Questão 1190293

• Banca: FGV
• Órgão: DPE-RJ
• Ano: 2014
• Provas: FGV - 2014 - DPE-RJ - Técnico Superior Especializado - Desenvolvimento de Sistemas
• Disciplina: Segurança da Informação
• Assuntos: Análise de Vulnerabilidade e Gestão de Riscos

Considere que uma equipe esteja trabalhando num software web com severas restrições de segurança. Além dos desenvolvedores e analistas, essa equipe conta com profissionais especialistas em segurança que têm, entre outras atribuições, a responsabilidade de realizar a revisão dos códigos a fim de evitar vulnerabilidades. Se durante a etapa de desenvolvimento um revisor da equipe de segurança detectar uma vulnerabilidade, é sua responsabilidade.

• A. corrigir a vulnerabilidade contatando os desenvolvedores que programaram o trecho de código vulnerável.
  
• B. separar a vulnerabilidade e alertar a equipe de segurança para que o problema seja resolvido.
  
• C. separar a vulnerabilidade tratando o código com erro como mais um problema que requer correção.
  
• D. isolar o problema e solicitar que a equipe de desenvolvimento corrija a vulnerabilidade imediatamente.
  
• E. corrigir o problema e relatar a vulnerabilidade à equipe de segurança.

Gabarito: B

Comentários

• "As responsabilidades de um revisor de código são encerradas com a confirmação de que há uma vulnerabilidade de código e de que essa foi adequadamente separada. A partir desse momento, o bug deve ser considerado simplesmente outro problema que requer correção."
  
  http://msdn.microsoft.com/pt-br/magazine/cc163312.aspx
  
  Alguém encontrou referência para essa questão em outro lugar?
  

• Gostaria muito de saber qual a bibliografia usada para essa questão. Tem cada conceito que sabe-se lá de onde vem.

• Fonte: Arial

• Fonte: Times New Roman

• Se está em fase de desenvolvimento, pode-se alertar a equipe de segurança. Mas o alerta à equipe de segurança não vincula à solução do problema. Pois quem resolve o problema é a equipe de desenvolvimento.

  Então a equipe de segurança poderia, no máximo alertar a equipe de desenvolvimento, pois caso contrário seriam desenvolvedores e não revisores.

  Lembrando que é uma boa prática de segurança a separação entre os papéis de desenvolvimento e revisão, para evitar vícios nos testes e revisão, deixando-os passar despecebidos.

  Resposta incoerente.