Em um ambiente de Tecnologia da Informação, o princípio da
Segregação de Funções (SoD - Separation of Duties) é
rigorosamente aplicado. Um Analista de Sistemas é designado
para desenvolver e testar novas funcionalidades em um sistema
de missão crítica. Conforme a política de segurança, esse mesmo
analista não possui permissão para realizar a implementação
(deployment) do código final no ambiente de produção.
O seguinte risco ou ameaça de segurança e governança o princípio
da Segregação de Funções é projetado primariamente para mitigar
o problema nesse cenário específico:

Question

Em um ambiente de Tecnologia da Informação, o princípio da
Segregação de Funções (SoD - Separation of Duties) é
rigorosamente aplicado. Um Analista de Sistemas é designado
para desenvolver e testar novas funcionalidades em um sistema
de missão crítica. Conforme a política de segurança, esse mesmo
analista não possui permissão para realizar a implementação
(deployment) do código final no ambiente de produção.
O seguinte risco ou ameaça de segurança e governança o princípio
da Segregação de Funções é projetado primariamente para mitigar
o problema nesse cenário específico: Alternativa A: Risco de Phishing e engenharia social. Ou Alternativa B: Risco de ataques de Negação de Serviço (DoS). Ou Alternativa C: Risco de conluio e fraude interna. Ou Alternativa D: Risco de indisponibilidade por falha de hardware. Ou Alternativa E: Risco de exploração de vulnerabilidades de Zero-Day.

Qconcursos · Accepted Answer

Alternativa [C] Risco de conluio e fraude interna. Gabarito: CFundamento decisivo: O conceito decisivo é que a Segregação de Funções distribui etapas críticas entre pessoas distintas para evitar que um único agente concentre poder sobre um processo sensível. Como o enunciado separa desenvolver/testar de implantar em produção, isso aponta para a mitigação primária de risco interno de fraude e conluio.Tema central: Segregação de FunçõesAnálise das alternativasAErradaEstá errada porque phishing e engenharia social são ameaças externas ou comportamentais mitigadas principalmente por conscientização, autenticação e controles de comunicação. A segregação entre desenvolvimento e deployment é um controle de responsabilidades internas, não um mecanismo primário contra esse tipo de ataque.BErradaEstá errada porque ataques de DoS afetam disponibilidade e são tratados por arquitetura, capacidade, filtragem e proteção de rede. O cenário trata de autorização interna sobre mudança em produção, não de tráfego malicioso ou exaustão de serviço.CCertaA alternativa C está certa porque a finalidade primária da Segregação de Funções é evitar acúmulo de funções incompatíveis em processos sensíveis. No caso, impedir que a mesma pessoa desenvolva, teste e faça o deployment em produção reduz oportunidade de abuso de privilégio, fraude interna e ações não detectadas por um único agente. Trata-se de controle preventivo de governança interna voltado à distribuição de responsabilidades críticas.DErradaEstá errada porque falha de hardware é risco de infraestrutura e continuidade, mitigado por redundância, manutenção e contingência. A Segregação de Funções atua sobre pessoas e processos, não sobre defeito físico de equipamento.EErradaEstá errada porque vulnerabilidades zero-day são enfrentadas por gestão de vulnerabilidades, defesa em profundidade e resposta a incidentes. O controle descrito limita concentração de poder interno sobre mudanças, mas não é o controle primário para impedir surgimento ou exploração técnica de falhas desconhecidas.Pegadinha da questãoA confusão explorada foi tratar a Segregação de Funções como se fosse um controle técnico geral contra ameaças externas ou de disponibilidade, quando seu objetivo primário é reduzir fraude, abuso e ações não supervisionadas em processos internos sensíveis.Dica para questões semelhantesQuando a questão mencionar separar desenvolvimento, teste, aprovação ou implantação, pense primeiro em funções incompatíveis e risco interno de abuso ou fraude.Distingua controle de governança interna de controle técnico: SoD distribui responsabilidades entre pessoas, não bloqueia diretamente phishing, DoS, falha de hardware ou zero-day.Se o foco do enunciado for impedir que uma única pessoa execute todas as etapas críticas, a finalidade primária do controle é reduzir oportunidade de irregularidade não detectada.

🚀 Mais performance?

🚀 Mais performance?

Em um ambiente de Tecnologia da Informação, o princípio da ...

Gabarito comentado

Gabarito: C

Clique para visualizar este gabarito

Comentários

Clique para visualizar este comentário

Questões de assuntos semelhantes

Provas relacionadas