Questão de Segurança da Informação — Práticas de Segurança e Ameaças em Programação — FGV 2024

Proteção de dados para teste na ABNT NBR ISO/IEC 27002:2013

Gabarito: letra D. A norma estabelece que, quando informações de identificação pessoal ou outras informações sensíveis forem utilizadas para fins de teste, todos os detalhes e conteúdos devem ser protegidos contra remoção ou modificação — é exatamente o que a alternativa D afirma, espelhando o controle 14.3.1 (Proteção dos dados para teste).

A ABNT NBR ISO/IEC 27002:2013 é o código de prática para controles de segurança da informação, ou seja, um guia de boas práticas que orienta a seleção e implementação de controles dentro de um Sistema de Gestão de Segurança da Informação (SGSI), em conformidade com a ISO/IEC 27001. Ela não é uma norma certificável por si só, mas serve como referência para a implementação dos controles. A norma está organizada em 14 seções de controles, 35 objetivos de controle e 114 controles, cobrindo desde políticas de segurança até conformidade.

A seção que trata do desenvolvimento e manutenção de sistemas (seção 14) aborda, entre outros temas, os dados para teste. O objetivo dessa subseção é assegurar a proteção dos dados usados durante os testes de sistemas. O controle 14.3.1, chamado "Proteção dos dados para teste", traz diretrizes específicas sobre como lidar com esses dados. A orientação central é que os dados de teste sejam selecionados com cuidado, protegidos e controlados. Além disso, a norma recomenda fortemente que se evite, para propósitos de teste, o uso de bancos de dados operacionais que contenham informação de identificação pessoal ou qualquer outra informação confidencial.

A lógica por trás dessa regra é simples e crucial: o ambiente de testes, por sua natureza, costuma ser menos protegido que o ambiente de produção. Se dados reais de clientes, funcionários ou operações forem copiados para esse ambiente sem as devidas proteções, eles ficam expostos a acessos não autorizados, vazamentos ou alterações indevidas. Por isso, a norma exige que, quando for inevitável usar dados sensíveis em testes, todos os detalhes e conteúdos sejam protegidos contra remoção ou modificação — garantindo a confidencialidade e a integridade dessas informações mesmo fora do ambiente operacional.

Na prática, as organizações costumam adotar técnicas como a mascaramento de dados (data masking) ou a anonimização, que substituem os dados reais por dados fictícios, mas estruturalmente semelhantes, preservando a utilidade dos testes sem expor informações sensíveis. Quando o mascaramento não é possível, a alternativa é proteger rigorosamente o ambiente de teste com os mesmos controles de acesso do ambiente de produção.

A pegadinha que a banca explora aqui é a tentação de tratar o ambiente de teste como um "ambiente livre", onde as regras de segurança seriam mais flexíveis. A norma, no entanto, adota o caminho oposto: os dados sensíveis, mesmo em teste, merecem proteção equivalente — e, se possível, nem deveriam ser usados. Guarde essa fronteira: dados de teste não são dados descartáveis; são dados que exigem o mesmo cuidado (ou mais) que os dados de produção. É exatamente nesse ponto que as alternativas se dividem.

Alternativa A — ❌ Incorreta

Afirma que os procedimentos de controle de acesso aplicáveis aos sistemas e aplicações operacionais devem ser mais rígidos que os aplicados aos sistemas em teste. A norma não estabelece essa hierarquia de rigidez. Pelo contrário, a preocupação com os dados de teste é tão grande que a recomendação é evitar o uso de dados operacionais sensíveis e, quando usados, protegê-los adequadamente. O controle de acesso no ambiente de teste deve ser tão rigoroso quanto necessário para proteger os dados ali presentes — não há previsão de que o ambiente operacional exija controles mais rígidos que o de teste. O erro está em criar uma gradação que a norma não faz.

Alternativa B — ❌ Incorreta

Diz que a cópia da informação operacional para uso em ambiente de teste pode ser realizada conforme a necessidade da equipe de desenvolvimento. Isso contraria a diretriz da norma, que recomenda evitar o uso de bancos de dados operacionais que contenham informação de identificação pessoal ou confidencial para fins de teste. A cópia não é livre nem fica a critério da equipe: ela deve ser cuidadosamente avaliada, e a preferência é sempre por dados não sensíveis ou mascarados. A necessidade da equipe não justifica a exposição de dados reais.

Alternativa C — ❌ Incorreta

Sustenta que a informação operacional copiada para o ambiente de testes deve permanecer no ambiente de testes após a entrada do sistema em produção para assegurar a confiabilidade dos testes. A norma não faz essa exigência. Pelo contrário, a lógica é inversa: quanto menos tempo dados sensíveis ficarem fora do ambiente controlado de produção, melhor. Após a conclusão dos testes, os dados devem ser removidos ou devidamente protegidos, não mantidos indefinidamente. A confiabilidade dos testes não depende da permanência dos dados, mas da qualidade do planejamento e da execução dos testes.

Alternativa D — ✅ Correta ⟵ GABARITO

Esta alternativa espelha diretamente o controle 14.3.1 da norma. Quando informações de identificação pessoal ou outras informações sensíveis forem utilizadas com o propósito de teste, todos os detalhes e conteúdos devem ser protegidos contra remoção ou modificação. Isso garante a confidencialidade (ninguém não autorizado acessa) e a integridade (ninguém altera) dos dados, mesmo fora do ambiente de produção. É a medida de proteção que a norma exige para o cenário em que dados sensíveis precisam, inevitavelmente, ser usados em testes.

Alternativa E — ❌ Incorreta

Afirma que o uso de cópias de bancos de dados operacionais para utilização em ambiente de testes é recomendável para assegurar aderência às práticas de desenvolvimento seguro. A norma recomenda exatamente o oposto: evitar o uso de bancos de dados operacionais que contenham informação de identificação pessoal ou confidencial para fins de teste. A prática recomendada é usar dados fictícios, mascarados ou anonimizados. Usar dados reais de produção em testes é um risco, não uma recomendação.

Gabarito: letra D