Questão de Segurança da Informação — Conceitos Gerais de Autenticação e Controle de Acesso — FCC 2025

Segurança da Informação: criptografia, autenticação e controle de acesso

Gabarito: letra E. A alternativa correta combina práticas consagradas e tecnicamente adequadas: AES-256 para dados em repouso, TLS para dados em trânsito, MFA baseada em hardware, RBAC e revisões periódicas de privilégios. As demais alternativas misturam conceitos de forma incorreta, atribuindo algoritmos e modos de operação errados ou utilizando tecnologias de forma inadequada.

A questão avalia o conhecimento sobre as melhores práticas de segurança da informação, especialmente no que se refere à proteção de dados sensíveis em um sistema integrado. Para resolver corretamente, é preciso dominar três pilares: criptografia (simétrica e assimétrica), autenticação (fatores e métodos) e controle de acesso (modelos como RBAC). Vamos analisar cada um desses conceitos para entender por que a alternativa E é a única tecnicamente correta.

Criptografia é a técnica de transformar informações legíveis em um formato ilegível (cifrado) para que apenas quem possui a chave correta possa decifrá-las. Existem dois tipos principais: a simétrica, que usa a mesma chave para cifrar e decifrar (ex.: AES), e a assimétrica, que usa um par de chaves (pública e privada) (ex.: RSA, ECC). A escolha do algoritmo depende do cenário: para grandes volumes de dados em repouso, o AES é o padrão mais eficiente e seguro; para dados em trânsito, o TLS é o protocolo que garante a confidencialidade e integridade da comunicação.

Autenticação é o processo de verificar a identidade de um usuário ou sistema. Os fatores de autenticação são classificados em: algo que você sabe (senha), algo que você tem (token, cartão) e algo que você é (biometria). A autenticação multifator (MFA) combina dois ou mais fatores, aumentando significativamente a segurança. A MFA baseada em hardware (como tokens físicos) é considerada mais segura que a baseada em software, pois o fator não pode ser facilmente copiado ou roubado.

Controle de acesso é o conjunto de políticas e mecanismos que determinam quem pode acessar quais recursos e sob quais condições. O modelo RBAC (Role-Based Access Control) atribui permissões com base na função do usuário dentro da organização, facilitando a gestão e o princípio do menor privilégio. A revisão periódica de privilégios é uma prática essencial para garantir que os acessos continuem adequados ao longo do tempo, evitando acúmulo de permissões desnecessárias.

A pegadinha desta questão está na mistura deliberada de algoritmos e conceitos. A banca troca, por exemplo, AES (simétrico) por RSA (assimétrico), ou atribui modos de operação incorretos (como "cifras de fluxo" para AES, que é um cifra de bloco). O candidato que não domina a diferença entre criptografia simétrica e assimétrica, ou entre cifras de bloco e de fluxo, tende a se confundir. A alternativa E é a única que apresenta uma combinação tecnicamente coerente e alinhada às boas práticas.

Guarde a fronteira entre criptografia simétrica e assimétrica, entre cifras de bloco e de fluxo, e entre autenticação e autorização: é exatamente nesses pontos que as alternativas se dividem.

Alternativa A — ❌ Incorreta

O erro está em afirmar que a CEC (Criptografia de Curva Elíptica) é um algoritmo de criptografia simétrica. Na verdade, a criptografia de curva elíptica (ECC) é um tipo de criptografia assimétrica, que utiliza um par de chaves (pública e privada). Além disso, a alternativa menciona "autenticação básica com senha", que é um método mais fraco, e não aborda a proteção de dados em repouso, focando apenas em dados em trânsito. A mitigação de falhas humanas por treinamento é uma boa prática, mas não compensa as falhas técnicas.

Alternativa B — ❌ Incorreta

A alternativa comete um erro grave ao afirmar que o AES é uma criptografia assimétrica e que opera em cifras de fluxo. O AES é um algoritmo de criptografia simétrica que opera em cifras de bloco (blocos de tamanho fixo, como 128 bits). A descrição "criptografia assimétrica AES em cifras de fluxo" é completamente equivocada. Embora a autenticação via certificados digitais e políticas de acesso dinâmicas sejam boas práticas, o erro fundamental na criptografia invalida a alternativa.

Alternativa C — ❌ Incorreta

Esta alternativa inverte os conceitos de criptografia. Afirma que o RSA é um algoritmo de criptografia simétrica com cifras de fluxo, quando na verdade o RSA é assimétrico e opera com cifras de bloco. Da mesma forma, o RC4 é um algoritmo de criptografia simétrica de fluxo, e não assimétrico com "fatoração primária". A mistura de algoritmos e modos de operação é totalmente incorreta. A autenticação biométrica e os logs distribuídos são boas práticas, mas não corrigem os erros conceituais.

Alternativa D — ❌ Incorreta

A alternativa apresenta um erro sutil: menciona "OAuth 2.2", que não é uma versão existente do protocolo (a versão atual é a 2.0). Além disso, a criptografia simétrica com rotatividade de chaves é uma boa prática, mas a alternativa não especifica o algoritmo (como AES). A autenticação baseada em tokens JWT é válida, mas a referência a "OAuth 2.2" é incorreta. A centralização do controle de acesso em um único órgão administrativo pode ser uma prática, mas não é necessariamente a mais adequada para um sistema integrado com múltiplos domínios.

Alternativa E — ✅ Correta ⟵ GABARITO

Esta alternativa apresenta uma combinação tecnicamente correta e alinhada às melhores práticas:

• AES-256 para dados em repouso: algoritmo de criptografia simétrica amplamente utilizado e seguro para proteger grandes volumes de dados armazenados.

• TLS para dados em trânsito: protocolo que garante a confidencialidade e integridade dos dados durante a transmissão.

• Autenticação MFA baseada em hardware: método de autenticação multifator que utiliza dispositivos físicos (como tokens), oferecendo maior segurança.

• Controle de acesso granular utilizando RBAC: modelo de controle de acesso baseado em funções, que permite atribuir permissões de forma precisa e gerenciável.

• Revisões periódicas de privilégios: prática essencial para manter a segurança, garantindo que os acessos continuem adequados ao longo do tempo.

A alternativa E é a única que não apresenta erros conceituais e que adota uma abordagem completa e coerente para proteger dados sensíveis em um sistema integrado.

Gabarito: letra E