Questão de Segurança da Informação — SGSI, Controles e Estrutura das Normas da Família 27000 (ISO/IEC 27001, 27002, etc.) — FCC 2024

Gestão de identidades na ABNT NBR ISO/IEC 27002:2022

Gabarito: letra D. A norma recomenda que identidades compartilhadas só sejam permitidas quando necessárias por razões de negócios ou operacionais, sujeitas a aprovação e documentação dedicadas — exatamente o que a alternativa D afirma. As demais invertem ou distorcem as boas práticas de gestão de identidades previstas na norma.

A gestão de identidades é um dos pilares do controle de acesso à informação. Identidade, aqui, é o conjunto de atributos que distingue uma entidade (pessoa, serviço, dispositivo) das demais, permitindo que o sistema saiba quem está acessando e o que essa entidade pode fazer. A ABNT NBR ISO/IEC 27002:2022, como código de boas práticas, orienta que esse processo seja rigoroso: cada identidade deve ser única, vinculada a uma única entidade, e seu ciclo de vida — criação, uso, revisão e eliminação — deve ser controlado.

A lógica por trás dessas recomendações é a responsabilização (accountability). Se uma identidade é compartilhada por várias pessoas, não é possível saber quem realizou determinada ação, o que inviabiliza a auditoria e o não repúdio. Por isso, a regra geral é: uma identidade por entidade, e identidades compartilhadas apenas em situações excepcionais, com aprovação formal e registro documental. Da mesma forma, identidades de entidades não humanas (serviços, sistemas) também precisam de supervisão, pois podem ser usadas para acessos privilegiados.

Na prática, imagine um sistema de banco de dados com uma conta de administrador usada por três analistas. Se algo der errado, não há como saber qual deles executou a ação. A norma recomenda que cada analista tenha sua própria conta, e que a conta compartilhada só exista se houver uma necessidade operacional real, com aprovação da gestão e documentação de quem a utiliza e para quê. Essa é a essência da alternativa correta.

A pegadinha da banca está em inverter as recomendações: manter identidades desnecessárias, incentivar o mapeamento de múltiplas identidades para a mesma entidade, ou dispensar a supervisão de identidades não humanas. Todas essas práticas enfraquecem o controle e a rastreabilidade, indo na contramão da norma. Guarde o princípio: identidade única por entidade, compartilhamento excepcional e controlado, e supervisão para todos os tipos de identidade — é esse critério que separa as alternativas.

Alternativa A — ❌ Incorreta

Afirma que identidades devem ser mantidas mesmo quando não forem mais necessárias. Isso é o oposto do recomendado: a norma orienta que identidades sejam removidas ou desativadas quando suas entidades associadas são excluídas ou quando a pessoa deixa a organização. Manter identidades desnecessárias aumenta a superfície de ataque e viola o princípio do menor privilégio.

Alternativa B — ❌ Incorreta

Inverte a relação entre identidade e entidade. A norma recomenda que, em um domínio específico, uma única identidade seja mapeada para uma única entidade, e não o contrário. Incentivar o mapeamento de múltiplas identidades para a mesma entidade, ou de uma identidade para várias entidades, compromete a rastreabilidade e a responsabilização.

Alternativa C — ❌ Incorreta

A alternativa contém um erro conceitual: afirma que uma identidade específica pode estar vinculada a um ou mais serviços. Na verdade, a norma recomenda que cada serviço tenha sua própria identidade, para que seja possível responsabilizar o dono do serviço pelas ações realizadas. Vincular uma identidade a vários serviços dificulta a atribuição de responsabilidade.

Alternativa D — ✅ Correta ⟵ GABARITO

Esta é a recomendação literal da norma: identidades compartilhadas só são permitidas quando necessárias por razões de negócios ou operacionais, e estão sujeitas a aprovação e documentação dedicadas. Isso garante que o compartilhamento seja uma exceção justificada, controlada e auditável, preservando a responsabilização.

Alternativa E — ❌ Incorreta

Afirma que identidades atribuídas a entidades não humanas não estão sujeitas à aprovação segregada e à supervisão independente. Isso é falso: a norma recomenda que identidades de entidades não humanas (como serviços e sistemas) também passem por aprovação segregada e supervisão independente em curso, pois podem ser alvo de uso indevido e exigem controle rigoroso.

Gabarito: letra D — a única alternativa que reflete corretamente a recomendação da ABNT NBR ISO/IEC 27002:2022 sobre identidades compartilhadas.