Questão de Tecnologia da Informação · FGV TCE-PA 2024 (nº 89)

O Princípio do Privilégio Mínimo (ou Menor Privilégio) é uma regra de segurança que diz que qualquer pessoa ou sistema deve ter apenas o acesso e as permissões estritamente necessárias para fazer seu trabalho, e nada mais.

(A) Incorreta: Esta alternativa propõe o oposto do princípio, concedendo acesso administrativo (o mais alto privilégio) a usuários regulares para tudo, o que é uma grave falha de segurança.
(B) Incorreta: Embora limitar o acesso a dados sensíveis seja uma boa prática, esta alternativa é muito restritiva e não abrange a totalidade do Princípio do Privilégio Mínimo. O princípio se aplica a todos os privilégios e dados, não apenas os sensíveis, e foca na necessidade para a tarefa. A armadilha aqui é usar "mínimo" e "dados sensíveis", que são termos de segurança, mas não capturam a essência de "apenas o necessário para a tarefa".
(C) Correta: Esta alternativa descreve perfeitamente o Princípio do Privilégio Mínimo, que é conceder apenas os privilégios e dados essenciais para que uma entidade (pessoa ou sistema) execute sua função específica, e nada além disso.
(D) Incorreta: Não há um requisito para que usuários e sistemas tenham acesso a dados mestres ou históricos por padrão. O acesso a esses dados também deve seguir o Princípio do Privilégio Mínimo, sendo concedido apenas se for estritamente necessário para a tarefa.
(E) Incorreta: Esta alternativa descreve uma prática de gerenciamento de acesso (revisão periódica), que é importante, mas não a definição do Princípio do Privilégio Mínimo em si. O princípio define quanto acesso deve ser concedido, não com que frequência ele deve ser revisado.