

❌ ERRADO. O princípio security by design (segurança desde a concepção) deve ser implementado durante todas as fases do ciclo de vida de desenvolvimento do produto, e não apenas após a fase de design. A segurança deve ser incorporada desde a concepção, no design, na implementação, nos testes e na manutenção — é um princípio proativo, não reativo. A afirmação do enunciado inverte essa lógica, sugerindo que a segurança é algo a ser adicionado depois, o que contraria a essência do conceito.

O conceito de security by design (e seu correlato privacy by design) nasce da ideia de que segurança e privacidade não podem ser tratadas como um "adendo" ou uma camada adicional aplicada ao final do desenvolvimento. Pelo contrário: devem ser requisitos fundamentais considerados desde o início, na fase de concepção e design do produto. Isso significa que a arquitetura do sistema, a escolha das tecnologias, o modelo de dados e até mesmo a experiência do usuário devem ser pensados já com a segurança e a privacidade como diretrizes centrais.

A norma ABNT NBR ISO/IEC 27002, em seu controle A.14.2.5, estabelece que "princípios para projetar sistemas seguros devem ser estabelecidos, documentados, mantidos e aplicados para qualquer implementação de sistemas de informação". Isso reforça que a segurança é parte integrante do projeto, não uma etapa posterior. Da mesma forma, o controle A.14.1.1 determina que os requisitos de segurança da informação devem ser incluídos nos requisitos para novos sistemas ou melhorias dos existentes — ou seja, desde a especificação inicial.

Na prática, um exemplo claro: ao desenvolver um aplicativo de banco, a equipe deve definir desde o design como os dados serão criptografados, como será feita a autenticação do usuário e como as permissões de acesso serão estruturadas. Se a segurança fosse aplicada apenas após o design, seria necessário redesenhar o sistema, o que é caro, ineficiente e deixa brechas exploráveis. O security by design busca exatamente evitar esse retrabalho, incorporando a segurança como um atributo intrínseco do produto.

A distinção que importa aqui é entre security by design (segurança desde a concepção) e security by default (segurança por padrão). Enquanto o primeiro exige que a segurança seja considerada em todas as fases do desenvolvimento, o segundo determina que o produto já venha configurado de forma segura por padrão, sem exigir que o usuário tome ações adicionais para se proteger. Ambos são complementares e devem ser aplicados em conjunto, mas a questão cobra especificamente o primeiro.

A pegadinha da banca está em inverter o momento de aplicação do princípio: o candidato que não conhece o conceito pode aceitar que a segurança é algo a ser implementado "após" o design, quando na verdade ela deve estar presente desde a concepção. O termo "design" no nome do princípio não indica uma fase posterior, mas sim que a segurança é parte do próprio design.

Guarde a fronteira: security by design = segurança integrada ao longo de todo o ciclo de vida (concepção, design, implementação, testes, manutenção); security by default = configuração segura padrão. É exatamente essa distinção que a questão explora.

Item — ❌ ERRADO ⟵ GABARITO

A afirmação está incorreta porque o security by design deve ser implementado durante a fase de design e em todas as demais fases do ciclo de vida, não apenas após ela. O princípio exige que a segurança seja considerada desde a concepção do produto, como um requisito fundamental, e não como uma etapa posterior. A banca inverteu o momento de aplicação do princípio, transformando uma prática proativa em reativa.

ABNT NBR ISO/IEC 27002:

A.14.2.5 — "Princípios para projetar sistemas seguros devem ser estabelecidos, documentados, mantidos e aplicados para qualquer implementação de sistemas de informação."

O controle citado demonstra que os princípios de segurança devem ser aplicados no projeto (design) do sistema, e não depois. A segurança é parte integrante do ciclo de vida de desenvolvimento, conforme também estabelece o objetivo do controle A.14.2: "Garantir que a segurança da informação está projetada e implementada no ciclo de vida de desenvolvimento dos sistemas de informação".

Gabarito: ❌ ERRADO