Questão de Segurança da Informação — Aquisição, Desenvolvimento e Manutenção de Sistemas de Informação — FCC 2026

Contratação de software sob demanda: fábrica de software, sustentação e infraestrutura

Gabarito: letra A. A solução mais adequada combina três decisões: (1) desenvolvimento sob demanda via fábrica de software com métrica de ponto de função, (2) sustentação em contrato autônomo com Acordo de Nível de Serviço (ANS) por severidade, e (3) escolha entre IaaS e PaaS orientada pelo nível de controle operacional desejado. Essa estrutura equilibra controle técnico, conformidade e economicidade, pois separa as responsabilidades de desenvolvimento, manutenção e infraestrutura, permitindo gestão específica de cada frente.

O enunciado trata de um desafio comum na administração pública: contratar desenvolvimento de software sob demanda e garantir sua sustentação contínua. A expressão "sob demanda" indica que o órgão não contrata um projeto fechado, mas sim um serviço contínuo de desenvolvimento, no qual as demandas são solicitadas conforme a necessidade. Nesse modelo, a fábrica de software é a estrutura contratada que fornece equipes para desenvolver, manter e evoluir sistemas, e a métrica de ponto de função é o método mais utilizado para dimensionar o tamanho funcional do software, servindo de base para a medição de produtividade e para o pagamento por entrega.

A sustentação é a atividade de manter o sistema em operação, corrigindo defeitos, atendendo chamados e garantindo a disponibilidade. Contratá-la de forma autônoma, com ANS por severidade, é uma prática recomendada porque permite definir níveis de serviço específicos para cada tipo de incidente (crítico, alto, médio, baixo), com prazos de atendimento e solução distintos. Isso dá ao órgão controle sobre a qualidade do serviço e permite cobrar penalidades em caso de descumprimento. Incorporar a sustentação ao contrato de desenvolvimento, como propõe a alternativa B, simplifica a gestão contratual, mas mistura responsabilidades e dificulta a avaliação de desempenho de cada atividade, além de criar risco de conflito de interesses.

A escolha entre IaaS (Infraestrutura como Serviço) e PaaS (Plataforma como Serviço) é uma decisão estratégica que depende do nível de controle operacional que o órgão pretende manter. No IaaS, o contratante gerencia o sistema operacional, o middleware e o runtime, tendo maior controle sobre o ambiente, mas também maior responsabilidade de gestão. No PaaS, o provedor gerencia a plataforma, reduzindo a carga operacional, mas limitando o controle. A alternativa A captura exatamente essa lógica: a escolha deve ser orientada pelo nível de controle desejado, não por uma preferência genérica por um ou outro modelo.

A alternativa E, embora correta em parte (fábrica de software com ponto de função e sustentação com SLA por severidade), erra ao afirmar que a infraestrutura deve ser provisionada via PaaS para "reduzir a gestão operacional". Essa afirmação é uma generalização: a redução da gestão operacional é uma vantagem do PaaS, mas não é o único critério de decisão. O órgão pode precisar de mais controle (IaaS) por questões de segurança, conformidade ou integração com sistemas legados. A alternativa A é mais completa porque condiciona a escolha ao nível de controle desejado, que é o fator determinante.

A alternativa C também apresenta um erro sutil: propõe que a sustentação seja coberta por um contrato SaaS (Software como Serviço) com o mesmo fornecedor. SaaS é um modelo de entrega de software pronto, no qual o fornecedor disponibiliza o aplicativo pela internet, geralmente por assinatura. Não faz sentido contratar SaaS para sustentar um software desenvolvido sob demanda por uma fábrica de software: o SaaS é um produto pronto, não um serviço de manutenção. A sustentação deve ser contratada como um serviço separado, com ANS, e não como um SaaS.

A alternativa D propõe licenciar software pronto e contratar a fábrica de software apenas para customizações. Essa abordagem pode ser válida em alguns casos, mas não atende ao requisito de "desenvolvimento sob demanda" do enunciado, que pressupõe um desenvolvimento contínuo e não apenas customizações pontuais. Além disso, a alternativa D não menciona a sustentação, que é um requisito explícito do problema.

A alternativa B, além de incorporar a sustentação ao contrato de desenvolvimento (o que é inadequado), propõe contratar a infraestrutura via SaaS para "eliminar a necessidade de gerenciamento de plataforma pela equipe interna". Essa afirmação é exagerada: mesmo com SaaS, a equipe interna ainda precisa gerenciar a integração, a configuração, a segurança dos dados e o relacionamento com o fornecedor. Não há eliminação total da gestão.

Portanto, a alternativa A é a única que apresenta uma estrutura contratual completa e coerente, abordando os três pilares (desenvolvimento, sustentação e infraestrutura) com as práticas recomendadas: fábrica de software com ponto de função, sustentação autônoma com ANS por severidade e escolha de infraestrutura baseada no controle operacional desejado.

Alternativa A — ✅ Correta ⟵ GABARITO

A alternativa A está correta porque apresenta uma estrutura contratual completa e alinhada às boas práticas. O desenvolvimento sob demanda via fábrica de software com métrica de ponto de função é o modelo padrão para contratação de desenvolvimento contínuo, permitindo medir e pagar pelo tamanho funcional entregue. A sustentação em contrato autônomo com ANS por severidade é a prática recomendada para garantir níveis de serviço adequados a cada tipo de incidente. E a escolha entre IaaS e PaaS orientada pelo nível de controle operacional é a decisão correta, pois cada modelo oferece um equilíbrio diferente entre controle e gestão.

Alternativa B — ❌ Incorreta

A alternativa B erra ao propor que a sustentação seja incorporada ao contrato de desenvolvimento. Essa abordagem mistura responsabilidades e dificulta a avaliação de desempenho, além de criar risco de conflito de interesses. A sustentação deve ser contratada separadamente, com ANS próprio. Além disso, a alternativa B propõe contratar a infraestrutura via SaaS para "eliminar a necessidade de gerenciamento de plataforma", o que é uma afirmação exagerada: mesmo com SaaS, a equipe interna ainda precisa gerenciar integração, configuração e segurança.

Alternativa C — ❌ Incorreta

A alternativa C erra ao propor que a sustentação seja coberta por um contrato SaaS com o mesmo fornecedor. SaaS é um modelo de entrega de software pronto, não um serviço de manutenção. A sustentação de um software desenvolvido sob demanda deve ser contratada como um serviço separado, com ANS, e não como um SaaS. Além disso, unificar responsabilidades técnicas e contratuais em um único fornecedor pode reduzir a flexibilidade e aumentar o risco de dependência.

Alternativa D — ❌ Incorreta

A alternativa D erra ao propor o licenciamento de software pronto como base, com customizações entregues pela fábrica de software. Essa abordagem não atende ao requisito de "desenvolvimento sob demanda" do enunciado, que pressupõe um desenvolvimento contínuo e não apenas customizações pontuais. Além disso, a alternativa D não menciona a sustentação, que é um requisito explícito do problema.

Alternativa E — ❌ Incorreta

A alternativa E erra ao afirmar que a infraestrutura deve ser provisionada via PaaS para "reduzir a gestão operacional". Essa é uma generalização: a redução da gestão operacional é uma vantagem do PaaS, mas não é o único critério de decisão. O órgão pode precisar de mais controle (IaaS) por questões de segurança, conformidade ou integração. A alternativa E acerta ao propor fábrica de software com ponto de função e sustentação com SLA por severidade, mas erra na escolha da infraestrutura, que deve ser condicionada ao nível de controle desejado, não a uma preferência genérica.

Gabarito: letra A