Questão de Banco de Dados — Segurança em Banco de Dados — INSTITUTO AOCP 2024

Segurança em Banco de Dados: conceitos fundamentais

Gabarito: letra D. As assertivas I, II e III estão corretas, pois descrevem adequadamente a criptografia de dados em repouso, o controle de acesso baseado em papéis (RBAC) e a auditoria de banco de dados. A assertiva IV está incorreta, pois senhas fortes e políticas de alteração frequente são apenas uma camada de segurança, não sendo suficientes para garantir a segurança completa de um banco de dados, que exige uma abordagem em múltiplas camadas (defesa em profundidade).

A segurança em banco de dados é um campo abrangente que visa proteger os dados contra ameaças que podem comprometer três objetivos principais: confidencialidade (proteção contra exposição não autorizada), integridade (proteção contra modificação imprópria) e disponibilidade (garantia de acesso legítimo aos dados). Esses três pilares são a base de qualquer estratégia de segurança, e as medidas adotadas devem ser planejadas para proteger cada um deles.

A criptografia de dados em repouso é uma técnica que protege os dados armazenados fisicamente (em discos, backups, etc.) contra acessos não autorizados. Ela transforma os dados em um formato ilegível (cifrado) usando algoritmos e chaves criptográficas, de modo que, mesmo que um invasor obtenha acesso físico ao armazenamento, não consiga ler as informações sem a chave de decriptação. Essa é uma camada essencial de proteção, especialmente para dados sensíveis.

O controle de acesso baseado em papéis (RBAC) é um modelo de controle de acesso em que as permissões são atribuídas a papéis (funções) em vez de diretamente a usuários individuais. Os usuários são então associados a um ou mais papéis, herdando as permissões desses papéis. Por exemplo, um papel "Analista Financeiro" pode ter permissão de leitura e escrita em tabelas de finanças, enquanto um papel "Funcionário Comum" pode ter apenas permissão de leitura em tabelas de RH. Isso simplifica a administração de permissões, pois as mudanças são feitas nos papéis, não em cada usuário.

A auditoria de banco de dados é o processo de monitorar e registrar as atividades realizadas no banco de dados, como consultas, inserções, atualizações, exclusões e tentativas de acesso. Os logs de auditoria são fundamentais para detectar atividades maliciosas, investigar incidentes de segurança, garantir conformidade com regulamentações e identificar padrões de uso anômalos. A auditoria é uma ferramenta reativa e proativa: permite descobrir violações após ocorrerem e também pode dissuadir comportamentos maliciosos.

A assertiva IV é a única incorreta. Afirmar que senhas fortes e políticas de alteração frequente são suficientes para garantir a segurança de um banco de dados é um erro grave. A segurança de um banco de dados é um problema complexo que exige uma abordagem em múltiplas camadas (defesa em profundidade). Senhas fortes são apenas uma parte da autenticação, que é apenas um dos componentes da segurança. Outras camadas incluem: controle de acesso (RBAC, ACLs), criptografia (em repouso e em trânsito), auditoria, backup e recuperação, monitoramento, políticas de segurança, treinamento de usuários, e muito mais. A segurança não é garantida por uma única medida, mas pela combinação de várias.

A banca explora a generalização indevida na assertiva IV: o uso de "suficientes" torna a afirmação absoluta, ignorando que a segurança é um processo contínuo e multifacetado. É uma pegadinha clássica de questões de segurança da informação.

Item I — ✅ Correto

A criptografia de dados em repouso protege os dados armazenados (em disco, backups, etc.) contra acessos não autorizados, pois os dados são cifrados e só podem ser lidos com a chave correta. Isso é uma prática fundamental de segurança.

Item II — ✅ Correto

O RBAC (Role-Based Access Control) define permissões com base nas funções (papéis) que os usuários desempenham na organização. Os usuários são associados a papéis, e os papéis recebem permissões, simplificando a administração do acesso.

Item III — ✅ Correto

A auditoria em banco de dados visa monitorar e registrar todas as atividades (consultas, alterações, tentativas de acesso) para detectar e prevenir atividades maliciosas. Os logs de auditoria são essenciais para a segurança e conformidade.

Item IV — ❌ Incorreto

A afirmação de que senhas fortes e políticas de alteração frequente são suficientes para garantir a segurança é incorreta. A segurança de um banco de dados exige uma abordagem em múltiplas camadas (defesa em profundidade), incluindo controle de acesso, criptografia, auditoria, backup, monitoramento, entre outras. Senhas fortes são apenas uma parte da autenticação, que é apenas um componente da segurança.

Conclusão: Corretos: I, II e III → portanto a alternativa é a letra D (Apenas IV está incorreta).

Gabarito: letra D