Questão de Segurança da Informação — Ciclo de Vida de Desenvolvimento Seguro — CESPE / CEBRASPE 2024

Autenticação Multifatorial no Microsoft SDL

✅ CERTO. A afirmação está correta: a autenticação multifatorial (MFA) é um dos controles recomendados no Microsoft SDL (Security Development Lifecycle) e, de fato, adiciona uma segunda camada de segurança aos logins, sendo especialmente importante para proteger contas de administradores, que possuem privilégios elevados.

A autenticação multifatorial (MFA) é um mecanismo de segurança que exige que o usuário forneça dois ou mais fatores de verificação para obter acesso a um recurso, como um sistema, aplicação ou conta. Esses fatores são categorizados em três tipos principais: algo que você sabe (senha, PIN), algo que você tem (token, smartphone, cartão inteligente) e algo que você é (biometria, como impressão digital ou reconhecimento facial). O princípio fundamental é que, mesmo que um fator seja comprometido (por exemplo, uma senha vazada), o atacante ainda precisará do segundo fator para acessar a conta, o que aumenta significativamente a barreira contra acessos não autorizados.

O Microsoft SDL (Security Development Lifecycle) é uma metodologia criada pela Microsoft que integra práticas de segurança em todas as fases do ciclo de vida de desenvolvimento de software, desde o design até a manutenção. Ele incorpora princípios como Secure by Design, Secure by Default e Secure by Deployment, e inclui uma série de controles e práticas recomendadas. A autenticação multifatorial é um desses controles, pois é uma medida fundamental para proteger a identidade dos usuários e, principalmente, dos administradores, que têm acesso a funções críticas e dados sensíveis. A lógica é simples: contas com privilégios elevados são alvos mais atraentes para atacantes, e a MFA adiciona uma camada extra de proteção que dificulta a exploração de credenciais roubadas.

Na prática, a implementação da MFA pode ser vista em serviços como e-mail corporativo, plataformas de nuvem e sistemas de gestão, onde, além da senha, o usuário precisa confirmar o login com um código enviado ao celular, um aplicativo autenticador ou uma chave de segurança física. Essa prática é amplamente recomendada por frameworks de segurança, como o OWASP, que lista a "Falha de Identificação e Autenticação" como um dos principais riscos e sugere a aplicação de MFA como medida preventiva. A banca, ao afirmar que a MFA "adiciona uma segunda camada crítica de segurança aos logins, a fim de proteger todos os usuários, especialmente os administradores", está exatamente alinhada com essa recomendação.

A pegadinha desta questão é sutil: ela mistura um conceito de segurança da informação (MFA) com um contexto específico (Microsoft SDL). O candidato pode até saber o que é MFA, mas pode hesitar ao associá-la ao SDL. No entanto, a MFA é, de fato, um controle listado no SDL da Microsoft, e a afirmação sobre sua importância para proteger usuários e administradores é tecnicamente precisa. Portanto, a assertiva está correta.

Alternativa C — ✅ CERTO ⟵ GABARITO

A afirmação está correta. A autenticação multifatorial é um controle de segurança amplamente recomendado, inclusive no Microsoft SDL, e sua função de adicionar uma segunda camada de proteção aos logins é exatamente o que a assertiva descreve. A ênfase em proteger "todos os usuários, especialmente os administradores" é pertinente, pois contas administrativas possuem privilégios elevados e, se comprometidas, podem causar danos graves. A MFA mitiga esse risco ao exigir múltiplos fatores de autenticação.

Alternativa E — ❌ ERRADO

A alternativa E afirma que o item é errado, o que não procede. A assertiva está correta, pois a MFA é, de fato, um controle do Microsoft SDL e adiciona uma camada extra de segurança aos logins. Não há qualquer erro conceitual ou factual na afirmação. Portanto, a alternativa E está incorreta.

Gabarito: C (Certo).