Davi é o coordenador de TI da empresa X e está efetuando uma prova de conceito (POC) para a computação em nuvem de alguns serviços e informações. Durante esse processo, Davi identificou alguns riscos de segurança que são específicos aos ambientes de nuvem. Dentre eles, há as questões tecnológicas partilhadas, que consistem na entrega dos serviços de forma escalável através da partilha de infraestrutura. Muitas vezes, essa infraestrutura não foi projetada para oferecer o isolamento necessário para uma arquitetura multilocatária. Algumas contramedidas que devem ser implementadas por Davi para evitar os riscos da partilha são:
- A)especificação dos requisitos de recursos humanos como parte de contrato legal e determinação dos processos de notificação de violação de segurança;
Errada, porque trata de exigências contratuais e notificação de violação, que são medidas de governança e resposta a incidentes, não contramedidas específicas para o risco técnico da partilha de infraestrutura.
- B)análise do modelo de interfaces de segurança do provedor de nuvem e compreensão da cadeia de dependência associada à API;
Errada, porque analisar interfaces de segurança e dependências de API é importante para a integração com a nuvem, mas não é a medida mais direta para mitigar o risco da falta de isolamento em ambiente multilocatário.
- C)implantação de técnicas de autenticação fortes de dois fatores, sempre que possível, e monitoramento proativo para detectar atividades não autorizadas;
Errada, porque autenticação forte ajuda, mas a alternativa foca em 2 fatores e monitoramento genérico, sem atacar tão bem o controle administrativo e operacional pedido pela questão.
- D)monitoramento do ambiente para atividades não autorizadas e a promoção de forte autenticação para o controle de acesso administrativo e de operações;
Certa, porque monitoramento de atividades não autorizadas e autenticação forte para acessos administrativos reduzem o risco de abuso em ambiente compartilhado e ajudam a detectar ações indevidas rapidamente.
- E)implementação de uma forte API de controle de acesso e encriptação e proteção da integridade dos dados em trânsito.
Errada, porque controle de acesso por API e criptografia são boas práticas, mas a alternativa não enfrenta de forma mais precisa o problema da partilha de infraestrutura e do isolamento insuficiente entre locatários.
Gabarito: D
Na computação em nuvem, um dos riscos clássicos é a multicamadas de compartilhamento de infraestrutura: vários clientes dividem recursos físicos e lógicos, e qualquer falha de isolamento pode abrir brecha para acesso indevido, vazamento ou interferência entre ambientes. É a famosa ideia de que a nuvem é muito eficiente, mas precisa de controles bem amarrados para não virar um apartamento sem parede entre os vizinhos. Por isso, as contramedidas costumam focar em monitoramento contínuo, controle de acesso forte e segregação adequada de privilégios e operações. A alternativa correta é a D porque combina dois controles muito importantes para esse cenário: monitoramento do ambiente para detectar atividades não autorizadas e forte autenticação para o controle de acesso administrativo e operacional. Em nuvem, especialmente em arquitetura multilocatária, o maior risco não é só o atacante externo, mas também o abuso de credenciais privilegiadas e movimentos laterais dentro da infraestrutura compartilhada. Logo, reforçar a autenticação e vigiar comportamentos suspeitos é uma resposta direta ao problema. Esse raciocínio é alinhado com boas práticas difundidas por referências como o NIST e com modelos de governança em nuvem que tratam controle de identidade, monitoramento e gestão de privilégios como pilares de segurança. A lógica da banca aqui é bem pragmática: se o ambiente é compartilhado, você precisa enxergar o que acontece e dificultar ao máximo o uso indevido de acessos administrativos.