Sumário

Tecnologia da Informação em concurso não é uma matéria só. É um condomínio inteiro: redes, segurança, banco de dados, engenharia de software, arquitetura, governança, nuvem, legislação digital e leitura de cenário. A banca troca a fechadura a cada prova, mas o prédio é o mesmo.

1. Raio-X dos concursos

   TCU, Bacen, CPNU, gestão pública digital e bancas técnicas
   p. 04
2. Infraestrutura, redes e sistemas

   Computação, sistemas operacionais, TCP/IP, DNS, HTTP, TLS e disponibilidade
   p. 10
3. Segurança, privacidade e governo digital

   NIST CSF 2.0, OWASP, LGPD, Marco Civil, PNSI, assinaturas e dados
   p. 23
4. Engenharia, arquitetura e DevOps

   Requisitos, métodos ágeis, testes, CI/CD, APIs, microsserviços e observabilidade
   p. 36
5. Dados, nuvem e governança

   SQL, NoSQL, warehouse, lakehouse, cloud, contêineres, COBIT 2019, ITIL 4 e auditoria
   p. 50
6. Revisão e questões

   Mapa mental, checklist de prova, 10 questões geradas e comentários do Affonsinho
   p. 66

O que você vai dominar

Dica do Fuffu

Não tente estudar TI por lista infinita de siglas. Use camadas: infraestrutura, software, dados, segurança e governança. A sigla entra depois que a ideia já está no lugar.

Fontes e mapa de incidência

O mapeamento considera editais e provas recentes de concursos técnicos e de controle, com destaque para TCU/AUFC com orientação em Auditoria de Tecnologia da Informação, Bacen 2024 em Tecnologia da Informação, CPNU 2 Bloco 3 - Ciências, Dados e Tecnologia, além de carreiras de ATI, tribunais, agências, bancos públicos e áreas de controle.

Na camada normativa e técnica, a aula usa a LGPD, o Marco Civil da Internet, a Lei do Governo Digital, a Lei de Assinaturas Eletrônicas, a Política Nacional de Segurança da Informação instituída pelo Decreto nº 12.572/2025, a Estratégia Nacional e a Estratégia Federal de Governo Digital 2024-2027, NIST CSF 2.0, OWASP Top 10 2025, OWASP API Security Top 10 2023, Scrum Guide 2020, COBIT 2019 e ITIL 4.

A ordem de prioridade

O primeiro bloco de alta incidência é segurança da informação: confidencialidade, integridade, disponibilidade, gestão de riscos, controles, criptografia, IAM, OWASP, incidentes, logs, backup e continuidade. Em concursos de controle, segurança nunca é só técnica: vira governança, responsabilidade e evidência de auditoria.

O segundo bloco é engenharia e arquitetura de software: requisitos, UML, Scrum, Kanban, XP, TDD, BDD, DDD, testes, versionamento, CI/CD, APIs, microsserviços, padrões, qualidade e DevOps. O terceiro bloco é dados: SQL, transações, normalização, índices, NoSQL, DW, lake, BI, qualidade, catálogo e governança.

Prof. Affonsinho explica, Módulo 01

1 Tecnologia da Informação é sistema, não coleção de siglas

TI é o conjunto de recursos, processos, pessoas e controles usados para produzir, tratar, armazenar, transmitir e proteger informação. Em concurso, a matéria aparece como infraestrutura, software, dados, segurança, governança e serviço público digital.

A banca costuma alternar profundidade. Uma prova de tribunal pode cobrar conceitos de redes e banco de dados; uma prova de controle pode cobrar COBIT, ITIL e evidência; uma prova de banco público pode combinar segurança, arquitetura, dados e operação em produção.

O erro comum é estudar por modismo. A tecnologia muda, mas alguns fundamentos atravessam décadas: abstração, modularidade, camada, protocolo, transação, controle de acesso, risco, rastreabilidade e custo de mudança.

Bate-papo com o Seu Teoffilo

Quando a banca fala em transformação digital, ela não está falando de colocar formulário antigo em tela nova. Ela quer processo redesenhado, integração segura de dados, acessibilidade, mensuração de valor público e governança.

Prof. Affonsinho explica, Módulo 01

2 Hardware, virtualização e camadas de execução

Hardware aparece pouco como lista de peças e muito como fundamento de desempenho. CPU executa instruções, memória principal guarda dados em uso, armazenamento preserva dados, barramentos conectam componentes e dispositivos de entrada e saída fazem a ponte com o mundo externo.

Virtualização cria abstração de recursos físicos para executar múltiplos ambientes lógicos. Hipervisores do tipo 1 rodam diretamente sobre o hardware; hipervisores do tipo 2 rodam sobre um sistema operacional hospedeiro. Em prova, isso costuma se misturar com cloud, isolamento e consolidação de servidores.

Contêiner não é máquina virtual pequena. Contêiner compartilha o kernel do hospedeiro e isola processos, dependências e namespaces. Máquina virtual carrega um sistema operacional convidado completo. A diferença importa para segurança, portabilidade, consumo de recursos e velocidade de inicialização.

