Questão de Noções de Informática — Firewall e Proxy — INSTITUTO AOCP 2024

Segurança da informação: estratégias de proteção

Gabarito: letra C. A alternativa que NÃO apresenta uma estratégia de segurança cibernética é a que trata da implementação de um sistema ERP (Enterprise Resource Planning), pois esse é um software de gestão empresarial que integra dados e processos de uma organização — não é uma ferramenta de proteção contra ameaças digitais. As demais alternativas (firewall, criptografia, antivírus e autenticação de dois fatores) são, de fato, medidas de segurança.

A questão cobra a capacidade de distinguir ferramentas de segurança da informação de sistemas de gestão empresarial. Segurança da informação é o conjunto de práticas, políticas e ferramentas que visam proteger a confidencialidade, a integridade e a disponibilidade dos dados — os três pilares do chamado CIA Triad (Confidentiality, Integrity, Availability). Já um ERP é um sistema integrado de gestão que unifica em um único banco de dados as informações de diferentes setores da empresa (financeiro, RH, estoque, produção, vendas), permitindo que todos os processos sejam monitorados e interligados. Ele pode até ter módulos de segurança, mas sua finalidade central é gerencial, não de proteção contra ameaças.

Vamos entender cada ferramenta de segurança citada nas alternativas:

• Firewall: é um ponto entre duas ou mais redes por onde passa todo o tráfego, permitindo controle, autenticação e registro. Ele filtra portas de conexão, protege contra acessos não autorizados vindos da internet e bloqueia envio de informações. Pode ser software ou hardware. É uma barreira de proteção essencial.

• Criptografia: é a ciência de escrever mensagens em forma cifrada ou em código, garantindo que apenas o destinatário legítimo consiga ler o conteúdo. A criptografia de ponta a ponta (end-to-end) protege a comunicação desde o remetente até o destinatário, sem que intermediários (como provedores) tenham acesso ao conteúdo.

• Antivírus: é um software que detecta e remove códigos maliciosos (vírus, worms, trojans). Ele usa métodos como assinatura (identificação de vírus conhecidos), heurística (análise de estruturas e características do código) e comportamento (observação das ações do código quando executado).

• Autenticação de dois fatores (2FA): é um mecanismo que exige duas formas distintas de verificação de identidade (algo que você sabe — senha; algo que você tem — token, celular; algo que você é — biometria). Aumenta significativamente a segurança, pois mesmo que a senha seja comprometida, o atacante não consegue acessar sem o segundo fator.

A pegadinha da questão está em confundir ferramentas de segurança com sistemas de gestão. O ERP é um sistema de informação gerencial, não uma ferramenta de proteção. A banca explora exatamente essa confusão: o candidato que não conhece a finalidade de um ERP pode achar que ele é uma ferramenta de segurança por "monitorar e registrar informações".

Alternativa A — ❌ Incorreta (é uma estratégia de segurança)

A instalação de firewalls é uma estratégia válida de segurança. O firewall é um componente que controla o tráfego de rede, filtrando portas e bloqueando acessos não autorizados. A alternativa, no entanto, contém uma ressalva: "confiando na sua capacidade de bloquear todas as ameaças externas". Essa confiança excessiva é um erro de segurança, pois o firewall não é uma solução completa — ele não detecta vírus, não impede ataques internos e não substitui outras camadas de proteção. Mas, como a questão pede a alternativa que NÃO apresenta uma estratégia a ser adotada, e a instalação de firewall é, sim, uma estratégia (ainda que com ressalvas), ela não é a resposta.

Alternativa B — ❌ Incorreta (é uma estratégia de segurança)

O uso de criptografia de ponta a ponta em comunicações críticas é uma estratégia de segurança válida. A criptografia protege a confidencialidade dos dados, garantindo que apenas o destinatário legítimo tenha acesso ao conteúdo. A alternativa menciona que "outras comunicações permanecem sem criptografia para facilitar o acesso" — isso é uma prática de segurança questionável, pois idealmente toda comunicação sensível deveria ser criptografada. Mas, novamente, a alternativa apresenta uma estratégia de segurança (criptografia), ainda que com uma ressalva. Não é a resposta.

Alternativa C — ✅ Correta (NÃO é uma estratégia de segurança) ⟵ GABARITO

A implementação de um sistema ERP (Enterprise Resource Planning) não é uma estratégia de segurança cibernética. O ERP é um sistema de gestão empresarial que integra dados e processos de uma organização em um único sistema, permitindo o monitoramento e o registro de informações de diferentes setores (financeiro, RH, estoque, produção). Sua finalidade é gerencial, não de proteção contra ameaças digitais. Embora um ERP possa ter módulos de segurança (como controle de acesso), ele não é uma ferramenta de segurança cibernética. Portanto, esta é a alternativa que NÃO apresenta uma estratégia a ser adotada para proteger redes e sistemas contra ameaças digitais.

Alternativa D — ❌ Incorreta (é uma estratégia de segurança)

O uso de software antivírus, atualizando-o regularmente, é uma estratégia de segurança válida. O antivírus detecta e remove códigos maliciosos, e a atualização regular é essencial para reconhecer novas ameaças. A alternativa menciona "sem investir em outras formas de segurança cibernética" — isso é uma prática de segurança inadequada, pois a segurança deve ser em camadas (defense in depth). Mas, como a questão pede a alternativa que NÃO apresenta uma estratégia a ser adotada, e o uso de antivírus é, sim, uma estratégia (ainda que incompleta), ela não é a resposta.

Alternativa E — ❌ Incorreta (é uma estratégia de segurança)

A adoção de uma política de segurança que exige autenticação de dois fatores é uma estratégia de segurança válida e recomendada. A autenticação de dois fatores (2FA) adiciona uma camada extra de proteção, exigindo duas formas distintas de verificação de identidade (senha + token, por exemplo). Isso dificulta o acesso não autorizado, mesmo que a senha seja comprometida. Esta é claramente uma estratégia de segurança a ser adotada.

Gabarito: letra C — a única alternativa que não apresenta uma estratégia de segurança cibernética, pois trata de um sistema de gestão empresarial (ERP), e não de uma ferramenta de proteção.