Questão FC407067
A área de segurança do TJMS utilizou uma ferramenta automatizada para procurar vulnerabilidades nos ativos de rede do Tribunal. A ferramenta gerou um relatório que foi entregue par
Gestão da Segurança da Informação
FGV · 2024
A área de segurança do TJMS utilizou uma ferramenta automatizada para procurar vulnerabilidades nos ativos de rede do Tribunal. A ferramenta gerou um relatório que foi entregue para a área de infraestrutura e redes. Esta, após analisar o teor do relatório, agradeceu a atitude proativa da área de segurança, mas decidiu não adotar nenhuma ação, no momento, por estar atuando em outras atividades prioritárias.
A decisão da área de infraestrutura e redes estaria correta se as vulnerabilidades registradas:
- estivessem presentes na avaliação e testes de segurança (ATS) realizados durante o processo de avaliação de riscos e ressurgissem;
- representassem zero day, razão pela qual não precisariam ser tratados com prioridade;
- representassem uma falha de configuração crítica que a equipe repararia assim que possível;
- representassem falsos positivos em decorrência de uma configuração requerida por seu ambiente;
- representassem propriedades extrínsecas do ativo, razão pela qual não precisariam ser consideradas.
Mostrar resposta e comentário
Gabarito
D
Comentário do professor
A decisão seria correta se as vulnerabilidades fossem falsos positivos gerados por uma configuração requerida do ambiente, ou seja, alertas do scanner que não representam um risco real no contexto operacional.
Ferramentas automatizadas identificam assinaturas e comportamentos genéricos; em ambientes com ajustes legítimos isso pode disparar resultados errôneos. Nesses casos é imprescindível a validação humana e o reteste direcionado.
Após comprovar o falso positivo, a não intervenção é aceitável desde que haja documentação técnica que registre a evidência, a justificativa da configuração e o responsável pela decisão.
Deve ainda constar o aceite de risco, a implementação de controles compensatórios quando necessário e o estabelecimento de monitoramento contínuo para reavaliar a situação.
Assim, a simples recusa em agir só é correta quando baseada em análise técnica robusta e em governança adequada do risco.
Conteúdo do catálogo FC Concursos · Atualizado em