Provas

Na simétrica, a mesma chave secreta é compartilhada por ao menos duas partes. Qualquer uma delas poderia ter gerado a mensagem, por isso não há como provar a autoria e, portanto, não há não repúdio. Este exige assinatura digital com par de chaves assimétrico.

Na criptografia assimétrica, as chaves pública e privada formam um par matematicamente relacionado, como no RSA, em que a segurança se baseia na dificuldade de fatorar o produto de primos grandes. Não são 'sequenciais', e a garantia não é essa.

O JWT é apenas um formato de token com declarações (claims). Ele pode ser usado em autenticação e autorização, mas isso depende da validação da assinatura, da expiração e das políticas da aplicação. O uso do JWT não implica automaticamente ambas em toda sessão.

O OAuth 2.0 é um framework de autorização baseado em tokens de acesso. Como os tokens bearer não são protegidos por si só, a RFC 6749 exige TLS nos endpoints e na transmissão dos tokens.

A IDOR acontece quando a aplicação expõe um identificador interno de objeto e não verifica se o usuário autenticado tem permissão para acessá-lo. O item afirma que ela valida a autorização, o que contradiz o conceito.

Com SQL Injection, o atacante pode manipular consultas, por exemplo com ' OR '1'='1, para burlar o login. Em alguns SGBDs, recursos como xp_cmdshell ou INTO OUTFILE permitem executar comandos no servidor.

O certificado atesta o vínculo entre a identidade e a chave pública, assinado por uma AC. A chave privada pode ser comprometida sem que o certificado tenha sido revogado ou tenha expirado, e a revogação depende de comunicação e verificação (LCR/OCSP).

O fluxo clássico calcula o hash do conteúdo e o assina com a chave privada do signatário. O verificador recalcula o hash e valida a assinatura com a chave pública. O item redige de forma imprecisa (a chave privada assina o hash, não o conteúdo diretamente), mas o fluxo descrito é o clássico e o gabarito o considera certo.

O HIPS é instalado no próprio host e monitora o sistema operacional ou a aplicação, inspecionando chamadas de sistema, processos, memória e arquivos. Ele busca ataques conhecidos por assinaturas, podendo também usar heurísticas.

Para bloquear ataques, o IPS precisa ficar no caminho do tráfego (modo inline), podendo descartar pacotes maliciosos. Quem fica fora do caminho, em modo passivo, é o IDS, que apenas detecta e alerta.

No COBIT 2019, o sistema de governança dinâmico significa que, quando um fator de design muda, o impacto no sistema deve ser considerado e o design revisto. Isso se alinha ao papel de direção e monitoramento da ISO/IEC 38500 (Avaliar, Dirigir e Monitorar) para manter a TI responsiva ao negócio.

O RTO é o tempo máximo aceitável para restaurar o serviço após a interrupção. O RPO é o ponto no tempo até o qual os dados devem ser recuperáveis, ou seja, a perda máxima tolerável de dados. O item atribui ao RPO a definição de RTO e restringe o RTO à integridade dos dados, o que está incorreto.

O Scrum organiza o trabalho em Sprints de duração fixa. O Kanban não prescreve iterações: visualiza o fluxo, limita o trabalho em progresso (WIP) e expõe gargalos, evitando sobrecarga.

No BSC, as quatro perspectivas (financeira, clientes, processos internos, aprendizado e crescimento) desdobram a estratégia em objetivos, indicadores, metas e iniciativas. Todas exigem métricas quantificáveis, e não apenas a financeira.

No PMBOK, o caminho crítico é a sequência de atividades que determina a menor duração possível do projeto, e suas atividades têm folga total zero (ou mínima). Qualquer atraso nelas atrasa a data final. O item inverte o conceito ao atribuir a ele a maior folga.

A ISO 31000 descreve o tratamento de riscos como processo iterativo de selecionar opções, avaliar o risco residual e decidir se é aceitável. As opções incluem evitar o risco, remover a fonte, compartilhar ou reter por decisão fundamentada, em linha com o apetite ao risco, conceito também presente no COSO.

No ITIL 4, a cadeia de valor de serviço é o elemento central do SVS, com seis atividades (planejar, melhorar, engajar, desenhar e fazer a transição, obter/construir e entregar e suportar), que se combinam em diversas sequências, formando fluxos de valor. Não há sequência linear obrigatória.

No SISP, o PDTIC é o instrumento de diagnóstico, planejamento e gestão dos recursos e processos de TIC, e deve estar alinhado à estratégia da organização, ou seja, ao PEI. A assertiva está correta.

Em BPMN 2.0, o fluxo de mensagem representa troca de mensagens entre participantes distintos (pools diferentes) e não pode conectar elementos dentro de uma mesma pool, incluindo suas raias. Dentro da mesma pool usa-se o fluxo de sequência. Portanto, afirmar que pode ligar objetos na mesma raia está errado.

Na governança, o compliance vai além da lei e engloba políticas internas, normas técnicas e compromissos contratuais, o que exige monitoramento contínuo e auditoria para verificar a conformidade. A assertiva está correta.