Questões Comentadas de Segurança da Informação para Concursos 2026

Desvendando a Segurança da Informação: Questões Comentadas para Concursos 2026

A Segurança da Informação é, sem dúvida, um dos temas mais recorrentes e cruciais nos concursos públicos brasileiros contemporâneos. Com a crescente digitalização dos serviços governamentais e a constante evolução das ameaças cibernéticas, o domínio desses conceitos é um diferencial competitivo para qualquer candidato. Para você que busca a aprovação, não basta apenas ler a teoria; é fundamental praticar com questões e entender o raciocínio por trás das respostas.

Pensando nisso, o Concursa+ preparou este artigo especial com questões comentadas de Segurança da Informação, com foco nas abordagens comuns de bancas como a FGV. Analisaremos cada ponto, desvendando armadilhas e fornecendo dicas valiosas para que você não apenas memorize, mas realmente compreenda a matéria. Prepare-se para aprofundar seus conhecimentos e otimizar sua preparação!

Questão 1: Os Pilares da Segurança e a Confiabilidade

Para começar, vamos a um conceito fundamental que muitas vezes gera dúvidas. As bancas adoram testar a distinção entre os pilares da segurança da informação. Veja esta questão:

Questão (Estilo FGV): No universo da Segurança da Informação, a "confiabilidade" de um sistema ou processo pode ser adequadamente caracterizada como:

1. A) A garantia de que a informação não será acessada por usuários não autorizados.
2. B) A certeza de que a informação permanecerá inalterada e exata.
3. C) A disponibilidade ininterrupta dos recursos e dados para usuários legítimos.
4. D) A habilidade de um sistema ou processo em executar suas funções de forma consistente e correta ao longo do tempo.
5. E) A verificação da identidade de um usuário ou entidade.

Resposta Correta: D

Raciocínio Detalhado:

A Segurança da Informação é frequentemente resumida pelos seus pilares: Confidencialidade, Integridade e Disponibilidade (CID). No entanto, outros conceitos como Autenticidade, Irrefutabilidade e, notavelmente, a Confiabilidade, também são essenciais e aparecem com frequência.

• Opção A (Confidencialidade): Esta descreve a garantia de que a informação só será acessada por quem tem permissão. É um pilar fundamental, mas não define confiabilidade.
• Opção B (Integridade): Esta se refere à proteção da informação contra modificação não autorizada e à garantia de que ela é precisa e completa. Também um pilar crucial, mas não sinônimo de confiabilidade.
• Opção C (Disponibilidade): Esta assegura que os sistemas e os dados estarão acessíveis quando necessário. Outro pilar essencial, mas distinto da confiabilidade.
• Opção D (Confiabilidade): Esta é a definição mais precisa. A confiabilidade de um sistema está ligada à sua capacidade de operar sem falhas, entregando os resultados esperados de maneira consistente e previsível. Em um contexto de segurança, um sistema confiável é aquele que não apresenta bugs ou vulnerabilidades que comprometam sua operação ou a segurança dos dados. É a garantia de que ele fará o que deve fazer, quando deve fazer, e da maneira correta.
• Opção E (Autenticidade): Esta se refere à verificação da identidade de um usuário, sistema ou processo. É um conceito importante, mas não define confiabilidade.

Armadilhas Comuns e Dicas de Estudo:

• Confusão de Termos: A principal armadilha aqui é confundir "confiabilidade" com "integridade" ou "disponibilidade". Lembre-se que a confiabilidade é mais abrangente, focando na operação consistente e correta do sistema como um todo, enquanto integridade foca nos dados e disponibilidade no acesso.
• Foco na Operação: Pense na confiabilidade como a "performance robusta" do sistema. Ele não apenas está disponível, mas está operando corretamente e sem erros.
• Dica de Estudo: Crie um glossário com os principais termos da Segurança da Informação. Pratique associando cada termo à sua definição exata e a exemplos práticos. Entender os pilares da segurança (CID) e os conceitos adjacentes (autenticidade, irrefutabilidade, confiabilidade) é a base para gabaritar muitas questões.

Questão 2: Identificando Vulnerabilidades em Sistemas Computacionais

Conhecer as vulnerabilidades é o primeiro passo para mitigá-las. As bancas frequentemente abordam exemplos práticos de falhas de segurança.

