Questão pública

Questão de Tecnologia da Informação

FCC - SEFAZ SP - Auditor Fiscal da Fazenda Estadual - Área: Tecnologia da Informação Conhecimentos Específicos - 2026 • FCC • 2026

ID 179675 Tecnologia da Informação Controle de acesso obrigatório e baseado em papéis FCC Secretaria da Fazenda do Estado de São Paulo Auditor Fiscal da Fazenda Estadual - Área: Tecnologia da Informação 2026

Um órgão fazendário federal mantém uma API para que empresas consultem pendências tributárias. A equipe de segurança identificou que o backend reutiliza o mesmo token de acesso OAuth2 por até 24 horas, sem rotação, com permissões amplas e sem validação de escopo em relação ao que o cliente solicitou. Um atacante que obtenha esse token consegue consultar dados de múltiplos contribuintes. Nesse cenário, considerando o OWASP Top 10:2021, a ação que corrige diretamente as falhas de controle de acesso e de sessão descritas é

Implementar assinatura digital do payload JSON (JWS) em todas as respostas da API de consulta tributária.

reduzir o tempo de vida dos tokens , implementar rotação periódica e validar rigorosamente os escopos permitidos para cada cliente.

exigir TLS 1.3 em todas as conexões com a API para garantir criptografia ponta a ponta.

aplicar compressão dos payload para minimizar o volume de dados sensíveis trafegando na API e reduzir o tempo de vida do token pela metade.

incluir um CAPTCHA na interface de envio de consultas para dificultar o abuso automatizado da API e aumentar a segurança.

Quer responder esta questão e acompanhar seu desempenho?

Entre na QuestLab para responder, acessar a AURA, estatísticas, cadernos, anotações e outros recursos da plataforma.

Criar conta para responder Já tenho uma conta

Questão de Tecnologia da Informação

Mais questões de Tecnologia da Informação › Controle de acesso obrigatório e baseado em papéis