Questão de Segurança da Informação — Autenticação Multifator (MFA) — Quadrix 2025
Segurança da Informação›Autenticação Multifator (MFA)
Código
qa700992
Banca
Quadrix
Órgão
CRO SP
Ano
2025
Cargo
Ana ( )
Durante a modernização da infraestrutura tecnológica de uma clínica odontológica especializada em implantodontia e ortodontia digital, a equipe de TI identificou que o sistema de prontuário eletrônico utilizado pelos dentistas armazena localmente, de forma temporária, imagens DICOM de tomografias e escaneamentos intraorais em dispositivos móveis e estações de trabalho. Observou‑se, também, que os profissionais acessam esses dados em regime de plantão, muitas vezes das suas residências ou consultórios externos, via conexões sem autenticação forte e utilizando os seus próprios dispositivos. A equipe de TI, então, iniciou um plano de ação para aumentar a segurança cibernética da clínica, com foco em controle de acesso e autenticação, criptografia de dados e dispositivos e segurança em dispositivos móveis. Com base nessa situação hipotética, julgue o item a seguir. A ausência de autenticação multifator (MFA) no acesso remoto ao sistema clínico, mesmo com senhas fortes e VPN, representa uma falha crítica de segurança, pois isso compromete a estratégia de defesa em profundidade exigida em ambientes que lidam com dados sensíveis de saúde.
CCerto
EErrado
Revelar gabarito e comentário▾
GabaritoC — Certo
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Autenticação Multifator (MFA) e Defesa em Profundidade
✅ CERTO. A ausência de MFA no acesso remoto, mesmo com senhas fortes e VPN, representa uma falha crítica de segurança, pois compromete a estratégia de defesa em profundidade — princípio que exige múltiplas camadas independentes de proteção, especialmente em ambientes que lidam com dados sensíveis de saúde, como os prontuários eletrônicos e imagens DICOM descritos na situação hipotética.
A defesa em profundidade (ou defense in depth) é um conceito fundamental da segurança da informação que preconiza a implementação de múltiplas camadas de controle para proteger os ativos, de modo que, se uma camada falhar, as demais continuem oferecendo proteção. No contexto do acesso remoto, cada camada — senha forte, VPN, MFA, criptografia, segmentação de rede — desempenha um papel específico, e a ausência de uma delas enfraquece todo o sistema. A VPN, por exemplo, protege a confidencialidade e a integridade do tráfego em trânsito, criando um túnel criptografado, mas não autentica o usuário de forma robusta — ela apenas estabelece um canal seguro entre o dispositivo e a rede. A autenticação forte, por sua vez, é o que garante que quem está do outro lado do túnel é realmente quem diz ser.
A autenticação multifator (MFA) é um mecanismo que exige a apresentação de dois ou mais fatores de autenticação de categorias distintas para verificar a identidade do usuário. Os fatores são classificados em três categorias principais: algo que você sabe (senha, PIN), algo que você possui (smartphone, token, smartcard) e algo que você é (biometria). A combinação de fatores de categorias diferentes aumenta significativamente a segurança, pois um atacante que comprometa um fator (por exemplo, roubando a senha) ainda precisaria superar o segundo fator para obter acesso. No contexto da clínica odontológica, onde os profissionais acessam dados sensíveis de saúde (imagens DICOM, prontuários) de suas residências ou consultórios externos, a ausência de MFA deixa o sistema vulnerável a ataques como phishing, força bruta e roubo de credenciais — um único fator comprometido pode ser suficiente para o acesso não autorizado.
A LGPD (Lei Geral de Proteção de Dados) reforça a importância dessas medidas ao exigir que as organizações adotem medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de perda, alteração, comunicação ou difusão. Dados de saúde são considerados dados pessoais sensíveis pela LGPD, o que eleva o nível de exigência para sua proteção. A falha em implementar MFA no acesso remoto a esses dados não apenas compromete a segurança, mas também pode configurar descumprimento da legislação, sujeitando a clínica a sanções administrativas.
A banca explora aqui a falsa sensação de segurança que a VPN e as senhas fortes podem transmitir. O candidato pode ser levado a pensar que, com esses controles, o acesso remoto já está suficientemente protegido. No entanto, a defesa em profundidade exige que a autenticação seja robusta e independente das demais camadas. A VPN protege o tráfego, mas não a identidade do usuário; a senha forte é um fator de autenticação, mas um único fator é insuficiente para acesso a dados sensíveis. A ausência de MFA, portanto, representa uma falha crítica que compromete a estratégia de segurança como um todo.
NÃO CAIA NESSA!
A banca tenta fazer o candidato acreditar que senha forte + VPN são suficientes para o acesso remoto seguro. A pegadinha está em ignorar que a VPN não autentica o usuário — ela apenas cria um túnel criptografado. A autenticação forte (MFA) é uma camada independente e essencial para garantir que apenas usuários legítimos acessem o sistema, especialmente em cenários de acesso remoto a dados sensíveis de saúde.