Durante uma auditoria em um sistema judicial, verificou-se que o processo de concessão e revisão de acessos apresentava alto
esforço administrativo, divergências entre perfis de usuários com responsabilidades semelhantes e dificuldade para manter as
autorizações alinhadas a mudanças internas. Nesse cenário, a abordagem mais adequada para a área de segurança da
informação é

Question

Durante uma auditoria em um sistema judicial, verificou-se que o processo de concessão e revisão de acessos apresentava alto
esforço administrativo, divergências entre perfis de usuários com responsabilidades semelhantes e dificuldade para manter as
autorizações alinhadas a mudanças internas. Nesse cenário, a abordagem mais adequada para a área de segurança da
informação é Alternativa A: agrupar permissões em papéis relacionados às responsabilidades exercidas e associar usuários a esses papéis conforme
suas necessidades de atuação. Ou Alternativa B: liberar acessos adicionais por responsabilidade operacional, com ativação temporária e registro formal da necessidade
apresentada de forma padronizada. Ou Alternativa C: definir políticas de acesso que combinem responsabilidades internas, preferências do usuário, características do recurso e
condições do ambiente operacional. Ou Alternativa D: manter a concessão individual de permissões, desde que as revisões de acesso sejam padronizadas por responsabilidade
interna e executadas periodicamente. Ou Alternativa E: ampliar permissões por grupo de responsabilidade interna, compensando eventuais excessos por meio de trilhas de auditoria
e monitoramento contínuo.

Qconcursos · Accepted Answer

Alternativa [A] agrupar permissões em papéis relacionados às responsabilidades exercidas e associar usuários a esses papéis conforme
suas necessidades de atuação. Gabarito: AFundamento decisivo: A questão se resolve pela correspondência direta entre o problema narrado e o controle de acesso baseado em papéis: quando há dificuldade para conceder, revisar e manter permissões individualmente, a solução é associar usuários a papéis definidos pelas responsabilidades exercidas.Tema central: Controle de acesso baseado em papéis (RBAC)Análise das alternativasACertaA alternativa A descreve a lógica de agrupar permissões em papéis vinculados às responsabilidades exercidas e depois associar os usuários a esses papéis. Esse é o critério adequado para o cenário porque ataca exatamente os problemas narrados: reduz a administração individual de permissões, padroniza os acessos de quem exerce funções equivalentes e facilita a manutenção das autorizações quando há mudanças organizacionais.BErradaEstá errada porque trata de concessão adicional temporária com registro formal, ou seja, uma medida de exceção operacional. O problema da questão é estrutural, de modelagem e administração base de acessos, não de elevação temporária de privilégio.CErradaEstá errada porque inclui preferências do usuário como critério de definição de acesso, o que é inadequado. Além disso, não apresenta a solução estrutural pedida para padronizar permissões por responsabilidade e reduzir esforço administrativo.DErradaEstá errada porque mantém a concessão individual de permissões, que é precisamente a prática associada ao alto esforço administrativo e às divergências entre perfis semelhantes. Padronizar revisões periódicas não corrige o problema central se a modelagem continua individualizada.EErradaEstá errada porque propõe ampliar permissões e tentar compensar isso com auditoria e monitoramento. Esses mecanismos são acessórios e não substituem uma modelagem correta de autorização.Pegadinha da questãoA confusão explorada foi trocar a solução estrutural de gestão de acessos por função/papel por medidas acessórias, como acesso temporário, revisão periódica ou monitoramento de excessos. O termo "responsabilidades semelhantes" era o sinal decisivo para identificar agrupamento por papéis.Dica para questões semelhantesSe o problema menciona usuários com funções equivalentes recebendo acessos divergentes, procure solução de padronização por papel ou responsabilidade.Se o foco é reduzir custo de concessão e revisão de acessos, descarte alternativas que mantenham permissões usuário a usuário.Concessão temporária, auditoria e monitoramento podem existir como apoio, mas não substituem a modelagem-base correta das autorizações.Mudanças internas frequentes favorecem modelos em que se ajusta papel ou vínculo ao papel, e não permissões isoladas por usuário.

🎯 Saiba o que estudar

🎯 Saiba o que estudar

Durante uma auditoria em um sistema judicial, verificou-se q...

Gabarito comentado

Gabarito: A

Clique para visualizar este gabarito

Questões de assuntos semelhantes

Provas relacionadas