Uma empresa pública estadual passou por auditoria
interna após registrar três ocorrências distintas:
- vazamento de planilhas com dados funcionais enviadas
por e-mail sem criptografia;
- alteração indevida de registros em sistema financeiro
por usuário com credenciais compartilhadas;
- indisponibilidade temporária do portal institucional em
razão de falha no servidor de aplicação, sem
redundância configurada.
Com base nos princípios clássicos da Segurança da
Informação e em boas práticas de governança, analise
as afirmativas a seguir:
I. O envio de dados sensíveis sem mecanismos de
criptografia pode comprometer a confidencialidade da
informação, especialmente quando transmitidos por
redes externas.
II.O compartilhamento de credenciais de acesso dificulta
a rastreabilidade de ações e pode afetar a integridade
dos registros mantidos em sistemas corporativos.
III. A inexistência de redundância ou plano de
contingência pode impactar a disponibilidade de serviços
informatizados, ainda que os dados permaneçam
íntegros.
IV. A adoção de controles de acesso baseados em perfis
de usuário contribui simultaneamente para a preservação
da confidencialidade e da integridade das informações.
V. A integridade da informação está relacionada
exclusivamente à proteção contra acessos externos não
autorizados, não abrangendo alterações indevidas
realizadas por usuários internos.
Assinale a alternativa correta:

Question

Uma empresa pública estadual passou por auditoria
interna após registrar três ocorrências distintas:
 - vazamento de planilhas com dados funcionais enviadas
por e-mail sem criptografia;
 - alteração indevida de registros em sistema financeiro
por usuário com credenciais compartilhadas;
 - indisponibilidade temporária do portal institucional em
razão de falha no servidor de aplicação, sem
redundância configurada.
Com base nos princípios clássicos da Segurança da
Informação e em boas práticas de governança, analise
 as afirmativas a seguir:
I. O envio de dados sensíveis sem mecanismos de
criptografia pode comprometer a confidencialidade da
informação, especialmente quando transmitidos por
redes externas.
II.O compartilhamento de credenciais de acesso dificulta
 a rastreabilidade de ações e pode afetar a integridade
dos registros mantidos em sistemas corporativos.
III. A inexistência de redundância ou plano de
contingência pode impactar a disponibilidade de serviços
informatizados, ainda que os dados permaneçam
íntegros.
IV. A adoção de controles de acesso baseados em perfis
de usuário contribui simultaneamente para a preservação
da confidencialidade e da integridade das informações.
V. A integridade da informação está relacionada
exclusivamente à proteção contra acessos externos não
autorizados, não abrangendo alterações indevidas
realizadas por usuários internos.
Assinale a alternativa correta:  Alternativa A: Apenas as afirmativas I, II, III e V são verdadeiras. Ou Alternativa B: Apenas as afirmativas I, II, III e IV são verdadeiras.  Ou Alternativa C: As afirmativas I, II, III, IV e V são verdadeiras. Ou Alternativa D: Apenas as afirmativas II, IV e V são verdadeiras. Ou Alternativa E: Apenas as afirmativas I e IV são verdadeiras.

Qconcursos · Accepted Answer

Alternativa [B] Apenas as afirmativas I, II, III e IV são verdadeiras.  Gabarito: BFundamento decisivo: O critério decisivo era verificar quais afirmativas estavam compatíveis com os princípios clássicos da segurança da informação; a combinação correta é I, II, III e IV, pois V restringe indevidamente a integridade a ataques externos.Tema central: Tríade CID aplicadaAnálise das alternativasAErradaEstá errada porque considera V verdadeira. Isso contraria o conceito de integridade, que não se limita à proteção contra acessos externos e também abrange alterações indevidas praticadas por usuários internos.BCertaA alternativa B está certa porque reúne as assertivas compatíveis com os conceitos clássicos de segurança da informação e com boas práticas de controle de acesso. A I é verdadeira: o envio de dados sensíveis sem criptografia aumenta o risco de exposição durante a transmissão e compromete a confidencialidade. A II também é verdadeira: credenciais compartilhadas prejudicam a rastreabilidade das ações e facilitam alterações indevidas, o que se relaciona com integridade. A III é verdadeira porque a ausência de redundância ou contingência afeta a disponibilidade do serviço, ainda que os dados permaneçam íntegros. A IV é verdadeira: controles de acesso por perfis limitam consulta e alteração conforme autorização, contribuindo para confidencialidade e integridade. A V é falsa, pois a integridade não se limita a acessos externos não autorizados.CErradaEstá errada porque afirma que todas são verdadeiras, mas V é tecnicamente incompatível com o conceito de integridade ao restringi-lo indevidamente a ataques externos.DErradaEstá errada por dois motivos concretos: inclui V como verdadeira, embora ela seja falsa, e exclui I e III, que estão corretas por tratarem respectivamente de confidencialidade no envio sem criptografia e de disponibilidade afetada pela falta de redundância.EErradaEstá errada porque exclui II e III, embora ambas sejam verdadeiras. II é sustentada pelo prejuízo à rastreabilidade e pelo risco de alterações indevidas decorrentes do compartilhamento de credenciais; III é sustentada pelo impacto da ausência de redundância na disponibilidade do serviço.Pegadinha da questãoA confusão real era tratar integridade como algo voltado apenas contra invasor externo e, por isso, aceitar V; também havia a tendência de enxergar controle de acesso por perfil só como proteção de confidencialidade, ignorando seu efeito sobre alterações indevidas.Dica para questões semelhantesAssocie o fato narrado ao atributo atingido: exposição de conteúdo aponta para confidencialidade, modificação indevida aponta para integridade, e interrupção de serviço aponta para disponibilidade.Quando houver credenciais compartilhadas, verifique não só autenticação, mas também perda de rastreabilidade e aumento do risco de alterações sem responsabilização individual.Controle de acesso por perfil deve ser lido como restrição tanto de leitura quanto de alteração; por isso, pode proteger simultaneamente confidencialidade e integridade.

Uma empresa pública estadual passou por auditoria interna a...

Gabarito comentado

Gabarito: B

Clique para visualizar este gabarito

Comentários

Clique para visualizar este comentário

Questões de assuntos semelhantes

Provas relacionadas