Questão de Segurança da Informação — Autorização e Controle de Acesso (RBAC, ABAC, MAC, DAC e ACL) — FGV 2026

RBAC: Controle de Acesso Baseado em Função

Gabarito: letra E. O RBAC (Role-Based Access Control) é ideal para ambientes com funções estáveis e bem definidas, mas pode exigir complementação com modelos baseados em atributos (ABAC) em cenários dinâmicos. Isso porque o RBAC vincula permissões a papéis organizacionais predefinidos, o que simplifica a gestão, mas carece de flexibilidade para decisões contextuais e dinâmicas, como horário, localização ou risco — exatamente o que o ABAC oferece.

O RBAC é um dos quatro grandes modelos de controle de acesso, ao lado do DAC (Discricionário), MAC (Obrigatório) e ABAC (Baseado em Atributos). No RBAC, as permissões não são atribuídas diretamente aos usuários, mas sim a papéis (roles) que representam funções organizacionais — como médico, enfermeiro, administrador ou auditor. O usuário recebe um ou mais papéis e, por meio deles, herda as permissões associadas. Essa abordagem centraliza a administração: em vez de configurar acesso usuário por usuário, o administrador define permissões por papel e depois atribui papéis às pessoas.

A grande vantagem do RBAC é a escalabilidade administrativa e a aderência ao princípio do menor privilégio: cada papel carrega apenas as permissões necessárias para a função. Em um hospital, por exemplo, um médico pode ter acesso ao prontuário eletrônico, enquanto um técnico de laboratório acessa apenas os resultados de exames. Isso reduz o risco de acesso indevido e facilita a auditoria, pois os acessos seguem uma lógica previsível.

Porém, o RBAC tem limitações em cenários dinâmicos. Se o acesso precisa variar conforme o contexto — como permitir acesso a um documento apenas em horário comercial, ou apenas a partir de um dispositivo específico — o RBAC puro não resolve. É aí que entra o ABAC, que avalia atributos do sujeito, do objeto, da ação e do contexto no momento da solicitação. Em sistemas hospitalares modernos, é comum combinar RBAC (para a estrutura básica de papéis) com ABAC (para regras contextuais), garantindo tanto a governança quanto a flexibilidade.

A banca explora justamente essa fronteira: o candidato que conhece apenas a definição básica do RBAC pode cair na armadilha de achar que ele resolve tudo, quando na verdade sua eficácia depende da estabilidade das funções. Guarde o critério: RBAC = papéis estáticos; ABAC = atributos dinâmicos. É nessa distinção que as alternativas se dividem.

Alternativa A — ❌ Incorreta

Afirma que o RBAC impede que administradores tenham acesso privilegiado a dados sensíveis. Isso é falso: o RBAC permite que administradores tenham acesso privilegiado, desde que o papel de administrador seja configurado com essas permissões. O modelo não impede privilégios; ele apenas os organiza por função. A confusão aqui é com o princípio do menor privilégio, que é uma diretriz de configuração, não uma propriedade automática do RBAC.

Alternativa B — ❌ Incorreta

Afirma que o RBAC permite atribuir permissões diretamente aos usuários, facilitando a personalização. Isso contraria a essência do RBAC: as permissões são atribuídas aos papéis, e os usuários recebem papéis. A atribuição direta usuário-permissão é característica do DAC (controle discricionário), onde o proprietário do recurso define quem acessa o quê. O RBAC existe justamente para evitar essa personalização individual, centralizando a gestão em papéis.

Alternativa C — ❌ Incorreta

Afirma que o RBAC elimina a necessidade de auditoria. Isso é um equívoco grave: a auditoria (accounting) é um dos três pilares do controle de acesso (autenticação, autorização e auditoria) e continua sendo essencial mesmo com RBAC. O RBAC até facilita a auditoria, pois os acessos seguem uma lógica previsível por papel, mas não a elimina. Registros de acesso, logs e monitoramento continuam necessários para conformidade e detecção de anomalias.

Alternativa D — ❌ Incorreta

Afirma que usuários com múltiplas funções têm acesso apenas à interseção das permissões. Na prática, o RBAC combina as permissões dos papéis por união (soma), não por interseção. Um usuário que é médico e auditor acumula as permissões de ambos os papéis. A restrição de papéis conflitantes existe em modelos avançados (RBAC com separação de funções — SoD), mas não é uma regra geral do RBAC, e mesmo nesses casos a separação é configurada explicitamente, não automática.

Alternativa E — ✅ Correta ⟵ GABARITO

Esta alternativa captura com precisão o ponto central do RBAC: ele é ideal para ambientes com funções estáveis e bem definidas, pois simplifica a administração de permissões. Porém, em cenários dinâmicos — onde o acesso depende de contexto, como horário, localização ou risco — o RBAC puro é insuficiente, e a complementação com ABAC (que avalia atributos dinâmicos) é a solução recomendada. É exatamente o caso do sistema hospitalar do enunciado, que pode precisar de regras contextuais além dos papéis fixos.

Gabarito: letra E