Questão de Segurança da Informação — Conceitos, Princípios e Atributos da Segurança da Informação — FCC 2025

Ameaças e vulnerabilidades: a relação de exploração

Gabarito: letra B. A relação correta entre os dois conceitos é que ameaças exploram vulnerabilidades: a vulnerabilidade é a fraqueza (o "buraco" no sistema) e a ameaça é o agente que tem o potencial de causar dano, aproveitando-se dessa fraqueza. Essa é a definição clássica adotada pelas bancas e pela norma ABNT NBR ISO/IEC 27002, que trata da gestão de riscos de segurança da informação.

Para entender bem essa questão, é preciso dominar quatro conceitos fundamentais que andam juntos na segurança da informação: ameaça, vulnerabilidade, risco e impacto. Eles formam uma cadeia lógica: a ameaça (algo que tem potencial de causar dano) explora a vulnerabilidade (a fraqueza) e, quando isso acontece, gera um risco (a probabilidade de algo ruim acontecer) que, se concretizado, causa um impacto (o dano real).

A ameaça é qualquer coisa que possa explorar uma vulnerabilidade, intencional ou acidentalmente, para causar dano a um ativo. Pode ser um hacker, um malware, um desastre natural, um erro humano, etc. A vulnerabilidade é a fragilidade, a brecha, a falha de segurança que permite que a ameaça se concretize. Por exemplo: um sistema operacional desatualizado é uma vulnerabilidade; um malware que explora essa falha é a ameaça.

O risco é a probabilidade de que uma ameaça explore uma vulnerabilidade e cause um dano. É a medida da incerteza. Já o impacto é a extensão do dano causado quando o risco se concretiza. A gestão de riscos, portanto, busca identificar as vulnerabilidades, avaliar as ameaças e implementar controles para reduzir a probabilidade e o impacto.

A banca explora exatamente a confusão entre esses termos. A pegadinha clássica é inverter o sujeito e o objeto da ação: dizer que "vulnerabilidades exploram ameaças" quando o correto é o contrário. Outra pegadinha comum é tratar ameaça e vulnerabilidade como sinônimos, quando são conceitos distintos e complementares.

Guarde a cadeia lógica: ameaça → explora → vulnerabilidade → gera → risco → causa → impacto. É exatamente essa relação que as alternativas tentam distorcer.

Alternativa A — ❌ Incorreta

Inverte a relação. A vulnerabilidade é a fraqueza passiva, o alvo; quem explora é a ameaça. A frase correta seria "ameaças exploram vulnerabilidades". A banca troca o sujeito da ação para confundir o candidato.

Alternativa B — ✅ Correta ⟵ GABARITO

Esta é a definição correta. A ameaça é o agente que tem o potencial de causar dano e, para isso, explora uma vulnerabilidade existente. É a relação fundamental da segurança da informação: sem vulnerabilidade, a ameaça não encontra por onde atacar; sem ameaça, a vulnerabilidade é apenas uma fraqueza latente.

Alternativa C — ❌ Incorreta

A ameaça não evita vulnerabilidades; ela as procura e as explora. "Evitar" seria o papel de um controle de segurança, não de uma ameaça. A banca usa um verbo que inverte completamente a lógica da relação.

Alternativa D — ❌ Incorreta

Ameaça e vulnerabilidade são conceitos distintos e complementares, não sinônimos. A ameaça é o agente causador de dano potencial; a vulnerabilidade é a fraqueza que permite o dano. Confundi-los é um erro conceitual grave.

Alternativa E — ❌ Incorreta

A ameaça não anula vulnerabilidades; ela as explora. "Anular" seria o efeito de um controle corretivo ou preventivo, não de uma ameaça. A banca usa um verbo que indica o oposto da relação real.

Gabarito: letra B