Questão de Segurança da Informação — Políticas de Segurança de Informação — FGV 2022
Segurança da Informação›Políticas de Segurança de Informação
Código
fg047159
Banca
FGV
Órgão
CGU
Ano
2022
Nível
Superior
Cargo
Auditor Federal de Finanças e Controle - Tecnologia da Informação
A equipe liderada por Jonas é responsável por prover o home office de um órgão da Administração Pública Federal (APF). Jonas recebeu uma solicitação da Equipe de Tratamento de Incidente de Rede (ETIR) para fornecer os registros de acesso a um sistema, ocorridos durante determinado tempo, para averiguação por suspeita de um incidente de segurança da informação.Considerando as orientações da Norma Complementar 21/IN01/DSIC/GSIPR, quanto aos requisitos para adequação dos ativos de informação para coleta e preservação das evidências, a equipe de Jonas deve fornecer as seguintes informações para cada acesso:
Aidentificação inequívoca do usuário;
Bregistro das autenticações malsucedidas;
Cdata e hora dos acessos sincronizados com o servidor de hora local;
Dtempo máximo de registro de log de quatro meses;
Eregistro das autenticações bem sucedidas.
Revelar gabarito e comentário▾
GabaritoA — identificação inequívoca do usuário;
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Norma Complementar 21 – Coleta de Evidências em Incidentes de Segurança
Gabarito: letra A. A identificação inequívoca do usuário é o requisito essencial para a rastreabilidade e responsabilização em incidentes de segurança, conforme as diretrizes da Norma Complementar 21/IN01/DSIC/GSIPR. As demais alternativas ou não correspondem à informação exigida para cada acesso ou apresentam imprecisões.
A banca cobra o conhecimento dos requisitos mínimos de registro de log para fins de investigação. A NC21 estabelece que os ativos de informação devem ser capazes de fornecer, para cada acesso, a identificação do usuário — de forma única e inequívoca — permitindo associar ações a uma pessoa. As outras opções são complementares, mas não representam o principal requisito.
Alternativa A — ✅ Correta ⟵ GABARITO
A identificação inequívoca do usuário é fundamental para a atribuição de responsabilidade. Sem esse dado, não é possível determinar quem realizou o acesso, inviabilizando a investigação. A NC21 determina que os sistemas devem registrar essa informação de forma a garantir a autenticidade das evidências.
Alternativa B — ❌ Incorreta
O registro de autenticações malsucedidas é relevante para detectar tentativas de invasão, mas a solicitação da ETIR é para cada acesso ocorrido. Falhas de autenticação não caracterizam acessos bem-sucedidos e, portanto, não são o foco da requisição.
Alternativa C — ❌ Incorreta
Embora data e hora sejam informações importantes, a NC21 exige que os registros estejam sincronizados com a hora legal brasileira (servidor oficial de tempo), e não com um "servidor de hora local". A expressão "hora local" pode levar a interpretações inadequadas, como o uso do horário do próprio equipamento sem validação externa.
Alternativa D — ❌ Incorreta
O tempo máximo de retenção de logs (quatro meses) é uma política de armazenamento, não uma informação que deve ser fornecida para cada acesso. A ETIR solicita os registros de acesso, não a política de retenção.
Alternativa E — ❌ Incorreta
O registro de autenticações bem-sucedidas é um dado importante, mas não substitui a identificação inequívoca do usuário. Além disso, a NC21 enfatiza que a identificação deve ser única e rastreável; apenas saber que houve uma autenticação bem-sucedida não identifica, por si só, o usuário de forma inequívoca (por exemplo, se houver compartilhamento de credenciais).
PEGA ESSA DICA!
Para questões sobre coleta de evidências, lembre-se do princípio da rastreabilidade: é preciso saber quem fez o quê, quando e de onde. A identificação do usuário é o primeiro e mais crítico item. Memorize também que a sincronização deve ser com a hora oficial (Lei 11.651/2008), não com hora local.
MNEMÔNICO
CID
CConfidencialidade (dados acessíveis só a quem é autorizado)IIntegridade (dados exatos, consistentes e não alterados indevidamente)DDisponibilidade (informação/sistemas acessíveis quando necessário)