Questão (Estilo FGV): Qual das seguintes situações representa uma vulnerabilidade comum e significativa em sistemas computacionais, capaz de ser explorada por atacantes para comprometer a segurança da informação?

1. A) Utilização de senhas fracas ou previsíveis por parte dos usuários.
2. B) Implementação de criptografia forte em comunicações de rede.
3. C) Atualização regular de sistemas operacionais e aplicativos.
4. D) Segmentação de rede para isolar sistemas críticos.
5. E) Uso de autenticação de dois fatores (MFA).

Resposta Correta: A

Raciocínio Detalhado:

Uma vulnerabilidade é uma fraqueza que pode ser explorada por uma ameaça para causar dano a um ativo. A questão pede uma vulnerabilidade comum e significativa.

• Opção A (Utilização de senhas fracas ou previsíveis): Esta é uma das vulnerabilidades mais antigas e persistentes. Senhas como "123456", "senha", "admin" ou datas de aniversário são facilmente adivinhadas ou quebradas por ataques de força bruta ou dicionário. É uma porta de entrada para acessos não autorizados e, consequentemente, para o comprometimento da confidencialidade, integridade e disponibilidade.
• Opção B (Implementação de criptografia forte): A criptografia é uma medida de segurança, não uma vulnerabilidade. Ela protege a confidencialidade e integridade dos dados.
• Opção C (Atualização regular de sistemas): As atualizações (patches) corrigem vulnerabilidades conhecidas. A falta de atualização seria uma vulnerabilidade, mas a atualização em si é uma boa prática de segurança.
• Opção D (Segmentação de rede): Esta é uma estratégia de segurança para limitar a propagação de ataques, criando barreiras entre diferentes partes da rede. É uma medida de proteção, não uma vulnerabilidade.
• Opção E (Uso de autenticação de dois fatores - MFA): MFA adiciona uma camada extra de segurança, dificultando o acesso não autorizado mesmo que a senha seja comprometida. É uma medida de segurança robusta.

Armadilhas Comuns e Dicas de Estudo:

• Confundir Medida de Segurança com Vulnerabilidade: A banca pode listar diversas boas práticas de segurança junto com uma vulnerabilidade para confundir o candidato. Analise cada opção pensando se ela representa uma fraqueza (vulnerabilidade) ou uma proteção.
• Foco em Aspectos Humanos: Muitas vulnerabilidades são de natureza técnica (falha de software), mas um grande número tem origem em falhas humanas, como o uso de senhas fracas, engenharia social ou erros de configuração. Esteja atento a ambos os tipos.
• Dica de Estudo: Estude os tipos mais comuns de vulnerabilidades (OWASP Top 10, CWE) e as boas práticas para mitigá-las. Entenda a diferença entre ameaça, vulnerabilidade e risco.

Questão 3: Proteção de Redes de Computadores e Segmentação

A arquitetura de redes é um ponto crítico para a segurança. A segmentação é uma técnica amplamente utilizada e frequentemente cobrada.

Questão (Estilo FGV): Em relação às estratégias de proteção de redes de computadores, qual das seguintes afirmações sobre a segmentação de rede é verdadeira e reflete uma boa prática de segurança?

1. A) A segmentação de rede tem como objetivo principal unificar todas as máquinas em um único domínio para facilitar a administração.
2. B) A prática de segmentar redes desnecessariamente aumenta a exposição a ataques externos.
3. C) A segmentação de rede é uma técnica eficaz para limitar o raio de ação de um ataque, minimizando seu impacto em caso de violação.
4. D) Para a segmentação ser eficaz, é recomendado que todas as VLANs tenham a mesma política de segurança.
5. E) Firewalls não são essenciais em redes segmentadas, pois a própria segmentação oferece proteção suficiente.

Resposta Correta: C

Raciocínio Detalhado:

A segmentação de rede é uma técnica fundamental para criar um ambiente mais seguro, dividindo uma rede grande em partes menores e isoladas.