Prof. Affonsinho explica, Módulo 01

3 Sistemas operacionais: processo, memória e arquivo

Tanenbaum e Silberschatz ajudam a enxergar o sistema operacional como gerente de recursos. Ele escalona CPU, controla memória, organiza arquivos, provê chamadas de sistema, gerencia entrada e saída e oferece abstrações para programas.

Processo é programa em execução, com estado, espaço de endereçamento e recursos. Thread é fluxo de execução dentro de um processo. Concorrência melhora responsividade, mas traz problemas de corrida, deadlock, starvation e necessidade de sincronização.

Memória virtual permite que processos enxerguem um espaço lógico maior e isolado. Paginação, segmentação, TLB e swapping são técnicas que caem em prova porque ligam desempenho, proteção e abstração.

Alerta do Examinador

Deadlock exige condições como exclusão mútua, posse e espera, não preempção e espera circular. Se uma dessas condições é quebrada, o impasse pode ser prevenido.

Prof. Affonsinho explica, Módulo 01

4 Linux, Windows e administração operacional

Linux costuma ser cobrado por permissões, usuários, grupos, processos, serviços, logs, sistema de arquivos e shell. O tripé básico é permissão de leitura, escrita e execução para dono, grupo e outros, com representação simbólica ou octal.

Windows aparece em Active Directory, políticas de grupo, autenticação, auditoria, serviços, logs de eventos e administração de estações. Em ambientes corporativos e públicos, o ponto de prova não é clicar em menu: é entender identidade, política e rastreabilidade.

Logs operacionais são evidências. Um serviço que cai sem registro vira história de pescador em auditoria: pode até ter acontecido, mas ninguém consegue provar. Em TI pública, registro, retenção, integridade e trilha de auditoria valem muito.

Prof. Affonsinho explica, Módulo 02

5 Redes: modelos em camadas e encapsulamento

Kurose e Ross trabalham redes a partir de camadas: aplicação, transporte, rede, enlace e física. O modelo OSI tem sete camadas e é didático; o TCP/IP é a família prática que domina a internet.

Encapsulamento significa que cada camada acrescenta informação de controle ao dado recebido da camada superior. Na ida, pacote ganha cabeçalhos; na volta, cada camada remove o que lhe pertence. A banca ama perguntar qual camada faz o quê.

Endereço MAC atua no enlace local; endereço IP roteia entre redes; porta TCP ou UDP identifica aplicação no host. Misturar esses três é como confundir rua, prédio e sala. O pacote até parece chegar, mas você não sabe onde parou.

Prof. Affonsinho explica, Módulo 02

6 IP, subnet, VLAN, NAT e VPN

Endereçamento IP identifica interfaces de rede. Sub-redes dividem espaços de endereçamento para organização, segurança, roteamento e eficiência. Máscara define a parte de rede e a parte de host.

VLAN segmenta domínio de broadcast em redes locais, mesmo usando a mesma infraestrutura física. NAT traduz endereços, geralmente permitindo que múltiplos endereços privados acessem a internet por um endereço público. VPN cria túnel protegido sobre rede não confiável.

Em prova, cuidado com a palavra "segurança". VLAN melhora segmentação, mas não substitui firewall, controle de acesso e monitoramento. VPN protege tráfego em trânsito, mas não torna confiável um endpoint comprometido.

Pegadinha da Dotôra Soffya

Se a alternativa disser que NAT foi criado para garantir confidencialidade, desconfie. NAT traduz endereço. Confidencialidade depende de criptografia e protocolo adequado, como IPsec, TLS ou solução equivalente.

Prof. Affonsinho explica, Módulo 02

7 DNS, HTTP, HTTPS e TLS

DNS resolve nomes em endereços e outros registros. Ele permite que humanos usem domínios enquanto máquinas usam endereços. Registros A, AAAA, CNAME, MX, TXT e NS aparecem com frequência em questões práticas.

HTTP é protocolo de aplicação baseado em requisição e resposta. Métodos como GET, POST, PUT, PATCH e DELETE têm semântica. Códigos 2xx indicam sucesso, 3xx redirecionamento, 4xx erro do cliente e 5xx erro do servidor.

HTTPS é HTTP sobre TLS. TLS entrega autenticação do servidor, confidencialidade e integridade do tráfego. Certificado digital não "criptografa o site"; ele participa da autenticação e da negociação segura que permite proteger a sessão.

Prof. Affonsinho explica, Módulo 02

8 Disponibilidade: cache, balanceamento e tolerância a falhas

Disponibilidade é a capacidade de manter serviço funcionando conforme requerido. Ela depende de redundância, monitoramento, failover, capacidade, degradação controlada, backup testado e desenho de arquitetura.

Cache reduz latência e carga, mas introduz risco de dado obsoleto. Balanceador distribui requisições entre instâncias, mas precisa de health check confiável. CDN aproxima conteúdo do usuário, mas exige cuidado com invalidação e segurança de origem.

Nygard popularizou padrões de resiliência como circuit breaker, timeout, bulkhead e retry com backoff. Para concurso, o essencial é entender que resiliência não nasce do otimismo: nasce de tratar falha como evento normal.

