Questão de Segurança da Informação — Backup — FCC 2026

Continuidade de Negócios e Gestão de Incidentes: Backup, Recuperação e Vulnerabilidades

Gabarito: letra D. O cenário descreve a ausência de processos formais de restauração, tratamento de incidentes e gestão de vulnerabilidades. A alternativa D é a única que aborda todas essas lacunas de forma estruturada e alinhada às boas práticas: política de backup com cópias completas e incrementais em locais distintos, testes regulares de recuperação, processo formal de tratamento de incidentes com análise de causa raiz e ciclo contínuo de gestão de vulnerabilidades. Essa abordagem está em conformidade com a ABNT NBR ISO/IEC 27001, que exige que cópias de backup sejam mantidas e testadas regularmente (item 8.13) e que a organização planeje e se prepare para gerenciar incidentes de segurança da informação (item 5.24).

O problema apresentado no enunciado é triplo: (1) não há processo formal para restaurar sistemas críticos após falhas graves, (2) não há procedimento estruturado para tratar incidentes de segurança e (3) não há gerenciamento de vulnerabilidades. Uma solução adequada precisa endereçar cada um desses pontos de forma integrada, pois eles são interdependentes: um backup sem teste de recuperação não garante a restauração; um tratamento de incidentes sem análise de causa raiz não previne recorrências; e uma gestão de vulnerabilidades sem ciclo contínuo deixa brechas exploráveis.

A norma ABNT NBR ISO/IEC 27001 estabelece controles específicos para esses temas. O item 8.13 trata do backup das informações, exigindo que cópias sejam mantidas e testadas regularmente. O item 5.24 trata do planejamento e preparação da gestão de incidentes, exigindo que a organização defina, estabeleça e comunique processos, papéis e responsabilidades. A gestão de vulnerabilidades, embora não tenha um item exclusivo na 27001, é parte integrante da gestão de riscos e da operação de segurança, envolvendo identificação, classificação, correção e verificação contínuas.

Na prática, uma política de backup eficaz combina diferentes tipos de cópias (completas e incrementais) armazenadas em locais distintos (on-premises e nuvem) para garantir redundância e disponibilidade. Os testes regulares de recuperação são essenciais para validar que os dados podem ser restaurados dentro dos objetivos de tempo de recuperação (RTO) e ponto de recuperação (RPO) definidos. O tratamento de incidentes deve seguir um ciclo que inclui detecção, contenção, erradicação, recuperação e análise de causa raiz, com um plano de resposta claro. A gestão de vulnerabilidades deve ser um processo contínuo, não eventual, com identificação, classificação por risco, correção e verificação da eficácia das correções.

A banca explora a tentação de soluções simplistas ou parciais: alternativas que focam apenas em um aspecto (backup, incidentes ou vulnerabilidades) ou que negligenciam etapas críticas como testes, análise de causa raiz e ciclo contínuo. A pegadinha está em reconhecer que a resposta correta é a que integra todos os elementos de forma completa e alinhada às normas. Guarde esse critério: a alternativa correta deve cobrir backup com testes, incidentes com causa raiz e vulnerabilidades com ciclo contínuo — é exatamente nessa tríade que as alternativas se dividem.

Alternativa A — ❌ Incorreta

A alternativa propõe um cronograma de backup anual, o que é insuficiente para sistemas críticos que mudam frequentemente. Além disso, armazenar cópias apenas em mídia física local não oferece redundância em caso de desastre no local. A restauração "apenas quando solicitada" e "sem necessidade de testes prévios" contraria diretamente a ABNT NBR ISO/IEC 27001, item 8.13, que exige que as cópias de backup sejam testadas regularmente. O registro básico de incidentes pelo Service Desk, sem um processo formal de tratamento, também não atende ao item 5.24 da norma, que exige planejamento e preparação para gerenciar incidentes. A economia de recursos não pode comprometer a disponibilidade e a recuperação dos serviços.

Alternativa B — ❌ Incorreta

A alternativa implementa backups incrementais diários, mas omite rotinas formais de verificação de integridade e testes de recuperação — exatamente o que a ABNT NBR ISO/IEC 27001, item 8.13, exige. Sem testes, não há garantia de que os backups podem ser restaurados. O tratamento de vulnerabilidades "apenas quando houvesse evidências claras de exploração" é reativo e inadequado; a gestão de vulnerabilidades deve ser proativa e contínua, com identificação, classificação, correção e verificação. A preocupação com indisponibilidade não justifica a ausência de ações preventivas, que são essenciais para reduzir riscos.

Alternativa C — ❌ Incorreta

A alternativa utiliza backups diferenciais semanais, mas não menciona testes de recuperação, o que viola a ABNT NBR ISO/IEC 27001, item 8.13. Delegar a gestão de incidentes exclusivamente ao Service Desk, sem envolvimento da equipe de segurança da informação, contraria o item 5.24, que exige a definição de papéis e responsabilidades na gestão de incidentes — a equipe de segurança é parte fundamental desse processo. A análise de vulnerabilidades "de forma eventual" não constitui um ciclo contínuo de gestão, deixando a organização exposta a riscos não identificados e não tratados.

Alternativa D — ✅ Correta ⟵ GABARITO

A alternativa D é a única que aborda de forma completa e integrada todas as lacunas do cenário. A política de backup com cópias completas e incrementais em locais distintos (on-premises e nuvem) garante redundância e disponibilidade, alinhada à ABNT NBR ISO/IEC 27001, item 8.13, que exige cópias mantidas e testadas regularmente — e a alternativa inclui testes regulares de recuperação. O processo formal de tratamento de incidentes com análise de causa raiz e plano de resposta atende ao item 5.24, que exige planejamento e preparação para gerenciar incidentes. O ciclo contínuo de gestão de vulnerabilidades com identificação, classificação, correção e verificação é a prática recomendada para reduzir riscos de forma proativa. Todos os elementos estão presentes e interligados, formando uma abordagem robusta e alinhada às normas reconhecidas.

Alternativa E — ❌ Incorreta

A alternativa utiliza exclusivamente backups automáticos na nuvem, sem manter cópias locais ou documentação detalhada. Isso cria um ponto único de falha: se o serviço de nuvem ficar indisponível ou os dados forem comprometidos, não há alternativa de recuperação. A ausência de documentação detalhada dos procedimentos dificulta a execução e a auditoria. O tratamento de vulnerabilidades por meio de "atualizações ocasionais, aplicadas sem avaliação prévia de impacto ou priorização baseada em risco" é inadequado — a gestão de vulnerabilidades deve ser contínua, com priorização baseada em risco e avaliação de impacto antes da aplicação de correções. A alternativa não atende aos requisitos de backup testado (item 8.13) nem de gestão estruturada de incidentes (item 5.24).

Gabarito: letra D