Desenvolvimento seguro é um requisito para construir um serv...

A alternativa correta é a C - levar em consideração a segurança no controle de versões.

Esta questão trata da importância da segurança da informação no processo de desenvolvimento de software, conforme orientações da norma ABNT NBR ISO/IEC 27002:2013. Em uma política de desenvolvimento seguro, é essencial incorporar práticas de segurança em todas as fases do ciclo de vida do software, desde a concepção até a manutenção e o descarte.

O controle de versões é um aspecto crítico na gestão de desenvolvimento de softwares, pois permite o acompanhamento de alterações feitas no código-fonte ao longo do tempo. Este processo ajuda a identificar quando e por quem uma mudança específica foi realizada, facilitando a rastreabilidade e a possibilidade de auditoria de segurança. Ao aplicar a segurança no controle de versões, as organizações podem garantir que as mudanças implementadas não introduzam vulnerabilidades e que qualquer ajuste seja feito com o devido controle e autorização.

O olhar atento à segurança no controle de versões permite a identificação e correção precoce de problemas de segurança, o que é muito mais eficaz e menos custoso do que tratar vulnerabilidades já em um software implantado. Assim, esta prática está alinhada com o princípio de segurança por design, que preconiza a integração da segurança como um componente fundamental durante o desenvolvimento e não apenas como uma camada adicional ou uma consideração tardia.

As demais alternativas são incorretas porque:

• A sugere que a segurança não é necessária na metodologia de desenvolvimento, o que é uma abordagem errada. A segurança deve ser uma preocupação desde o início do processo de desenvolvimento.
• B indica que os requisitos de segurança não devem ser considerados na fase de projeto, o que contradiz as melhores práticas de incluir considerações de segurança desde as primeiras fases do ciclo de vida do desenvolvimento.
• D propõe que a habilidade técnica dos desenvolvedores é mais importante do que a capacidade de evitar, encontrar e corrigir vulnerabilidades. No entanto, ambas são importantes e uma não deve ser valorizada em detrimento da outra.
• E afirma que o desenvolvimento de software nunca deve ser terceirizado, o que não é mencionado na norma. A terceirização é uma prática comum, desde que sejam seguidos protocolos de segurança adequados.

Portanto, a compreensão adequada das recomendações da norma ISO/IEC 27002 é crucial para adotar práticas de segurança eficazes no desenvolvimento de software, e a alternativa C reflete isso ao destacar a importância do controle de versões dentro do espectro da segurança da informação.

LETRA C.

Segundo a ISO 27002:2013,"14.2.1 Política de desenvolvimento seguroDentro de uma política de desenvolvimento seguro, convém que os seguintes aspectos sejam considerados:
a)segurança do ambiente de desenvolvimento;
b)orientações sobre a segurança no ciclo de vida do desenvolvimento do software:
      1)segurança na metodologia de desenvolvimento do software;
      2)diretrizes de códigos seguro para cada linguagem de programação usada.
c)requisitos de segurança na fase do projeto;
d)pontos de verificação de segurança no cronograma do projeto;
e)repositórios seguros;
f)segurança no controle de versões;
g)necessários conhecimentos de segurança de aplicações;
h)capacidade dos desenvolvedores de evitar, encontrar e corrigir vulnerabilidades."

Familia 2700

ISO/IEC 2700 – Sistema de Gerenciamento de Segurança – Explicação da série de normas, objetivos e vocabulários.

ISO/IEC 27001 – Sistema de Gestão de Segurança da Informação.

ISO/IEC 27002– Código de Melhores Práticas para a Gestão de Segurança da Informação.

ISO/IEC 27003 – Diretrizes para Implantação de um Sistema de Gestão da Segurança da Informação

ISO/IEC 27004 – Gerenciamento de Métricas e Relatórios para um Sistema de Gestão de Segurança da Informação.

ISO/IEC 27005 – Gestão de Riscos de Segurança da Informação.

ISO/IEC 27006 – Requisitos para auditorias externas em um Sistema de Gerenciamento de Segurança da Informação.

ISO/IEC 27007 – Referências(guidelines) para auditorias em um Sistema de Gerenciamento de Segurança da Informação.

ISO/IEC 27008 – Auditoria nos controles de um SGSI.