Fórum de discussão

Estou fazendo os simulados e fiquei com dúvidas em duas questões:

Questão 22: Ela pergunta quem é o responsável pela classificação do nível de sensibilidade do documento

Eu até pensei em marcar o "o proprietário do documento ", porém lendo marquei o "usuário do documento", pois lendo a questão 26, entendi que nem sempre o proprietário da informação é a pessoa mais adequada para classificá-la. Sendo esta a pessoa que a manipula, interage com ela e sabe o nível de sensibilidade dela.

Pode fazer um nexo de conceitos entre estas duas questões (22 e 26), por favor?

Questão 29: A questão fala em identificação, autenticação e autorização.

Por favor, me corrija se eu estiver errado, mas eu entendi da seguinte forma:

1 - Identificação: Tornar a identidade da pessoa conhecida, pública. Aqui ela apresenta o usuário e token,

2 - Autenticação: Verificar se a pessoa é quem diz ser. Aqui o usuário e token são verificados.

3 - Autorização: Estando a pessoa devidamente identificada e autenticada, verifica-se quais recursos ela tem direito de acesso, ou seja, ela é autorizada.

A questão pergunta o conceito de autenticação!

Porém, na minha visão, a resposta correta no simulado está em desacordo com os conceitos pois ela abrange tanto os conceitos de autenticação - quando diz que "..determina se o token é autêntico"; e autorização - quando diz "...e quais recursos o usuário pode acessar.".

Ou seja, a resposta agregou os conceitos de "autenticação e autorização" e os atribuiu somente a definição de "autenticação".

Podem explicar melhor para mim tal dúvida?

Grato

classificação do nível de sensibilidade é sempre feita pelo dono da informação, somente ele pode determinar a importância/valor que ela tem. É o dono da informação que precisa determinar os aspectos de segurança para ela. Imagina um hospital com seus prontuários médicos. Quem determina o quão confidenciais são as informações de um prontuário: paciente ou o diretor do hospital? É o diretor do hospital, porque ele tem que cumprir regulamentos em relação a isto, se vazar informação confidencial, ele é quem pode responder por isto.

Outra coisa totalmente diferente é classificar se algo é dado ou informação. Isto não tem a ver com determinar nível de segurança. Quem vai determinar se algo é dado ou é uma informação (conjunto de dados estruturados) é o destinatário, pois é ele quem vai fazer uso daquilo. Dados isolados podem não ter muita utilidade. Para um cliente de um laboratório, a data de realização de um exame é um dado ou uma informação?

Alterei a questão de resposta da 29 apenas para "Nele o sistema determina se o token é autêntico".