Segurança da Informação e Cibernética

Escalabilidade é atributo de arquitetura/desempenho de sistemas, não princípio de SI. Os princípios são: confidencialidade, integridade, disponibilidade, autenticidade e não repúdio.

• a) É princípio real — pega quem marca a primeira sem ler a pergunta inteira.
• b) Também é princípio real.
• c) Princípio real (tríade CIA).
• e) Princípio real complementar. Em "exceto", a FCC enfileira quatro corretas e UMA plausível mas fora do escopo — escalabilidade é arquitetura, não SI.

Zero Trust (NIST SP 800-207) opera com o princípio "never trust, always verify": autenticação e autorização contínuas, microssegmentação, menor privilégio, independentemente de o usuário estar dentro ou fora do perímetro tradicional.

• a) Descreve o modelo tradicional de perímetro (castle-and-moat) — exato oposto do Zero Trust.
• c) Zero Trust complementa firewalls e VPNs; não substitui. NGFW seguem essenciais.
• d) "Apenas nuvem pública" — falso. Zero Trust aplica-se a on-premises, nuvem privada/pública e híbrida.
• e) Confunde dois conceitos distintos. Defesa em profundidade = camadas; Zero Trust = verificação contínua. Coexistem mas não são iguais.

OAuth 2.0 é protocolo de autorização (RFC 6749) — delega acesso a recursos protegidos. OIDC é camada de autenticação construída sobre OAuth 2.0, agregando ID Token (JWT). O edital cita textualmente: "OAuth 2.0 como autorização, OpenID Connect como autenticação".

• a) A inversão clássica e mais comum: a FCC troca os papéis. OAuth = autorização; OIDC = autenticação. Quem decora errado cai aqui sempre.
• c) "Sinônimos" — falso. Protocolos distintos, finalidades complementares.
• d) "Substituiu SAML em todos os cenários" — falso. SAML segue muito usado em SSO empresarial e federações governamentais.
• e) "Exige X.509 ICP-Brasil" — falso. São padrões abertos internacionais; ICP-Brasil é específico para assinatura digital com validade jurídica no Brasil.

SIEM = plataforma tecnológica. SOC = estrutura organizacional (pessoas, processos, ferramentas) que monitora 24×7. EDR = agente em endpoints com detecção comportamental.

• a) Confusão clássica: SIEM é ferramenta; SOC é a operação. O SOC usa o SIEM.
• c) EDR e SIEM são complementares: EDR vê endpoints; SIEM correlaciona tudo. Em nuvem, SIEM segue essencial (Azure Sentinel etc.).
• d) Confunde estrutura organizacional com serviço cloud. SOC gerenciado (MSSP) existe, mas o SOC em si é estrutura, não software.
• e) "SIEM em Windows, EDR em Linux" — falso. Ambos são multiplataforma.

Simétrica: chave única compartilhada (AES, ChaCha20), rápida, mas problema na distribuição. Assimétrica: par pública/privada (RSA, ECC), resolve distribuição mas é cara. Por isso, na prática usa-se híbrido (TLS): assimétrica troca a chave; simétrica cifra o tráfego.

• a) Inversão direta: "par de chaves" é da assimétrica.
• b) Inversão espelhada: "mesma chave" é da simétrica. A FCC sempre testa essa troca de bases.
• d) RSA e ECC são assimétricos. Quem decora "RSA é antigo, então deve ser simétrico" cai aqui.
• e) AES e ChaCha20 são simétricos. A FCC inverte os exemplos.

A ISO 27005:2023 define quatro opções clássicas de tratamento de risco: (1) Reduzir/Mitigar (implementar controles), (2) Transferir/Compartilhar (seguro, terceirização), (3) Evitar (não fazer a atividade), (4) Aceitar (assumir o risco residual conscientemente).

• b) "Apenas reduzir e aceitar" — falso. Restringe artificialmente. As 4 opções estão na norma, com transferir e evitar plenamente válidas.
• c) "Proibido aceitar" — frontalmente falso. Aceitar é uma das opções principais — todo risco residual é aceito, formalmente, pela alta direção.
• d) Descreve controles técnicos (que são meios para reduzir risco), não opções de tratamento. A FCC confunde meios com fins.
• e) Lista o ciclo de IAM (Identity and Access Management) — instituto diferente. Não tem relação com tratamento de risco.

Hierarquia de personalização: phishing (massa, qualquer um) → spear phishing (alvo específico, pesquisado) → whaling (alvo executivo/CEO/diretor). Quanto mais personalizado, mais difícil de detectar.

• a) "Sinônimos" — falso. São variações em escala crescente de personalização e impacto.
• c) Confunde com smishing (SMS) e vishing (voz). Spear phishing também é por e-mail, mas direcionado, não móvel.
• d) "Técnica de defesa" — invenção. Whaling é ataque, não defesa. FCC adora inverter natureza do termo.
• e) "Exige certificados válidos" — falso. Phishing tipicamente usa domínios fraudulentos sem certificados ou com certificados Let's Encrypt genéricos.

WAF (Web Application Firewall): camada 7, protege aplicação web (SQLi, XSS, CSRF). IDS (Intrusion Detection System): detecta e alerta (passivo). IPS (Intrusion Prevention System): detecta e bloqueia (ativo, inline). Cada um atua em escopo diferente, são complementares.

• a) "Sinônimos" — falso. Têm escopos e modos de operação distintos.
• c) Inversão clássica: IPS é o ativo (bloqueia), IDS é o passivo (só alerta). A FCC inverte os papéis.
• d) "Substitui firewalls e IDS/IPS" — falso. WAF é especializado em aplicação web; firewalls tradicionais e IDS/IPS seguem necessários para outros vetores.
• e) "Apenas camada 3" — falso. WAF é camada 7; IDS/IPS modernos atuam em múltiplas camadas (3, 4, 7).

