Questão de Segurança da Informação — NIST (National Institute of Standarts and Technology) — FCC 2026

NIST CSF 2.0: as seis funções do framework

Gabarito: letra A. Os objetivos 1 a 4 correspondem, respectivamente, às funções Govern, Protect, Recover e Identify do NIST CSF 2.0. A função Govern trata da governança e do apetite de risco em nível executivo; Protect abrange salvaguardas como treinamento e políticas de senha; Recover envolve a restauração após incidentes; e Identify compreende a compreensão dos riscos, incluindo a análise de impacto e probabilidade de ameaças.

O NIST Cybersecurity Framework (CSF) 2.0, publicado em fevereiro de 2024, é um guia que oferece uma taxonomia de resultados de alto nível para gerenciar riscos de cibersegurança. Ele é composto por seis funções: Govern, Identify, Protect, Detect, Respond e Recover. Essas funções não são uma sequência linear; elas operam de forma simultânea e contínua, como uma roda, indicando integração entre elas. O framework não prescreve como os resultados devem ser alcançados, mas fornece uma linguagem comum para comunicar e priorizar esforços de segurança.

A função Govern (GV) estabelece a estratégia, as expectativas e a política de gerenciamento de riscos de cibersegurança da organização. Ela envolve a definição do apetite de risco, a supervisão da conformidade regulatória e a comunicação das diretrizes em nível executivo. A função Identify (ID) busca entender os riscos atuais de cibersegurança, mapeando ativos, vulnerabilidades e ameaças. Não se trata de identificar ataques em andamento, mas de compreender o cenário de riscos da organização. A função Protect (PR) implementa salvaguardas para gerenciar os riscos, incluindo controles de acesso, treinamento de funcionários e políticas de segurança. A função Detect (DE) visa identificar a ocorrência de eventos de segurança, como ataques ou violações. A função Respond (RS) define as ações para conter e mitigar os efeitos de um incidente de segurança. Por fim, a função Recover (RC) estabelece os procedimentos para restaurar as operações e os ativos afetados após um incidente, retornando a organização aos seus níveis normais de funcionamento.

Para fixar o mapeamento, considere o exemplo de um ataque de ransomware: a função Identify teria identificado a vulnerabilidade que permitiu o ataque; a Protect teria implementado backups e treinamento para preveni-lo; a Detect teria percebido a atividade maliciosa; a Respond teria isolado os sistemas afetados; e a Recover teria restaurado os dados a partir dos backups. A função Govern, por sua vez, teria definido as políticas e o apetite de risco que orientaram todas essas ações.

A pegadinha desta questão está em confundir as funções Respond e Recover. Respond é a ação imediata de contenção e mitigação do incidente, enquanto Recover é o processo de restauração e retorno à normalidade. O objetivo 3, que fala em "reverter a produção ao estado pré-ataque", é claramente uma atividade de recuperação, não de resposta. Outra confusão comum é entre Identify e Detect: Identify é o mapeamento prévio de riscos e ativos, enquanto Detect é a identificação de eventos de segurança em andamento. O objetivo 4, que analisa o impacto e a probabilidade de um ataque, é uma atividade de avaliação de riscos, típica da função Identify.

Guarde a fronteira entre as funções: Govern (estratégia e política), Identify (entender riscos), Protect (salvaguardas), Detect (identificar eventos), Respond (conter incidentes) e Recover (restaurar operações). É exatamente nessa distinção que as alternativas se dividem.

Alternativa A — ✅ Correta ⟵ GABARITO

A alternativa A mapeia corretamente os objetivos: 1. Govern (apetite de risco e conformidade em nível executivo), 2. Protect (treinamento e políticas de senha), 3. Recover (restauração após incidente) e 4. Identify (análise de impacto e probabilidade de ameaças). Cada objetivo corresponde à função que descreve sua atividade principal.

Alternativa B — ❌ Incorreta

A alternativa B erra ao mapear o objetivo 2 como Detect e o objetivo 3 como Respond. O treinamento de funcionários é uma salvaguarda preventiva, característica da função Protect, não da função Detect, que se concentra em identificar eventos de segurança. Da mesma forma, "reverter a produção ao estado pré-ataque" é uma atividade de Recover, não de Respond, que trata da contenção imediata do incidente.

Alternativa C — ❌ Incorreta

A alternativa C erra ao mapear o objetivo 1 como Identify e o objetivo 4 como Govern. O objetivo 1, que trata do apetite de risco e da supervisão executiva, é claramente uma atividade de Govern, não de Identify. O objetivo 4, que analisa o impacto e a probabilidade de um ataque, é uma atividade de avaliação de riscos, típica da função Identify, não da função Govern.

Alternativa D — ❌ Incorreta

A alternativa D erra ao mapear o objetivo 2 como Detect e o objetivo 3 como Recover (embora este último esteja correto). O treinamento de funcionários é uma salvaguarda preventiva, característica da função Protect, não da função Detect. Além disso, o objetivo 4, que analisa o impacto e a probabilidade de um ataque, é uma atividade de Identify, não de Respond.

Alternativa E — ❌ Incorreta

A alternativa E erra ao mapear o objetivo 1 como Detect e o objetivo 2 como Govern. O objetivo 1, que trata do apetite de risco e da supervisão executiva, é uma atividade de Govern, não de Detect. O objetivo 2, que trata do treinamento de funcionários, é uma salvaguarda preventiva, característica da função Protect, não da função Govern.

Gabarito: letra A