Questão nº 34
Questão de Tecnologia da Informação · FGV ALEP 2024 (nº 34)
Uma instituição financeira precisa controlar o acesso a informações confidenciais de clientes, garantindo que apenas funcionários autorizados possam acessá-las.
Com relação a estas políticas de acesso, assinale a opção mais adequada.
- AA instituição deve considerar desnecessário revisar as políticas de acesso, acreditando que as definições iniciais são suficientes a longo prazo.
- BA instituição deve considerar que a presença de firewalls e sistemas antivírus torna as políticas de acesso para funcionários remotos irrelevantes, pois a segurança geral da rede já proporciona a segurança necessária.
- CA instituição deve manter as permissões de acesso mesmo quando um funcionário muda de função, para evitar a burocracia de ajustes constantes, uma vez que suas permissões já são definidas no nível mais rigoroso geral da empresa.
- DA instituição deve limitar o acesso à informações confidenciais fora do horário comercial para reduzir o risco de vazamentos de dados. (alternativa correta)
- EA instituição deve conceder o mesmo nível de acesso básico e restrito a convidados e terceiros, para simplificar a gestão de acesso.
Resposta comentada
Gabarito Alternativa D
Conceito-chave: Controle de acesso eficaz não é só definir quem pode ver o quê, mas também quando e em que contexto. A segurança da informação exige mínimo privilégio (só o necessário para a função) e revisão contínua — nunca confiar em configurações estáticas, pois o risco muda com o tempo e o ambiente.
- (A) Incorreta: Políticas de acesso são dinâmicas; revisões periódicas são obrigatórias para ajustar permissões a mudanças de cargo, ameaças e regulamentações — acreditar que definições iniciais bastam é negligenciar a gestão de risco.
- (B) Incorreta: Firewalls e antivírus protegem a rede, mas não substituem o controle de acesso lógico (quem autentica e autoriza); funcionários remotos precisam de políticas específicas (ex.: VPN, MFA), pois a segurança de perímetro não cobre identidades e dispositivos fora da rede.
- (C) Incorreta: Manter permissões antigas ao mudar de função viola o princípio do menor privilégio e cria o risco de "acúmulo de direitos" — um funcionário que vira gerente de marketing não deve continuar acessando dados de RH; ajustes são necessários, não burocracia.
- (D) Correta: Restringir acesso fora do horário comercial é uma medida de controle de tempo (uma dimensão do controle de acesso) que reduz a janela de exposição a vazamentos, especialmente contra ameaças internas ou invasões fora do expediente — é uma prática válida de defesa em profundidade.
- (E) Incorreta: Convidados e terceiros devem ter acesso mínimo e temporário, com credenciais próprias e monitoramento; dar o mesmo nível de um funcionário básico é arriscado, pois eles não passam pelo mesmo treinamento e supervisão — simplificar a gestão não pode comprometer a segurança.
Armadilha da banca (distrator mais tentador): A alternativa (C) parece lógica ("já são rigorosas, então manter é seguro"), mas a pegadinha é que rigor geral não significa adequação à função — um nível "rigoroso" para todos pode ser excessivo para uns (atrapalha o trabalho) e insuficiente para outros (dá acesso a dados que não precisam). A banca testa se você entende que permissão é contextual e revisável, não um "carimbo" fixo.
Fonte: FGV ALEP 2024 Técnico Legislativo - Suporte e Manutenção (Caderno Tipo 1). Reproduzida para fins de estudo.