MP 2.200-2/2001, art. 10, §1º: as declarações constantes de documentos eletrônicos assinados com certificado ICP-Brasil presumem-se verdadeiras em relação aos signatários. A AC Raiz é o ITI (Instituto Nacional de Tecnologia da Informação), autarquia federal.

• a) Dois erros: (1) ICP-Brasil é instituída por Medida Provisória (MP 2.200-2/2001), e (2) a AC Raiz é o ITI, não a Receita Federal. A RF é apenas uma das AC subordinadas.
• c) "Gratuitos e automáticos" — falso. Certificados ICP-Brasil são pagos e emitidos por Autoridades Certificadoras (AC) credenciadas, mediante presença física do titular.
• d) "Apenas PJ" — falso. Pessoas físicas também emitem (e-CPF, Gov.br) e pessoas jurídicas (e-CNPJ).
• e) "Padrão proprietário, incompatível" — falso. ICP-Brasil segue o padrão internacional X.509, totalmente compatível.

Site-to-site: conecta duas redes (matriz-filial, on-prem-cloud) via gateways. Client-to-site (remote access): usuário individual via cliente VPN. Protocolos comuns: IPsec, WireGuard, OpenVPN.

• a) Inversão clássica: a FCC troca site-to-site com client-to-site. Memorize: "site" = rede; "client" = usuário.
• c) "VPN = Zero Trust" — falso. VPN cria um túnel; Zero Trust é arquitetura de verificação contínua que pode até dispensar VPNs tradicionais em alguns cenários.
• d) "Apenas IPsec" — falso. WireGuard, OpenVPN, SSL/TLS VPN são todas modalidades válidas. IPsec é apenas o protocolo histórico.
• e) "Segurança absoluta" — armadilha do absoluto. Toda defesa precisa de camadas; uma VPN comprometida (credenciais vazadas, túnel mal configurado) abre tudo.

A BIA identifica processos críticos e quantifica o impacto da sua interrupção, fornecendo subsídios para definir RPO (Recovery Point Objective: quanto dado posso perder) e RTO (Recovery Time Objective: em quanto tempo preciso voltar).

• a) "Definir controles técnicos" — confunde BIA (análise de impacto) com seleção de controles (ISO 27002). Etapas distintas do processo.
• c) "ROI" — confunde com análise financeira. BIA é análise de continuidade, não de retorno financeiro.
• d) "Testes de penetração" — confunde BIA com pentest (teste técnico ofensivo). Coisas diferentes.
• e) "Maturidade COBIT" — confunde BIA com avaliação de governança. Frameworks distintos: ISO 22301 (continuidade) vs COBIT (governança).

SAST: análise estática do código (caixa branca). DAST: teste dinâmico em runtime (caixa preta, sem código). IAST: híbrido, instrumenta a aplicação para análise interativa durante execução.

• a) "Sinônimos" — falso. Técnicas distintas com escopos diferentes.
• c) Inversão clássica: SAST é o estático (código), DAST é o dinâmico (execução). A FCC adora inverter.
• d) "Apenas SAST detecta" — falso. Todas detectam, em escopos diferentes. DAST/IAST encontram, inclusive, vulnerabilidades de configuração e runtime que SAST não vê.
• e) "Exigem código-fonte" — falso. DAST justamente NÃO precisa de código-fonte (caixa preta).

Princípio do menor privilégio (Principle of Least Privilege — PoLP): cada entidade (usuário, processo, serviço) recebe apenas os privilégios mínimos necessários para sua função. Reduz superfície de ataque e impacto de comprometimentos.

• b) "Apenas administradores têm acesso" — não é isso. O princípio é granular: cada um recebe o que precisa, inclusive admins recebem só o que eles precisam (no contexto deles).
• c) "Revisão anual" — período inventado. A revisão deve ser contínua, especialmente quando há mudança funcional, transferência de cargo ou desligamento.
• d) "Hierarquia organizacional sem critério técnico" — frontalmente errado. O princípio é técnico/funcional, não hierárquico.
• e) "Apenas contas humanas" — falso. Aplica-se também a contas de serviço, APIs, processos automatizados. Service accounts mal configuradas são vetor comum de ataque.

Na versão 2021, A01 = Broken Access Control assumiu a liderança, refletindo a explosão de vulnerabilidades em controle de acesso em APIs e microsserviços. Injection caiu para A03.

• b) "Norma obrigatória do NIST" — falso. OWASP é organização sem fins lucrativos independente, sua Top 10 é referência amplamente adotada, mas não tem força de lei.
• c) "Apenas redes corporativas" — frontalmente errado. OWASP foca em aplicações web, não em redes.
• d) "Injection removida por obsoleta" — falso. Continua na lista (A03/2021); apenas perdeu a primeira posição.
• e) "15 categorias" — falso. Top 10 significa, literalmente, 10 categorias. Número inventado para confundir.

A ISO/IEC 27035-1:2023 define cinco fases: (1) Planejamento e preparação, (2) Detecção e relato, (3) Avaliação e decisão, (4) Resposta, (5) Aprendizado.

• a) Reordenação e omissão: falta a etapa de planejamento/preparação como fase 1. Sem planejar, não há gestão estruturada.
• c) Descreve o framework do NIST SP 800-61 (Identificação → Contenção → Erradicação → Recuperação → Lições). Pega quem confunde os dois padrões — semelhantes, mas distintos. A FCC adora isso.
• d) "Punição" — invenção. Gestão de incidentes não tem fase de punição; aprendizado e melhoria contínua, sim.
• e) Descreve o ciclo de gestão de riscos (ISO 27005), não de incidentes. Frameworks diferentes.