Questão de Segurança da Informação — Política de Segurança da Informação (NBR ISO/IEC 27001, 27002, etc.) — FCC 2026

Logging e integridade de logs na ISO/IEC 27002:2022

Gabarito: letra C. A norma recomenda proteger a integridade dos logs contra modificações não autorizadas por meio de técnicas como hashing criptográfico, gravação em arquivos append-only e uso de arquivos de transparência pública — exatamente o que a alternativa C afirma. As demais alternativas contrariam as boas práticas da ISO/IEC 27002:2022, que prioriza a proteção da integridade, da confidencialidade e da disponibilidade das informações de log.

A ISO/IEC 27002:2022 é uma norma de código de prática que fornece diretrizes e controles de segurança da informação, organizados em quatro temas: controles organizacionais, controles de pessoas, controles físicos e controles tecnológicos. No que tange ao logging e monitoramento, a norma estabelece que as organizações devem registrar eventos relevantes, proteger os registros contra adulteração e garantir que sejam analisados para detectar incidentes de segurança. A proteção da integridade dos logs é fundamental para que as evidências sejam confiáveis em investigações forenses e auditorias.

A alternativa C está correta porque o hashing criptográfico permite verificar se o conteúdo do log foi alterado (qualquer modificação gera um hash diferente), a gravação em arquivos append-only impede que registros sejam sobrescritos ou deletados (apenas adições são permitidas), e os arquivos de transparência pública (também conhecidos como transparency logs) permitem que terceiros auditores verifiquem a integridade da cadeia de registros. Essas técnicas são amplamente recomendadas pela norma e pela indústria para garantir a não repudiação e a integridade das trilhas de auditoria.

As demais alternativas apresentam práticas incorretas ou incompletas. A alternativa A sugere que administradores possam editar logs de suas próprias atividades, o que viola o princípio de segregação de funções e compromete a integridade das evidências. A alternativa B afirma que a sincronização de tempo não é recomendada, mas a norma recomenda justamente o contrário: a sincronização de relógios (por exemplo, via NTP) é essencial para correlacionar eventos e realizar análises forenses precisas. A alternativa D propõe enviar logs completos com IPs e nomes de usuário a fornecedores externos, o que viola o princípio do menor privilégio e pode expor dados sensíveis. A alternativa E limita a análise a eventos bem-sucedidos, ignorando que tentativas falhas são indicadores importantes de ataques.

A pegadinha desta questão está em reconhecer que a norma prioriza a proteção da integridade dos logs como um requisito de segurança, e não como uma mera conveniência operacional. O candidato que pensa apenas na agilidade operacional (alternativa A) ou na praticidade do diagnóstico (alternativa D) pode ser induzido ao erro. A banca explora a confusão entre "facilidade operacional" e "segurança da informação", que são objetivos conflitantes quando se trata de logs.

Alternativa A — ❌ Incorreta

Permitir que usuários com privilégios administrativos editem logs de suas próprias atividades viola o princípio da segregação de funções e compromete a integridade das evidências. A norma recomenda que os logs sejam protegidos contra modificação não autorizada, e a edição por parte do próprio usuário que gerou o evento anularia a confiabilidade da trilha de auditoria. A prática correta é que os logs sejam imutáveis ou que qualquer alteração seja registrada e auditada separadamente.

Alternativa B — ❌ Incorreta

A sincronização de tempo entre sistemas é altamente recomendada pela norma e pelas boas práticas de segurança. Sem relógios sincronizados, a correlação de eventos entre diferentes sistemas torna-se imprecisa, prejudicando a análise forense e a detecção de incidentes. A alternativa inverte a recomendação, apresentando a falta de sincronização como algo positivo, o que é um erro técnico grave.

Alternativa C — ✅ Correta ⟵ GABARITO

A alternativa está correta ao afirmar que técnicas como hashing criptográfico, gravação em arquivos append-only e uso de arquivos de transparência pública são recomendadas para proteger a integridade dos logs. O hashing permite detectar qualquer alteração no conteúdo, o append-only impede a sobrescrita ou exclusão de registros, e os arquivos de transparência pública permitem auditoria externa da cadeia de logs. Essas técnicas são amplamente reconhecidas pela ISO/IEC 27002:2022 e pela indústria como controles essenciais para garantir a confiabilidade das trilhas de auditoria.

Alternativa D — ❌ Incorreta

Enviar logs completos com informações de identificação (IPs, nomes de usuário) a fornecedores externos viola o princípio do menor privilégio e pode expor dados sensíveis. A norma recomenda que, ao compartilhar logs com terceiros, sejam aplicadas técnicas de anonimização ou mascaramento para proteger a confidencialidade. A alternativa confunde a necessidade de diagnóstico com a exposição desnecessária de dados.

Alternativa E — ❌ Incorreta

A análise de logs não deve focar exclusivamente em eventos bem-sucedidos. Tentativas rejeitadas ou falhas de autenticação são indicadores importantes de ataques, como força bruta ou varredura de vulnerabilidades. A norma recomenda que a análise de logs considere tanto eventos bem-sucedidos quanto falhas, para permitir a detecção precoce de incidentes. A alternativa apresenta uma visão limitada e incorreta da análise de logs.

Gabarito: letra C — a única alternativa que reflete corretamente as práticas recomendadas pela ISO/IEC 27002:2022 para proteção da integridade dos logs.