Uma auditoria identificou que seis técnicos utilizavam a
mesma conta administrativa para manutenção rotineira e
alterações críticas, impedindo que os registros
apontassem diretamente o responsável por cada ação.
Foram propostas as medidas: I. contas administrativas
individualizadas com privilégios compatíveis com as
atribuições; II. manutenção da conta compartilhada com
troca diária da senha; III. autenticação multifator para
acessos administrativos, quando suportada; IV. registro e
monitoramento de eventos administrativos relevantes; V.
privilégios administrativos permanentes a toda a equipe de
suporte, mesmo quando desnecessários. À luz do menor
privilégio e da responsabilização, devem ser adotadas
apenas

Question

Uma auditoria identificou que seis técnicos utilizavam a 
mesma conta administrativa para manutenção rotineira e 
alterações críticas, impedindo que os registros 
apontassem diretamente o responsável por cada ação. 
Foram propostas as medidas: I. contas administrativas 
individualizadas com privilégios compatíveis com as 
atribuições; II. manutenção da conta compartilhada com 
troca diária da senha; III. autenticação multifator para 
acessos administrativos, quando suportada; IV. registro e 
monitoramento de eventos administrativos relevantes; V. 
privilégios administrativos permanentes a toda a equipe de 
suporte, mesmo quando desnecessários. À luz do menor 
privilégio e da responsabilização, devem ser adotadas 
apenas  Alternativa A: I, II e III.  Ou Alternativa B: II, III e V.  Ou Alternativa C: I, III e IV. Ou Alternativa D: I, II, IV e V.  Ou Alternativa E: III, IV e V.

Qconcursos · Accepted Answer

Alternativa [C] I, III e IV. Gabarito: CFundamento decisivo: A conta compartilhada impede vincular diretamente cada ação ao técnico responsável, e a troca diária da senha não resolve essa falha. Como V prevê privilégios mesmo quando desnecessários, contraria o menor privilégio. Excluídas II e V, resta o conjunto I, III e IV, da alternativa C.Tema central: Menor privilégio e responsabilizaçãoAnálise das alternativasAErradaInclui II: trocar diariamente a senha da conta compartilhada não permite distinguir qual dos seis técnicos executou cada ação, pois todos continuam utilizando a mesma identificação. Além disso, omite IV, que prevê o registro e o monitoramento dos eventos administrativos relevantes para a apuração das ações. A presença de contas individualizadas e MFA não torna adequada a manutenção do problema descrito em II.BErradaInclui duas medidas incompatíveis com os critérios cobrados: II mantém a identificação compartilhada, sem resolver a atribuição individual das ações; V concede privilégios administrativos mesmo quando desnecessários, contrariando diretamente o menor privilégio. Também omite I, que individualiza as contas e adequa as permissões às atribuições, e IV, que fornece registros e monitoramento para apoiar a apuração. O MFA previsto em III não corrige essas falhas.CCertaA alternativa C combina controles com funções complementares. A medida I individualiza as contas administrativas, permitindo distinguir os usuários, e ajusta os privilégios às atribuições, atendendo ao menor privilégio. A medida III reforça a autenticação dos acessos administrativos por meio de múltiplos fatores, preservada a condição de suporte técnico prevista no enunciado; esse emprego em contas privilegiadas é contemplado pelo controle IA-2(1) do NIST SP 800-53. A medida IV fornece registros e monitoramento dos eventos relevantes, dando suporte à apuração das ações administrativas. Assim, a identificação individual permite vincular as ações aos usuários, a autenticação reforça o acesso e os registros sustentam a apuração, sem conceder permissões além das necessárias.DErradaInclui II e V. A troca de senha não individualiza as ações realizadas pela conta compartilhada, e a concessão de privilégios desnecessários viola o menor privilégio. Embora I e IV sejam adequadas, sua inclusão não torna aceitáveis essas duas medidas. A alternativa ainda omite III, que reforça a autenticação administrativa com MFA quando houver suporte.EErradaInclui V, cujo erro é conceder privilégios administrativos mesmo quando desnecessários: pertencer à equipe de suporte não substitui a avaliação das permissões exigidas pelas atribuições. Também omite I, deixando de prever contas individualizadas com privilégios adequados. MFA e monitoramento são controles pertinentes, mas não substituem essa individualização nem justificam permissões excessivas.Pegadinha da questãoA troca diária da senha pode parecer uma resposta ao problema de segurança, mas altera a credencial, não a identificação compartilhada que impede atribuir as ações. Já em V, o ponto decisivo não é a permanência dos privilégios, e sim sua concessão mesmo quando desnecessários.Dica para questões semelhantesAo avaliar um conjunto de controles, separe suas funções: identificar o usuário, autenticar o acesso, limitar permissões e registrar ações. Não trate o reforço de uma função como substituto automático de outra.Julgue cada medida individualmente antes de escolher a combinação: controles adequados não compensam a inclusão de uma medida que contrarie expressamente o princípio cobrado.

Uma auditoria identificou que seis técnicos utilizavam a m...

Gabarito comentado

Gabarito: C

Clique para visualizar este gabarito

Questões de assuntos semelhantes

Provas relacionadas