Questão de Segurança da Informação — Tópicos Mesclados de Recursos de Segurança da Informação — FCC 2025

Intranet: segmentação de rede e segurança corporativa

Gabarito: letra D. A melhor prática para implementar uma intranet corporativa é estruturá-la como uma rede local privada (LAN), segmentada por VLANs e protegida por firewall, pois isso garante isolamento de tráfego, controle de acessos e segurança — exatamente o que a alternativa D descreve. As demais opções falham ao propor arquiteturas inseguras, como redes planas, Wi-Fi sem segmentação, dependência de snapshots ou modelo peer-to-peer.

Uma intranet é uma rede privada que utiliza tecnologias da internet (TCP/IP, HTTP, etc.) para compartilhar informações e sistemas internamente, mas com acesso restrito aos colaboradores da organização. O objetivo central é permitir comunicação eficiente e acesso a sistemas administrativos, como no caso do Tribunal Regional do Trabalho, sem expor esses recursos à internet pública. Para isso, a arquitetura de rede precisa equilibrar desempenho, disponibilidade e, principalmente, segurança.

A segurança em uma intranet não é um detalhe opcional — é o requisito que define a arquitetura. Uma rede plana (flat network), onde todos os dispositivos compartilham o mesmo domínio de broadcast, facilita a comunicação, mas também facilita a propagação de ataques: se um host for comprometido, o atacante pode alcançar qualquer outro dispositivo da rede sem barreiras. Por isso, a segmentação é uma prática fundamental. As VLANs (Virtual LANs) permitem dividir logicamente a rede em domínios de broadcast menores, isolando setores (RH, Financeiro, Jurídico, etc.) e limitando o tráfego entre eles. O firewall corporativo, por sua vez, controla o tráfego entre essas VLANs e entre a intranet e a internet, aplicando políticas de acesso baseadas em regras de segurança.

Na prática, imagine o Tribunal com três setores: Administrativo, Jurídico e TI. Sem segmentação, um malware que infecte um computador do setor Administrativo pode se espalhar livremente para os demais. Com VLANs, cada setor fica em uma sub-rede isolada, e o tráfego entre elas passa obrigatoriamente pelo firewall, que pode bloquear ou permitir conforme a política. Isso também melhora o desempenho, pois reduz o tráfego de broadcast e permite priorizar aplicações críticas.

A alternativa D é a única que combina os três elementos essenciais: rede privada (LAN), segmentação lógica (VLANs) e controle de tráfego (firewall). As demais alternativas apresentam arquiteturas que sacrificam a segurança em nome da simplicidade ou da flexibilidade, o que é inaceitável em um ambiente corporativo que lida com dados sensíveis de processos trabalhistas.

Guarde o critério decisivo: segurança em intranet exige segmentação e controle de tráfego. É exatamente esse critério que separa a alternativa correta das demais.

Alternativa A — ❌ Incorreta

A alternativa propõe um único servidor virtualizado com snapshots automáticos, sem segmentação de rede. O erro está em confiar exclusivamente em snapshots para garantir alta disponibilidade e ignorar a necessidade de isolamento de tráfego. Snapshots protegem contra perda de dados, mas não impedem que um atacante que comprometa um host acesse toda a rede. Além disso, um único servidor é um ponto único de falha (SPOF), o que contradiz a ideia de alta disponibilidade.

Alternativa B — ❌ Incorreta

A alternativa sugere uma rede local única e plana, onde todos os dispositivos compartilham o mesmo domínio de broadcast. O erro está em eliminar a segmentação, o que aumenta a superfície de ataque: qualquer host comprometido pode alcançar todos os outros sem barreiras. A redução da complexidade de configuração não justifica o sacrifício da segurança, especialmente em um órgão público que lida com dados sensíveis.

Alternativa C — ❌ Incorreta

A alternativa propõe uma rede Wi-Fi corporativa única, sem segmentação, com um único SSID para todos os setores. O erro está em ignorar a necessidade de isolamento entre setores e de controle de acesso individualizado. Um único SSID sem segmentação permite que qualquer dispositivo conectado à rede acesse todos os recursos, sem distinção de perfil ou necessidade. Além disso, o termo "Service Security Identifier" está incorreto — o correto é SSID (Service Set Identifier), que é apenas o nome da rede sem fio, não um mecanismo de segurança.

Alternativa D — ✅ Correta ⟵ GABARITO

A alternativa descreve a melhor prática: uma LAN privada, segmentada por VLANs e controlada por firewall. As VLANs isolam o tráfego entre setores, reduzindo o impacto de um possível comprometimento e melhorando o desempenho. O firewall corporativo aplica políticas de controle de acesso, permitindo ou bloqueando o tráfego conforme as regras de segurança. Essa combinação garante segurança, isolamento e controle, exatamente o que o enunciado pede.

Alternativa E — ❌ Incorreta

A alternativa propõe um modelo peer-to-peer (escrito como "pier-to-pier"), onde cada máquina atua como cliente e servidor simultaneamente. O erro está em eliminar o servidor central, o que dificulta o controle centralizado de acesso, a aplicação de políticas de segurança e o gerenciamento de dados. Em uma intranet corporativa, o modelo cliente-servidor é o padrão, pois permite centralizar autenticação, autorização e auditoria. O modelo peer-to-peer é inadequado para ambientes que exigem controle e segurança.

Gabarito: letra D