Questão de Segurança da Informação — Zero Trust (Modelo de Confiança Zero) — FCC 2026

Zero Trust e a combinação CASB + SIEM para segurança em nuvem

Gabarito: letra D. O cenário exige, para o objetivo I, uma ferramenta que descubra e controle o uso de serviços em nuvem não autorizados (função típica de um CASB — Cloud Access Security Broker) e, para o objetivo II, uma plataforma que centralize e correlacione eventos de múltiplas fontes (função típica de um SIEM). A alternativa D é a única que combina corretamente essas duas tecnologias, operando o CASB em modo inline e por API, aplicando políticas de DLP e integrando todos os logs ao SIEM para correlação centralizada.

O Zero Trust (ou Confiança Zero) é um modelo de segurança baseado no princípio de "nunca confiar, sempre verificar". Ele parte da premissa de que a rede interna não é confiável por padrão, exigindo verificação contínua de identidade, dispositivo e contexto para conceder acesso a qualquer recurso. No contexto de nuvem, isso se traduz em controles como identidade forte, acesso mínimo, microssegmentação e monitoramento contínuo. O modelo não é uma ferramenta única, mas uma arquitetura que combina várias tecnologias.

O CASB é um intermediário entre usuários e serviços de nuvem, garantindo políticas de segurança e conformidade. Ele pode operar em dois modos principais: inline (no caminho do tráfego, inspecionando sessões em tempo real) e por API (conectando-se diretamente às APIs dos serviços de nuvem para monitorar e controlar atividades, mesmo fora da rede corporativa). Suas funções incluem controle de acesso, proteção de dados (DLP), monitoramento de atividades e integração com IAM e SIEM. Para o objetivo I (descobrir e controlar serviços não autorizados), o CASB é a ferramenta ideal, pois pode identificar o uso de aplicações em nuvem "shadow IT" e aplicar políticas de bloqueio ou controle.

O SIEM (Security Information and Event Management) é uma plataforma que coleta, normaliza, correlaciona e analisa logs e eventos de segurança de múltiplas fontes (firewalls, IDS/IPS, servidores, aplicações, etc.). Ele centraliza as informações, permitindo a detecção de padrões suspeitos, geração de alertas e apoio à resposta a incidentes. Para o objetivo II (centralizar e correlacionar eventos), o SIEM é a ferramenta central, atuando como a base operacional de um SOC (Security Operations Center).

A combinação CASB + SIEM é uma prática recomendada em arquiteturas Zero Trust para nuvem: o CASB fornece visibilidade e controle sobre o uso de serviços em nuvem, enquanto o SIEM agrega e correlaciona esses eventos com os demais (identidade, rede, endpoints) para uma visão unificada de segurança. A alternativa D descreve exatamente essa integração, sendo a mais aderente aos objetivos propostos.

A pegadinha da questão está em confundir as funções de CASB, SIEM, SOAR e VPN. O candidato pode ser tentado a escolher uma alternativa que usa apenas uma das tecnologias, ou que posiciona uma ferramenta de forma incorreta (como o SOAR no caminho do tráfego, que não é sua função). A chave é identificar que o objetivo I pede descoberta e controle de serviços em nuvem (CASB) e o objetivo II pede correlação centralizada de eventos (SIEM).

Alternativa A — ❌ Incorreta

Esta alternativa limita o CASB ao modo API e apenas para serviços homologados, gerando relatórios mensais. Isso não atende ao objetivo I de descobrir serviços não autorizados (shadow IT), pois o modo API só enxerga o que já está conectado. Além disso, evita a integração com SIEM, o que contraria o objetivo II de correlação centralizada. O erro está em restringir o alcance do CASB e não integrar com o SIEM.

Alternativa B — ❌ Incorreta

Esta alternativa foca apenas no SIEM, expandindo-o para coletar logs de firewalls e controladores de domínio on-premises, mas sem CASB. Isso não atende ao objetivo I, pois sem o CASB não há como descobrir e controlar o uso de serviços em nuvem não autorizados. O SIEM sozinho não fornece a visibilidade sobre o tráfego para a nuvem que o CASB oferece. O erro está na ausência do CASB, que é essencial para o objetivo I.

Alternativa C — ❌ Incorreta

Esta alternativa posiciona um SOAR (Security Orchestration, Automation and Response) no caminho do tráfego para inspecionar sessões TLS e bloquear uploads. O SOAR é uma plataforma de orquestração e automação de resposta a incidentes, não um dispositivo de inspeção de tráfego em tempo real. Essa função é típica de um CASB inline ou de um firewall de próxima geração. Além disso, o SIEM é usado apenas para armazenar logs históricos, o que não atende ao objetivo II de correlação em tempo real. O erro está na função incorreta atribuída ao SOAR.

Alternativa D — ✅ Correta ⟵ GABARITO

Esta alternativa descreve a combinação ideal: um CASB em modo inline e por API para descobrir e controlar o uso de aplicativos em nuvem, aplicar políticas de DLP e acesso às aplicações SaaS, e integrar todos os logs e alertas (CASB, IdP, firewalls, endpoints) em um SIEM corporativo para correlação centralizada. Isso atende perfeitamente aos dois objetivos: o CASB descobre e controla serviços não autorizados (objetivo I) e o SIEM centraliza e correlaciona eventos (objetivo II). É a única alternativa que combina as duas tecnologias de forma correta e completa.

Alternativa E — ❌ Incorreta

Esta alternativa propõe o uso de VPNs e um firewall de perímetro para inspecionar o tráfego, evitando a aquisição de CASB ou SIEM. Isso é uma abordagem tradicional de segurança de perímetro, que não se alinha ao modelo Zero Trust. A VPN concentra o tráfego no data center, mas não oferece a visibilidade e o controle sobre serviços em nuvem que o CASB proporciona, nem a correlação centralizada de eventos que o SIEM oferece. O erro está em usar uma abordagem de perímetro, que é contrária aos princípios do Zero Trust.

Gabarito: letra D