Questão de Segurança da Informação — Questões Mescladas de Autenticação e Controle de Acesso — FCC 2026

Política de senhas e autenticação multifator (MFA)

Gabarito: letra C. A política mais adequada para reduzir o risco de acesso indevido combina três controles complementares: exigência de complexidade mínima de senha, autenticação multifator (MFA) para sistemas críticos e bloqueio após tentativas inválidas. Essa tríade ataca diretamente as principais ameaças — senhas fracas, roubo de credenciais e ataques de força bruta —, enquanto as demais alternativas apresentam medidas isoladas, insuficientes ou até contrárias às boas práticas de segurança da informação.

A segurança do acesso a sistemas começa pela compreensão de que autenticação é o processo de verificar a identidade de quem tenta acessar um recurso. O material de apoio destaca que a autenticação pode se basear em três fatores: algo que o usuário sabe (senha, PIN), algo que o usuário possui (smartphone, token) e algo que o usuário é (biometria). A autenticação multifator (MFA) exige a combinação de dois ou mais desses fatores, elevando significativamente a segurança, pois o comprometimento de um único fator (por exemplo, o roubo da senha) não é suficiente para o acesso indevido.

A política de senhas é o primeiro pilar. Exigir complexidade mínima (tamanho, combinação de letras, números e símbolos) dificulta ataques de força bruta e de dicionário. O segundo pilar é a MFA para sistemas críticos: em um Ministério Público, sistemas que tratam dados sensíveis de investigações e processos judiciais merecem camada extra de proteção. O terceiro pilar é o bloqueio após tentativas inválidas, que impede que um atacante fique testando senhas indefinidamente — é a defesa direta contra o ataque de força bruta, listado no material como "tentativa repetitiva de adivinhar senhas".

A alternativa C é a única que reúne esses três controles de forma integrada e proporcional ao risco. As demais alternativas, embora contenham elementos válidos, são insuficientes ou apresentam práticas condenáveis, como veremos a seguir. A banca explora exatamente a diferença entre uma política completa e robusta e medidas parciais ou inadequadas.

Alternativa A — ❌ Incorreta

Adotar senha padrão institucional com alteração no primeiro acesso e comunicação de boas práticas é um bom começo, mas insuficiente. A senha padrão, mesmo com alteração obrigatória, não impede que o usuário escolha uma senha fraca na sequência. A comunicação de boas práticas é apenas educativa, sem controle técnico que garanta a adoção. Falta o essencial: exigência de complexidade, MFA e bloqueio por tentativas. A alternativa peca por incompletude — não reduz efetivamente o risco de acesso indevido.

Alternativa B — ❌ Incorreta

Autenticação baseada em endereço IP é uma medida de controle de rede, não de autenticação de usuário. O IP identifica a máquina, não a pessoa — qualquer um que use um computador da rede institucional seria autenticado. Além disso, IP pode ser falsificado (spoofing) ou contornado. O monitoramento e os alertas são complementos úteis, mas não substituem a verificação de identidade. A alternativa confunde controle de acesso por rede com autenticação de usuário.

Alternativa C — ✅ Correta ⟵ GABARITO

Esta é a política mais completa e adequada. A complexidade mínima de senha dificulta ataques de força bruta e dicionário. A autenticação multifator (MFA) para sistemas críticos adiciona uma camada extra de verificação — mesmo que a senha seja comprometida, o atacante não terá o segundo fator (token, biometria). O bloqueio após tentativas inválidas impede a tentativa exaustiva de senhas. A combinação desses três controles ataca as principais vulnerabilidades de autenticação e está alinhada às boas práticas de segurança da informação, como o princípio da defesa em profundidade.

Alternativa D — ❌ Incorreta

Permitir compartilhamento de credenciais, mesmo com autorização da chefia, é prática expressamente condenada em segurança da informação. O compartilhamento quebra a rastreabilidade — não é possível saber quem realmente acessou o sistema — e viola o princípio da responsabilização individual. A ISO/IEC 27001, em seu controle A.9.2.4, exige que a concessão de informação de autenticação secreta seja controlada por processo formal, e o compartilhamento de senhas contraria frontalmente esse princípio. A alternativa é contrária às boas práticas.

Alternativa E — ❌ Incorreta

Armazenar senhas em repositório protegido é uma medida de proteção do armazenamento, mas não aborda a autenticação em si. O problema não é apenas onde as senhas ficam guardadas, mas como são usadas no acesso. Além disso, a alternativa não menciona a forma de armazenamento — o correto é armazenar apenas o hash das senhas (com sal), nunca em texto plano. A medida é válida como complemento, mas insuficiente como política principal de redução de risco de acesso indevido.

Gabarito: letra C — a única alternativa que combina os três controles essenciais: complexidade mínima, autenticação multifator e bloqueio por tentativas inválidas.