Princípios da Segurança da Informação e seus controles técnicos
Gabarito: letra C. A alternativa correta é a única que associa, de forma completa e precisa, cada princípio da segurança da informação (confidencialidade, integridade, disponibilidade, autenticidade e não repúdio) ao controle técnico que o garante: criptografia para confidencialidade, hash e controle de versões para integridade, redundância e monitoramento para disponibilidade, certificado digital para autenticidade e assinatura digital com logs imutáveis para não repúdio. As demais alternativas ou deixam de contemplar algum princípio ou trocam os mecanismos, como apresentar backup como garantia de confidencialidade.
A segurança da informação é a proteção de dados contra ameaças, preservando seu valor para a organização. Seus princípios fundamentais — a tríade CID (Confidencialidade, Integridade e Disponibilidade) acrescida de Autenticidade e Não Repúdio — orientam a escolha dos controles. Cada princípio exige um mecanismo específico: a confidencialidade limita o acesso a entidades legítimas (criptografia, controle de acesso); a integridade garante que a informação não seja alterada (hash, controle de versões); a disponibilidade assegura o acesso quando necessário (redundância, backup); a autenticidade confirma a identidade da fonte (certificado digital, autenticação forte); e o não repúdio impede que o autor negue a autoria (assinatura digital, logs imutáveis).
A pegadinha central da questão é a troca de mecanismos entre princípios. Por exemplo, backup garante disponibilidade, não confidencialidade; segregação de redes protege a confidencialidade, não a integridade. A alternativa C é a única que mapeia corretamente cada princípio ao controle adequado, formando uma combinação completa e coerente.
Para fixar, veja a correspondência entre princípio e controle técnico:
Princípio | Controle técnico adequado |
|---|
Confidencialidade | Criptografia (em repouso e em trânsito), controle de acesso |
Integridade | Hash, controle de versões, assinatura digital |
Disponibilidade | Redundância, backup, monitoramento contínuo |
Autenticidade | Certificado digital, autenticação multifator |
Não repúdio | Assinatura digital, logs imutáveis, registros de auditoria |
Guarde essa correspondência: é exatamente nela que as alternativas se dividem.
Alternativa A — ❌ Incorreta
A alternativa menciona segregação de redes e firewalls (confidencialidade), backup diário (disponibilidade), autenticação multifator (autenticidade) e registros operacionais (rastreabilidade). Porém, não aborda a integridade (não há hash ou controle de versões) nem o não repúdio (logs operacionais não impedem a negação de autoria). A combinação é incompleta, deixando de atender a todos os princípios exigidos.
Alternativa B — ❌ Incorreta
A alternativa cita permissões hierarquizadas (confidencialidade), auditoria periódica (integridade/rastreabilidade), balanceamento de carga (disponibilidade) e termos de responsabilidade (atribuição de ações). Contudo, não há mecanismo de autenticidade forte (como certificado digital) nem de não repúdio (assinatura digital). Termos de responsabilidade são instrumentos administrativos, não controles técnicos que garantam o não repúdio.
Alternativa C — ✅ Correta ⟵ GABARITO
A alternativa associa corretamente cada princípio ao controle técnico: criptografia em repouso e em trânsito (confidencialidade), hash e controle de versões (integridade), infraestrutura redundante com monitoramento contínuo (disponibilidade), autenticação forte baseada em certificados digitais (autenticidade) e assinaturas digitais vinculadas a logs imutáveis (não repúdio). É a única que contempla todos os cinco princípios com os mecanismos adequados.
Alternativa D — ❌ Incorreta
A alternativa menciona controle de acesso por perfis (confidencialidade), cópias de segurança (disponibilidade), autenticação por usuário e senha (autenticidade fraca) e registros de auditoria centralizados (rastreabilidade). Porém, não há mecanismo de integridade (hash) nem de não repúdio (assinatura digital). Além disso, autenticação por senha reforçada não é considerada autenticação forte, e registros de auditoria não garantem não repúdio.
Alternativa E — ❌ Incorreta
A alternativa cita criptografia nos canais externos (confidencialidade parcial), validações aplicacionais (integridade), servidores de contingência (disponibilidade) e autenticação federada (autenticidade). Contudo, não aborda o não repúdio (assinatura digital) e a criptografia apenas nos canais externos não protege os dados em repouso. A combinação é incompleta e parcial.
A regra de ouro para a prova: cada princípio da segurança da informação tem um controle técnico específico — confidencialidade com criptografia, integridade com hash, disponibilidade com redundância, autenticidade com certificado digital e não repúdio com assinatura digital. A alternativa que misturar ou omitir esses mecanismos está incorreta.
Gabarito: letra C