Em virtude de uma nova demanda solicitada pela Defensoria Pública do Estado do Rio Grande do Sul (DPE/RS), o Departamento de Infraestrutura deverá configurar uma rede sem fio para uso pelos servidores de acordo com a política de segurança implementada. A rede poderá ser utilizada com dispositivos fornecidos pela DPE/RS ou dispositivos próprios. O Departamento de Infraestrutura implementará as diretrizes de configuração para sistemas operacionais e aplicações criadas pelo Departamento de Segurança. Um dos controles de segurança aplicados pelo Departamento de Infraestrutura para a rede sem fio da DPE/RS é:
- A)evitar o bloqueio automático em caso de não utilização do dispositivo;
Errada, porque bloquear automaticamente o dispositivo por inatividade é uma medida de segurança, e não algo a ser evitado.
- B)utilizar o recurso do autocompletar para lembrar de usuários e senhas;
Errada, porque autocompletar senhas aumenta o risco de exposição de credenciais e não é prática recomendada em ambiente corporativo.
- C)desabilitar a proteção SSL, pois a conexão não possui um nível de segurança que atende à política da DPE/RS;
Errada, pois desabilitar SSL enfraquece a proteção da comunicação; o correto é preservar a criptografia.
- D)a não alteração da configuração de dispositivos como bluetooth e câmera nos dispositivos móveis corporativos;
Errada, porque manter configurações sensíveis de Bluetooth e câmera sem controle pode ampliar riscos de vazamento e acesso indevido.
- E)implementar e impor restrições sobre quais dispositivos poderão se sincronizar e sobre o uso do armazenamento baseado na nuvem.
Certa, porque restringir dispositivos autorizados e controlar sincronização e nuvem é uma medida coerente de segurança para rede corporativa com dispositivos próprios e fornecidos.
Gabarito: E
Em redes sem fio corporativas, segurança não é só senha forte e Wi-Fi protegido. Quando a instituição permite uso de dispositivo próprio e também de equipamento fornecido, a política precisa controlar o que pode se conectar, sincronizar e até onde os dados podem parar. É aqui que entram regras de MDM, NAC e políticas de acesso, para reduzir o risco de vazamento, malware e acesso indevido. No enunciado, a DPE/RS quer uma rede usada por servidores, com diretrizes definidas pelo setor de Segurança e aplicadas pela Infraestrutura. Isso indica uma abordagem de segurança corporativa mais rígida, em que não basta “deixar conectar”. É necessário impor restrições sobre quais dispositivos podem se sincronizar e sobre o uso de armazenamento em nuvem, porque esses dois pontos são portas clássicas para extravasamento de informações sensíveis. A alternativa E está correta porque traduz exatamente esse tipo de controle: limitar dispositivos autorizados e controlar a sincronização e a nuvem. Esse é um exemplo típico de política de segurança para ambiente corporativo com mobilidade e BYOD, alinhada ao princípio do menor privilégio e à proteção da confidencialidade dos dados. Em termos práticos, a organização decide quem entra, com o quê entra e para onde os dados podem ir. As demais alternativas fazem o caminho oposto: sugerem enfraquecer a proteção, facilitar o uso indevido ou deixar o dispositivo menos seguro. Em concurso, quando a questão fala em política de segurança para rede sem fio institucional, desconfie das respostas que parecem “mais confortáveis” para o usuário, porque normalmente são as que mais assustam o setor de segurança.