Questão de Segurança da Informação — Conceitos, Princípios e Atributos da Segurança da Informação — FUNDATEC 2023

Objetivos de um sistema de segurança da informação

Gabarito: letra E. A alternativa que NÃO representa um objetivo comum de um sistema de segurança é "Comprometimento da Informação e Repudiação", pois o comprometimento é justamente a violação da segurança e a repudiação é o oposto do não repúdio (irretratabilidade), que é um objetivo legítimo. Os objetivos comuns incluem autenticação, não repudiação, confidencialidade, integridade, disponibilidade, controle, prevenção e auditoria.

Os objetivos de um sistema de segurança da informação são as metas que a organização busca alcançar para proteger seus ativos de informação. Eles são definidos pelas políticas de segurança da empresa e orientam a implementação de controles e mecanismos de proteção. Esses objetivos são baseados nos princípios fundamentais da segurança da informação, que são as propriedades que a informação deve possuir para ser considerada segura.

Os princípios fundamentais são frequentemente resumidos na tríade CID: Confidencialidade, Integridade e Disponibilidade. A confidencialidade garante que a informação seja acessada apenas por entidades autorizadas. A integridade garante que a informação não seja modificada de forma não autorizada ou indesejada. A disponibilidade garante que a informação esteja acessível quando necessário. Além da tríade, outros princípios importantes incluem a autenticidade (garantia de que a informação é proveniente da fonte anunciada) e o não repúdio ou irretratabilidade (garantia de que o autor de uma transação não possa negar sua autoria).

Na prática, esses princípios se traduzem em objetivos concretos para o sistema de segurança. Por exemplo, a autenticação é o processo de verificar a identidade de um usuário, enquanto a não repudiação garante que uma ação não possa ser negada. A prevenção envolve a implementação de controles para evitar incidentes, e a auditoria é o processo de registrar e analisar eventos para detectar e investigar violações. O controle, por sua vez, refere-se à capacidade de gerenciar e restringir o acesso aos recursos.

A pegadinha desta questão está em identificar o termo que representa a antítese dos objetivos de segurança. "Comprometimento da Informação" é um termo que descreve a perda de confidencialidade, integridade ou disponibilidade, ou seja, uma falha de segurança. "Repudiação" é o ato de negar a autoria de uma ação, o que é exatamente o que o princípio do não repúdio busca impedir. Portanto, a alternativa E apresenta dois conceitos que são opostos aos objetivos de um sistema de segurança, tornando-a a única que não se encaixa no conjunto.

Guarde a distinção entre os objetivos legítimos (autenticação, não repudiação, confidencialidade, integridade, disponibilidade, controle, prevenção, auditoria) e os termos que representam falhas ou ameaças (comprometimento, repudiação). É exatamente nessa fronteira que a questão se decide.

Alternativa A — ✅ Correta

A alternativa A apresenta "Autenticação e Não Repudiação" como objetivos comuns. A autenticação é o processo de verificar a identidade de um usuário ou sistema, e o não repúdio (ou irretratabilidade) garante que uma parte não possa negar a autoria de uma transação. Ambos são princípios fundamentais da segurança da informação, portanto, são objetivos legítimos.

Alternativa B — ✅ Correta

A alternativa B apresenta "Confidencialidade e Integridade de Dados" como objetivos comuns. A confidencialidade garante que a informação seja acessada apenas por pessoas autorizadas, e a integridade garante que a informação não seja alterada de forma não autorizada. Esses são dois dos três pilares da tríade CID, portanto, são objetivos essenciais.

Alternativa C — ✅ Correta

A alternativa C apresenta "Disponibilidade e Controle" como objetivos comuns. A disponibilidade garante que a informação esteja acessível quando necessário, e o controle refere-se à capacidade de gerenciar e restringir o acesso aos recursos. Ambos são objetivos importantes para garantir a segurança da informação.

Alternativa D — ✅ Correta

A alternativa D apresenta "Prevenção e Auditoria" como objetivos comuns. A prevenção envolve a implementação de controles para evitar incidentes de segurança, e a auditoria é o processo de registrar e analisar eventos para detectar e investigar violações. Ambos são objetivos legítimos de um sistema de segurança.

Alternativa E — ❌ Incorreta ⟵ GABARITO

A alternativa E apresenta "Comprometimento da Informação e Repudiação" como objetivos comuns. O comprometimento da informação é a violação da confidencialidade, integridade ou disponibilidade, ou seja, é uma falha de segurança, não um objetivo. A repudiação é o ato de negar a autoria de uma ação, que é exatamente o que o princípio do não repúdio busca impedir. Portanto, esta alternativa apresenta conceitos que são opostos aos objetivos de um sistema de segurança, sendo a única incorreta.

Gabarito: letra E