Paulo está implementando a norma ABNT NBR ISO/IEC 27002:2013 em sua empresa. Essa norma fornece diretrizes para práticas de gestão de Segurança da Informação e normas de Segurança da Informação para as organizações e não determina o que deve ser feito, e sim o que convém que seja feito. De forma a garantir a operação segura e correta dos recursos de processamento da informação, podem ser implementados quatro controles. Um desses controles é a separação dos ambientes de desenvolvimento, teste e produção. Uma das recomendações a ser seguida por Paulo para atender à norma nesse controle é que:
- A)os testes não sejam realizados nos sistemas operacionais, exceto em circunstâncias excepcionais;
Correta: a norma recomenda que testes não sejam feitos em sistemas operacionais, salvo circunstâncias excepcionais.
- B)os dados sensíveis sejam enviados para o ambiente de teste para ter uma melhor veracidade quanto aos erros;
Errada: dados sensíveis não devem ser levados ao ambiente de teste sem forte proteção, pois isso aumenta o risco de exposição.
- C)os perfis dos usuários em ambientes de teste e produção devem ser os mesmos de forma a garantir a interoperabilidade;
Errada: os perfis de usuários não precisam ser os mesmos; a segregação e o controle de acesso devem ser preservados.
- D)as mudanças nas aplicações e nos sistemas operacionais sejam testadas em um ambiente de teste e produção simultaneamente;
Errada: mudanças não devem ser testadas simultaneamente em teste e produção, porque isso compromete a separação e a segurança.
- E)compiladores, editores e outras ferramentas de desenvolvimento sejam completamente acessíveis aos sistemas operacionais.
Errada: ferramentas de desenvolvimento não devem ficar completamente acessíveis aos sistemas operacionais de produção.
Gabarito: A
A ISO/IEC 27002:2013 traz boas práticas para Segurança da Informação, e a ideia central aqui é simples: cada ambiente tem sua função e não deve virar uma mistura confusa de laboratório com sala de audiência. Em desenvolvimento você experimenta; em teste você valida; em produção você entrega para o usuário final. Se tudo se mistura, o risco de erro, vazamento e parada do serviço sobe bastante. Dentro do controle de segregação de ambientes, a norma recomenda que testes não sejam feitos diretamente em sistemas operacionais de produção, salvo situações excepcionais e bem justificadas. Isso evita que uma falha de teste derrube um sistema em funcionamento ou corrompa dados reais. É exatamente o espírito da ISO 27002: reduzir risco com separação e disciplina operacional. Por isso, o gabarito é a alternativa A. Ela reflete a boa prática de não testar em ambiente operacional normal, preservando a estabilidade e a segurança do ambiente de produção. Em provas, a banca costuma cobrar essa lógica de isolamento: ambiente de teste não é atalho para produção, e produção não é campo de experimento. Como base doutrinária, a ISO 27002 orienta controles de operação segura dos recursos de processamento da informação, especialmente na separação entre desenvolvimento, teste e produção. Não é uma regra para "proibir tudo", mas para exigir cautela, segregação e exceções raras e justificadas.