Em relação a controles de segurança em uma organização, assinale o requisito aderente a uma arquitetura de zero trust.
- A)Os acessos concedidos devem ser registrados e revisados em intervalo mínimo de seis meses.
Errada, porque revisar acessos periodicamente é um controle administrativo genérico e não expressa a lógica central de zero trust.
- B)As comunicações de maior criticidade devem ser identificadas, para que seja implementada a proteção na comunicação exclusivamente dessa rede objetivando melhor eficiência.
Errada, porque zero trust não protege apenas uma rede crítica e ignora o resto; ele exige verificação e proteção em todo acesso.
- C)Os acessos a recursos empresariais individuais devem ser feitos com o mínimo de privilégios e concedidos por sessão.
Certa, porque zero trust exige menor privilégio e concessão de acesso por sessão, com validação contínua.
- D)Os privilégios de acesso a recursos podem ser feitos com base em modelos previamente definidos ou replicados das permissões de outros usuários já existentes.
Errada, porque replicar permissões ou usar modelos pré-definidos sem análise do contexto contraria o princípio do menor privilégio.
Gabarito: C
Zero trust é a lógica do "não confie por padrão". Em vez de presumir que quem está dentro da rede pode tudo, a organização valida continuamente identidades, contexto e necessidade de acesso antes de liberar qualquer recurso. A ideia é simples: cada pedido de acesso deve ser tratado como se viesse de um ambiente potencialmente hostil. Nessa arquitetura, o acesso costuma seguir o princípio do menor privilégio e ser concedido no formato mais restrito possível, muitas vezes por sessão e com revalidação constante. Isso reduz o estrago caso uma credencial seja roubada ou um dispositivo seja comprometido. Em prova, sempre desconfie de alternativas que falem em confiança implícita, privilégios amplos ou replicação automática de permissões. O gabarito está na alternativa C porque ela descreve exatamente essa lógica: acesso a recursos empresariais individuais com o mínimo de privilégios e concedidos por sessão. Isso é bem alinhado aos princípios difundidos pelo modelo zero trust, como segmentação, verificação contínua e acesso just-in-time/just-enough-access. As outras opções fogem da filosofia zero trust. Revisão semestral pode até ser um controle administrativo útil, mas não define esse modelo. Proteger só uma rede mais crítica também vai na contramão, porque zero trust não depende de confiar no restante do ambiente. E copiar permissões de outros usuários é o tipo de comodidade que o zero trust não curte.