Uma instituição financeira de grande porte está reestruturando seu programa de segurança da informação para atender aos requisitos da norma ABNT NBR ISO/IEC 27001:2022 e às melhores práticas de gestão de identidades e acessos (IAM). Durante uma auditoria interna, foram identificadas as seguintes situações:
- I. As chaves criptográficas utilizadas para assinatura digital de transações financeiras são armazenadas em um módulo de segurança de hardware (HSM) validado FIPS 140-2 Nível 3, com backups exportados em texto claro para um servidor de arquivos comum, visando agilizar a recuperação em caso de falha.
- II. O processo de provisionamento de contas de usuário é realizado manualmente pela equipe de TI, com base em solicitações por e-mail, e as contas de administradores de sistemas possuem senhas compartilhadas entre os membros da equipe para garantir continuidade operacional.
- III. A autenticação multifator (MFA) foi implementada para acesso remoto à rede corporativa, utilizando como segundo fator um código enviado por SMS ao telefone celular cadastrado do usuário.
- IV. Os segredos de aplicação (API keys, tokens de acesso) são armazenados em um cofre de segredos (secrets vault) com controle de acesso baseado em funções (RBAC), rotação automática a cada 90 dias e registro de auditoria de todos os acessos.
Considerando as boas práticas de gestão de chaves e segredos, os princípios de IAM e os controles de segurança física e lógica, assinale a alternativa que apresenta apenas as situações que configuram não conformidades ou vulnerabilidades significativas.
