Questão de Segurança da Informação — CIS (Critical Security Controls) — FCC 2026

Mascaramento de dados e criptografia em SGBDs

Gabarito: letra E. A solução mais adequada combina TDE (Transparent Data Encryption) para proteger os dados em repouso no disco e mascaramento dinâmico de dados (Dynamic Data Masking) para ofuscar o CPF conforme o perfil do usuário — atendendo exatamente aos dois requisitos: proteger o storage contra acesso físico e limitar a visibilidade do CPF nas consultas diretas. Essa é a prática recomendada por boas práticas de segurança em SGBDs modernos, como as do CIS Controls (Controle 3, Safeguard 3.11 — criptografar dados sensíveis em repouso).

O cenário apresenta dois problemas distintos que exigem soluções complementares. O primeiro é a proteção dos dados em repouso (at-rest): os dados estão gravados em disco e podem ser acessados fisicamente por alguém que tenha acesso ao storage — um disco roubado, um backup extraviado ou um administrador de infraestrutura mal-intencionado. Para isso, a criptografia é a medida adequada, e a TDE é a solução mais elegante porque criptografa os dados de forma transparente para a aplicação: o SGBD criptografa ao gravar e descriptografa ao ler, sem exigir mudanças no código das aplicações. O segundo problema é o controle de visibilidade do CPF: usuários de suporte que consultam diretamente via SQL não devem ver o CPF completo, apenas os 4 primeiros dígitos. Isso é um problema de mascaramento de dados — e, como o requisito é que o mascaramento seja aplicado conforme o perfil do usuário (suporte vê parcial, aplicações autorizadas veem completo), a solução correta é o mascaramento dinâmico, que aplica a ofuscação no momento da consulta, sem alterar os dados armazenados.

A distinção central aqui é entre mascaramento estático e mascaramento dinâmico. O mascaramento estático (Static Data Masking) substitui permanentemente os dados originais por dados fictícios — é usado para criar ambientes de teste ou desenvolvimento, onde os dados reais não são necessários. O mascaramento dinâmico (Dynamic Data Masking) não altera os dados no banco; ele intercepta a consulta e devolve o dado mascarado conforme as permissões do usuário. No cenário, o requisito é que o suporte veja apenas os 4 primeiros dígitos do CPF em consultas diretas, mantendo o valor completo para aplicações autorizadas — isso exige mascaramento dinâmico, pois o mesmo dado precisa ser exibido de formas diferentes para usuários diferentes, sem duplicar ou alterar o dado original.

Outra distinção importante é entre TDE e criptografia de coluna. A TDE criptografa o banco inteiro (ou tablespaces) de forma transparente, protegendo os dados em repouso sem exigir mudanças nas aplicações. A criptografia de coluna criptografa apenas colunas específicas, mas exige que a aplicação gerencie a descriptografia — o que pode quebrar funcionalidades como buscas e índices. Para o requisito de proteger o storage, a TDE é a solução mais adequada porque é transparente e não afeta o desempenho das aplicações. Já a criptografia em nível de aplicação (alternativa D) protegeria os dados antes de enviá-los ao banco, mas isso exigiria que todas as aplicações implementassem a criptografia — um esforço enorme e propenso a erros, além de não proteger os dados já armazenados.

A pegadinha da banca está em confundir mascaramento estático com dinâmico e em propor soluções que não atendem aos dois requisitos simultaneamente. A alternativa C, por exemplo, usa mascaramento estático — que alteraria permanentemente o CPF, impossibilitando que aplicações autorizadas vejam o valor completo. A alternativa A propõe mascaramento apenas nas telas da aplicação, o que não protege as consultas diretas via SQL feitas pelo suporte. A alternativa B propõe substituir o banco relacional por NoSQL — uma mudança drástica e desnecessária. A alternativa D propõe criptografia em nível de aplicação, que não protege os dados já armazenados em disco. A alternativa E é a única que atende aos dois requisitos com as soluções adequadas.

Guarde a fronteira entre proteger dados em repouso (criptografia — TDE) e controlar a visibilidade dos dados (mascaramento dinâmico): é exatamente nessa distinção que as alternativas se dividem.

Alternativa A — ❌ Incorreta

A criptografia de coluna com AES-256 via stored procedures é uma solução complexa e frágil: exige que as aplicações gerenciem a descriptografia, pode quebrar índices e buscas, e não protege os dados em repouso de forma abrangente. Além disso, o mascaramento do CPF nas telas da aplicação não protege as consultas diretas via SQL feitas pelo suporte — o requisito é justamente proteger essas consultas. A solução correta para o mascaramento é o mascaramento dinâmico no banco, que ofusca o dado na origem, independentemente da interface.

Alternativa B — ❌ Incorreta

Substituir o banco relacional por um SGBD NoSQL é uma mudança drástica e desnecessária — o problema não está no modelo de dados, mas na falta de controles de segurança. Além disso, usar ofuscação estática via funções de hash irreversíveis destruiria o CPF: uma vez aplicado o hash, não há como recuperar o valor original, impossibilitando que aplicações autorizadas vejam o CPF completo. O requisito exige que o valor completo permaneça disponível para aplicações autorizadas — o que descarta qualquer técnica irreversível.

Alternativa C — ❌ Incorreta

O mascaramento estático (Static Data Masking) substitui permanentemente os dados originais por dados fictícios — é usado para criar ambientes de teste, não para proteger dados em produção. Se aplicado sobre a coluna CPF, o valor original seria perdido, impossibilitando que aplicações autorizadas vejam o CPF completo. A criptografia de disco full-disk protege o storage, mas não atende ao requisito de mascaramento dinâmico. A alternativa mistura uma técnica inadequada (mascaramento estático) com uma solução parcial (full-disk).

Alternativa D — ❌ Incorreta

A criptografia em nível de aplicação (antes de enviar ao banco) exigiria que todas as aplicações implementassem a criptografia — um esforço enorme, propenso a erros e que não protege os dados já armazenados em disco. Além disso, as visões para controlar o acesso ao CPF são uma solução parcial: visões podem limitar colunas visíveis, mas não fazem mascaramento parcial de um campo (como mostrar apenas os 4 primeiros dígitos). O mascaramento dinâmico é a técnica adequada para esse requisito.

Alternativa E — ✅ Correta ⟵ GABARITO

A TDE (Transparent Data Encryption) criptografa os dados em repouso no disco de forma transparente para as aplicações — o SGBD criptografa ao gravar e descriptografa ao ler, protegendo contra acesso físico não autorizado ao storage sem exigir mudanças no código. O mascaramento dinâmico de dados (Dynamic Data Masking) ofusca o CPF no momento da consulta, conforme o perfil do usuário: o suporte vê apenas os 4 primeiros dígitos, enquanto aplicações autorizadas veem o valor completo. As duas técnicas se complementam e atendem exatamente aos dois requisitos do enunciado.

Gabarito: letra E