Dica do Coach Jeff

Quando vir uma arquitetura em prova, procure gargalos: ponto único de falha, ausência de health check, retry infinito, banco sem réplica, cache sem invalidação e log que ninguém lê.

Prof. Affonsinho explica, Módulo 03

9 Segurança: confidencialidade, integridade e disponibilidade

Segurança da informação protege informação contra acessos, alterações, perdas e indisponibilidades indevidas. A tríade clássica é confidencialidade, integridade e disponibilidade. Em órgãos públicos, acrescente autenticidade, não repúdio, rastreabilidade e conformidade.

Ameaça é causa potencial de incidente; vulnerabilidade é fraqueza explorável; risco é efeito da incerteza sobre objetivos; controle é medida que reduz probabilidade ou impacto. A banca troca esses termos porque eles parecem parentes. São parentes, mas não são a mesma pessoa.

Stallings e Pfleeger ajudam a separar controle preventivo, detectivo e corretivo. Firewall pode prevenir tráfego indevido; IDS detecta comportamento suspeito; backup e plano de recuperação corrigem impacto depois do incidente.

Prof. Affonsinho explica, Módulo 03

10 Identidade, autenticação e autorização

Autenticação verifica quem é o sujeito. Autorização define o que ele pode fazer. Contabilidade ou accountability registra ações para responsabilização. A tríade AAA é base de redes, sistemas e auditoria.

MFA combina fatores de conhecimento, posse e inerência. Senha é conhecimento; token ou dispositivo é posse; biometria é inerência. MFA reduz risco, mas não salva sistema que concede privilégio demais depois do login.

Privilégio mínimo significa conceder o necessário para a função, pelo menor tempo possível e com revisão periódica. Em ambiente crítico, entram segregação de funções, aprovação, trilha de auditoria e acesso just-in-time.

Prof. Affonsinho explica, Módulo 03

11 Criptografia, hash, assinatura e certificado

Criptografia simétrica usa a mesma chave para cifrar e decifrar. É rápida e adequada para grande volume de dados. Criptografia assimétrica usa par de chaves pública e privada, resolvendo problemas de distribuição de chave e assinatura, com custo computacional maior.

Hash criptográfico transforma dado em resumo fixo, com resistência a colisão e pré-imagem. Hash não é criptografia reversível. Se a questão disser "descriptografar hash", a campainha mental precisa tocar.

Assinatura digital usa chave privada para assinar e chave pública para verificar, entregando autenticidade, integridade e não repúdio dentro de uma infraestrutura adequada. Certificado digital vincula identidade a chave pública por meio de autoridade certificadora.

Prof. Affonsinho explica, Módulo 03

12 NIST CSF 2.0: governar entrou no centro

O NIST Cybersecurity Framework 2.0, lançado em 2024, ampliou o escopo para todos os tipos de organização e colocou governança no núcleo. O core passou a girar em torno de Govern, Identify, Protect, Detect, Respond e Recover.

Govern trata de contexto, estratégia, risco, política, papéis, supervisão e cadeia de suprimentos. Identify mapeia ativos, dados, riscos e dependências. Protect implementa salvaguardas. Detect descobre eventos. Respond limita impacto. Recover restaura capacidades.

Para concurso, a mudança importante é: segurança não é apenas tecnologia. É decisão de gestão baseada em risco, alinhada a objetivos, orçamento, responsabilidade e prestação de contas.

Prof. Affonsinho explica, Módulo 03

13 OWASP Top 10 2025 e API Security 2023

OWASP Top 10 é documento de conscientização sobre riscos críticos em aplicações web. Em 2025, a lista atual destaca controle de acesso quebrado, configuração insegura, falhas na cadeia de suprimentos de software, falhas criptográficas, injeção, desenho inseguro, falhas de autenticação, integridade de software ou dados, logging e alertas, e tratamento inadequado de exceções.

OWASP API Security Top 10 2023 foca riscos próprios de APIs, como autorização quebrada em nível de objeto, autenticação quebrada, autorização quebrada em propriedade de objeto, consumo irrestrito de recursos, autorização de função quebrada e SSRF.

A banca pode cobrar a ideia sem exigir a ordem exata. O essencial é entender que segurança de aplicação começa no desenho: autenticação, autorização, validação, limites, dependências, logs, tratamento de erro e testes.

Alerta do Examinador

Injeção não é só SQL injection. O problema geral é interpretar entrada não confiável como comando, consulta, expressão ou instrução. Validação, parametrização e contexto importam.

Prof. Affonsinho explica, Módulo 03

14 Incidente, log, SIEM, backup e continuidade

Resposta a incidente passa por preparação, detecção, análise, contenção, erradicação, recuperação e lições aprendidas. O nome das fases pode variar por referência, mas a lógica é estável: preparar antes, agir durante, aprender depois.

SIEM centraliza, correlaciona e analisa eventos para apoiar detecção e resposta. Sem qualidade de log, horário sincronizado, retenção adequada e classificação de eventos, o SIEM vira painel bonito para ansiedade institucional.

Backup precisa ser testado. Regra prática de mercado é manter múltiplas cópias, em mídias ou ambientes distintos, com uma cópia offline ou imutável quando cabível. Para prova, guarde: backup não testado é esperança, não controle.

