Questão de Segurança da Informação — OWASP — FCC 2025

OWASP Top 10 e o desenvolvimento seguro de aplicações web

Gabarito: letra E. A prática mais eficaz para proteger uma aplicação web contra as vulnerabilidades mais comuns é adotar o OWASP Top 10 como guia para desenvolvimento seguro, pois esse documento é a referência mundial que consolida as vulnerabilidades mais críticas e recorrentes em aplicações web, orientando desenvolvedores e organizações a mitigá-las desde a concepção do software. As demais alternativas, embora sejam boas práticas de segurança, são medidas pontuais que não abrangem, de forma estruturada e abrangente, o conjunto das vulnerabilidades mais comuns.

O OWASP (Open Web Application Security Project) é uma fundação sem fins lucrativos dedicada a melhorar a segurança de softwares. Sua publicação mais conhecida, o OWASP Top 10, é uma listagem atualizada periodicamente que relaciona as vulnerabilidades mais críticas, comuns e perigosas no desenvolvimento de software web. O documento funciona como um guia de conscientização (awareness) e um padrão mínimo de segurança, representando um amplo consenso sobre os riscos mais significativos para aplicações web. A versão de 2021, por exemplo, elenca riscos como Quebra de Controle de Acesso (A01), Falhas Criptográficas (A02), Injeção (A03), Design Inseguro (A04), Configuração Incorreta de Segurança (A05), Componentes Vulneráveis e Desatualizados (A06), Falhas de Identificação e Autenticação (A07), Falhas de Integridade de Dados e Software (A08), Falhas em Monitoramento e Segurança de Logs (A09) e Falsificação de Solicitação do Lado do Servidor (SSRF - A10).

A eficácia do OWASP Top 10 reside em sua abordagem holística e preventiva: ele não se limita a uma única tecnologia ou prática, mas orienta todo o ciclo de vida do desenvolvimento — do design à operação — para que a equipe identifique e mitigue as vulnerabilidades mais comuns desde o início. Adotá-lo como guia significa incorporar uma cultura de segurança no processo de desenvolvimento, o que é mais eficaz do que aplicar medidas isoladas, como revisões de código, uso de bibliotecas de terceiros, MFA ou HTTPS, que, embora importantes, não cobrem todo o espectro de riscos.

É importante destacar que o OWASP Top 10 não é uma norma, certificação ou checklist completo, mas um ponto de partida (bare minimum) para um programa de segurança de aplicações. Ele serve para educar programadores, arquitetos, gestores e organizações sobre os riscos mais críticos e as direções para mitigá-los. A banca explora exatamente essa distinção: enquanto as alternativas A, B, C e D apresentam medidas específicas e válidas, a alternativa E é a única que representa uma abordagem abrangente e estruturada para lidar com as vulnerabilidades mais comuns.

Guarde este critério: a questão pede a prática mais eficaz contra as vulnerabilidades mais comuns — isso aponta para uma abordagem ampla e consolidada, não para uma medida pontual. É exatamente nessa fronteira que as alternativas se dividem.

Alternativa A — ❌ Incorreta

Realizar revisões de código manuais regulares é uma prática importante de segurança, mas é pontual e limitada: depende da expertise do revisor, não cobre todas as categorias de vulnerabilidades e não é tão abrangente quanto seguir um guia consolidado como o OWASP Top 10. Além disso, revisões manuais são complementares a outras práticas, não a medida mais eficaz isoladamente.

Alternativa B — ❌ Incorreta

Utilizar bibliotecas de terceiros para todas as funcionalidades de segurança é uma prática inadequada e arriscada: bibliotecas de terceiros podem conter vulnerabilidades (inclusive o OWASP Top 10 lista "Componentes Vulneráveis e Desatualizados" como um dos principais riscos), e depender exclusivamente delas não garante segurança. A segurança deve ser incorporada ao design e ao código, não terceirizada cegamente.

Alternativa C — ❌ Incorreta

Implementar autenticação multifator (MFA) é uma excelente medida de segurança, mas é específica para o controle de acesso e autenticação — não protege contra outras vulnerabilidades comuns como injeção, configuração incorreta ou falhas criptográficas. É uma camada de defesa importante, mas não a prática mais eficaz contra o conjunto das vulnerabilidades mais comuns.

Alternativa D — ❌ Incorreta

Utilizar HTTPS para todas as comunicações é essencial para proteger dados em trânsito (relacionado a "Falhas Criptográficas"), mas é uma medida isolada que não aborda outras categorias de risco, como quebra de controle de acesso, injeção ou design inseguro. É uma prática necessária, mas insuficiente como a mais eficaz.

Alternativa E — ✅ Correta ⟵ GABARITO

Adotar o OWASP Top 10 como guia para desenvolvimento seguro é a prática mais eficaz porque o documento consolida as vulnerabilidades mais críticas e comuns em aplicações web e oferece orientações de prevenção e mitigação aplicáveis em todo o ciclo de vida do desenvolvimento. Ele serve como um padrão de conscientização e um ponto de partida para que as organizações minimizem os riscos mais significativos, sendo o primeiro passo mais eficaz para mudar a cultura de desenvolvimento de software para uma que produza código mais seguro.

Gabarito: letra E