Questão de Segurança da Informação — Política de Segurança da Informação (NBR ISO/IEC 27001, 27002, etc.) — CESPE / CEBRASPE 2024

Gestão de Direitos de Acesso e o Princípio do Menor Privilégio

Gabarito: letra A. A gestão de direitos de acesso deve garantir que cada usuário tenha apenas as permissões necessárias para executar suas funções, aplicando o princípio do menor privilégio — conceito central da segurança da informação e recomendado pelas normas da família ISO/IEC 27000 (como a ISO/IEC 27002, que trata dos controles de segurança). As demais alternativas contrariam frontalmente as boas práticas de controle de acesso.

A gestão de direitos de acesso é um dos pilares da segurança da informação. Ela responde a uma pergunta simples: quem pode acessar o quê, e por quê? O objetivo é proteger a confidencialidade, a integridade e a disponibilidade das informações, garantindo que apenas usuários autorizados acessem recursos específicos. Para isso, existem princípios e controles que orientam como as permissões devem ser concedidas, revisadas e revogadas.

O princípio do menor privilégio (ou privilégio mínimo) é a regra de ouro: cada usuário, programa ou processo deve ter somente os privilégios necessários para realizar sua função. Se um analista de marketing precisa apenas ler relatórios de vendas, ele não deve ter permissão para alterá-los ou excluí-los. Se um estagiário precisa de acesso a um sistema específico, ele não deve ter acesso administrativo a ele. Esse princípio reduz a superfície de ataque: se uma conta for comprometida, o dano potencial é limitado ao que aquela conta pode fazer. É a diferença entre um invasor que assume o controle de uma conta comum e um que assume o controle de uma conta de administrador.

Na prática, a gestão de direitos de acesso envolve um ciclo contínuo: concessão (dar acesso quando necessário), revisão (auditar periodicamente se os acessos ainda são necessários) e revogação (remover acessos quando não são mais necessários, como na saída de um funcionário ou mudança de função). A norma ISO/IEC 27002, em sua seção de controle de acesso, recomenda formalizar esse processo, incluindo a necessidade de autorização para acessos especiais e a revisão regular dos direitos de acesso. A auditoria é parte essencial: sem ela, não há como saber se os acessos estão corretos ou se há privilégios acumulados indevidamente.

A banca explora aqui um contraste claro: a alternativa correta aplica o princípio do menor privilégio, enquanto as incorretas propõem práticas que violam os princípios básicos de segurança — concentração de poder, acesso irrestrito e ausência de auditoria. Guarde essa fronteira: menor privilégio + auditoria regular = segurança; concentração de poder + acesso irrestrito = risco. É exatamente nesse contraste que as alternativas se dividem.

Alternativa A — ✅ Correta ⟵ GABARITO

Esta alternativa está correta porque descreve com precisão o princípio do menor privilégio. A gestão de direitos de acesso deve limitar o acesso de cada usuário apenas aos recursos necessários para o desempenho de suas funções de trabalho. Isso minimiza o risco de uso indevido, acidental ou malicioso, e é uma recomendação central das boas práticas de segurança da informação, incluindo a norma ISO/IEC 27002.

Alternativa B — ❌ Incorreta

Esta alternativa está incorreta porque propõe a concentração de poder em um único administrador. Isso viola o princípio da segregação de funções, que recomenda dividir responsabilidades críticas entre diferentes pessoas para evitar abuso de poder e reduzir o risco de erro ou fraude. Se um único administrador gerencia todos os direitos de acesso, ele se torna um ponto único de falha e um alvo de alto valor para ataques. A boa prática é ter uma equipe de administradores, com responsabilidades definidas e revisão periódica de suas próprias permissões.

Alternativa C — ❌ Incorreta

Esta alternativa está incorreta porque propõe conceder acesso irrestrito a todos os usuários, o que é o oposto absoluto do princípio do menor privilégio. Acesso irrestrito significa que qualquer usuário pode acessar qualquer informação ou recurso, incluindo dados sensíveis, sistemas críticos e configurações administrativas. Isso eliminaria a confidencialidade e a integridade da informação, tornando a organização extremamente vulnerável a vazamentos, alterações indevidas e ataques. A transparência não se confunde com acesso irrestrito: a transparência é sobre comunicação e prestação de contas, não sobre dar a todos o mesmo nível de acesso.

Alternativa D — ❌ Incorreta

Esta alternativa está incorreta porque propõe evitar auditorias regulares de direitos de acesso. A auditoria é um controle fundamental para garantir que os acessos concedidos estejam corretos e que não haja privilégios acumulados indevidamente. Sem auditoria, não é possível detectar acessos desnecessários, contas órfãs (de ex-funcionários) ou permissões excessivas, o que aumenta o risco de incidentes de segurança. A auditoria regular é uma recomendação explícita das normas de segurança da informação, como a ISO/IEC 27002, e não deve ser vista como carga administrativa, mas como um investimento em segurança.

Gabarito: letra A