• Opção A (Unificar máquinas): Esta é a afirmação oposta ao conceito de segmentação. A segmentação visa dividir, não unificar, para isolar riscos.
• Opção B (Aumenta exposição): Pelo contrário, a segmentação visa reduzir a exposição e limitar a superfície de ataque, criando barreiras.
• Opção C (Limitar o raio de ação de um ataque): Esta é a principal vantagem da segmentação. Se uma parte da rede for comprometida (por exemplo, a rede de visitantes), a segmentação impede que o ataque se propague facilmente para outras áreas críticas (como a rede de servidores ou de dados sensíveis). Isso é conhecido como "defesa em profundidade" ou "micro-segmentação".
• Opção D (Mesma política de segurança): Para ser eficaz, a segmentação implica em políticas de segurança diferentes para cada segmento, com base nas necessidades e riscos específicos daquele grupo de sistemas ou usuários. Ter a mesma política anularia parte do benefício da segmentação.
• Opção E (Firewalls não essenciais): Firewalls são cruciais em redes segmentadas. Eles são usados para controlar o tráfego entre os segmentos, aplicando as políticas de segurança e funcionando como as barreiras que a segmentação estabelece. A segmentação por si só não é uma substituição para o firewall, mas uma complementação.

Armadilhas Comuns e Dicas de Estudo:

• Inversão de Conceitos: A banca pode tentar inverter o propósito da segmentação, como na opção A. Fique atento aos termos-chave.
• Foco na Função: Entenda que a segmentação cria "zonas de confiança" diferentes. Uma violação em uma zona de baixa confiança não deve facilmente comprometer uma zona de alta confiança.
• Dica de Estudo: Estude as diferentes ferramentas e técnicas de segurança de rede: firewalls (tipos, regras), VPNs, IDS/IPS, VLANs, DMZ. Compreenda como a segmentação se integra a um modelo de defesa em profundidade.

Questão 4: Gestão de Riscos e a NBR ISO 31000:2018

A gestão de riscos é um pilar da governança de TI e da segurança da informação. Normas como a NBR ISO 31000 são referências importantes e frequentemente abordadas.

Questão (Estilo FGV): De acordo com a NBR ISO 31000:2018, que estabelece princípios e diretrizes para a gestão de riscos, o que caracteriza primordialmente um "risco"?

1. A) Um evento negativo que certamente ocorrerá, causando dano.
2. B) O efeito da incerteza nos objetivos, podendo ter desdobramentos positivos ou negativos.
3. C) A probabilidade de uma ameaça explorar uma vulnerabilidade.
4. D) A fraqueza inerente a um sistema que pode ser explorada.
5. E) Uma medida de segurança implementada para mitigar ameaças.

Resposta Correta: B

Raciocínio Detalhado:

A NBR ISO 31000:2018 é uma norma internacional que fornece diretrizes para a gestão de riscos, aplicável a qualquer tipo de organização. Sua definição de risco é crucial.

• Opção A (Evento negativo que certamente ocorrerá): Esta afirmação está errada por duas razões: risco envolve incerteza (não certeza) e não se limita a eventos negativos.
• Opção B (O efeito da incerteza nos objetivos, podendo ter desdobramentos positivos ou negativos): Esta é a definição exata de risco conforme a NBR ISO 31000:2018. A norma enfatiza que o risco não é apenas negativo (uma ameaça), mas também pode ter resultados positivos (uma oportunidade). O ponto central é a "incerteza" sobre o impacto nos objetivos da organização.
• Opção C (Probabilidade de uma ameaça explorar uma vulnerabilidade): Esta é uma parte da análise de risco, especificamente focando na probabilidade de uma ameaça se concretizar, mas não é a definição abrangente de risco pela ISO 31000, que foca no "efeito da incerteza nos objetivos".
• Opção D (Fraqueza inerente a um sistema): Esta é a definição de vulnerabilidade.
• Opção E (Medida de segurança): Esta é a definição de um controle ou contramedida.

Armadilhas Comuns e Dicas de Estudo:

• Visão Limitada de Risco: A principal armadilha é pensar em risco apenas como algo negativo. A ISO 31000 amplia o conceito para incluir tanto ameaças quanto oportunidades, sempre ligado à incerteza e aos objetivos.
• Confusão com Componentes do Risco: Não confunda risco com seus componentes: ameaça (o que pode acontecer), vulnerabilidade (a fraqueza), e impacto (a consequência). Risco é a combinação desses elementos, mas a definição da norma é mais abstrata e focada na incerteza.
• Dica de Estudo: memorize a definição de risco da NBR ISO 31000:2018. Entenda o ciclo de gestão de riscos (identificação, análise, avaliação, tratamento, monitoramento e revisão). Procure por outras normas importantes como a NBR ISO/IEC 27001 e 27002, que se relacionam diretamente com a segurança da informação e a gestão de riscos.