Prof. Affonsinho explica, Módulo 04

15 LGPD: princípios antes de ferramenta

A LGPD regula tratamento de dados pessoais, inclusive em meios digitais, por pessoa natural ou jurídica, de direito público ou privado, com objetivo de proteger direitos fundamentais de liberdade, privacidade e livre desenvolvimento da personalidade.

Os princípios do art. 6º são cobrados com frequência: finalidade, adequação, necessidade, livre acesso, qualidade, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas.

Em TI, LGPD não é só página de aceite. Ela impacta arquitetura, banco de dados, logs, mascaramento, retenção, governança de acesso, ciclo de vida, resposta a incidente e contratação de operadores.

Prof. Affonsinho explica, Módulo 04

16 Agentes, bases legais, titular e setor público

Controlador decide sobre o tratamento. Operador realiza tratamento em nome do controlador. Encarregado atua como canal de comunicação entre controlador, titulares e ANPD. Essa tríade aparece muito porque define responsabilidade e governança.

Bases legais do art. 7º incluem consentimento, obrigação legal ou regulatória, execução de políticas públicas, estudos por órgão de pesquisa, execução de contrato, exercício regular de direitos, proteção da vida, tutela da saúde, legítimo interesse e proteção do crédito. Dados sensíveis têm disciplina própria no art. 11.

No setor público, tratamento deve atender finalidade pública, interesse público e execução de competências legais. A publicidade estatal não elimina privacidade. Transparência e proteção de dados convivem com ponderação, minimização e segurança.

Prof. Affonsinho explica, Módulo 04

17 Marco Civil, Governo Digital, Assinaturas e PNSI

O Marco Civil da Internet estabelece princípios, garantias, direitos e deveres para uso da internet no Brasil. Em TI pública, aparecem neutralidade de rede, privacidade, proteção de dados, guarda de registros e diretrizes de atuação do poder público.

A Lei nº 14.129/2021 dispõe sobre governo digital e eficiência pública, com desburocratização, inovação, transformação digital, participação do cidadão, interoperabilidade e uso de dados. A Estratégia Federal de Governo Digital 2024-2027 organiza princípios como governo centrado no cidadão, integrado, inteligente, confiável, transparente e sustentável.

A Lei nº 14.063/2020 classifica assinaturas eletrônicas em simples, avançada e qualificada. A PNSI vigente, Decreto nº 12.572/2025, institui política nacional para assegurar disponibilidade, integridade, confidencialidade e autenticidade da informação no âmbito da administração pública federal.

Bate-papo com o Seu Teoffilo

O Decreto nº 9.637/2018 foi revogado. Para prova atual, a referência da Política Nacional de Segurança da Informação é o Decreto nº 12.572/2025. Esse detalhe é pequeno no papel e grande no gabarito.

Prof. Affonsinho explica, Módulo 04

18 Jurisprudência digital: dados, privacidade e memória

Na ADI 6.387 e ações conexas sobre a MP nº 954/2020, o STF suspendeu compartilhamento compulsório de dados de usuários de telefonia com o IBGE por falta de delimitação suficiente de finalidade, necessidade e garantias técnicas e administrativas. O julgamento virou marco de proteção de dados antes da EC nº 115/2022.

A EC nº 115/2022 inseriu a proteção de dados pessoais, inclusive nos meios digitais, no art. 5º, LXXIX, da Constituição, além de fixar competências da União sobre proteção e tratamento de dados pessoais.

No Tema 786, RE 1.010.606, o STF considerou incompatível com a Constituição um direito ao esquecimento abstrato baseado só na passagem do tempo, sem impedir análise de abusos concretos contra honra, imagem, privacidade e personalidade.

Prof. Affonsinho explica, Módulo 05

19 Requisitos e UML: antes do código, o acordo

Sommerville e Pressman tratam requisitos como ponte entre necessidade de negócio e solução técnica. Requisito funcional descreve comportamento; requisito não funcional descreve qualidade, restrição ou atributo, como desempenho, segurança, usabilidade e disponibilidade.

UML é linguagem de modelagem, não metodologia. Casos de uso descrevem interação entre ator e sistema; diagrama de classes estrutura domínio; sequência mostra troca temporal de mensagens; atividade representa fluxo de processo.

Banca gosta de confundir requisito com solução. "O sistema deve permitir autenticação com MFA" é requisito; "usar biblioteca X" já é decisão técnica. Em contratação pública, essa distinção evita direcionamento indevido e escopo mal definido.

Prof. Affonsinho explica, Módulo 05

20 Ciclos de vida: cascata, iterativo e incremental

Modelo cascata organiza fases sequenciais. Ele funciona melhor quando requisitos são estáveis e risco é controlado, mas sofre quando há incerteza. Modelo iterativo aprende por ciclos; modelo incremental entrega partes úteis ao longo do tempo.

RUP é processo iterativo e incremental, orientado a casos de uso, centrado em arquitetura e guiado por riscos. Suas fases clássicas são iniciação, elaboração, construção e transição.

