Questão de Tecnologia da Informação · CEBRASPE SEFAZ-RJ Auditor 2025 - Específicos I (nº 46)

Conceito-chave: A gestão de vulnerabilidades é um ciclo: primeiro você descobre as falhas (identificação), depois analisa o risco (avaliação), depois corrige (tratamento) e por fim reporta (comunicação). Testes de invasão e varreduras são as ferramentas usadas exatamente na primeira fase, a de identificação, pois servem para encontrar as brechas, não para julgá-las ou corrigi-las.

• (A) Incorreta: Relatoria é a fase de escrever o relatório final com resultados e recomendações, que ocorre depois da identificação, não é o ato de testar.
• (B) Incorreta: Comunicação é a fase de informar as partes interessadas (gestores, equipe) sobre as vulnerabilidades encontradas, um passo posterior.
• (C) Incorreta: Avaliação é a fase de classificar e priorizar o risco de cada vulnerabilidade (ex.: crítica, alta, baixa), usando o resultado da identificação.
• (D) Incorreta: "Enfrentamento" é um termo genérico e não técnico; não corresponde a nenhuma fase formal do processo de gestão de vulnerabilidades.
• (E) Correta: Testes de invasão e varreduras são métodos ativos de identificação — eles descobrem as vulnerabilidades existentes nos sistemas, sendo a porta de entrada do processo.

Armadilha da banca (no distrator C): A pegadinha clássica é confundir identificar (achar a falha) com avaliar (medir o impacto). A banca coloca "avaliação" como distrator porque parece mais "técnica", mas o enunciado fala em "realização de testes" e "varredura" — ações de procura, não de julgamento. Lembre-se: primeiro você acha (identifica), depois você mede (avalia).