De acordo com a NBR ISO/IEC 27002, a possibilidade de introdução de códigos não autorizados ou modificações acidentais em ambiente operacional produtivo pode ser evitada por meio de
- A)separação dos ambientes de desenvolvimento, testes e produção.
Certa: a segregação entre desenvolvimento, testes e produção reduz o risco de inserção indevida de código e de alterações acidentais no ambiente produtivo.
- B)utilização obrigatória de sistemas antimalware.
Errada: antimalware ajuda na proteção, mas não resolve o problema de controle de mudanças entre ambientes nem impede falhas de implantação.
- C)política formal para proibir o uso de software não autorizado.
Errada: política de software não autorizado é medida geral de controle, mas não é a solução específica para evitar mudanças acidentais em produção.
- D)gerenciamento para redução de vulnerabilidades.
Errada: gerenciamento de vulnerabilidades é importante, porém atua em riscos conhecidos do sistema, não na separação e controle entre ambientes.
- E)preparação de planos de continuidade de negócios.
Errada: plano de continuidade trata de resposta a interrupções e desastres, não da prevenção de inclusão indevida de código em produção.
Gabarito: A
A ISO/IEC 27002 trata de controles práticos para proteger a informação no dia a dia da organização. Quando o assunto é ambiente operacional produtivo, a ideia central é evitar que alterações em teste ou desenvolvimento “escapem” para a produção sem controle, porque isso pode inserir código não autorizado ou gerar mudanças acidentais que derrubam sistemas, criam falhas e até abrem brechas de segurança. Por isso, a medida clássica é separar os ambientes de desenvolvimento, testes e produção. Cada um deve ter finalidade própria, acessos distintos e procedimentos controlados de passagem de código. Assim, o que está em teste não mistura com o que está em funcionamento real, reduzindo muito o risco de erro humano e de inserção indevida de software. Essa lógica é totalmente alinhada à família de controles da norma sobre desenvolvimento e suporte às operações, especialmente a ideia de segregação de ambientes e controle de mudanças. Em prova, quando aparecer a expressão "ambiente operacional produtivo", pense logo em disciplina de mudanças, segregação e rastreabilidade, não em solução mágica de antivírus ou plano de continuidade. Então, o gabarito está na alternativa A porque a separação entre desenvolvimento, testes e produção é justamente o mecanismo que evita que código não autorizado ou alterações acidentais cheguem ao ambiente produtivo.