Questão de Segurança da Informação — Riscos em Segurança da Informação (NBR ISO/IEC 27001, 27002 e 27005) — CESPE / CEBRASPE 2025

Controles de segurança da informação: preventivo, detectivo e corretivo

❌ ERRADO. O item está incorreto porque inverte a classificação dos controles: o controle que se destina à limitação das consequências de um evento de segurança da informação é o controle corretivo, e não o detectivo. O controle detectivo tem a função de identificar a ocorrência de um evento, como um alarme ou um IDS, enquanto o corretivo age após o evento para reduzir seu impacto. Essa distinção é clássica na gestão de riscos de segurança da informação e é cobrada pela banca justamente por essa inversão de conceitos.

Para entender a questão, é preciso dominar a classificação dos controles de segurança da informação, que se dividem em três grandes categorias, conforme o momento em que atuam em relação ao evento de segurança:

• Controles preventivos: atuam antes do evento, com o objetivo de evitar que ele ocorra. São exemplos: firewalls, políticas de senha, controle de acesso físico e criptografia.

• Controles detectivos: atuam durante ou imediatamente após o evento, com o objetivo de identificar que ele está ocorrendo ou ocorreu. São exemplos: sistemas de detecção de intrusão (IDS), alarmes, logs de auditoria e monitoramento de atividades.

• Controles corretivos: atuam após o evento, com o objetivo de limitar as consequências e restaurar a normalidade. São exemplos: planos de recuperação de desastres, backups, sistemas de prevenção de intrusão (IPS) e procedimentos de resposta a incidentes.

A pegadinha da questão está em associar a "limitação das consequências" ao controle detectivo. A banca explora a confusão entre "detectar" e "corrigir". Detectar é perceber o problema; corrigir é agir para reduzir o dano. O controle que limita as consequências é o corretivo, pois ele age para conter o impacto e restaurar o ambiente. O detectivo apenas sinaliza o problema, sem necessariamente agir sobre ele.

Na prática, um exemplo ajuda a fixar: imagine um incêndio em um datacenter. O detector de fumaça é um controle detectivo (identifica o evento). O sistema de supressão de incêndio com gás inerte é um controle corretivo (limita as consequências, apagando o fogo e evitando danos maiores). O uso de materiais resistentes ao fogo na construção é um controle preventivo (evita a propagação).

Guarde essa fronteira entre detectar (identificar) e corrigir (limitar consequências): é exatamente nela que a banca constrói a pegadinha desta questão.

Item — ❌ ERRADO

A afirmação diz que o controle que se destina à limitação das consequências de um evento é o detectivo. Isso está errado. O controle detectivo tem a função de identificar a ocorrência de um evento, como um alarme ou um IDS. A limitação das consequências é a função do controle corretivo, que age após o evento para reduzir o impacto e restaurar a normalidade. A banca inverteu os conceitos, trocando a função do controle corretivo pela do detectivo.

Gabarito: letra E (ERRADO).