Questão 111 — DevSecOps, Certificados Digitais e HTTPS (Segurança da Informação) — Cebraspe · Secretaria de Estado da Fazenda de Sergipe (SEFAZ/SE) 2025

Segurança da Informação DevSecOps, Certificados Digitais e HTTPS

Cebraspe 2025 Superior

Secretaria de Estado da Fazenda de Sergipe (SEFAZ/SE) · Auditor Fiscal Tributário

Gabarito disponível

No contexto da gestão de tecnologia da informação, a adoção de práticas de DevSecOps, aliada ao uso de certificados digitais no padrão X.509 e à implementação de protocolos HTTPS, contribui para o fortalecimento da segurança em ambientes corporativos. Uma estratégia que integra esses três elementos de forma eficaz consiste em

Selecione uma alternativa A) adotar certificados digitais no padrão X.509 apenas para autenticação de usuários, sem aplicá-los na proteção de serviços e APIs corporativas. B) automatizar a validação de certificados digitais em pipelines de integração contínua, de modo a garantir que os serviços web utilizem HTTPS com certificados válidos e confiáveis. C) utilizar certificados autoassinados em ambientes de produção, desde que estejam armazenados em repositórios seguros e protegidos por autenticação multifator. D) configurar o protocolo HTTPS apenas nas interfaces públicas da aplicação, mantendo-se as comunicações internas em HTTP para reduzir a sobrecarga de criptografia. E) implementar DevSecOps com foco exclusivo em testes de vulnerabilidade de código, sem considerar aspectos de criptografia ou autenticação digital.

Resolução comentada

Automatizar a validação de certificados em pipelines de CI integra DevSecOps, X.509 e HTTPS.

A opção B une os três elementos: o DevSecOps automatiza controles de segurança no pipeline, valida certificados X.509 e assegura que os serviços usem HTTPS com certificados válidos e confiáveis.

Análise das alternativas

A: restringir X.509 à autenticação de usuários deixa serviços e APIs desprotegidos. C: certificados autoassinados em produção não são confiáveis por terceiros e são má prática. D: comunicações internas também devem ser cifradas (princípio zero trust). E: DevSecOps abrange mais que testes de código, incluindo criptografia e autenticação.

Referência: Boas práticas de DevSecOps; RFC 5280 (X.509).

Resolução comentada do VaiConcursos.