A escolha do ciclo de vida precisa conversar com risco, criticidade, clareza de escopo e capacidade da organização. Em concurso, alternativa absoluta quase sempre é cilada: nenhum modelo é melhor em todo cenário.

Alerta do Examinador

Ágil não significa ausência de documentação, arquitetura ou controle. Significa adaptação com feedback frequente, entrega incremental e colaboração disciplinada.

Prof. Affonsinho explica, Módulo 05

21 Scrum, Kanban, XP, TDD, BDD e DDD

O Scrum Guide 2020 define Scrum como framework leve para gerar valor em problemas complexos. Time Scrum tem Product Owner, Scrum Master e Developers; eventos incluem Sprint, Planning, Daily, Review e Retrospective; artefatos incluem Product Backlog, Sprint Backlog e Increment.

Kanban visualiza fluxo, limita trabalho em progresso e melhora continuamente. XP enfatiza práticas de engenharia como programação em par, integração contínua, refatoração e testes. TDD escreve teste antes do código; BDD descreve comportamento em linguagem próxima do negócio.

DDD, em Eric Evans, organiza software em torno do domínio: linguagem ubíqua, bounded context, entidades, objetos de valor, agregados e serviços de domínio. Não é receita para colocar classe com nome bonito; é disciplina para reduzir ambiguidade.

Prof. Affonsinho explica, Módulo 05

22 Testes: unidade, integração, contrato, sistema e aceitação

Teste de unidade verifica componente isolado. Teste de integração verifica interação entre partes. Teste de contrato valida acordo entre produtor e consumidor, muito útil em APIs e microsserviços. Teste de sistema avalia solução integrada. Aceitação valida valor para usuário ou negócio.

Pirâmide de testes sugere muitos testes rápidos e baratos na base, menos testes caros no topo. Isso não proíbe teste fim a fim; só lembra que depender apenas dele deixa feedback lento e frágil.

Cobertura alta não garante qualidade. Um teste pode executar linha sem verificar comportamento relevante. Concurso adora transformar métrica em fetiche. Métrica ajuda, mas não pensa no seu lugar.

Dica do Fuffu

Quando a questão falar em mock, pense em isolamento de dependência. Quando falar em stub, pense em resposta controlada. Quando falar em teste de contrato, pense em compatibilidade entre serviços.

Prof. Affonsinho explica, Módulo 05

23 Git, CI/CD, DevOps e SRE

Git é sistema distribuído de controle de versão. Branch, merge, rebase, pull request, tag e commit são cobrados como fluxo de colaboração, auditoria e rastreabilidade. Commit pequeno e revisão reduzem risco de mudança.

CI integra código com build e testes frequentes. CD pode significar entrega contínua ou implantação contínua, dependendo do contexto. Pipeline maduro automatiza build, testes, análise estática, segurança, empacotamento, publicação e deploy controlado.

DevOps integra desenvolvimento e operações com automação, cultura de colaboração e feedback. SRE, em Beyer e colegas, usa engenharia para operar sistemas confiáveis, com SLI, SLO, orçamento de erro e gestão de toil.

Prof. Affonsinho explica, Módulo 05

24 Código limpo, SOLID e padrões de projeto

Robert Martin popularizou princípios de legibilidade, responsabilidade e manutenção. SOLID não é palavra mágica: SRP separa razões de mudança; OCP favorece extensão sem modificação invasiva; LSP exige substituibilidade; ISP evita interfaces gordas; DIP depende de abstrações.

Gamma, Helm, Johnson e Vlissides organizaram padrões de projeto clássicos como Strategy, Observer, Factory Method, Adapter, Decorator e Singleton. Padrão é solução recorrente em contexto recorrente, não decoração de currículo.

Padrões também têm custo. Usar abstração antes de dor real pode deixar sistema mais difícil. Em prova, observe o problema: variar algoritmo sugere Strategy; notificar interessados sugere Observer; adaptar interface sugere Adapter.

Prof. Affonsinho explica, Módulo 05

25 Arquitetura: camadas, hexagonal, MVC e modularidade

Bass, Clements e Kazman tratam arquitetura como estruturas necessárias para raciocinar sobre sistema. Arquitetura envolve componentes, relações, decisões e atributos de qualidade como desempenho, segurança, modifiabilidade e disponibilidade.

Arquitetura em camadas separa responsabilidades. MVC separa modelo, visão e controlador. Arquitetura hexagonal, associada a Alistair Cockburn, coloca domínio no centro e portas/adaptadores nas bordas, reduzindo dependência de frameworks e infraestrutura.

A regra de ouro é dependência apontar para o núcleo mais estável. Se regra de negócio depende diretamente de detalhes de banco, fila, web framework e fornecedor externo, a manutenção vai cobrar juros altos.

O vilão da aula

O Concurseiro Virado no Rivotril tenta convencer você de que arquitetura é nome de pasta. Não caia. Arquitetura é decisão sobre dependência, fronteira, qualidade e evolução.

Prof. Affonsinho explica, Módulo 05

26 Microsserviços, eventos, filas e consistência

Newman define microsserviços como serviços pequenos, autônomos e modelados em torno de capacidades de negócio. A promessa é independência de implantação e evolução. O preço é complexidade distribuída.