Questão 5: Classificação de Impactos em Segurança da Informação

Quando um incidente de segurança ocorre, é crucial entender suas consequências. A classificação do impacto é uma etapa essencial na avaliação de riscos.

Questão (Estilo FGV): Em um cenário de Segurança da Informação, como o impacto de um incidente ou ameaça materializada é comumente classificado para facilitar a avaliação de riscos e a priorização de ações de mitigação?

1. A) Técnico, Programático e Administrativo.
2. B) Físico, Lógico e Ambiental.
3. C) Prevenção, Detecção e Correção.
4. D) Financeiro, Reputacional e Operacional.
5. E) Interno, Externo e Misto.

Resposta Correta: D

Raciocínio Detalhado:

A classificação do impacto ajuda as organizações a quantificar e qualificar as consequências de um evento de segurança, permitindo uma tomada de decisão mais eficaz sobre como gerenciar o risco.

• Opção A (Técnico, Programático e Administrativo): Embora sejam categorias de controles ou aspectos de gestão de TI, não são as classificações padrão de impacto de um incidente de segurança.
• Opção B (Físico, Lógico e Ambiental): São tipos de segurança (física, lógica) ou aspectos de um ambiente, mas não as categorias de impacto de um incidente.
• Opção C (Prevenção, Detecção e Correção): São fases ou tipos de controles de segurança (controles preventivos, detectivos, corretivos), não classificações de impacto.
• Opção D (Financeiro, Reputacional e Operacional): Estas são as classificações mais amplamente aceitas e utilizadas para categorizar o impacto de um incidente de segurança.
  • Financeiro: Perdas diretas (roubo de dinheiro, multas, custos de recuperação) e indiretas (perda de vendas, aumento de seguros).
  • Reputacional: Dano à imagem da organização, perda de confiança dos clientes, parceiros e do público.
  • Operacional: Interrupção de serviços, perda de produtividade, atrasos, falha na entrega de produtos/serviços, comprometimento da continuidade dos negócios.
• Opção E (Interno, Externo e Misto): Estas poderiam ser classificações da origem de uma ameaça ou do tipo de auditoria, mas não do impacto.

Armadilhas Comuns e Dicas de Estudo:

• Confusão com Outras Categorizações: A banca pode listar diversas formas de classificar controles, tipos de segurança ou fases de um processo para confundir o candidato. Foque na consequência direta para a organização.
• Pensamento Holístico: Lembre-se que o impacto vai além do técnico. Um vazamento de dados, por exemplo, não é apenas um problema técnico; ele gera perdas financeiras (multas, custos de mitigação), reputacionais (perda de clientes) e operacionais (paralisação para investigação).
• Dica de Estudo: Ao estudar gestão de riscos, dedique tempo para entender como o impacto é avaliado. Relacione cada tipo de impacto com exemplos práticos de incidentes de segurança. Isso solidificará seu conhecimento e sua capacidade de identificá-los em questões.

Conclusão: Rumo à Aprovação com Segurança da Informação

A Segurança da Informação é uma área dinâmica e de suma importância. Dominar seus conceitos, entender as definições precisas e saber como as bancas elaboram suas questões é um passo decisivo para a sua aprovação. As questões que analisamos hoje, embora no estilo FGV, representam o tipo de desafio que você enfrentará em qualquer concurso.

Continue praticando, revisando a teoria e, principalmente, compreendendo o raciocínio por trás de cada alternativa. O Concursa+ está aqui para te auxiliar nessa jornada, oferecendo ferramentas e conteúdo de qualidade, com inteligência artificial, para que sua preparação seja completa e eficiente. Mantenha-se atualizado, pois a segurança da informação é um campo em constante evolução, e os editais refletem essa realidade. Bons estudos e sucesso na sua jornada rumo ao serviço público!