A organização internacional OWASP (Open Web Application Security Project) é focada em segurança de aplicações para web. Dentre os OWASP Top 10 Riscos de Segurança de Aplicações Web apresentados no ranking provisório de 2025, destacam-se: A01:2025 - Broken Access Control; A02:2025 - Security Misconfiguration; A03:2025 - Software Supply Chain Failures; e, A04:2025 - Cryptographic Failures. Destaca-se que a versão vigente é o OWASP Top Ten 2021, na qual verificamos dentre as primeiras posições os riscos de A01 Broken Access Control e A05 Security Misconfiguration.
Como demonstrado, o Broken Access Control figura com um importante risco de segurança de aplicações para web e significa que deve ser estabelecida uma política de

O certificado digital é um documento eletrônico que identifica uma pessoa, uma empresa, um site ou um servidor. Este documento é emitido por uma Autoridade Certificadora, que é a entidade responsável por emitir, distribuir, renovar, revogar e gerenciar os certificados digitais.
Com relação ao uso de certificados digitais, analise os itens a seguir:

I. No Brasil o modelo adotado é o de certificação com raiz única, sendo que o Instituto Nacional de Tecnologia da Informação (ITI), além de desempenhar o papel de Autoridade Certificadora Raiz (AC-Raiz) também tem a função de credenciar e descredenciar os demais participantes da cadeia, supervisionar e auditar os processos.
II. A Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil) é uma cadeia hierárquica de confiança que viabiliza a emissão de certificados digitais para a identificação virtual, sendo que um certificado emitido por qualquer autoridade certificadora ICPBrasil deva funcionar em qualquer sistema, inclusive nos sites e serviços de entidades de organização profissional.
III. No âmbito da ICP-Brasil é necessário um certificado digital, dos tipos diferentes A1 ou A3, emitido por uma autoridade certificadora credenciada junto à ICP-Brasil, com prazo indeterminado de validade após iniciar seu prazo de criação do certificado digital, para que determinado documento digital seja validado.

Está correto o que se afirma em

Considerando os três tipos de assinatura eletrônica (Simples, Avançada e Qualificada), conforme a Lei nº 14.063/2020, identifique adequadamente o tipo de assinatura digital com sua característica:

Um servidor da ALEGO foi solicitado a colocar a assinatura digital em um documento. Ele procurou o setor de TI para responder a algumas dúvidas sobre o adequado manejo de documentos com assinatura digital.
Com relação ao uso de assinaturas digitais, analise os itens a seguir:

I. Em um documento PDF uma assinatura digital colocada em local diferente do local esperado não é válida, pois o selo deveria aparecer adequadamente no local da assinatura esperado.
II. A boa prática aponta que documentos assinados digitalmente quando impressos diretamente perdem a(s) assinatura(s), no entanto, sua validade impressa pode ser mantida quando enviados digitalmente ao cartório oficial onde o documento será validado digitalmente, depois impresso e será reconhecido o documento como válido.
III. A data que aparece no “selo” (representação visual) das assinaturas em um documento PDF corresponde a prova final e tem valor legal.

Está correto o que se afirma em

A criptografia de dados é controlada por algoritmos e fórmulas matemáticas (razoavelmente) complicadas.
Considere que um parlamentar da ALEGO recebeu um texto cifrado, levou a você (profissional de T I) e o informou que o algoritmo Caeser Cipher foi utilizado para codificar o texto. O parlamentar solicitou sua colaboração para apresentar outras alternativas de criptografia simples, empregando apenas cifras de substituição.

Como alternativas que garantem a segurança real, podem ser sugeridas as seguintes cifras, exceto uma. Assinale-a.

A Criptografia de chave simétrica (ou, criptografia de chave privada, ou criptografia de chave secreta ou Symmetric Key Encryption ou Symmetric-key cryptography) usa apenas uma chave no processo de criptografia e descriptografia. Existem dois tipos de algoritmos de chave simétrica: Cifra de bloco e Cifra de fluxo. Exemplos de criptografia simétrica correspondem aos algoritmos

A disponibilidade é um dos elementos críticos no contexto da segurança da informação.

Em relação às características do conceito de disponibilidade, avalie as afirmativas a seguir e assinale (V) para a verdadeira e (F) para a falsa.

( ) Oportunidade, significa que as informações estarão disponíveis quando necessário.
( ) Continuidade, significa que os usuários conseguem continuar trabalhando no caso da ocorrência de falhas.
( ) Versatilidade, significa que todos os usuários trabalhem nos sistemas apesar da ocorrência de falhas

As afirmativas são, respectivamente,

Padilha é um analista que precisa implementar o controle organizacional denominado “Contato com grupos de interesse específico” presente na norma ISO/IEC 27002:2022. Através desse controle a organização deve estabelecer e manter contato com grupos de interesse específico ou outros fóruns especializados em segurança e associações profissionais.

Considerando a ISO/IEC 27002:2022, o atributo do domínio de segurança deste controle a ser implementado pelo analista se denomina

Fábio e Carlos são analistas de infraestrutura, eles precisam aprimorar a gestão da segurança da informação na ALEGO e decidiram adotar o Cybersecurity Framework (CSF), versão 2.0, do NIST (National Institute of Standards and Technology). O framework está estruturado em torno de funções para gerenciar riscos de segurança cibernética.

As funções elencadas no CSF são denominadas por

Segundo o relatório OWASP Top10:2021, os ataques do tipo injeção (A03:2021 - Injection), ocupam a terceira posição na lista. Analise as alternativas a seguir.

I. Para evitar injeções, é necessário manter os dados separados dos comandos e das consultas. A opção preferencial é usar APIs seguras, que evitam o uso do interpretador de comandos por completo, fornecendo uma interface parametrizada ou migração para ferramentas de mapeamento objeto-relacional (ORMs).
II. Recomenda-se a validação positiva de entrada no servidor. Isso por si só não é uma defesa completa, pois muitos aplicativos exigem caracteres especiais, como áreas de texto ou APIs para aplicativos móveis.
III. Para quaisquer consultas SQL estáticas ou dinâmica não se recomenda a utilização de caracteres de escape junto o interpretador de comandos devido às questões de compatibilidade entre sistemas heterogêneos recomenda-se apenas os caracteres literais.

Está correto o que se afirma em