Questão de Segurança da Informação — Gestão de Identidade e Acesso (IAM, IdP e Identidade Federada) — FCC 2024

Gerenciamento de Identidade e Acesso (IAM) e Autenticação Robusta

Gabarito: letra B. A autenticação baseada em certificados digitais é a prática essencial para garantir a integridade do IAM quando se exige autenticação robusta e avançada para sistemas críticos, pois os certificados digitais fornecem um nível de garantia de identidade muito superior a senhas, alinhando-se diretamente ao conceito de autenticação forte (algo que o usuário possui, com vínculo criptográfico a uma autoridade certificadora). As demais alternativas, embora sejam controles de segurança importantes, não são o núcleo do IAM nem respondem especificamente à exigência de autenticação avançada.

O Gerenciamento de Identidade e Acesso (IAM) é a prática de garantir que pessoas e entidades com identidades digitais tenham o nível certo de acesso aos recursos da empresa, como redes e bancos de dados. Ele gerencia o ciclo de vida completo das identidades e direitos do usuário, abrangendo duas funções principais: a autenticação (confirmar quem o usuário é) e a autorização (definir o que o usuário autenticado pode acessar). A autenticação é o processo de verificação da identidade, e sua robustez é medida pelos fatores utilizados: algo que você sabe (senha), algo que você possui (token, smartphone, certificado digital) e algo que você é (biometria).

Quando o enunciado fala em "autenticação robusta e avançada" para "sistemas críticos", ele aponta diretamente para a necessidade de um fator de autenticação forte, que vá além da simples senha. Nesse contexto, o certificado digital se destaca como a prática essencial: ele é um documento eletrônico que associa uma identidade a uma chave criptográfica, emitido por uma Autoridade Certificadora (AC) dentro de uma infraestrutura de chaves públicas (ICP). A autenticação por certificado digital é considerada robusta porque:

• Baseia-se em criptografia assimétrica, onde o usuário possui uma chave privada (personalíssima) e uma chave pública (divulgada).

• A posse da chave privada é o fator de autenticação (algo que você possui), e o certificado atesta a ligação entre essa chave e a identidade do usuário.

• É imune a ataques de interceptação de senha (phishing, keylogger), pois a senha nunca trafega pela rede.

• Permite autenticação mútua, onde tanto o cliente quanto o servidor podem verificar a identidade um do outro.

A banca explora a confusão entre "controles de segurança em geral" e "práticas essenciais do IAM". As alternativas A, C, D e E são controles de segurança válidos, mas não são o coração do IAM nem respondem à exigência de autenticação avançada. A gestão de vulnerabilidades (A) é um processo de segurança da informação; a política de senhas (C) é um controle de autenticação, mas baseado em fator fraco (algo que você sabe); a VPN (D) é um mecanismo de rede para acesso remoto seguro; e o NGFW (E) é um equipamento de segurança de perímetro. Nenhum deles é a prática essencial para garantir a integridade do IAM quando o requisito é autenticação robusta e avançada.

Guarde a fronteira: o IAM trata de quem pode acessar o quê (identidade, autenticação e autorização). A autenticação robusta é o pilar que garante que a identidade verificada é realmente de quem diz ser. O certificado digital é o mecanismo que eleva essa verificação a um nível de segurança adequado para sistemas críticos. É exatamente nessa fronteira que as alternativas se dividem.

Alternativa A — ❌ Incorreta

A gestão de vulnerabilidades de software é um processo de segurança da informação que visa identificar, classificar e corrigir falhas em sistemas e aplicações. Embora seja importante para a segurança como um todo, ela não é uma prática essencial do IAM nem responde à exigência de autenticação robusta. A gestão de vulnerabilidades é um controle de segurança da informação, não um mecanismo de autenticação.

Alternativa B — ✅ Correta ⟵ GABARITO

A autenticação baseada em certificados digitais é a prática essencial para garantir a integridade do IAM quando se exige autenticação robusta e avançada. O certificado digital é um fator de autenticação forte (algo que o usuário possui), emitido por uma Autoridade Certificadora, que vincula a identidade do usuário a uma chave criptográfica. Ele garante a autenticidade da identidade de forma muito mais segura que senhas, sendo adequado para sistemas críticos. O certificado digital é um dos mecanismos de autenticação mais robustos disponíveis, pois combina posse (chave privada) com criptografia assimétrica, e é amplamente utilizado em ambientes que exigem alto nível de segurança.

Alternativa C — ❌ Incorreta

A criação de políticas de segurança de senhas é um controle de autenticação, mas baseado em fator fraco (algo que você sabe). Embora seja uma prática importante do IAM, ela não atende à exigência de autenticação "robusta e avançada" para sistemas críticos. Senhas, mesmo fortes, são vulneráveis a ataques de phishing, força bruta e keylogger. A política de senhas é um controle complementar, mas não é a prática essencial quando o requisito é autenticação avançada.

Alternativa D — ❌ Incorreta

A implementação de VPN (Virtual Private Network) para acesso remoto é um mecanismo de segurança de rede que cria um túnel criptografado entre o usuário e a rede corporativa. Ela protege o tráfego de dados em trânsito, mas não é uma prática essencial do IAM nem um mecanismo de autenticação. A VPN garante a confidencialidade e integridade do canal de comunicação, mas não verifica a identidade do usuário de forma robusta. É um controle de rede, não de identidade.

Alternativa E — ❌ Incorreta

O uso de Firewalls de Próxima Geração (NGFW) é um controle de segurança de perímetro que inspeciona o tráfego de rede e aplica políticas de segurança. Embora seja importante para a segurança da rede, não é uma prática essencial do IAM nem um mecanismo de autenticação. O NGFW atua na camada de rede, filtrando pacotes e bloqueando ameaças, mas não gerencia identidades nem verifica a autenticidade dos usuários. É um controle de rede, não de identidade.

Gabarito: letra B