Questão nº 25
Questão de Tecnologia da Informação · FGV CVM 2024 (nº 25)
Durante a implementação de uma solução de e-mail corporativo baseada na nuvem, o analista Daniel enfrenta um desafio de segurança complexo. Ele precisa garantir que apenas os funcionários autorizados possam acessar seus e-mails, tanto internamente quanto externamente, de forma segura e eficiente, sem comprometer a facilidade de uso ou a segurança dos dados.
Considerando os mecanismos de autenticação e autorização modernos, a abordagem que ele deve adotar para atender a esses requisitos é:
- Aimplementar autenticação baseada em OAuth, pois ela permite que os aplicativos de terceiros acessem os e-mails dos usuários sem exigir suas credenciais diretamente, utilizando tokens de acesso;
- Butilizar autenticação básica com nome de usuário e senha, por ser uma abordagem simples e direta, fácil de implementar e usar;
- Cadotar SAML (Security Assertion Markup Language) para autenticação e autorização, permitindo que os funcionários usem um único conjunto de credenciais para acessar vários serviços, incluindo e-mail; (alternativa correta)
- Dimplementar um sistema de autenticação multifator (MFA) sem nenhuma outra forma de autenticação ou autorização, confiando singularmente na posse de dispositivos físicos pelos usuários;
- Erecorrer exclusivamente ao uso de certificados digitais para autenticação, assegurando que apenas dispositivos com os certificados corretos possam acessar os e-mails.
Resposta comentada
Gabarito Alternativa C
Autenticação é o processo de verificar a identidade de um usuário (quem você diz ser), enquanto autorização é o processo de determinar o que um usuário autenticado pode fazer ou acessar.
(A) Incorreta: OAuth é um framework de autorização para delegar acesso a recursos de usuário a aplicações de terceiros usando tokens, não focado primariamente na autenticação do usuário final para múltiplos serviços corporativos como o SAML.
(B) Incorreta: Autenticação básica com nome de usuário e senha é insegura para ambientes corporativos modernos, especialmente para acesso externo, e não oferece a eficiência e facilidade de uso (como SSO) necessárias.
(C) Correta: SAML (Security Assertion Markup Language) é um padrão para troca de dados de autenticação e autorização, sendo a base para soluções de Single Sign-On (SSO). Ele permite que os funcionários usem um único conjunto de credenciais para acessar diversos serviços (incluindo e-mail), garantindo segurança, eficiência e facilidade de uso, pois centraliza a gestão de identidade e autenticação.
(D) Incorreta: MFA (Autenticação Multifator) é um complemento de segurança para uma forma primária de autenticação (como nome de usuário/senha ou certificado), não uma forma de autenticação ou autorização autônoma. A frase "sem nenhuma outra forma de autenticação ou autorização" torna a alternativa inviável.
(E) Incorreta: Embora certificados digitais ofereçam alta segurança, depender exclusivamente deles pode ser complexo para gerenciar em larga escala e limitar a flexibilidade de acesso dos usuários, impactando a facilidade de uso e a eficiência para um serviço de e-mail corporativo na nuvem.
Fonte: FGV CVM 2024 Analista CVM - TI Infraestrutura e Segurança (Perfil 9) (Caderno Tipo 1). Reproduzida para fins de estudo.