Questão nº 36
Questão de Tecnologia da Informação · FGV ALEP 2024 (nº 36)
Uma agência governamental, que lida com dados sensíveis e enfrenta ameaças constantes de ataques cibernéticos e acessos maliciosos, precisa implementar estratégias robustas de prevenção para proteger suas operações e dados. Ela também busca implementar uma abordagem holística de segurança, combinando tecnologia, processos e conscientização dos funcionários.
Assinale a opção que retrata a hipótese adequada, com relação aos conceitos de prevenção e medidas de proteção e segurança.
- AA agência subestima a eficácia dos ataques de phishing, considerando-os óbvios e fáceis de identificar.
- BA agência prioriza a segurança física dos dispositivos e instalações para proteger dados sensíveis e utiliza criptografia tanto para dados em trânsito quanto armazenados. (alternativa correta)
- CA agência acredita que os firewalls protegem contra todos os tipos de malware, eliminando a necessidade de outras medidas de segurança. Ela prefere firewalls de hardware, acreditando que são superiores aos baseados em software, e não utiliza firewalls em sua rede privada, pensando que são necessários apenas para conexões com a internet.
- DA agência realiza auditorias de segurança apenas ocasionalmente, confiando na eficácia de suas medidas existentes.
- EA agência implementa a segregação de deveres apenas em departamentos críticos e considera a segurança física menos crítica em comparação com a cibernética.
Resposta comentada
Gabarito Alternativa B
Conceito-chave: Prevenção em segurança da informação é uma camada de defesa que combina medidas físicas (controlar acesso a salas, trancar servidores) com medidas lógicas (criptografia, que embaralha dados para que só quem tem a chave leia). Uma boa estratégia nunca depende de uma única ferramenta, mas de várias camadas que se complementam.
- (A) Incorreta: Subestimar phishing (golpes por e-mail que enganam o usuário) é o erro clássico: ataques modernos são sofisticados e personalizados, e a conscientização é a principal defesa, não a suposição de que são "óbvios".
- (B) Correta: A hipótese adequada une segurança física (proteger dispositivos e instalações contra roubo ou acesso não autorizado) com criptografia (proteger dados em trânsito, como quando trafegam na rede, e em repouso, como no disco rígido). Isso cobre duas frentes essenciais e é uma abordagem holística real.
- (C) Incorreta: Firewalls (barreiras que filtram tráfego) não bloqueiam todo malware (software malicioso) e são necessários tanto na borda da internet quanto na rede interna (segmentação). Achar que um tipo é "superior" e dispensar o outro é uma falsa sensação de segurança.
- (D) Incorreta: Auditorias "apenas ocasionalmente" deixam brechas de tempo para que vulnerabilidades sejam exploradas. A prevenção exige monitoramento contínuo e auditorias regulares, não confiança cega em medidas existentes.
- (E) Incorreta: Segregação de deveres (dividir tarefas para evitar que uma pessoa sozinha cometa fraude) deve ser aplicada em todos os processos sensíveis, e segurança física é tão crítica quanto a cibernética, pois um acesso físico pode anular defesas lógicas.
Armadilha da banca na (C): Ela é a distratora mais tentadora porque mistura termos técnicos reais (firewall, hardware, software) e parece plausível. A pegadinha está em afirmar que firewalls "protegem contra todos os tipos de malware" e que não são necessários na rede privada — isso é tecnicamente falso e revela uma visão limitada de segurança, que é exatamente o oposto da abordagem holística que o enunciado pede.
Fonte: FGV ALEP 2024 Técnico Legislativo - Suporte e Manutenção (Caderno Tipo 1). Reproduzida para fins de estudo.