Questão de Segurança da Informação — Gestão de Identidade e Acesso (IAM, IdP e Identidade Federada) — INSTITUTO AOCP 2023

Gestão de Identidade e Acesso: Autenticação, Autorização e Auditoria

Gabarito: letra B. Ao acessar um recurso protegido, a sequência lógica e correta dos processos é autenticação → autorização → auditoria: primeiro o sistema verifica quem é o usuário (autenticação), depois determina o que ele pode fazer (autorização) e, por fim, registra o que ele fez (auditoria). Essa ordem é um princípio fundamental de segurança da informação e é exatamente o que a alternativa B descreve.

A confusão entre autenticação e autorização é um dos erros mais comuns em segurança da informação, e é justamente o que esta questão explora. Autenticação é o processo de verificar a identidade de um usuário — responder à pergunta "quem é você?" — normalmente por meio de credenciais como senha, token ou biometria. Autorização é o processo que ocorre após a autenticação e define quais recursos e operações aquele usuário autenticado pode acessar — responder à pergunta "o que você pode fazer?". A auditoria (também chamada de accounting ou contabilização) é o registro e monitoramento das ações do usuário — responder à pergunta "o que você fez?" — permitindo rastreabilidade e responsabilização.

A relação de precedência é clara: a autenticação sempre precede a autorização, pois não faz sentido definir permissões para alguém cuja identidade não foi confirmada. E a auditoria vem por último, pois só pode registrar ações de um usuário que já foi autenticado e autorizado. Essa sequência é tão fundamental que deu origem ao modelo AAA (Authentication, Authorization, and Accounting), amplamente utilizado em protocolos como RADIUS e TACACS+.

Um exemplo prático: ao acessar um sistema bancário online, o usuário primeiro informa sua senha (autenticação). O sistema então verifica se aquele usuário tem permissão para visualizar saldo e fazer transferências (autorização). Todas as operações realizadas — login, consultas, transferências — são registradas em logs (auditoria), permitindo que, se algo der errado, seja possível rastrear exatamente o que aconteceu e quem fez.

A pegadinha desta questão está em inverter a ordem ou confundir os conceitos. A banca testa se o candidato sabe que a autorização depende da autenticação prévia — não é possível autorizar alguém sem antes saber quem é essa pessoa. Guarde a sequência: quem é você? → o que você pode fazer? → o que você fez? É exatamente esse critério que separa as alternativas.

Alternativa A — ❌ Incorreta

Inverte completamente a ordem ao colocar a auditoria em primeiro lugar. A auditoria é o registro das ações do usuário e só pode ocorrer depois que ele foi autenticado e autorizado — não faz sentido auditar um acesso que ainda nem aconteceu. A sequência correta começa com a autenticação.

Alternativa B — ✅ Correta ⟵ GABARITO

Apresenta a sequência lógica e correta: autenticação (verificar quem é o usuário), autorização (definir o que ele pode fazer) e auditoria (registrar o que ele fez). Essa é a ordem natural do modelo AAA e a única que respeita a dependência entre os processos — a autorização pressupõe a autenticação, e a auditoria pressupõe ambos.

Alternativa C — ❌ Incorreta

Coloca a autorização antes da autenticação, o que é logicamente impossível. Para autorizar um usuário a acessar um recurso, o sistema precisa primeiro saber quem ele é — ou seja, a autenticação é pré-requisito para a autorização. A ordem correta é autenticação → autorização → auditoria.

Alternativa D — ❌ Incorreta

Apresenta duas inversões: coloca a autorização antes da autenticação e a auditoria antes da autorização. A sequência correta é autenticação → autorização → auditoria. A auditoria, sendo o registro das ações, é sempre o último passo do fluxo.

Alternativa E — ❌ Incorreta

Coloca a auditoria em primeiro lugar, o que é incorreto. A auditoria depende das ações do usuário, que só ocorrem após a autenticação e a autorização. A ordem correta é autenticação → autorização → auditoria.

A regra de ouro para levar à prova: autenticação responde "quem é você?", autorização responde "o que você pode fazer?" e auditoria responde "o que você fez?" — nessa ordem, sempre. A autenticação é a base de tudo; sem ela, não há como autorizar nem auditar.

Gabarito: letra B