Questão de Segurança da Informação — Controles de segurança — FGV 2025
Segurança da InformaçãoControles de segurança
- Código
- fg106612
- Banca
- FGV
- Órgão
- CGE-SP
- Ano
- 2025
- Nível
- Superior
- Cargo
- Auditor Estadual de Controle - Tecnologia da Informação - tarde
José, recentemente contratado como CISO pela Banana Inc, sociedade empresária de médio porte com 500 funcionários, ficou entusiasmado ao ler sobre Arquitetura Zero Trust em uma rede social.Interpretando literalmente o termo Zero Trust (confiança zero), José concluiu que isso significava não confiar em absolutamente nada nem ninguém. Ele então:• Bloqueou todas as comunicações entre sistemas internos por padrão, sem exceções;• Removeu todos os usuários e grupos do Active Directory que tivesse qualquer tipo de permissão;• Desativou a VPN e o acesso remoto completamente ("não podemos confiar em ninguém fora do escritório");• Configurou o firewall para negar todo tráfego de entrada e saída;• Desabilitou certificados digitais da sociedade empresária ("não podemos confiar nem em nós mesmos");• Bloqueou o acesso administrativo a todos os servidores, incluindo para a própria equipe de TI.Após essa implementação, a sociedade empresária ficou completamente paralisada: os sistemas não comunicavam entre si, os usuários não conseguiam acessar nenhum recurso, os e-mails não eram recebidos nem enviados, e a própria equipe de TI ficou impossibilitada de gerenciar a infraestrutura.A diretoria exigiu correção imediata mantendo princípios de segurança modernos. Para implementar corretamente Arquitetura Zero Trust conforme a NIST SP 800-207, José deveria
- Asubstituir a VPN tradicional por uma solução ZTNA (Zero Trust Network Access), pois Zero Trust consiste essencialmente em trocar VPN por acesso baseado em identidade, mantendo o restante da arquitetura de segurança inalterado.
- Bimplementar micro-segmentação de rede por meio de VLANs e ACLs rigorosas em todos os switches e firewalls internos, isolando cada departamento em sua própria zona de confiança separada.
- Cimplementar a autenticação multifator (MFA) obrigatória para todos os acessos de usuários e service accounts, pois Zero Trust, fundamentalmente, significa fortalecer a autenticação para eliminar confiança implícita.
- Dimplementar um modelo em que a segurança não se baseia em confiança implícita na localização de rede, mas em verificação contínua de identidade, contexto do dispositivo e autorização granular por recurso, usando Policy Engine e Policy Enforcement Points automatizados.
- Ebloquear todo tráfego por padrão e criado um processo automatizado de whitelist, em que cada usuário solicita acesso a recursos específicos via sistema de tickets, com aprovação automática baseada em função do usuário no organograma.