Questão 62 — Segurança da Informação e LGPD (Segurança da Informação) — Cebraspe · Secretaria de Estado do Meio Ambiente do Amazonas (SEMA/AM) 2026

Segurança da Informação Segurança da Informação e LGPD

Cebraspe 2026 Superior

Secretaria de Estado do Meio Ambiente do Amazonas (SEMA/AM) · Técnico de Nível Superior – Especialidade: Análise de Redes

Gabarito disponível

No âmbito de um processo de auditoria de sistemas e compliance digital, verificou-se que uma organização implementou, com sucesso, controles de criptografia assimétrica, mecanismos de MFA (multi-factor authentication) e processos de CSIRT (computer security incident response team). Contudo, a análise do fluxo de dados revelou que o dataset processado para fins de marketing direto incluía metadados de geolocalização e histórico de saúde dos titulares, sem que tais dados fossem essenciais para a execução do serviço proposto.
À luz da literatura especializada de Sêmola e da Lei Geral de Proteção de Dados (LGPD), é correto concluir que, na situação hipotética precedente, a dicotomia entre a eficácia dos controles e a governança dos dados revela que

Selecione uma alternativa A) o cenário caracteriza um incidente de segurança positivo, em que a abundância de dados coletados visa à resiliência do negócio. B) a organização atingiu a segurança formal, mas incorre em desvio de finalidade por inobservância ao princípio da necessidade. C) a implementação de criptografia e gestão de incidentes invalida a hipótese de violação à privacidade, pois os dados estão protegidos contra terceiros. D) a organização apresenta um alto nível de maturidade em segurança, o que supre as lacunas éticas do tratamento de dados. E) existe uma falha na integridade (pilar da segurança), uma vez que o dado está sendo tratado para propósito diverso da sua finalidade original.

Resolução comentada

Controles técnicos eficazes não suprem o desvio de finalidade por violação do princípio da necessidade da LGPD.

A organização tem segurança formal (criptografia, MFA, CSIRT), mas trata dados de geolocalização e saúde, sendo este último dado sensível, que não são essenciais ao marketing direto. Isso viola o princípio da necessidade (art. 6º, III, LGPD), que limita o tratamento ao mínimo necessário, e o da finalidade.

Análise das alternativas

A) Não existe incidente positivo, e a coleta excessiva não gera resiliência. C) Proteção contra terceiros não elimina violação de privacidade por tratamento indevido. D) Maturidade técnica não supre a lacuna de conformidade ética e legal. E) O problema é de necessidade e finalidade, não de integridade como pilar da segurança.

Referência: Lei 13.709/2018 (LGPD), art. 6º, I e III; Sêmola

Resolução comentada do VaiConcursos.