Questão de Segurança da Informação — Conceitos, Princípios e Atributos da Segurança da Informação — VUNESP 2023

Conceitos fundamentais de Segurança da Informação

Gabarito: letra D. A vulnerabilidade é, de fato, uma fraqueza de um ativo que pode ser explorada por uma ou mais ameaças — é a definição clássica do termo na segurança da informação. As demais alternativas trocam os conceitos de criptografia, autenticidade, não repúdio e informações sensíveis por definições incorretas.

A segurança da informação é a disciplina que protege um conjunto de informações, preservando o valor que possuem para um indivíduo ou organização. Para isso, apoia-se em princípios (ou atributos) e em conceitos fundamentais que descrevem o ambiente de risco. Os quatro conceitos-chave que aparecem nesta questão são: ameaça, vulnerabilidade, risco e impacto. Eles formam a base do entendimento de qualquer incidente de segurança.

• Ameaça: algo que tem o potencial de causar danos (um vírus, um invasor, um desastre natural).

• Vulnerabilidade: uma fraqueza que pode ser explorada por uma ameaça (uma senha fraca, um software desatualizado, uma porta aberta).

• Risco: a probabilidade de que algo ruim aconteça, ou seja, o potencial de perda resultante de uma ameaça que explora uma vulnerabilidade.

• Impacto: o grau de dano causado por uma ameaça quando ela se concretiza.

A relação entre eles é direta: a ameaça explora a vulnerabilidade, gerando um risco que, quando concretizado, causa um impacto. A segurança da informação atua justamente para reduzir as vulnerabilidades e, assim, diminuir os riscos.

Além desses conceitos, a questão também aborda os princípios da segurança da informação. Os principais são a tríade CID (Confidencialidade, Integridade e Disponibilidade), complementada por Autenticidade e Não Repúdio (ou Irretratabilidade). É essencial distinguir cada um:

A pegadinha da banca está em misturar esses conceitos: trocar a definição de um princípio pelo de outro, ou usar um termo técnico (como criptografia) onde não cabe. Guarde bem a fronteira entre vulnerabilidade (a fraqueza) e ameaça (o agente que explora a fraqueza) — é exatamente nela que as alternativas se dividem.

Alternativa A — ❌ Incorreta

Afirma que a única forma de implementar controle de acesso é por criptografia. Errado: a criptografia é apenas um dos mecanismos de controle de acesso. Existem também senhas, biometria, firewalls, cartões inteligentes, controles físicos (portas, trancas, catracas) e controles lógicos. A criptografia protege a confidencialidade dos dados, mas não é o único meio de controlar quem acessa um ativo.

Alternativa B — ❌ Incorreta

Confunde autenticidade com disponibilidade. A autenticidade garante que a informação é proveniente da fonte anunciada, ou seja, refere-se à atribuição apropriada do proprietário ou criador dos dados. Garantir o acesso a um sistema a qualquer momento é o conceito de disponibilidade, não de autenticidade.

Alternativa C — ❌ Incorreta

Confunde não repúdio com confidencialidade. O não repúdio (ou irretratabilidade) garante a impossibilidade de negar a autoria de uma transação anteriormente feita. Bloquear o acesso de pessoas não autorizadas é o conceito de confidencialidade (ou privacidade), que limita o acesso à informação somente às entidades legítimas.

Alternativa D — ✅ Correta ⟵ GABARITO

Esta é a definição correta de vulnerabilidade: uma fraqueza de um ativo que pode ser explorada por uma ou mais ameaças. É exatamente o que diz o material de apoio: "Vulnerabilidades: são fraquezas que podem ser usadas para nos prejudicar. Em essência, são buracos que podem ser explorados por ameaças para nos causar danos." A alternativa espelha com precisão esse conceito.

Alternativa E — ❌ Incorreta

Inverte o conceito de informações sensíveis. Informações sensíveis são aquelas que não podem ser liberadas ao público em geral, pois exigem proteção especial devido ao seu valor ou à sua natureza confidencial. São o oposto do que a alternativa afirma — liberá-las ao público seria uma violação de confidencialidade.

Gabarito: letra D