Questão de Segurança da Informação — Autorização e Controle de Acesso (RBAC, ABAC, MAC, DAC e ACL) — FCC 2024

Controle de acesso: entidades na ABNT NBR ISO/IEC 27002:2022

Gabarito: letra B. A norma ABNT NBR ISO/IEC 27002:2022, ao tratar das regras de controle de acesso, define que a entidade pode representar tanto um usuário humano quanto um componente técnico ou lógico, como uma máquina, um dispositivo ou um serviço. A alternativa B é a única que abrange corretamente essa dualidade, sem excluir nenhuma categoria de entidade.

O controle de acesso é o mecanismo que restringe o acesso a recursos — físicos ou digitais — apenas a entidades autorizadas. Na segurança da informação, ele gerencia a interação entre sujeitos ativos (usuários, processos) e objetos passivos (arquivos, sistemas), baseado no modelo AAA: autenticação, autorização e auditoria. A autenticação verifica a identidade declarada; a autorização define os privilégios do usuário autenticado; e a auditoria registra as atividades para rastreamento.

A norma ABNT NBR ISO/IEC 27002:2022, que é a referência de controles de segurança da informação, estabelece diretrizes para a implementação de controles de acesso. No contexto dessa norma, o termo "entidade" é utilizado de forma ampla, abrangendo não apenas pessoas, mas também qualquer componente do sistema que possa solicitar ou receber acesso a recursos. Isso inclui usuários humanos, máquinas, dispositivos, serviços, aplicações e até mesmo processos automatizados.

A banca explora exatamente essa amplitude conceitual. As alternativas incorretas tentam restringir indevidamente o conceito de entidade, seja excluindo máquinas e dispositivos, seja limitando a usuários humanos com perfis específicos, seja exigindo conexão permanente à rede. A alternativa B é a única que captura a essência da definição: entidade é qualquer coisa que possa ser sujeito ou objeto de uma regra de controle de acesso.

Esse controle, que é diretamente derivado da ABNT NBR ISO/IEC 27002:2022, reforça que os direitos de acesso não se limitam a pessoas físicas. A norma trata de "entidades" de forma genérica, pois em sistemas de informação quem acessa um recurso pode ser um usuário humano, mas também um processo automatizado, um serviço ou uma máquina. A distinção entre sujeito (quem acessa) e objeto (o que é acessado) é fundamental: uma entidade pode desempenhar ambos os papéis dependendo do contexto.

Na prática, imagine um servidor de banco de dados: o usuário humano acessa o sistema via aplicação, mas a aplicação (um serviço) também acessa o banco de dados com credenciais próprias. Da mesma forma, uma máquina virtual ou um dispositivo IoT pode precisar acessar recursos de rede. Todos esses são exemplos de entidades que devem ter regras de controle de acesso definidas. A norma não faz distinção entre entidades humanas e não humanas — todas estão sujeitas às mesmas políticas de provisionamento, revisão e remoção de direitos.

A pegadinha desta questão está na tentativa de restringir o conceito de entidade. O candidato que pensa apenas em "usuários" como entidades de controle de acesso tende a marcar alternativas que limitam o escopo. No entanto, a norma é deliberadamente abrangente, pois sistemas modernos envolvem interações máquina-a-máquina (M2M), serviços em nuvem e dispositivos conectados, todos exigindo controle de acesso granular.

Alternativa A — ❌ Incorreta

Afirma que entidade pode ser uma tabela do banco de dados, um serviço digital e um usuário humano, mas exclui máquinas e dispositivos. Essa exclusão é o erro: a norma não faz essa distinção. Máquinas e dispositivos são entidades legítimas no controle de acesso — um servidor, um roteador, um dispositivo IoT, todos podem ser sujeitos ou objetos de regras de acesso. A alternativa tenta ser abrangente ao incluir tabelas e serviços, mas a exclusão de máquinas e dispositivos a torna incompleta e incorreta.

Alternativa B — ✅ Correta ⟵ GABARITO

Afirma que entidade pode ser "um usuário humano, bem como um componente técnico ou lógico (por exemplo, uma máquina, dispositivo ou um serviço)". Esta é a definição correta: a norma trata entidade de forma ampla, abrangendo tanto sujeitos humanos quanto componentes técnicos e lógicos. A alternativa captura exatamente a dualidade da definição — não exclui nenhuma categoria e exemplifica corretamente com máquina, dispositivo e serviço. É a única que reflete fielmente o conceito da norma.

Alternativa C — ❌ Incorreta

Limita entidade a "somente usuários humanos com perfis administrativos, operacionais ou técnicos". O erro é duplo: primeiro, restringe a usuários humanos, excluindo máquinas, dispositivos e serviços; segundo, limita a perfis específicos, quando a norma não faz essa distinção. Qualquer entidade — humana ou não — pode ter direitos de acesso, independentemente de perfil. A alternativa confunde o conceito de entidade com o de papel (role) em RBAC, mas são coisas distintas.

Alternativa D — ❌ Incorreta

Afirma que entidade pode ser "qualquer usuário físico (por exemplo uma conta de serviço, uma máquina, um dispositivo ou um software)". O erro está no termo "usuário físico" — a norma não usa essa expressão. Além disso, a alternativa mistura conceitos: conta de serviço, máquina, dispositivo e software são entidades lógicas, não físicas. A confusão entre "físico" e "lógico" é a pegadinha aqui. A norma trata de entidades de forma ampla, sem essa distinção física/lógica que a alternativa tenta impor.

Alternativa E — ❌ Incorreta

Limita entidade a "usuários humanos e dispositivos que estão permanentemente conectados à rede". O erro está na exigência de "permanentemente conectados" — a norma não faz essa restrição. Um dispositivo que se conecta esporadicamente à rede ainda é uma entidade que requer controle de acesso. Além disso, a alternativa exclui serviços e aplicações, que são entidades legítimas. A exigência de conexão permanente é um critério arbitrário que não existe na norma.

Gabarito: letra B