Questão de Segurança da Informação — Tópicos Mesclados de Recursos de Segurança da Informação — INSTITUTO AOCP 2024

SecaaS (Security as a Service)

Gabarito: letra D. A alternativa correta apresenta serviços que estão entre as categorias típicas de SecaaS definidas pela Cloud Security Alliance (CSA): segurança da Web, prevenção de perda de dados (DLP) e segurança de e-mail. As demais alternativas misturam serviços que não são categorias oficiais do SecaaS, embora possam ser oferecidos de forma complementar.

O SecaaS (Security as a Service) é um modelo de entrega de serviços de segurança por meio da nuvem, no qual o provedor de serviços em nuvem (CSP) oferece aplicações e serviços de segurança como parte de sua infraestrutura. A Cloud Security Alliance (CSA) identificou as seguintes categorias de serviço típicas de SecaaS:

• Gestão de identidade e acesso (IAM)

• Prevenção contra perda de dados (DLP)

• Segurança da Internet (Web)

• Segurança de e-mail

• Avaliações de segurança

• Gestão de invasões

• Gestão de informações e eventos de segurança (SIEM)

• Encriptação (criptografia)

• Continuidade dos negócios e recuperação de desastres

• Segurança da rede

Essas categorias representam o conjunto fechado de serviços que a CSA define como parte do SecaaS. A questão cobra exatamente esse rol, e a alternativa D é a única que traz três categorias que estão literalmente nessa lista.

A pegadinha da banca está em apresentar alternativas com serviços que são, de fato, medidas de segurança, mas que não são categorias oficiais do SecaaS. Por exemplo, "firewall de perímetro", "antivírus" e "autenticação de usuário" são componentes de segurança, mas não são categorias listadas pela CSA como serviços SecaaS. O candidato que conhece o rol exato consegue identificar a alternativa correta sem hesitar.

Alternativa A — ❌ Incorreta

Embora firewall de perímetro, antivírus e autenticação de usuário sejam medidas de segurança importantes, elas não são categorias de serviço listadas pela CSA como parte do SecaaS. A CSA define categorias como "Gestão de identidade e acesso" (que engloba autenticação), mas não lista "autenticação de usuário" como uma categoria separada. O erro está em apresentar serviços genéricos que não correspondem ao rol oficial.

Alternativa B — ❌ Incorreta

Backup de dados, controle de tráfego e proteção contra negação de serviço são medidas de segurança relevantes, mas não são categorias de serviço listadas pela CSA como parte do SecaaS. A CSA lista "Continuidade dos negócios e recuperação de desastres" (que pode incluir backup), mas não lista "backup de dados" como categoria separada. O erro está em apresentar serviços que não correspondem ao rol oficial.

Alternativa C — ❌ Incorreta

Criptografia de dados, gestão de invasões e continuidade dos negócios são serviços que se aproximam de categorias da CSA, mas a alternativa não está correta porque "gestão de invasões" não é uma categoria listada pela CSA. A CSA lista "Gestão de invasões" como categoria, mas a alternativa C não traz três categorias que estejam todas no rol oficial. O erro está em incluir um serviço que não corresponde ao rol.

Alternativa D — ✅ Correta ⟵ GABARITO

A alternativa D apresenta três categorias que estão literalmente na lista da CSA: Segurança da Internet (Web), Prevenção contra perda de dados (DLP) e Segurança de e-mail. Essas são categorias oficiais de serviço SecaaS, conforme definido pela Cloud Security Alliance. A alternativa está correta porque todos os três serviços pertencem ao rol fechado de categorias SecaaS.

Alternativa E — ❌ Incorreta

Detecção de intrusos, gerenciamento de eventos de segurança e segurança da rede são serviços que se aproximam de categorias da CSA, mas a alternativa não está correta porque "detecção de intrusos" não é uma categoria listada pela CSA. A CSA lista "Gestão de informações e eventos de segurança" (SIEM) e "Segurança da rede", mas não lista "detecção de intrusos" como categoria separada. O erro está em incluir um serviço que não corresponde ao rol.

Gabarito: letra D