Questões de Segurança da Informação CESPE/CEBRASPE: comentadas e grátis

Resposta correta: C

A ISO/IEC 27001:2013 trata a segurança da informação como algo que precisa ser pensado de forma prática, e não só no papel. Quando a instalação de processamento de informação é crítica, faz sentido que ela fique em uma área segura, com controles físicos proporcionais ao risco identificado. É aquela lógica básica de proteção: quanto maior o impacto de uma falha, maior deve ser o cuidado com o ambiente onde os ativos estão guardados e processados. Na norma, isso aparece no conjunto de controles físicos e de segurança de ambientes, especialmente na ideia de que áreas seguras devem ser protegidas contra acesso não autorizado, danos e interferências. Além disso, a organização precisa avaliar riscos e escolher controles compatíveis com esses riscos, o que combina exatamente com a frase do item. Repare que a norma não exige uma receita única para todo mundo. Ela pede adequação ao contexto e aos riscos previamente identificados. Então, se o ambiente é crítico, a medida de mantê-lo em área segura é uma aplicação bem coerente da ISO 27001. Por isso o gabarito é C. O enunciado está alinhado ao espírito da norma e aos controles de segurança física da NBR ISO/IEC 27001:2013, que tratam da proteção de áreas e instalações conforme o risco.

Resposta correta: A

O WireGuard é uma VPN moderna e enxuta, pensada para ser simples, rápida e segura. Em vez de trazer uma “lista gigante” de algoritmos antigos, ele trabalha de forma padronizada com um conjunto mais restrito e atual de primitivas criptográficas. Isso ajuda tanto na segurança quanto na manutenção do código, já que menos opções costuma significar menos chance de erro. Por isso a banca gosta de perguntar quais algoritmos ele suporta nativamente. No caso do WireGuard, a combinação cobrada é CHACHA20 para cifra e BLAKE2 para hash. Na prática, ele usa principalmente CHACHA20-POLY1305 para criptografia autenticada e BLAKE2s em etapas de autenticação e derivação. É uma solução muito associada a desempenho bom em vários dispositivos, inclusive em hardware sem aceleração para AES, o que explica sua popularidade. A alternativa A está correta porque reúne justamente esses algoritmos modernos e nativos do WireGuard. Já as demais trazem algoritmos mais antigos ou fora do conjunto padrão da solução. Em provas de Segurança da Informação, isso é bem comum: a banca troca algoritmos “da moda” por algoritmos clássicos para ver se você sabe distinguir VPN moderna de criptografia legada. Como referência doutrinária, a documentação oficial do WireGuard descreve seu conjunto criptográfico padronizado, com CHACHA20-POLY1305 e BLAKE2s entre os componentes centrais. Então, aqui não tem mistério: a questão quer saber quais algoritmos o WireGuard realmente adota por padrão, e não o que “parece seguro” por intuição.

Resposta correta: E

Em segurança da informação, vale lembrar a tríade clássica: confidencialidade, integridade e disponibilidade. Cada ameaça costuma atingir um desses pilares com mais força, e a CESPE gosta justamente de trocar esses conceitos para ver se voce escorrega no básico. Falha de disco, em regra, compromete a disponibilidade do sistema, porque os dados e serviços podem ficar inacessíveis. Se houver corrupção de dados, pode haver reflexo na integridade, mas isso não é a consequência principal e automática da falha. O mesmo raciocínio vale para ataques de negação de serviço (DoS): eles buscam tirar o serviço do ar ou degradar seu funcionamento, atingindo a disponibilidade. Por isso, a frase da questão erra ao afirmar que falha de disco ou DoS violam a integridade. O núcleo desses eventos é a indisponibilidade, não a alteração indevida do conteúdo. Em prova, pense assim: integridade é manter a informação correta e íntegra; disponibilidade é manter o acesso quando necessário. Então, o gabarito é E porque a banca misturou conceitos. Se voce separar bem disponibilidade de integridade, essa armadilha fica bem mais fácil de matar.

