Questão de Segurança da Informação — Conceitos Gerais de Autenticação e Controle de Acesso — CESPE / CEBRASPE 2024

Segurança da Informação: conceito e abrangência

Gabarito: letra C. O conjunto de medidas que visa assegurar a disponibilidade, a integridade, a confidencialidade e a autenticidade das informações é o controle de segurança da informação, pois a segurança da informação é exatamente a disciplina que protege esses atributos (pilares) da informação. As demais opções são mecanismos ou subconjuntos que contribuem para a segurança, mas não a definem em sua totalidade.

A segurança da informação é um campo multidisciplinar que busca proteger os dados e informações de uma organização contra ameaças, garantindo que eles permaneçam disponíveis, íntegros, confidenciais e autênticos. Esses quatro atributos — conhecidos como pilares ou princípios da segurança da informação — são o núcleo do conceito. A confidencialidade limita o acesso apenas a entidades autorizadas; a integridade garante que a informação não seja alterada indevidamente; a disponibilidade assegura que a informação esteja acessível quando necessário; e a autenticidade confirma a origem e a veracidade da informação.

A norma ABNT NBR ISO/IEC 27002, que é a principal referência para boas práticas de segurança da informação, define controles de segurança que visam exatamente proteger esses atributos. Esses controles podem ser físicos (como trancas e câmeras), lógicos (como senhas e criptografia), processuais (como políticas e procedimentos) ou regulatórios (como leis e normas). O conjunto desses controles, gerenciado de forma integrada, constitui o que chamamos de segurança da informação.

A banca explora aqui a distinção entre o conceito amplo de segurança da informação e os mecanismos específicos que a compõem. O controle de acesso, por exemplo, é um dos controles que protege a confidencialidade e a integridade, mas não abrange todos os aspectos da segurança. Da mesma forma, o controle de privacidade está relacionado à proteção de dados pessoais, e o controle de ativos trata da gestão dos recursos da organização. Nenhum deles, isoladamente, assegura todos os pilares mencionados no enunciado.

Guarde essa hierarquia: a segurança da informação é o guarda-chuva que engloba todos os demais controles. É nessa relação de todo e partes que as alternativas se dividem.

Alternativa A — ❌ Incorreta

O controle de acesso é um mecanismo específico que restringe o acesso a recursos, protegendo principalmente a confidencialidade e a integridade. Ele é um componente da segurança da informação, mas não abrange todos os pilares citados (disponibilidade, autenticidade, etc.). A banca tenta confundir o candidato apresentando um controle importante como se fosse o conjunto completo.

Alternativa B — ❌ Incorreta

O controle de privacidade está relacionado à proteção de dados pessoais e à conformidade com leis como a LGPD. Embora seja um aspecto relevante da segurança da informação, a privacidade é um conceito mais restrito, focado na proteção de dados pessoais, e não abrange todos os pilares mencionados no enunciado.

Alternativa C — ✅ Correta ⟵ GABARITO

O controle de segurança da informação é o conjunto de medidas, práticas e técnicas gerenciais que visam assegurar a disponibilidade, a integridade, a confidencialidade e a autenticidade das informações. É exatamente a definição de segurança da informação, que engloba todos os pilares citados. A alternativa está correta porque reflete o conceito amplo e abrangente da disciplina.

Alternativa D — ❌ Incorreta

O controle de ativos refere-se à gestão dos ativos da organização (hardware, software, dados, etc.), incluindo sua identificação, classificação e proteção. É um controle importante, mas focado na gestão de recursos, não na garantia dos pilares da informação. Ele é um componente da segurança da informação, mas não a define em sua totalidade.

Gabarito: letra C