Sistemas orientados a eventos usam publicação e consumo assíncrono. Filas ajudam desacoplamento, absorção de pico e resiliência. Mas mensagens duplicadas, ordenação, idempotência e observabilidade precisam ser tratados explicitamente.

Kleppmann enfatiza que sistemas distribuídos falham de formas parciais. O banco está vivo, a rede caiu, o consumidor atrasou, a mensagem repetiu. A arquitetura precisa aceitar essa realidade sem drama.

Prof. Affonsinho explica, Módulo 05

27 APIs: REST, GraphQL, gRPC e idempotência

REST é estilo arquitetural baseado em recursos, identificadores, representações e interface uniforme. Na prática de prova, aparece com HTTP, métodos, códigos de status, statelessness, cache e hipermídia, embora sistemas reais nem sempre usem REST no sentido rigoroso.

GraphQL permite cliente consultar exatamente os campos desejados, com schema tipado. gRPC usa contratos e comunicação eficiente, comum em serviços internos. API bem desenhada tem autenticação, autorização, versionamento, limite de taxa, logs e documentação.

Idempotência significa que repetir a mesma operação produz o mesmo efeito final. GET, PUT e DELETE tendem a ser idempotentes por semântica; POST geralmente não é, salvo desenho específico com chave de idempotência.

Prof. Affonsinho explica, Módulo 05

28 Formatos e autenticação de APIs

JSON é leve, textual e muito usado em APIs web. XML é verboso, extensível e ainda aparece em integrações legadas e governamentais. YAML é legível para configuração, mas requer cuidado com parsing, indentação e tipos implícitos.

JWT é token assinado que carrega claims. OAuth 2.0 é framework de autorização delegada. OpenID Connect acrescenta camada de autenticação sobre OAuth 2.0. SAML ainda aparece em federação corporativa e governo.

Token assinado não é token criptografado. Assinatura protege integridade e autenticidade; sigilo exige criptografia. A banca adora esconder essa diferença em uma frase aparentemente técnica.

Pegadinha da Dotôra Soffya

Se um JWT não estiver criptografado, seu conteúdo pode ser lido por quem o possui. O que a assinatura impede é alteração sem detecção. Não coloque dado sensível no token achando que assinatura é cofre.

Prof. Affonsinho explica, Módulo 06

29 Modelo relacional e SQL

Codd propôs o modelo relacional com dados organizados em relações, tuplas e atributos, usando álgebra relacional como base. Date reforça a importância de integridade, chaves, restrições e independência lógica.

SQL é linguagem declarativa. SELECT consulta, INSERT insere, UPDATE altera, DELETE remove. DDL define estruturas; DML manipula dados; DCL controla privilégios; TCL gerencia transações.

JOIN combina tabelas por condição. INNER JOIN retorna correspondências; LEFT JOIN preserva linhas da esquerda; RIGHT JOIN preserva da direita; FULL OUTER JOIN preserva ambos os lados quando suportado. A banca gosta de trocar quantidade de linhas por intuição visual.

Prof. Affonsinho explica, Módulo 06

30 Normalização, transações e concorrência

Normalização reduz redundância e anomalias. Primeira forma normal exige atomicidade de valores; segunda remove dependência parcial de chave composta; terceira remove dependência transitiva de atributos não chave.

Transação deve preservar ACID: atomicidade, consistência, isolamento e durabilidade. Atomicidade é tudo ou nada; consistência respeita restrições; isolamento controla interferência; durabilidade preserva commit.

Níveis de isolamento mitigam fenômenos como dirty read, non-repeatable read e phantom read. Quanto maior isolamento, maior proteção e potencial custo de concorrência. Banco de dados é sempre pacto entre correção, desempenho e operação.

Prof. Affonsinho explica, Módulo 06

31 Índices, planos, views e desempenho

Índice acelera busca e ordenação em muitos cenários, mas cobra preço em escrita, armazenamento e manutenção. Índice B-tree é comum para igualdade e intervalos; índice hash é bom para igualdade em contextos específicos.

Plano de execução mostra como o otimizador pretende acessar dados: varredura completa, uso de índice, join por hash, merge ou nested loop. Saber ler plano é saber onde a consulta sangra tempo.

View é consulta armazenada como objeto lógico; materialized view armazena resultado, com custo de atualização. Procedure e trigger embutem lógica no banco, o que pode ajudar integridade e prejudicar portabilidade se usado sem critério.

Prof. Affonsinho explica, Módulo 06

32 NoSQL, CAP e escolha de armazenamento

NoSQL reúne famílias diferentes: chave-valor, documento, colunar ampla e grafo. Não é "sem SQL" como religião; é escolha de modelo de dados, escala, consulta, latência e consistência.

Teorema CAP, em leitura de sistemas distribuídos, lembra que, diante de partição de rede, há tensão entre consistência e disponibilidade. Na prática, sistemas fazem escolhas e compromissos por operação, não por slogan.

Banco de documentos serve bem a agregados flexíveis; chave-valor a acesso por chave; grafo a relações altamente conectadas; colunar ampla a grandes volumes distribuídos. Escolher banco sem olhar padrão de acesso é comprar sapato no escuro.

