Questão de Noções de Informática — Conceitos e Princípios de Segurança da Informação — INSTITUTO AOCP 2026

Segurança da Informação: tríade CID e proteção de ativos

Gabarito: letra C. A segurança da informação se apoia na tríade Confidencialidade, Integridade e Disponibilidade (CID), e a proteção eficaz exige a combinação de controles lógicos (como controle de acesso e criptografia) com a gestão física dos ativos — exatamente o que a alternativa C afirma. As demais alternativas contêm erros conceituais graves, como a falsa ideia de que SSD elimina a necessidade de RAID, que a nuvem transfere toda a responsabilidade ao provedor, que dispositivos air-gapped são imunes a ransomware, ou que a rotatividade de senhas é mais importante que a complexidade.

A tríade CID é o alicerce da Segurança da Informação. Cada pilar protege um aspecto distinto do ativo: a Confidencialidade garante que apenas usuários autorizados acessem a informação; a Integridade assegura que os dados não sejam alterados por quem não tem permissão; e a Disponibilidade garante que a informação esteja acessível quando necessário. Esses três princípios são interdependentes — comprometer um deles pode comprometer os demais. Por exemplo, um ataque de ransomware que criptografa os arquivos viola a disponibilidade (o usuário não acessa mais os dados) e, dependendo do caso, a integridade (os dados foram modificados).

Na prática, a proteção da informação não se resume a uma única medida. É preciso uma abordagem em camadas (defesa em profundidade): controles físicos (como salas-cofre e controle de acesso físico), controles lógicos (como autenticação, autorização e criptografia), e controles administrativos (como políticas e treinamentos). A criptografia de dados em repouso (at rest) protege a confidencialidade dos dados armazenados, enquanto o controle de acesso lógico garante que apenas usuários autorizados possam ler ou modificar esses dados. Essas medidas complementam a gestão física, pois um invasor que obtenha acesso físico ao servidor ainda encontrará os dados criptografados e sem credenciais válidas.

A banca explora aqui um padrão recorrente: apresentar uma medida de segurança como se fosse suficiente para eliminar outras. Nenhuma tecnologia isolada — SSD, nuvem, air-gapped ou senha — é uma solução completa. A segurança é um processo contínuo e integrado. Guarde esse princípio: toda alternativa que afirma que uma única medida elimina a necessidade de outras está, quase sempre, errada.

Alternativa A — ❌ Incorreta

A afirmação de que SSDs eliminam a necessidade de RAID é falsa. Embora SSDs não tenham partes mecânicas (diferente dos HDs), eles ainda podem falhar — por desgaste das células de memória flash, defeitos de fabricação, falhas de controladora, entre outros. O RAID (Redundant Array of Independent Disks) existe para fornecer redundância e tolerância a falhas, protegendo contra a perda de dados quando um disco falha. A ausência de componentes mecânicos reduz a probabilidade de certos tipos de falha, mas não a anula. A redundância continua sendo essencial para a disponibilidade dos dados.

Alternativa B — ❌ Incorreta

A nuvem não transfere integralmente a responsabilidade ao provedor. Existe o modelo de responsabilidade compartilhada: o provedor é responsável pela segurança da infraestrutura física e da plataforma, mas a organização continua responsável pela segurança dos seus dados, aplicações, configurações de acesso e autenticação. A organização deve manter políticas de backup (mesmo na nuvem, para evitar vendor lock-in e garantir recuperação) e implementar autenticação multifator (MFA) para proteger o acesso aos seus dados. A nuvem não isenta a organização de suas obrigações de segurança.

Alternativa C — ✅ Correta ⟵ GABARITO

A alternativa C está correta ao afirmar que a segurança da informação é fundamentada na tríade Confidencialidade, Integridade e Disponibilidade (CID). Além disso, ela corretamente destaca que a implementação de controles de acesso lógicos e a criptografia de dados em repouso (at rest) são medidas complementares à gestão física dos ativos de armazenamento. Essa visão integrada é exatamente o que a segurança da informação exige: múltiplas camadas de proteção trabalhando juntas.

Alternativa D — ❌ Incorreta

A afirmação de que dispositivos air-gapped são inerentemente imunes a ransomware é falsa. Um dispositivo desconectado da rede (air-gapped) reduz a superfície de ataque, mas não elimina o risco. O ransomware pode ser introduzido por um dispositivo infectado conectado posteriormente, por mídia removível contaminada, ou por um atacante com acesso físico. Além disso, o dispositivo pode ser comprometido antes de ser desconectado. Portanto, verificações de integridade e proteção de endpoint continuam necessárias mesmo em ambientes air-gapped.

Alternativa E — ❌ Incorreta

A afirmação de que a rotatividade frequente de senhas é mais importante que a complexidade é falsa. A complexidade da senha (tamanho, uso de caracteres variados) é fundamental para aumentar a entropia e dificultar ataques de força bruta. A rotatividade frequente, por sua vez, pode até ser contraproducente se levar os usuários a escolherem senhas mais fracas ou a reutilizarem senhas. As boas práticas atuais recomendam senhas longas e complexas, e a rotatividade apenas quando há suspeita de comprometimento. A entropia da senha é um fator primário, não secundário.

Gabarito: letra C