Questão de Segurança da Informação — Questões Mescladas de Autenticação e Controle de Acesso — FCC 2024

Controle de Acesso: Autenticação, Autorização e Auditoria

Gabarito: letra E. A alternativa correta combina os três pilares de um controle de acesso robusto: autenticação multifatorial (MFA) com fatores fortes (biometria + aplicativo de autenticação), RBAC (permissões baseadas em papéis) e auditoria detalhada registrando todas as tentativas de acesso. As demais alternativas falham ao usar fatores fracos (perguntas de segurança, SMS), permissões individuais ineficientes ou auditorias incompletas.

O controle de acesso, na segurança da informação, é o processo que restringe o acesso a recursos (sistemas, dados, arquivos) apenas a usuários autorizados. Ele se baseia no modelo AAA: Autenticação (verificar quem é o usuário), Autorização (definir o que ele pode fazer) e Auditoria (registrar o que ele fez). A autenticação é o primeiro passo: o usuário declara sua identidade (identificação) e o sistema a valida por meio de credenciais. A autorização, que vem depois, define as permissões com base na identidade validada. A auditoria, por fim, registra todas as atividades para rastreamento, conformidade e investigação de incidentes.

Para uma segurança robusta, a autenticação deve usar múltiplos fatores (MFA), combinando categorias distintas: algo que você sabe (senha, PIN), algo que você tem (token, smartphone) e algo que você é (biometria). A autenticação de dois fatores (2FA) é um caso específico de MFA com exatamente dois fatores. A escolha dos fatores é crucial: fatores como perguntas de segurança e SMS são considerados fracos, pois podem ser descobertos ou interceptados. Já a biometria e aplicativos de autenticação (que geram códigos temporários) são fatores fortes.

A autorização, por sua vez, deve ser gerenciada de forma eficiente. O modelo RBAC (Role-Based Access Control) atribui permissões com base na função do usuário na organização, em vez de configurar individualmente cada permissão. Isso simplifica a administração, reduz erros e segue o princípio do menor privilégio. Por fim, a auditoria deve ser detalhada e registrar todas as tentativas de acesso, tanto as bem-sucedidas quanto as falhas, pois as tentativas não autorizadas são essenciais para detectar ataques e vulnerabilidades.

A banca explora a confusão entre os três pilares e a escolha de fatores de autenticação fortes versus fracos. A alternativa correta é a única que combina MFA com fatores fortes, RBAC e auditoria completa. As demais ou usam fatores fracos, ou permissões ineficientes, ou auditorias incompletas.

Alternativa A — ❌ Incorreta

A alternativa usa autenticação de dois fatores com senha e e-mail, mas o e-mail é um fator fraco, pois pode ser comprometido (phishing, acesso indevido). Além disso, as permissões configuradas individualmente são ineficientes para gerenciar muitos usuários, e a auditoria, embora detalhada, não é o problema principal. O erro central está na escolha de fatores fracos e na gestão de permissões não escalável.

Alternativa B — ❌ Incorreta

A alternativa usa senhas fortes combinadas com perguntas de segurança, mas perguntas de segurança são um fator fraco, pois as respostas podem ser descobertas ou adivinhadas. As permissões individuais também são ineficientes. O erro mais grave, porém, é a auditoria que registra somente os acessos bem-sucedidos: isso impede a detecção de tentativas de acesso não autorizado, que são justamente os eventos mais importantes para a segurança.

Alternativa C — ❌ Incorreta

A alternativa implementa MFA utilizando perguntas de segurança, que são um fator fraco e não devem ser usadas como fator de autenticação multifatorial. As permissões definidas por grupos amplos violam o princípio do menor privilégio, pois podem conceder acesso excessivo. A auditoria que registra todos os eventos de acesso é correta, mas os outros dois pilares estão falhos.

Alternativa D — ❌ Incorreta

A alternativa usa autenticação de dois fatores com senha e SMS, mas o SMS é um fator fraco, vulnerável a interceptação (SIM swapping, SS7). As permissões individuais são ineficientes. O erro mais grave é a auditoria que registra somente os acessos não autorizados: isso omite os acessos legítimos, que são necessários para rastrear atividades e identificar comportamentos anômalos de usuários autorizados.

Alternativa E — ✅ Correta ⟵ GABARITO

A alternativa implementa autenticação multifatorial (MFA) com biometria e um aplicativo de autenticação, que são fatores fortes (algo que você é e algo que você tem). Usa RBAC com permissões baseadas em papéis, que é o modelo eficiente para gerenciar permissões em escala. E realiza auditorias detalhadas que registram todas as tentativas de acesso, tanto as bem-sucedidas quanto as falhas, permitindo a detecção de ataques e a análise forense. Essa combinação atende perfeitamente aos três pilares do controle de acesso: autenticação forte, autorização eficiente e auditoria completa.

Gabarito: letra E