Questão de Segurança da Informação — Conceitos, Princípios e Atributos da Segurança da Informação — FCC 2025

Princípios da Segurança da Informação: confidencialidade, integridade, disponibilidade e irretratabilidade

Gabarito: letra B. A disponibilidade é o princípio que garante que a informação esteja acessível e utilizável quando necessário, e sua implementação prática envolve exatamente mecanismos como redundância e failover, que minimizam interrupções nos serviços. As demais alternativas confundem os atributos entre si ou atribuem a eles mecanismos que não lhes correspondem.

A segurança da informação se apoia em um conjunto de princípios ou atributos que definem o que deve ser protegido. Os três clássicos formam a chamada tríade CID: Confidencialidade, Integridade e Disponibilidade. Além deles, há outros atributos igualmente cobrados em provas, como Autenticidade, Irretratabilidade (ou não repúdio), Posse/Controle e Utilidade. Cada um tem um significado específico e, principalmente, mecanismos próprios que o garantem — é exatamente nessa relação entre princípio e mecanismo que a banca monta as armadilhas.

Vamos definir cada um com precisão, pois é a base para julgar as alternativas:

• Confidencialidade (ou privacidade): limita o acesso à informação somente às entidades autorizadas. É a proteção contra a divulgação não autorizada. Mecanismos típicos: criptografia, controle de acesso, senhas.

• Integridade: garante que a informação mantenha suas características originais, prevenindo mudanças não autorizadas ou indesejadas. Mecanismos típicos: funções de hash, assinatura digital, controle de versões.

• Disponibilidade: garante que a informação esteja sempre disponível para o uso legítimo, ou seja, por aqueles usuários autorizados. Relaciona-se à habilidade de acessar os dados quando necessário. Mecanismos típicos: redundância, failover, backups, RAID, planos de continuidade de negócio.

• Autenticidade: garante que a informação é proveniente da fonte anunciada, isto é, refere-se à atribuição apropriada do proprietário ou criador dos dados.

• Irretratabilidade (ou não repúdio): garante a impossibilidade de negar a autoria em relação a uma transação anteriormente feita. Mecanismos típicos: assinatura digital com criptografia assimétrica, certificados digitais.

• Posse ou controle: disposição física da mídia em que os dados são armazenados.

• Utilidade: quão úteis são os dados.

A distinção que mais gera confusão em provas é entre Integridade e Disponibilidade. A integridade se preocupa com a exatidão e completude da informação — que ela não seja alterada sem autorização. A disponibilidade se preocupa com o acesso — que a informação esteja acessível quando demandada. São conceitos complementares, mas distintos: um sistema pode ter dados íntegros (corretos) mas indisponíveis (fora do ar), ou disponíveis mas com dados corrompidos.

Outra confusão clássica é entre Irretratabilidade e Integridade. A irretratabilidade (não repúdio) impede que alguém negue a autoria de uma transação — está ligada à prova de autoria. A integridade garante que o conteúdo não foi alterado — está ligada à prova de não modificação. Embora a assinatura digital (que usa hash + criptografia assimétrica) possa ajudar em ambos, são princípios distintos.

A pegadinha central desta questão é justamente essa: a banca troca os mecanismos de garantia entre os princípios. Vejamos cada alternativa.

Alternativa A — ❌ Incorreta

A afirmação diz que a irretratabilidade é obtida por meio de funções de hash que impedem a modificação dos dados armazenados. Há dois erros aqui. Primeiro, as funções de hash estão mais diretamente ligadas à integridade — elas geram um resumo (digest) que permite detectar se o conteúdo foi alterado. Segundo, a irretratabilidade (não repúdio) exige algo mais: a assinatura digital com criptografia assimétrica, que prova a autoria de forma que o autor não possa negar. O hash sozinho não prova quem gerou a mensagem — qualquer pessoa com acesso aos dados poderia recalcular o hash. A irretratabilidade depende da chave privada do remetente, que é pessoal e intransferível.

Alternativa B — ✅ Correta ⟵ GABARITO

A disponibilidade é exatamente o princípio que garante que a informação esteja acessível quando necessário. Para minimizar interrupções nos serviços, implementam-se soluções como redundância (duplicação de componentes, como discos em RAID, servidores espelhados, fontes de energia redundantes) e failover (mecanismo que transfere automaticamente a operação para um sistema reserva quando o principal falha). Essas técnicas são essenciais para manter a disponibilidade, pois reduzem o tempo de inatividade e garantem a continuidade dos serviços. O conceito está perfeitamente alinhado com a definição de disponibilidade: "garante que a informação esteja sempre disponível para o uso legítimo, ou seja, por aqueles usuários autorizados pelo proprietário da informação. Relaciona-se à habilidade de acessar os dados quando necessário."

Alternativa C — ❌ Incorreta

A confidencialidade não pode ser garantida tornando os dados acessíveis apenas para administradores do sistema, mesmo que os usuários finais não consigam acessar as informações. Isso é uma distorção do princípio. A confidencialidade garante que a informação seja acessada somente por quem está autorizado — e os usuários finais podem ser autorizados a acessar determinadas informações. Restringir o acesso a todos os usuários finais não é confidencialidade; é uma política de acesso excessivamente restritiva que pode até prejudicar a operação. A confidencialidade correta envolve controle de acesso baseado em autorização: cada usuário (ou grupo) acessa apenas o que lhe é permitido. O erro aqui é confundir "acesso restrito a administradores" com "confidencialidade", quando na verdade a confidencialidade é sobre quem pode acessar, não sobre todos serem bloqueados.

Alternativa D — ❌ Incorreta

A integridade não é garantida por backups regulares. Backups são mecanismos de disponibilidade e recuperação de desastres — eles permitem restaurar dados em caso de falha, perda ou corrupção, mas não previnem a alteração não autorizada. A integridade é garantida por mecanismos como funções de hash, assinaturas digitais e controles de integridade (como checksums), que detectam ou previnem modificações não autorizadas. O backup é uma medida de contingência que atua depois do problema, enquanto a integridade atua preventivamente para garantir que os dados não sejam alterados. A confusão aqui é entre "recuperar dados originais" (backup) e "garantir que os dados não sejam modificados" (integridade).

Alternativa E — ❌ Incorreta

A integridade não garante que os dados estarão disponíveis para acesso autorizado em todos os momentos. Isso é a definição de disponibilidade. A integridade garante que a informação mantenha suas características originais, prevenindo mudanças não autorizadas ou indesejadas. A alternativa troca os dois princípios: atribui à integridade o papel da disponibilidade. Essa é uma pegadinha clássica — inverter os conceitos da tríade CID.

Gabarito: letra B — a única alternativa que associa corretamente o princípio (disponibilidade) ao mecanismo adequado (redundância e failover).