GabaritoC — Retirada de direito de acesso.
Gabarito: letra C. O valor de um ativo é um fator de risco que pode ser tratado por controles de acesso, em especial a retirada de direitos de acesso (controle 9.2.6 da ISO 27002:2013). O valor torna o ativo mais atraente para ameaças, configurando uma vulnerabilidade que deve ser mitigada com a gestão adequada de identidades e acessos.
A ISO 27002:2013 é um guia de boas práticas com 14 seções de controles, 35 objetivos e 114 controles. A seção 5 – Controle de acesso trata de procedimentos para concessão, revisão e remoção de direitos de acesso. A retirada de direito de acesso é um controle específico que visa evitar que pessoas não autorizadas (ou ex-funcionários/contratados) acessem ativos valiosos.
Contratação não é um tópico da ISO 27002 relacionado diretamente a vulnerabilidade por valor de ativo. A contratação está inserida na seção de Segurança em Recursos Humanos (seção 3), que trata de verificações pré-contratação, termos e condições, mas não lida com o valor do ativo como vulnerabilidade.
Perímetro de segurança faz parte da seção Segurança Física e do Ambiente (seção 7). Estabelece barreiras físicas (cercas, muros) para proteção de instalações, mas não aborda a vulnerabilidade decorrente do valor do ativo em si; o perímetro protege o local, não o valor intrínseco do ativo.
Retirada de direito de acesso é um controle da seção de Controle de Acesso (seção 5). O valor de um ativo aumenta a motivação de agentes de ameaça, sendo uma vulnerabilidade que pode ser mitigada com a remoção tempestiva de privilégios de acesso de pessoas que não precisam mais deles. A norma ISO 27002 recomenda que os direitos de acesso sejam revogados no término do contrato ou mudança de função (controle 9.2.6).
Segurança em escritórios, salas e instalações também pertence à seção de Segurança Física (seção 7). Foca em proteção física do ambiente, como portas trancadas e controle de visitantes, não no valor do ativo como vulnerabilidade para acesso lógico.
Segurança de equipamentos está na seção de Segurança Física e do Ambiente (seção 7) ou Segurança nas Operações (seção 8). Abrange proteção contra roubo, danos, e descarte seguro, mas não trata diretamente do valor do ativo como vulnerabilidade para acesso não autorizado.
A banca testa o conhecimento dos controles específicos da ISO 27002. Associe cada alternativa à seção correta da norma. A retirada de direito de acesso é um controle clássico para mitigar riscos relacionados ao valor dos ativos. Memorize as 14 seções e seus controles mais cobrados.
Gabarito: letra C.
Link permanente: /questoes/qq602122