Questão de Segurança da Informação — Conceitos, Princípios e Atributos da Segurança da Informação — FUNDATEC 2025

Níveis organizacionais da segurança da informação (Sommerville)

Gabarito: letra A. Segundo Sommerville (2018), a segurança da informação deve ser considerada em três níveis organizacionais: infraestrutura, aplicação e operacional. A alternativa B (confidencialidade, integridade e disponibilidade) refere-se à tríade CID, que são princípios/atributos da segurança da informação, não níveis organizacionais — essa é a confusão central da questão.

A segurança da informação é uma disciplina que protege um conjunto de informações, preservando seu valor para o indivíduo ou a organização. Para que essa proteção seja efetiva, ela não pode se restringir a um único ponto do ambiente tecnológico; precisa ser pensada de forma abrangente, em diferentes camadas da organização. Sommerville, em sua obra clássica de Engenharia de Software, propõe exatamente essa visão: a segurança deve ser tratada em três níveis organizacionais — infraestrutura (a base física e lógica, como redes, servidores e sistemas operacionais), aplicação (os softwares e sistemas que manipulam os dados) e operacional (os processos, procedimentos e pessoas que operam e gerenciam esses recursos).

Essa classificação é distinta dos princípios da segurança da informação, que são as propriedades desejáveis que a informação deve ter. Os princípios mais conhecidos formam a tríade CID: Confidencialidade (limitar o acesso apenas a entidades legítimas), Integridade (garantir que a informação não seja alterada sem autorização) e Disponibilidade (garantir que a informação esteja acessível quando necessário). Além deles, há outros atributos como autenticidade, não repúdio (irretratabilidade), posse/controle e utilidade.

A banca explora exatamente essa distinção: o candidato que memoriza a tríade CID pode marcar a alternativa B, mas ela responde a uma pergunta diferente — sobre princípios, não sobre níveis organizacionais. A questão pede especificamente os níveis segundo Sommerville, que são infraestrutura, aplicação e operacional.

Para fixar: níveis organizacionais = onde a segurança é aplicada (infraestrutura, aplicação, operacional); princípios = o que se busca garantir (CID e outros). Guarde essa fronteira — é nela que as alternativas se dividem.

Alternativa A — ✅ Correta ⟵ GABARITO

A alternativa reproduz exatamente os três níveis organizacionais propostos por Sommerville (2018): infraestrutura, aplicação e operacional. A infraestrutura abrange a base tecnológica (redes, servidores, sistemas operacionais); a aplicação refere-se aos softwares e sistemas que processam os dados; e o operacional envolve os processos, procedimentos e pessoas que gerenciam e operam esses recursos. É a resposta literal da obra citada.

Alternativa B — ❌ Incorreta

Apresenta a tríade CID (confidencialidade, integridade e disponibilidade), que são princípios/atributos da segurança da informação, não níveis organizacionais. A banca troca o conceito: enquanto os níveis indicam onde a segurança é aplicada, os princípios indicam o que se busca garantir. Quem confunde os dois cai nessa armadilha clássica.

Alternativa C — ❌ Incorreta

"Informações, dados e acessos" não corresponde a nenhuma classificação consagrada de níveis organizacionais. São elementos que aparecem em discussões sobre segurança, mas não formam os três níveis propostos por Sommerville. A alternativa mistura conceitos de ativos (informações, dados) com mecanismos de controle (acessos), sem base na obra citada.

Alternativa D — ❌ Incorreta

"Usuário, software e monitoramento" também não é uma classificação de níveis organizacionais. Embora usuários, software e monitoramento sejam componentes relevantes da segurança, eles não constituem os três níveis definidos por Sommerville. A alternativa parece plausível por citar elementos do cotidiano de TI, mas não corresponde à teoria cobrada.

Alternativa E — ❌ Incorreta

"Permissão, instalação e recuperação" não representa os níveis organizacionais da segurança da informação. Esses termos remetem a atividades operacionais (controle de permissões, instalação de sistemas, recuperação de dados), mas não formam a estrutura de níveis proposta por Sommerville. A alternativa é um distrator sem fundamento na obra.

Gabarito: letra A