Um analista de TI da Hemobrás foi encarregado de revisar a política de controle de acesso lógico da empresa. Durante essa análise, ele identificou que diversos usuários possuíam permissões de acesso irrestritas a sistemas críticos, sem qualquer revisão periódica. Além disso, alguns ex-funcionários ainda tinham credenciais ativas nos sistemas internos, mesmo após o desligamento da organização. Com base nas boas práticas de controle de acesso lógico, qual das medidas a seguir relacionadas deve ser priorizada para mitigar os riscos associados a esse cenário?
- A)Permitir que funcionários solicitem aumento de privilégios conforme necessidade operacional, sem necessidade de avaliação prévia.
Errada, porque aumento de privilégio sem avaliação prévia viola o princípio do menor privilégio e amplia o risco de uso indevido.
- B)Manter todas as contas de usuários ativas indefinidamente, pois a revogação pode causar impacto na continuidade das operações.
Errada, pois manter contas ativas indefinidamente é uma falha grave de segurança e ainda facilita acesso não autorizado por ex-funcionários.
- C)Estabelecer um processo formal de revisão periódica dos acessos, garantindo que apenas usuários autorizados mantenham permissões ativas.
Certa, porque a revisão periódica de acessos garante que apenas usuários autorizados mantenham permissões ativas e ajuda a remover excessos e contas esquecidas.
- D)Definir que o gerenciamento de contas de usuário seja feito manualmente pelos gestores de cada setor, sem necessidade de um controle centralizado de TI.
Errada, porque o controle de acessos deve ser centralizado e formalizado, não disperso em decisões manuais sem governança de TI.
Gabarito: C
Em controle de acesso lógico, a ideia central é simples: cada pessoa deve ter apenas o acesso necessário para fazer seu trabalho, no momento em que precisa e pelo tempo certo. Isso conversa diretamente com os princípios do menor privilégio e da necessidade de saber. Se alguém está com permissão excessiva, o risco sobe junto, porque qualquer erro, abuso ou invasão ganha mais espaço para causar estrago. No cenário da questão, há dois alertas clássicos: usuários com acessos irrestritos sem revisão e ex-funcionários ainda com credenciais ativas. Isso mostra falha de governança de acessos e falha no ciclo de vida das identidades, ou seja, a empresa não está revisando nem removendo acessos como deveria. Em política de segurança, isso é receita pronta para incidente. Por isso, a medida que deve ser priorizada é um processo formal de revisão periódica dos acessos, para validar quem realmente precisa continuar com aquelas permissões. Essa prática ajuda a detectar privilégios acumulados, acessos indevidos e contas esquecidas, reduzindo a superfície de ataque. Também se alinha às boas práticas de gestão de identidades e acessos, muito cobradas em concursos. No caso de ex-funcionários, o correto é revogar credenciais imediatamente após o desligamento, com controle documentado. Em normas e boas práticas como a ISO/IEC 27002 e em referenciais de governança, essa revisão e remoção de acessos é tratada como medida básica de segurança. Sem isso, a organização fica com portas abertas que nem ela lembra mais que existem.