Questão nº 57
Questão de Análise de Sistemas · FGV TJDFT 2022 (nº 57)
Durante uma auditoria externa contratada pelo Tribunal de Justiça ao departamento de segurança da informação, foram avaliados os sistemas existentes seguindo a Norma ABNT NBR ISO/IEC 27001. Durante a avaliação, houve a necessidade de prover um sistema de gerenciamento de senhas interativo e com qualidade.
Para criar o seu sistema, o departamento de segurança deve fazer uso do objetivo de controle:
- Arequisitos do negócio para controle de acesso;
- Bcontrole de acesso ao sistema e à aplicação; (alternativa correta)
- Cresponsabilidade pelos ativos;
- Dsegurança em recursos humanos;
- Egerenciamento de acesso do usuário.
Resposta comentada
Gabarito Alternativa B
O controle de acesso é a porta de entrada do sistema: ele define quem pode entrar, como (senha, biometria) e o que pode fazer lá dentro. Gerenciar senhas é justamente uma medida de controle de acesso ao sistema e à aplicação, pois regula a autenticação do usuário antes de ele usar qualquer recurso.
- (A) Incorreta: Requisitos do negócio para controle de acesso definem a política geral (por que controlar), mas não a implementação prática do gerenciamento de senhas.
- (B) Correta: O gerenciamento de senhas é uma ação direta de controle de acesso ao sistema e à aplicação, pois envolve autenticação, validação e proteção do login.
- (C) Incorreta: Responsabilidade pelos ativos trata de inventário, classificação e dono dos ativos (hardware, software, dados), não do mecanismo de senha em si.
- (D) Incorreta: Segurança em recursos humanos aborda treinamento, conscientização e conduta dos funcionários, não a ferramenta de senha.
- (E) Incorreta: Gerenciamento de acesso do usuário é um conceito mais amplo (inclui criação, alteração e revogação de acessos), mas a banca considera que a interatividade e qualidade da senha se encaixam especificamente no controle de acesso ao sistema/aplicação.
Armadilha da banca: A letra E é a mais tentadora, pois "gerenciamento de acesso do usuário" parece idêntico a "gerenciamento de senhas". Porém, a norma separa: o gerenciamento de acesso do usuário (A.9.2.1) foca no ciclo de vida do acesso (quem tem permissão), enquanto o controle de acesso ao sistema e à aplicação (A.9.4.2) trata da autenticação segura — exatamente onde a senha interativa e de qualidade se encaixa.
Fonte: FGV TJDFT 2022 Analista Judiciário - Análise de Sistemas (Caderno Tipo 1). Reproduzida para fins de estudo.