Questão nº 154
Questão de Computação em Nuvem · CEBRASPE TCU 25 AUFC 2025 (nº 154)
Acerca de modelos de controle de acesso e das arquiteturas de segurança RBAC (Role-Based Access Control) e Zero Trust, julgue os próximos itens.
O modelo RBAC não é eficaz para a implementação do princípio do menor privilégio, pois suas funções tendem a conceder permissões amplas e não limitam o acesso somente ao necessário para tarefas específicas, o que compromete a segurança em ambientes de computação em nuvem.
Resposta comentada
O conceito-chave é que RBAC (controle de acesso baseado em papéis) é justamente uma ferramenta feita para aplicar o menor privilégio: você cria papéis (ex.: "auditor", "operador") que contêm apenas as permissões mínimas para aquela função, e o usuário só recebe o papel que precisa. A pegadinha está em afirmar que o modelo tende a dar permissões amplas — isso é um erro de desenho (mau uso), não uma característica do modelo.
- Correta: Errado. O RBAC é eficaz para o menor privilégio, pois permite granularidade fina; a falha citada ("permissões amplas") ocorre só se o administrador projetar mal os papéis, não por limitação do modelo.
O trecho exato que torna o item errado é: "não limitam o acesso somente ao necessário" — pois o RBAC pode e deve limitar exatamente isso, criando papéis específicos para cada tarefa.
Como ficaria certo: "O modelo RBAC é eficaz para o menor privilégio, desde que os papéis sejam bem desenhados com permissões mínimas; porém, se mal configurado, pode conceder acessos amplos, comprometendo a segurança na nuvem."
Fonte: CEBRASPE TCU 25 AUFC 2025 Auditor Federal de Controle Externo - Área de Controle Externo / Orientação: Auditoria de Tecnologia da Informação. Reproduzida para fins de estudo.