Questão de Segurança da Informação — Autorização e Controle de Acesso (RBAC, ABAC, MAC, DAC e ACL) — FCC 2025

Controle de Acesso Baseado em Funções (RBAC)

Gabarito: letra E. O modelo que atribui direitos de acesso com base nas funções (papéis) desempenhadas pelos usuários dentro da organização é o Role-Based Access Control (RBAC) — em português, Controle de Acesso Baseado em Funções. É o modelo mais difundido em serviços de nuvem e sistemas corporativos, pois simplifica a administração de permissões ao vincular usuários a papéis organizacionais, e estes às permissões.

O RBAC é um dos quatro grandes modelos de controle de acesso estudados em segurança da informação, ao lado do DAC (Discricionário), MAC (Obrigatório) e ABAC (Baseado em Atributos). A ideia central é simples: em vez de atribuir permissões diretamente a cada usuário (o que seria inviável em organizações grandes), criam-se papéis (roles) que representam funções organizacionais — como "Analista", "Gerente", "Auditor" — e as permissões são concedidas a esses papéis. O usuário, ao ser associado a um papel, herda automaticamente todas as permissões dele. Isso implementa na prática o princípio do menor privilégio: cada usuário recebe apenas os acessos necessários para desempenhar sua função.

A grande vantagem do RBAC é a escalabilidade administrativa. Se um funcionário muda de setor, basta alterar o papel dele no sistema — não é preciso reconfigurar dezenas de permissões individuais. Da mesma forma, quando alguém deixa a empresa, a remoção do papel revoga todos os acessos de uma só vez. Por isso, o RBAC é o modelo padrão em plataformas de nuvem (AWS IAM, Azure AD, Google Cloud IAM) e em sistemas ERP, onde o número de usuários e recursos é enorme.

O RBAC possui variações de implementação, que vão do modelo mais simples ao mais completo: o RBAC0 (modelo base, com usuários, papéis e permissões), o RBAC1 (adiciona hierarquia de papéis, permitindo herança de permissões), o RBAC2 (adiciona restrições, como a separação de funções — SoD) e o RBAC3 (combina hierarquia e restrições). A separação de funções (SoD) é um conceito importante: ela impede que um mesmo usuário execute tarefas conflitantes, como criar e aprovar uma compra, podendo ser estática (SSD — o usuário não pode ter papéis conflitantes) ou dinâmica (DSD — pode ter, mas não pode atuar em ambos na mesma sessão).

A banca explora neste tema a confusão entre os modelos de controle de acesso. O candidato que decora apenas as siglas pode se perder diante de alternativas inventadas como PBAC, TBAC, FBAC e MBAC — que não existem como modelos consagrados na literatura de segurança da informação. O que existe de fato são: DAC (o proprietário do recurso decide), MAC (o sistema decide, com base em rótulos de sensibilidade), RBAC (papéis definem as permissões) e ABAC (atributos dinâmicos do sujeito, objeto, ação e contexto decidem). Guarde essa distinção: é exatamente nela que as alternativas se separam.

Alternativa A — ❌ Incorreta

Position-Based Access Control (PBAC) — sigla inventada. Não existe modelo consagrado de controle de acesso com esse nome na literatura de segurança da informação. A banca cria siglas fictícias para testar se o candidato conhece o nome correto do modelo.

Alternativa B — ❌ Incorreta

Task-Based Access Control (TBAC) — embora exista o conceito de controle de acesso baseado em tarefas (Task-Based Access Control) em alguns contextos acadêmicos, ele não é o modelo "mais utilizado" em serviços de nuvem e não se baseia em funções organizacionais, mas em tarefas específicas de um fluxo de trabalho. O enunciado descreve claramente o RBAC, que atribui permissões com base nas funções desempenhadas pelos usuários.

Alternativa C — ❌ Incorreta

Feature-Based Access Control (FBAC) — sigla inventada. Não existe modelo consagrado de controle de acesso com esse nome. É um distrator puro, criado para confundir o candidato que não domina a nomenclatura dos modelos.

Alternativa D — ❌ Incorreta

Mission-Based Access Control (MBAC) — sigla inventada. Não existe modelo consagrado de controle de acesso com esse nome na literatura de segurança da informação. O termo "missão" pode até aparecer em contextos militares, mas não como um modelo formal de controle de acesso.

Alternativa E — ✅ Correta ⟵ GABARITO

Role-Based Access Control (RBAC) — é exatamente o modelo descrito no enunciado: atribui direitos de acesso com base nas funções (papéis) desempenhadas pelos usuários dentro da organização. É o modelo mais utilizado em serviços de nuvem (AWS IAM, Azure AD, Google Cloud IAM) e sistemas corporativos, pois simplifica a administração de permissões ao vincular usuários a papéis organizacionais, e estes às permissões.

Gabarito: letra E — Role-Based Access Control (RBAC).