Prof. Affonsinho explica, Módulo 06

33 DW, data lake, lakehouse, ETL e ELT

Kimball defende modelagem dimensional orientada a processos de negócio, com fatos e dimensões. Inmon enfatiza data warehouse corporativo integrado. Em prova, ambos aparecem como tradições de arquitetura analítica.

ETL extrai, transforma e carrega. ELT extrai, carrega e transforma dentro da plataforma de destino. Data lake guarda dados brutos ou semiestruturados em escala; lakehouse tenta combinar flexibilidade de lake com governança e desempenho de warehouse.

Arquitetura analítica sem catálogo, linhagem, qualidade e controle de acesso vira depósito de arquivo com nome elegante. Em órgão público, dado precisa ser útil, governado, auditável e compatível com finalidade.

Prof. Affonsinho explica, Módulo 06

34 Governança de dados, qualidade e metadados

Governança de dados define papéis, políticas, padrões, processos e métricas para garantir que dados sejam confiáveis, protegidos e úteis. Inclui ownership, stewardship, catálogo, linhagem, qualidade, classificação e ciclo de vida.

Qualidade de dados envolve acurácia, completude, consistência, atualidade, unicidade e validade. Indicador público ruim não é só problema técnico: pode distorcer política pública, auditoria e prestação de contas.

Metadado explica o dado: significado, origem, transformação, sensibilidade, qualidade, dono e uso. Sem metadado, a organização conhece tabela pelo boato. E boato não passa em auditoria séria.

Bate-papo com o Seu Teoffilo

Em governo digital, dado compartilhado precisa ser necessário, protegido, rastreável e compreensível. Interoperabilidade sem semântica vira integração que só funciona na apresentação.

Prof. Affonsinho explica, Módulo 07

35 Cloud: IaaS, PaaS, SaaS e responsabilidade compartilhada

IaaS entrega infraestrutura virtualizada; PaaS entrega plataforma para desenvolvimento e execução; SaaS entrega aplicação pronta. Em todos os modelos, há responsabilidade compartilhada, variando conforme o nível de abstração.

Na nuvem, provedor não assume tudo. Cliente continua responsável por identidade, dados, configuração, classificação, uso, chaves, permissões e conformidade, conforme o serviço. Muitos incidentes nascem de bucket público e privilégio excessivo.

Elasticidade é capacidade de ajustar recursos conforme demanda. Escalabilidade pode ser vertical ou horizontal. Disponibilidade depende de zonas, regiões, desenho de aplicação, dados, rede e operação.

Prof. Affonsinho explica, Módulo 07

36 Contêineres, Kubernetes, IaC e serverless

Imagem de contêiner é pacote imutável com aplicação e dependências. Registry armazena imagens. Orquestrador agenda, reinicia, escala e conecta contêineres. Kubernetes usa objetos como Pod, Deployment, Service, ConfigMap, Secret e Ingress.

Infraestrutura como código define recursos por arquivos versionados, permitindo revisão, repetibilidade e auditoria. O risco é versionar segredo, aplicar mudança sem revisão ou achar que automação transforma desenho ruim em desenho bom.

Serverless abstrai servidor operacional e cobra por execução ou uso, mas não elimina arquitetura. Cold start, limite de tempo, observabilidade, lock-in e segurança de permissões continuam na mesa.

Alerta do Examinador

Secret em Kubernetes não é cofre absoluto por padrão. Ele precisa de controle de acesso, criptografia em repouso quando configurada, rotação e gestão adequada.

Prof. Affonsinho explica, Módulo 07

37 COBIT 2019: governança e gestão de I&T

COBIT 2019, da ISACA, é framework de governança e gestão de informação e tecnologia. Ele ajuda a alinhar I&T a objetivos organizacionais, entregar valor, otimizar riscos e recursos, e estruturar componentes de governança.

Os objetivos se agrupam em domínios: EDM para Evaluate, Direct and Monitor; APO para Align, Plan and Organize; BAI para Build, Acquire and Implement; DSS para Deliver, Service and Support; MEA para Monitor, Evaluate and Assess.

A distinção central é governança versus gestão. Governança avalia necessidades, direciona prioridades e monitora desempenho. Gestão planeja, constrói, executa e monitora atividades conforme a direção definida.

Prof. Affonsinho explica, Módulo 07

38 ITIL 4: serviço, valor e práticas

ITIL 4 organiza gerenciamento de serviços com foco em cocriação de valor. Serviço é meio de possibilitar resultados desejados sem que o cliente tenha de gerenciar custos e riscos específicos sozinho.

O Service Value System integra princípios orientadores, governança, cadeia de valor de serviço, práticas e melhoria contínua. As quatro dimensões consideram organizações e pessoas, informação e tecnologia, parceiros e fornecedores, fluxos de valor e processos.

Práticas como incident management, problem management, change enablement, service desk, service level management e continual improvement aparecem em concurso porque conectam operação diária a valor e controle.

