Provas

O cenário mostra iniciativas pontuais, sem integração. A 27001 resolve isso ao estabelecer um sistema de gestão com política formal, comprometimento da liderança, papéis e responsabilidades definidos e processo sistemático de avaliação e tratamento de riscos, de caráter preventivo.

A norma exige que a alta direção estabeleça a política de SI e que o planejamento inclua processo de avaliação e tratamento de riscos, que fundamenta a seleção coerente de controles. Isso integra governança, gestão de riscos e controles, suprindo as lacunas do cenário (sem diretrizes formais, responsabilidades e análise de riscos).

A ISO 27001 se baseia na melhoria contínua: monitoramento, análise crítica, auditoria interna e ajustes do SGSI diante de mudanças nos riscos e no contexto. Por isso a realização periódica de avaliações e ajustes é prática necessária à efetividade.

Pela ISO 27001:2013 (5.2), a política deve ser apropriada ao propósito da organização, fornecer a estrutura para os objetivos de SI, comprometer-se com os requisitos aplicáveis e com a melhoria contínua, além de atribuir responsabilidades e ser comunicada. Portanto, diretrizes gerais alinhadas aos objetivos e responsabilidades definidas caracterizam uma política adequada.

A ISO 27001 exige política de segurança aprovada pela direção (I), avaliação e tratamento de riscos com controles documentados (II) e gestão de incidentes (III), o que também atende à LGPD, que exige medidas de segurança e comunicação de incidentes. O item IV é incorreto: criptografia usada de forma isolada, sem monitoramento nem revisão, contraria o ciclo de melhoria contínua do SGSI.

O JWT é um token assinado emitido após a autenticação inicial, que acompanha as requisições e permite ao servidor validar identidade e atributos (claims) sem nova autenticação, de forma stateless.

O OpenID Connect é a camada de identidade que autentica o usuário e viabiliza o SSO. O OAuth 2.0 é o framework de delegação de autorização para acesso a recursos. O JWT é o formato de token compacto usado para transportar as informações de identidade (claims). A ordem pedida é, portanto, OpenID Connect, OAuth 2.0 e JWT.

OAuth 2.0 permite delegar acesso sem expor a senha. OpenID Connect, construído sobre ele, padroniza autenticação e SSO com ID token em JWT. Um provedor de identidade central pode aplicar 2FA no login, atendendo aos três requisitos em conjunto.

Para o gabarito oficial, as combinações descritas caracterizam 2FA, e o JWT assinado apenas transporta identidade e claims depois que a autenticação ocorreu, sem substituir os fatores. Observe que, tecnicamente, o par dos servidores é conhecimento e posse, e o dos cidadãos é inerência e conhecimento; a alternativa é considerada correta por afirmar 2FA nos dois casos e o papel pós-autenticação do JWT.

Enviar comandos SQL em um campo sem validação, alterando registros, é SQL injection. Refletir a entrada do usuário no HTML sem filtragem, com execução de scripts no navegador, é cross-site scripting (XSS) refletido. A alternativa E associa corretamente cada falha.

Com o certificado digital, que vincula a chave pública a uma pessoa ou entidade, a assinatura digital garante a autoria do remetente (autenticidade, com não repúdio) e a integridade do conteúdo desde a emissão.

Phishing é a técnica de engenharia social que usa mensagens fraudulentas para induzir a vítima a acessar um site falso e fornecer dados, como credenciais. O cenário descreve exatamente isso.

O ataque distribuído de negação de serviço (DDoS) usa muitos dispositivos comprometidos, como uma botnet, para sobrecarregar o alvo e tornar o serviço indisponível, o que corresponde ao cenário descrito.

Na criptografia assimétrica, a mensagem cifrada com a chave pública do destinatário só pode ser decifrada pela chave privada correspondente, que só ele possui, o que garante a confidencialidade.

No handshake do TLS, algoritmos assimétricos (como RSA, ECDSA e ECDH) autenticam as partes e viabilizam a troca segura de chaves. Depois, a sessão usa algoritmos simétricos (como AES) para cifrar o tráfego, por serem mais rápidos. Funções de hash, com HMAC ou AEAD, garantem a integridade das mensagens.

O art. 5º, II, da LGPD define dado pessoal sensível como dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.

A LGPD garante ao titular, entre os direitos do art. 18, a correção de dados incompletos, inexatos ou desatualizados, a qualquer momento e mediante requisição ao controlador.

Na ISO 27005, a avaliação de riscos (risk evaluation) compara os níveis de risco estimados com os critérios de avaliação e de aceitação, a partir da lista de riscos com níveis designados, e define prioridades para o tratamento. A estimativa apenas atribui os valores.

A alteração de um identificador na URL para acessar objeto de outro usuário, sem validação de autorização, é o caso clássico de referência direta insegura a objetos (IDOR). No OWASP Top 10, isso está na categoria Broken Access Control.

A análise estática (Static Application Security Testing) inspeciona código-fonte, bytecode ou binário em busca de vulnerabilidades sem executar a aplicação, sendo aplicada cedo no ciclo de desenvolvimento. É diferente do DAST, que testa a aplicação em execução.