Resposta correta: C

Um rootkit é um tipo de malware feito para se esconder e dar controle furtivo ao atacante, muitas vezes alterando o sistema para dificultar a detecção. O problema é que, quando ele já está ativo, você não está lidando só com um arquivo malicioso isolado: o próprio sistema pode ter sido profundamente comprometido. Por isso, em prova e na prática, a resposta de maior prioridade costuma ser tratar o computador como confiávelmente contaminado. A medida mais segura é formatar a máquina e reinstalar o sistema operacional do zero, porque assim você elimina a persistência do malware e reduz o risco de ele permanecer escondido em áreas críticas. Claro que, em ambiente profissional, pode haver investigação forense antes da reinstalação, ou procedimentos complementares de contenção e troca de senhas. Mas, do ponto de vista de proteção imediata, a ideia central é simples: se o rootkit está ativo, confiar numa limpeza superficial é apostar contra o próprio sistema. Então o gabarito está correto porque, diante de um rootkit ativo, a solução técnica mais segura e prioritária é a reinstalação completa do sistema operacional a partir do zero.

Resposta correta: E

Ter antimalware ajuda muito, mas não faz milagre. Ele funciona como uma camada de defesa: detecta, bloqueia e remove ameaças conhecidas ou suspeitas, especialmente quando está atualizado e configurado corretamente. Só que segurança digital é um conjunto de hábitos e controles, não um botão mágico de "proteção total". A assertiva está errada porque ela promete garantia absoluta. Isso não existe em segurança da informação. Se você abre frequentemente arquivos recebidos em mensagens, aumenta bastante o risco de infecção, principalmente por phishing, anexos maliciosos e engenharia social. E, se o sistema operacional e os programas não são atualizados, você deixa passar falhas conhecidas que malware pode explorar com facilidade. Ou seja: antimalware sem atualização do sistema e com usuário descuidado perde muita força. Atualizações corrigem vulnerabilidades, e boas práticas do usuário reduzem a chance de execução de código malicioso. Em segurança, a defesa é em camadas, não em promessa de imunidade. Por isso o item é errado. A doutrina de segurança da informação é bem consistente em afirmar que nenhum mecanismo isolado garante proteção total; a efetividade depende da combinação de ferramentas, políticas, atualização e comportamento seguro do usuário.

Resposta correta: E

Na criptografia, a regra de ouro é simples: chaves simétricas costumam ser muito mais rápidas, enquanto chaves assimétricas são mais pesadas e lentas para processar grandes volumes de dados. Isso acontece porque a criptografia assimétrica usa um par de chaves e operações matemáticas bem mais complexas, o que aumenta o custo computacional. Já a simétrica usa a mesma chave para cifrar e decifrar, então ela é a favorita quando o objetivo é desempenho. Por isso, quando a questão diz que chaves assimétricas são uma opção mais rápida que as simétricas para garantir a confidencialidade em grandes volumes, ela erra feio. Na prática, a assimétrica é muito útil para troca segura de chaves, assinatura digital e certificação digital, mas não para cifrar grandes massas de dados com rapidez. O gabarito é E porque há inversão de conceito: a assimétrica não supera a simétrica em velocidade para confidencialidade de dados. Em prova, lembre da lógica do mundo real: se o arquivo é grande, quem entra em cena é a criptografia simétrica; a assimétrica fica mais confortável nos bastidores, especialmente na troca de chaves e na infraestrutura de certificação digital.

Resposta correta: C

Autenticação de dois fatores, ou 2FA, é aquela lógica de "duas trancas" para entrar na conta: além da senha, você precisa provar a identidade por outro meio. A ideia é combinar fatores diferentes, como algo que voce sabe (senha), algo que voce tem (celular, token) ou algo que voce é (biometria). Na prática, isso pode ocorrer de várias formas. Um código de verificação pode ser enviado por email, SMS ou até gerado por um aplicativo autenticador no celular, como Google Authenticator, Microsoft Authenticator e similares. O importante é que haja um segundo fator além da senha, aumentando a segurança contra invasões por credenciais vazadas. Por isso, o item está certo: tanto o envio do código por email quanto a geração por app autenticador são meios usuais de implementar autenticação de dois fatores. O email, sozinho, não é o cenário mais forte do mundo, mas ainda pode funcionar como segundo fator em muitos sistemas, dependendo da política adotada. Em provas, a banca costuma cobrar o conceito, não a ferramenta específica. Então, se aparecer a lógica "senha + outro código/confirmador em canal diferente", desconfie menos do enunciado: isso costuma ser exatamente a definição prática de 2FA.

