Questão de Segurança da Informação — Riscos em Segurança da Informação (NBR ISO/IEC 27001, 27002 e 27005) — FCC 2026
Segurança da Informação›Riscos em Segurança da Informação (NBR ISO/IEC 27001, 27002 e 27005)
Código
fc141855
Banca
FCC
Órgão
SCGE PE
Ano
2026
Cargo
Ges Gov ( )
Uma equipe de segurança que monitora a infraestrutura de uma Secretaria Estadual, identificou uma nova vulnerabilidade crítica em um software de código aberto que poderia ser explorado por um malware, apresentando alto risco à integridade das informações. Entretanto, a equipe não encontrou evidência de ataque ativo. Considerando esse cenário e as boas práticas da segurança da informação, o primeiro passo técnico-operacional que a equipe deve priorizar para mitigar a vulnerabilidade detectada, conforme os controles da ABNT NBR ISO/IEC 27002:2022 para proteção contra malwares, é
Aassegurar que sejam tomadas medidas adequadas e oportunas, como aplicar patches ou desenvolver soluções internas, para resolver a vulnerabilidade técnica.
Bconcentrar o esforço no controle de acesso ao código-fonte, garantindo que apenas desenvolvedores autorizados possam inspecionar a falha de segurança.
Cdesativar o sistema afetado e isolar a rede até que uma política de uso aceitável de ativos (Controle Uso aceitável de informações e outros ativos associados) seja completamente revisada e aprovada pela direção.
Ddeterminar se o software vulnerável pode ser substituído por um alternativo no inventário de ativos, caso contrário, implementar correções temporárias até que uma solução definitiva seja encontrada.
Eanalisar criticamente o registro de logs (Controle Log) para determinar se a vulnerabilidade foi explorada no passado, antes de tomar qualquer medida corretiva.
Revelar gabarito e comentário▾
GabaritoA — assegurar que sejam tomadas medidas adequadas e oportunas, como aplicar patches ou desenvolver soluções internas, para resolver a vulnerabilidade técnica.
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Proteção contra malware e tratamento de vulnerabilidades (ABNT NBR ISO/IEC 27002:2022)
Gabarito: letra A. Diante de uma vulnerabilidade crítica em software de código aberto, sem evidência de ataque ativo, o primeiro passo técnico-operacional é aplicar patches ou desenvolver soluções internas para resolver a falha, conforme o controle 8.7 da ABNT NBR ISO/IEC 27002:2022 (Proteção contra malware). A norma orienta que medidas adequadas e oportunas sejam tomadas para corrigir a vulnerabilidade técnica, priorizando a eliminação da causa raiz antes de qualquer outra ação.
A gestão de vulnerabilidades é um processo contínuo e cíclico que envolve quatro etapas principais: identificação (reconhecimento da falha), avaliação (análise do risco associado), tratamento (aplicação de medidas corretivas) e verificação (confirmação da eficácia). No cenário apresentado, a vulnerabilidade já foi identificada e avaliada como de alto risco, mas não há indício de exploração ativa. Portanto, a prioridade é corrigir a falha o mais rápido possível, antes que um atacante possa explorá-la.
A norma ABNT NBR ISO/IEC 27002:2022, em seu controle 8.7 (Proteção contra malware), estabelece diretrizes para proteger a organização contra malwares. O controle orienta que a organização deve implementar medidas de proteção contra malware, incluindo a aplicação de patches e a correção de vulnerabilidades técnicas de forma oportuna. A lógica é simples: se a vulnerabilidade é conhecida e não há ataque ativo, a janela de oportunidade para corrigir antes da exploração é o momento mais crítico. Quanto mais tempo a falha permanece, maior a probabilidade de um atacante descobri-la e explorá-la.
A distinção fundamental aqui é entre correção (eliminar a causa raiz) e mitigação (reduzir o impacto sem eliminar a causa). Aplicar patch é correção; isolar o sistema é mitigação. A norma prioriza a correção como primeiro passo, pois é a ação mais eficaz e definitiva. As demais alternativas apresentam ações que, embora possam ser complementares, não são o primeiro passo prioritário.
A pegadinha da banca está em confundir o candidato com ações que parecem razoáveis, mas que não são a prioridade imediata. Por exemplo, analisar logs (alternativa E) é uma ação de detecção, não de correção; desativar o sistema (alternativa C) é uma medida drástica que pode não ser necessária; e substituir o software (alternativa D) é uma solução de longo prazo, não o primeiro passo. O controle de acesso ao código-fonte (alternativa B) é irrelevante para a correção da vulnerabilidade em si.
NÃO CAIA NESSA!
A banca explora a confusão entre correção e mitigação. O candidato pode achar que isolar o sistema (C) ou analisar logs (E) é o primeiro passo, mas a norma prioriza a correção da causa raiz (aplicar patch). Lembre-se: sem ataque ativo, a prioridade é eliminar a falha, não apenas conter seus efeitos.
1Identificação
2Avaliação
3Tratamento
4Verificação
LEVEL · soulevel.com.br
Alternativa A — ✅ Correta ⟵ GABARITO
A alternativa A está correta porque reflete exatamente o que a norma ABNT NBR ISO/IEC 27002:2022 orienta no controle 8.7 (Proteção contra malware): assegurar que sejam tomadas medidas adequadas e oportunas, como aplicar patches ou desenvolver soluções internas, para resolver a vulnerabilidade técnica. A palavra-chave é "oportunas" — a norma enfatiza a tempestividade da correção. Como não há ataque ativo, a equipe tem a chance de corrigir a falha antes que ela seja explorada, e é exatamente isso que a alternativa propõe.
Alternativa B — ❌ Incorreta
A alternativa B está incorreta porque controlar o acesso ao código-fonte não resolve a vulnerabilidade em si. A falha está no software, não no acesso ao código. Mesmo que apenas desenvolvedores autorizados possam inspecionar a falha, a vulnerabilidade continua existindo e explorável. Essa ação é um controle de acesso, não uma correção técnica. A norma não prioriza essa medida como primeiro passo para mitigar uma vulnerabilidade crítica.
Alternativa C — ❌ Incorreta
A alternativa C está incorreta porque desativar o sistema e isolar a rede é uma medida drástica de contenção, não o primeiro passo para corrigir a vulnerabilidade. A norma orienta a correção técnica (aplicar patch) antes de medidas extremas. Além disso, revisar a política de uso aceitável de ativos é um processo administrativo que não resolve a falha técnica imediatamente. A desativação do sistema pode causar indisponibilidade desnecessária, especialmente quando não há ataque ativo.
Alternativa D — ❌ Incorreta
A alternativa D está incorreta porque substituir o software é uma solução de longo prazo, não o primeiro passo. A norma prioriza a correção da vulnerabilidade no software existente (aplicar patch ou desenvolver solução interna) antes de considerar substituição. A substituição envolve migração de dados, testes e reconfiguração, o que leva tempo — tempo que a vulnerabilidade crítica não pode esperar. A correção imediata é mais rápida e eficaz.
Alternativa E — ❌ Incorreta
A alternativa E está incorreta porque analisar logs é uma ação de detecção, não de correção. A norma orienta que, uma vez identificada a vulnerabilidade, o próximo passo é corrigi-la, não investigar se ela foi explorada no passado. A análise de logs pode ser feita em paralelo, mas não é o primeiro passo prioritário. A norma prioriza a ação corretiva imediata para eliminar a causa raiz.
Gabarito: letra A — a única alternativa que reflete a prioridade da norma: corrigir a vulnerabilidade técnica de forma oportuna, aplicando patches ou desenvolvendo soluções internas.