Prof. Affonsinho explica, Módulo 07

39 Projetos, produtos e contratos de TIC

Gestão de projetos organiza esforço temporário para entregar resultado. Gestão de produto olha ciclo de vida e valor contínuo. Em transformação digital, confundir projeto com produto gera sistema entregue, mas serviço abandonado.

Contratação de TIC precisa traduzir necessidade pública em objeto, requisitos, níveis de serviço, critérios de medição, segurança, privacidade, propriedade, integração, reversibilidade e fiscalização. Escopo mal definido cobra caro depois.

A Lei nº 14.133/2021 reforça planejamento, matriz de riscos quando cabível, gestão e fiscalização contratual. Em TIC, o desafio é escrever obrigação verificável: o que será entregue, como medir, quem aceita e qual evidência comprova.

Bate-papo com o Seu Teoffilo

Contrato de tecnologia não pode depender de confiança poética. Precisa de requisito mensurável, nível de serviço, registro de mudança, aceite, sanção proporcional e plano de transição.

Prof. Affonsinho explica, Módulo 07

40 Acessibilidade, interoperabilidade e plataformas públicas

Governo digital exige acessibilidade, linguagem clara, integração e foco no cidadão. eMAG orienta acessibilidade de governo eletrônico; ePING orienta padrões de interoperabilidade; gov.br centraliza identidade, serviços e relacionamento digital com o Estado.

Interoperabilidade tem dimensões técnica, semântica, organizacional e legal. Técnica conecta sistemas; semântica alinha significado; organizacional coordena processos; legal respeita competências, sigilos e proteção de dados.

Acessibilidade não é favor. É requisito de serviço público. Um sistema inacessível pode funcionar para a equipe que contratou, mas falha para o cidadão que mais precisa dele. Concurso gosta dessa virada de perspectiva.

Prof. Affonsinho explica, Módulo 07

41 Inteligência artificial no setor público

IA aparece em concursos de TI como aprendizado de máquina, mineração de dados, processamento de linguagem natural, automação, governança algorítmica e risco. O ponto não é virar pesquisador em uma aula; é saber onde IA encaixa e onde ela pode falhar.

Modelos podem sofrer viés, drift, vazamento de dados, falta de explicabilidade, baixa generalização e risco de segurança. Em serviço público, isso se agrava porque decisões podem afetar direitos, acesso a benefícios, fiscalização e prioridades administrativas.

Boa governança de IA envolve finalidade, base de dados adequada, avaliação de impacto, supervisão humana, transparência proporcional, segurança, documentação, monitoramento e canal de contestação quando houver efeito relevante sobre pessoas.

Alerta do Examinador

Automatizar decisão pública sem entender dado, finalidade, viés e explicabilidade não é inovação; é risco com interface moderna.

Prof. Affonsinho explica, Módulo 07

42 Auditoria de TI: evidência, controle e valor público

Auditoria de TI avalia governança, riscos, controles, segurança, dados, continuidade, contratações, desempenho e conformidade. Em TCU e tribunais de contas, a pergunta final é se a tecnologia entrega valor público com risco aceitável e evidência suficiente.

Evidência precisa ser suficiente, apropriada, íntegra e rastreável. Print solto raramente basta. Logs, configurações, trilhas de aprovação, relatórios, amostras, testes, entrevistas e inspeção documental compõem o conjunto probatório.

A visão madura junta COBIT, ITIL, segurança, dados, contratos e arquitetura. Se um sistema crítico não tem dono claro, métrica, backup testado, controle de acesso revisado e plano de continuidade, o problema não é só técnico: é governança.

Mapa mental

Como revisar

Se a questão parecer de sigla, traduza para risco, camada, dado, controle, serviço ou valor público. A resposta costuma aparecer aí.

O que você não pode confundir

Prof. Affonsinho fecha o mapa

Na hora da prova, pergunte: qual camada?, qual ativo?, qual risco?, qual controle?, qual evidência?. TI fica muito menos nebulosa quando você força essas cinco perguntas.

Referências essenciais

Normas e fontes oficiais

• Lei nº 13.709/2018 - Lei Geral de Proteção de Dados Pessoais.
• Lei nº 12.965/2014 - Marco Civil da Internet.
• Lei nº 14.129/2021 - Lei do Governo Digital.
• Lei nº 14.063/2020 - Assinaturas eletrônicas.
• Decreto nº 12.572/2025 - Política Nacional de Segurança da Informação.
• ENGD e EFGD 2024-2027 - estratégias de governo digital.

Frameworks e guias técnicos

• NIST CSF 2.0 - Govern, Identify, Protect, Detect, Respond e Recover.
• OWASP Top 10 2025 e OWASP API Security Top 10 2023.
• Scrum Guide 2020, COBIT 2019 e ITIL 4.
• ISO/IEC 27001 e 27002 - referências internacionais de segurança da informação.

Doutrina técnica usada como base

• Tanenbaum, Silberschatz, Kurose e Ross, Stallings, Pfleeger, Sommerville, Pressman, Fowler, Martin, Gamma et al., Evans, Bass, Clements e Kazman, Kleppmann, Newman, Nygard, Humble e Farley, Kim et al., Beyer et al., Codd, Date, Kimball e Inmon.