Questão nº 90
Questão de Tecnologia da Informação · FGV TCE-PA 2024 (nº 90)
Com relação à aplicação do princípio do privilégio mínimo, avalie as ações a seguir.
I. Em um sistema de banco de dados, um administrador de banco de dados (DBA) pode ter privilégios para modificar a estrutura do banco de dados e realizar backups, mas não deve ter acesso de leitura ou escrita a dados sensíveis dos usuários, a menos que seja estritamente necessário para sua função.
II. Um desenvolvedor pode ter permissões limitadas para acessar e modificar apenas as tabelas e views necessárias para desenvolver os aplicativos de seu escopo de trabalho.
III. Conceder privilégios específicos somente aos objetos de banco de dados relevantes para cada usuário ou função.
O conceito foi corretamente aplicado em
- AI, apenas.
- BI e II, apenas.
- CI e III, apenas.
- DII e III, apenas.
- EI, II e III. (alternativa correta)
Resposta comentada
Gabarito Alternativa E
O Princípio do Privilégio Mínimo (PoLP) é uma regra de segurança que diz que qualquer pessoa, programa ou sistema deve ter apenas as permissões mínimas necessárias para realizar sua tarefa, e nada mais. Isso reduz o risco de danos se algo for comprometido.
- (A) Incorreta: Esta alternativa afirma que apenas a ação I está correta, o que não corresponde ao gabarito oficial.
- (B) Incorreta: Esta alternativa afirma que apenas as ações I e II estão corretas, o que não corresponde ao gabarito oficial.
- (C) Incorreta: Esta alternativa afirma que apenas as ações I e III estão corretas, o que não corresponde ao gabarito oficial.
- (D) Incorreta: Esta alternativa afirma que apenas as ações II e III estão corretas, o que não corresponde ao gabarito oficial.
- (E) Correta: Todas as três ações descrevem corretamente a aplicação do Princípio do Privilégio Mínimo.
- Ação I: Limitar o acesso do DBA a dados sensíveis, mesmo que ele gerencie a estrutura do banco, é um exemplo clássico de privilégio mínimo. Ele tem o que precisa para a função de administração (estrutura, backup), mas não o que não precisa (dados sensíveis de usuários), a menos que haja uma necessidade excepcional e justificada. A armadilha aqui pode ser pensar que um DBA sempre precisa de acesso total a tudo, mas o PoLP argumenta que, por padrão, o acesso deve ser restrito ao mínimo necessário.
- Ação II: Conceder ao desenvolvedor acesso apenas às tabelas e views (visões, que são tabelas virtuais) que ele realmente precisa para seu trabalho é uma aplicação direta do privilégio mínimo. Ele não tem acesso a partes do banco de dados que não são relevantes para seu escopo, reduzindo o risco de erros ou acessos indevidos.
- Ação III: Esta ação é uma definição concisa e geral do Princípio do Privilégio Mínimo aplicado a um banco de dados: dar permissões específicas e somente aos objetos relevantes para cada usuário ou função.
Fonte: FGV TCE-PA 2024 Auditor de Controle Externo - Informática - Administrador de Banco de Dados (Caderno Tipo 1). Reproduzida para fins de estudo.