Questão de Segurança da Informação — Conceitos Gerais de Autenticação e Controle de Acesso — IGEDUC 2026

Controle de Acesso em Sistemas de Informação

Gabarito: letra A. O controle de acesso tem por finalidade garantir que apenas usuários autorizados, conforme os níveis de permissão definidos, acessem recursos específicos — é a essência da autorização, que define privilégios após a autenticação. As demais alternativas distorcem completamente o conceito, atribuindo ao controle de acesso funções que não lhe pertencem (eliminar autenticação, substituir antivírus, aumentar tráfego ou impedir auditorias).

O controle de acesso é um dos pilares da segurança da informação. Ele atua na gestão de quem pode acessar o quê, em que condições, e é composto por três etapas fundamentais, conhecidas como modelo AAA: Autenticação, Autorização e Auditoria (Accounting). A autenticação verifica a identidade do usuário (quem é você?); a autorização define o que esse usuário pode fazer (quais recursos pode acessar e com quais permissões); e a auditoria registra as atividades para rastreamento e conformidade. O controle de acesso, portanto, não elimina a autenticação — ele a utiliza como primeira etapa. Sem autenticação, não há como saber quem está solicitando o acesso, e sem autorização, não há como definir os limites desse acesso.

Na prática, o controle de acesso funciona assim: um usuário se identifica (ex.: nome de usuário), autentica-se (ex.: senha, biometria, token) e, somente após essa validação, recebe autorização para acessar determinados recursos, de acordo com as permissões que lhe foram atribuídas. Por exemplo, em um sistema de gestão empresarial, um funcionário do setor financeiro pode ter permissão para visualizar e editar relatórios financeiros, enquanto um funcionário do RH pode ter acesso apenas a dados de pessoal. O controle de acesso garante que cada um acesse somente o que lhe é permitido, respeitando o princípio do menor privilégio.

A confusão mais comum neste tema é entre autenticação e autorização. A autenticação é o processo de verificar a identidade de uma pessoa; a autorização verifica se essa pessoa possui permissão para executar determinadas operações. A autenticação sempre precede a autorização. O controle de acesso abrange ambas, mas sua finalidade central é a autorização — garantir que o acesso seja feito apenas por quem tem permissão, nos níveis definidos. É exatamente essa a ideia expressa na alternativa correta.

A banca explora aqui um erro clássico: atribuir ao controle de acesso funções que pertencem a outros mecanismos de segurança. O controle de acesso não substitui antivírus (que combate malware), não aumenta tráfego de rede (isso seria um problema, não uma finalidade), não elimina autenticação (pelo contrário, depende dela) e não impede auditorias (a auditoria é parte integrante do modelo AAA). Guarde essa distinção: controle de acesso = restringir e gerenciar quem acessa o quê, com base em permissões.

Alternativa A — ✅ Correta ⟵ GABARITO

Esta alternativa define com precisão a finalidade do controle de acesso: garantir que apenas usuários autorizados, de acordo com os níveis de permissão definidos, acessem recursos específicos. Isso corresponde exatamente ao conceito de autorização, que é o componente central do controle de acesso. A autorização define os privilégios do usuário autenticado (ex.: leitura, escrita, execução), guiada por políticas como o princípio do menor privilégio. É a essência do que o controle de acesso faz: restringir e gerenciar o acesso a recursos, sejam físicos ou digitais, apenas a indivíduos ou entidades autorizadas.

Alternativa B — ❌ Incorreta

Afirma que o controle de acesso elimina a necessidade de autenticação. Isso é um erro grave. O controle de acesso depende da autenticação como primeira etapa do processo. A autenticação verifica a identidade do usuário (quem é você?), e somente após essa validação é que a autorização define o que ele pode acessar. Sem autenticação, não há como saber quem está solicitando o acesso, tornando impossível aplicar qualquer controle de acesso eficaz. A autenticação é a base da segurança em um sistema — autenticar é garantir que uma entidade é quem diz ser.

Alternativa C — ❌ Incorreta

Afirma que o controle de acesso substitui sistemas antivírus. Isso é um equívoco. O controle de acesso e o antivírus têm finalidades distintas e complementares. O controle de acesso gerencia quem pode acessar recursos, enquanto o antivírus protege contra malware (vírus, worms, trojans, etc.). Um não substitui o outro; ambos são camadas de segurança que atuam em conjunto. O controle de acesso não tem função de detectar ou remover códigos maliciosos — essa é a função do antivírus e de outras ferramentas de proteção contra malware.

Alternativa D — ❌ Incorreta

Afirma que o controle de acesso aumenta o tráfego de rede. Isso é um absurdo. O controle de acesso não tem relação com o aumento de tráfego; pelo contrário, ele pode até reduzir o tráfego ao bloquear acessos não autorizados. O tráfego de rede é influenciado por fatores como volume de dados transmitidos, número de usuários ativos, largura de banda, etc. O controle de acesso atua na permissão de acesso a recursos, não na quantidade de dados que trafegam na rede. Essa alternativa confunde conceitos completamente distintos.

Alternativa E — ❌ Incorreta

Afirma que o controle de acesso impede a realização de auditorias. Isso é o oposto da verdade. A auditoria (Accounting) é um dos três componentes do modelo AAA, juntamente com autenticação e autorização. O controle de acesso registra as atividades dos usuários (logs) para permitir rastreamento e conformidade, utilizando ferramentas como SIEM. A auditoria é uma função essencial do controle de acesso, não algo que ele impede. Sem registros de acesso, seria impossível auditar quem acessou o quê e quando.

Gabarito: letra A