Princípios, gestão de riscos e de incidentes, classificação da informação

Do zero

Segurança da informação é proteger três coisas sobre um dado: só quem pode vê, ninguém altera sem querer ou de má-fé e ele está lá quando se precisa. São a confidencialidade, a integridade e a disponibilidade, o famoso trio CID. A elas se somam a autenticidade (o dado vem mesmo de quem diz) e o não repúdio (quem fez não consegue negar).

Pense na sua casa. A vulnerabilidade é a janela sem trava. A ameaça é o ladrão que passa na rua. O risco é a chance de o ladrão usar a janela, combinada com o estrago que ele faria. Você pode trancar a janela (reduzir), contratar um seguro (transferir), mudar de casa (evitar) ou decidir que não vale a pena e conviver com isso (aceitar). Isso é gestão de riscos.

Quando o ladrão entra mesmo, começa a gestão de incidentes: perceber, conter o estrago, limpar, voltar ao normal e aprender. E classificar a informação é decidir, antes de tudo, o que guardar na gaveta trancada e o que pode ficar na mesa da sala.

Frase para guardar: CID mais autenticidade e não repúdio; risco é ameaça explorando vulnerabilidade, medido por probabilidade e impacto.

Em 1 minuto

• Confidencialidade: acesso só a quem é autorizado. Integridade: sem alteração indevida. Disponibilidade: acessível quando necessário. Autenticidade: origem verdadeira. Não repúdio (irretratabilidade): o autor não pode negar.
• Ativo é o que tem valor; vulnerabilidade é a fraqueza; ameaça é a causa potencial de dano; risco combina probabilidade e impacto; incidente é o evento que de fato afetou a segurança.
• Tratamento do risco: reduzir (mitigar), transferir (compartilhar), evitar ou aceitar (reter). O que sobra é o risco residual.
• Incidente, ciclo clássico: preparação; detecção e análise; contenção, erradicação e recuperação; lições aprendidas.
• Classificação: o dono (proprietário) da informação define o nível; o custodiante guarda e aplica os controles.

Exemplo concreto: controles por princípio

Um estudo de caso de TI da FCC (TRT-15, 2023) pediu duas técnicas, de categorias diferentes, para cada princípio. Um quadro que responde a isso:

Comparação: ameaça, vulnerabilidade e risco

Gestão de vulnerabilidades é o ciclo contínuo de inventariar os ativos, varrer em busca de falhas, priorizar (por exemplo, pela nota CVSS e pela exposição do ativo), corrigir e verificar a correção.

Gestão de incidentes

O ciclo clássico de resposta a incidentes, da publicação NIST SP 800-61 (revisão 2), tem quatro fases:

1. Preparação: equipe de resposta (CSIRT ou ETIR), contatos, ferramentas e procedimentos prontos.
2. Detecção e análise: perceber o evento (alertas, logs, relato de usuário), confirmar que é incidente e avaliar a gravidade.
3. Contenção, erradicação e recuperação: isolar a máquina afetada da rede, remover a causa (malware, conta comprometida) e restaurar o serviço a partir de backup confiável.
4. Atividade pós-incidente: lições aprendidas e melhoria dos controles.

A revisão 3 da SP 800-61, de 2025, passou a organizar a resposta pelas funções do NIST Cybersecurity Framework 2.0 [CONFERIR: o texto da SP 800-61r3 ainda não está em fontes/]. Na prova, o ciclo de quatro fases continua sendo o mais cobrado.

Classificação da informação

Classificar é atribuir à informação um nível de proteção conforme o dano que a sua divulgação causaria. A organização define os níveis (por exemplo: pública, interna, restrita e confidencial) e o que cada um exige: quem acessa, como se guarda, como se descarta.

• O proprietário da informação (a área dona do processo) classifica e revisa a classificação.
• O custodiante (geralmente a TI) aplica os controles definidos para cada nível.
• A informação recebe um rótulo visível, para que todos saibam como tratá-la.

No setor público, a Lei de Acesso à Informação (Lei nº 12.527/2011) classifica informações sigilosas como ultrassecreta, secreta e reservada, com prazos máximos de restrição de 25, 15 e 5 anos [CONFERIR: art. 24 da Lei nº 12.527/2011; o texto ainda não está em fontes/].

Como a FCC cobra

• Diferença entre ameaça, vulnerabilidade, risco e incidente.
• Opções de tratamento do risco (seguro é transferir; desligar o serviço é evitar).
• Fase do ciclo de resposta a que pertence uma ação (isolar a máquina é contenção).
• Papéis na classificação (proprietário × custodiante).

Pegadinhas

Explique com suas palavras

Explique a um colega a diferença entre vulnerabilidade, ameaça e risco usando um exemplo do seu dia a dia, e diga as quatro formas de tratar um risco.

1. Escreva sem olhar a lição, com frases curtas e um exemplo seu.
2. Onde travar ou precisar de jargão, há uma lacuna: releia só essa parte.
3. Compare com a explicação-modelo e reescreva o que faltou.

Sua explicação

Fica salva neste navegador.

Comparar com uma explicação-modelo

Vulnerabilidade é uma fraqueza: o celular sem senha de bloqueio. Ameaça é quem ou o que pode se aproveitar disso: alguém que pega o celular esquecido na mesa. Risco é a combinação da chance de isso acontecer com o tamanho do estrago: alta chance num lugar cheio de gente, e estrago grande se o celular tiver o aplicativo do banco.

Dá para tratar o risco de quatro jeitos: reduzir (colocar senha e biometria), transferir (fazer seguro do aparelho), evitar (não instalar o aplicativo do banco) ou aceitar (conviver com o risco, se ele for pequeno e a proteção custar mais do que vale).

Teste-se

Mais duas questões deste tópico estão em Questões.

Flashcards gerados

Ligação com o estudo de caso

É o tema de um estudo de caso real da FCC: “cite duas técnicas, de categorias diferentes, para cada princípio”. Treine o quadro de controles por princípio até escrevê-lo de memória. Num caso de ransomware, organize a resposta pelas fases do incidente: conter (isolar), erradicar, recuperar do backup e registrar as lições.

Fontes da lição

• Edital nº 01/2026, Anexo II, Segurança da Informação (fontes/edital-01-2026.txt).
• Guia do site, seção “O estudo de caso” (docs/guia.md): o estudo de caso do TRT-15 sobre técnicas por princípio.
• NIST SP 800-61 Rev. 2, Computer Security Incident Handling Guide (ciclo de resposta a incidentes).
• Lei nº 12.527/2011, Lei de Acesso à Informação [CONFERIR: texto ainda não está em fontes/].