Questão de Tecnologia da Informação · FGV TJ-MS 2024 (nº 51)

Quando se testa um sistema, seja ele novo ou atualizado, é crucial proteger os dados usados nesses testes. A proteção de dados em teste significa garantir que informações sensíveis, como dados pessoais, não sejam expostas, alteradas indevidamente ou perdidas durante o processo de teste, mesmo que o ambiente de teste seja diferente do ambiente de produção.

(A) Incorreta: A norma não estabelece que os controles de acesso em sistemas operacionais sejam sempre mais rígidos que em teste. Pelo contrário, se dados sensíveis são usados em teste, eles devem ser protegidos de forma robusta, com controles de acesso adequados para o nível de sensibilidade da informação, não necessariamente menos rígidos que em produção.
(B) Incorreta: Copiar informação operacional para teste não pode ser feito "conforme a necessidade da equipe de desenvolvimento". Deve seguir políticas rigorosas, autorização formal e, preferencialmente, com a informação sendo anonimizada ou pseudonimizada, para minimizar riscos.
(C) Incorreta: A informação operacional sensível copiada para teste deve ser removida ou descartada de forma segura do ambiente de testes após a conclusão dos testes e a entrada do sistema em produção. Mantê-la no ambiente de teste aumenta o risco desnecessariamente.
(D) Correta: A ABNT NBR ISO/IEC 27002:2013 exige que, ao usar informação de identificação pessoal (PII) ou outras informações sensíveis para teste, todos os seus detalhes e conteúdos sejam protegidos contra remoção (perda de integridade/disponibilidade) ou modificação (perda de integridade) não autorizadas. Isso garante a confidencialidade e integridade dos dados mesmo em ambiente de teste.
(E) Incorreta: O uso de cópias diretas de bancos de dados operacionais para teste não é recomendável como prática geral de desenvolvimento seguro devido ao alto risco de exposição de dados sensíveis. A norma sugere a anonimização ou pseudonimização dos dados de teste sempre que possível. A armadilha aqui é que, embora dados realistas sejam úteis, a cópia direta de dados operacionais sem tratamento é perigosa e não uma prática recomendada para segurança.