Questão de Segurança da Informação — Controles de segurança — FCC 2022

Role Based Access Control (RBAC)

Gabarito: letra D. O RBAC (Controle de Acesso Baseado em Função) é um modelo que concede permissões de acesso a recursos de acordo com os papéis (funções) que os usuários exercem na organização, e não com base em privilégios individuais de rede ou identidade. Essa definição é ampla e independente de plataforma, ao contrário do que sugerem as alternativas A, B e C.

O RBAC é um dos principais modelos de controle de acesso, conforme descrito na literatura de segurança da informação: "Controle de Acesso Baseado em Função (RBAC): Permissões vinculadas a papéis organizacionais." A alternativa D captura exatamente essa essência, ao afirmar que o acesso é baseado na função no negócio.

Alternativa A — ❌ Incorreta

Afirma que o RBAC "é restrito ao trabalho nos limites de um único domínio ou floresta do Windows Server ou Azure." Isso é falso, pois o RBAC é um modelo conceitual que pode ser implementado em qualquer sistema operacional ou plataforma, incluindo ambientes Linux, bancos de dados, aplicações web, etc. Não há vínculo exclusivo com a Microsoft.

Alternativa B — ❌ Incorreta

Diz que o RBAC "só pode ser utilizada para criação de grupos do Active Directory do Windows." Novamente, o RBAC não se limita ao Active Directory; ele é utilizado em inúmeros contextos, como sistemas de arquivos, aplicações, bancos de dados e serviços em nuvem (AWS, Google Cloud, etc.), sempre associando permissões a papéis.

Alternativa C — ❌ Incorreta

Afirma que o RBAC "é limitada a ambientes Microsoft, como Windows Server e Azure." Essa é a mesma ideia restritiva das anteriores. O RBAC é um padrão internacional (NIST, OASIS) e está presente em soluções de diversos fabricantes, além de ser implementado em sistemas próprios (como RBAC em sistemas ERP).

Alternativa D — ✅ Correta ⟵ GABARITO

"Permite que usuários obtenham acesso a recursos com base em sua função no negócio e não apenas em seus privilégios de rede." Perfeita definição: o RBAC abstrai a autorização para o nível organizacional, vinculando privilégios a papéis (ex.: gerente, analista, auditor) e alocando usuários a esses papéis. O acesso é concedido conforme a função, e não conforme permissões individuais baseadas em identidade de rede.

Alternativa E — ❌ Incorreta

"Concentra-se mais nas restrições de acesso do que nas descrições de cargos dos funcionários." Essa afirmação inverte o foco do RBAC. No RBAC, o ponto central são os papéis (descrições de cargos/funções) e as permissões associadas a eles; as restrições de acesso são uma consequência, não o foco principal. Modelos como ACL (listas de controle de acesso) ou MAC (obrigatório) lidam mais diretamente com restrições.

Gabarito: letra D.