Resposta correta: C

Quando o assunto é backup, pense em duas perguntas simples: quem pode ver os dados e o que acontece se a cópia falhar. Se a informação é confidencial, a cópia de segurança também precisa ser tratada como informação sensível, então a criptografia é uma medida básica para evitar acesso indevido. Não adianta proteger o sistema principal e deixar o backup “largado” como se fosse arquivo qualquer. Além disso, backup bom não é só fazer a cópia e esquecer. Ele precisa ser testado periodicamente para verificar se a restauração realmente funciona, porque backup que não restaura é só esperança em disco. Isso vale tanto para a integridade quanto para a disponibilidade da informação. Guardar mídias em local remoto também é uma prática clássica de continuidade de negócios e recuperação de desastres. A ideia é proteger os dados contra incêndio, roubo, enchente, falha física e outros incidentes que afetem o ambiente principal. Por isso, o item está certo: em cenários de confidencialidade, as cópias de segurança devem ser criptografadas, testadas regularmente e armazenadas em local remoto. Essa orientação é coerente com boas práticas de segurança da informação, como as da família ISO/IEC 27001 e 27002, que tratam backup, proteção de mídia e continuidade.

Resposta correta: E

Na ICP-Brasil, o elemento que funciona como a identidade virtual de uma pessoa física ou jurídica é o certificado digital. Ele serve para identificar o titular de forma segura e inequívoca nos meios eletrônicos, como se fosse uma "carteira de identidade" no mundo digital. Em termos práticos, ele permite assinar documentos, acessar sistemas e validar a autoria de transações com presunção de autenticidade e integridade. A base legal está na MP 2.200-2/2001, que instituiu a ICP-Brasil e deu sustentação jurídica ao uso de certificados digitais no país. Por isso, quando a questão fala em "identificação segura e inequívoca do autor de uma mensagem ou transação", ela está descrevendo justamente a função do certificado digital. Não é a assinatura em si que representa a identidade, mas o certificado que vincula uma chave pública a uma pessoa ou entidade confiável. Pense assim: a assinatura eletrônica é o ato; o certificado digital é a credencial que dá suporte a esse ato. Sem o certificado, você até pode ter uma assinatura eletrônica, mas perde a robustez de identificação típica da ICP-Brasil. É a diferença entre "assinar" e "provar quem assinou". Por isso, o gabarito correto é o item E.

Resposta correta: C

Quando a organização implanta um SGSI, ela não começa escolhendo controles no chute. Primeiro, ela identifica riscos, avalia o que pode acontecer e decide como tratar esses riscos. Só depois disso é que faz sentido selecionar os controles de segurança que vão responder aos perigos encontrados. É exatamente a lógica da gestão de segurança da informação: risco primeiro, controle depois. Na prática, isso vem bem alinhado com a família ISO/IEC 27001 e 27002, que tratam o SGSI como um processo orientado por riscos. A organização deve definir objetivos de controle e escolher medidas que atendam aos requisitos levantados na análise e na avaliação de riscos, além do tratamento de riscos. Em outras palavras: os controles não são decorativos, eles precisam servir ao problema real que foi identificado. Por isso o item está certo. Ao dizer que, ao estabelecer o SGSI, a organização deve selecionar e implementar objetivos de controle para atender aos requisitos identificados durante a análise, avaliação e tratamento de riscos, o enunciado está descrevendo justamente a lógica exigida por um SGSI bem estruturado. Sem essa etapa, a empresa até pode ter muitos controles, mas não necessariamente os controles certos. Se quiser guardar a ideia em uma frase: SGSI bom é aquele que conversa com o risco. Primeiro você descobre onde está a vulnerabilidade, depois escolhe a proteção adequada. Segurança sem análise de risco vira só improviso com crachá bonito.