CIA triad

CIA TRIAD

Confidencialidad, integridad y disponibilidad responden preguntas distintas. Podemos tener un archivo perfectamente legible que fue alterado, o uno intacto al que nadie puede acceder. La triada funciona mejor sin mezclar sus piezas.

Confidentiality

La confidencialidad apunta a proteger la información sensible de intrusos o usuarios no autorizados.

Ejemplos de controles y capacidades:

• Encriptación

  • Convertir información en no legible para usuarios no autorizados.

• Authenticación

  • Asegurar la identidad de quién está intentando acceder al sistema o información. Generalmente con credenciales (password/biométrica/etc)

• Control de acceso

  • Definir y regular que recursos o información pueden acceder ciertos usuarios y bajo qué circunstancias

---

Integrity

La integridad busca impedir o detectar modificaciones y destrucción indebidas de la información; no es lo mismo que confidencialidad. Crucial para mantener consistencia, precision y fiabilidad en los sistemas y la información.

Ejemplos de controles y capacidades:

• Checksums

  • Permiten detectar cambios al comparar con una referencia confiable. Un checksum común detecta errores, pero no autentica el origen ni resiste por sí solo a quien puede cambiar dato y checksum

• Permisos de archivos

  • Asegurar que sólo los usuarios autorizados tengan la habilidad de modificar o borrar archivos específicos

• Firmas digitales

  • Técnica criptográfica que puede ser usada para autenticar la fuente e integridad de la información o mensajes.

---

Availability

La disponibilidad es el acceso oportuno y fiable a información y servicios para quienes lo necesitan y están autorizados. No equivale a eficiencia computacional

Ejemplos de controles y capacidades:

• Redundancia

  • Duplicados o respaldos de sistemas o archivos críticos que pueden ayudar a recuperar disponibilidad; necesitan pruebas de restauración y no garantizan continuidad por sí solos

• Tolerancia al fallo

  • Capacidad del sistema de continuar funcionando aun cuando hayan ciertas fallas

• Respaldos

  • Copias regulares de la información para prevenir pérdidas en caso de catástrofe (malwares, desastres naturales, fallas del sistema)

---

Los planes de seguridad se basan en tres elementos

Assets, Threats y Vulnerabilities.

• ASSETS Un asset (activo) es un item percibido como de valor para la organización.

  • El edificio, equipos, información, empleados.

• THREATS Los threats (amenazas) es una circunstancia o evento que tiene un impacto negativo en los activos.

  • Ataques directos, phishing, filtraciones
  • Pueden ser involuntarios o intencionales

VULNERABILITIES Las vulnerabilidades son debilidades que pueden ser explotadas por una amenaza.

• Contraseñas no seguras, privilegios mal administrados, configuraciones por defecto.
• Pueden ser técnicas o humanas

---

Ejemplo de un inventario de activos conectados en mi casa

---

La información tiene tres estados

• En uso
  • Datos que están siendo procesados o utilizados, por personas o programas
• En tránsito
  • Que está viajando de un punto a otro (una respuesta a un correo electrónico)
• En descanso
  • Datos almacenados. No depende de cerrar una sesión: pueden coexistir copias almacenadas, en uso y en tránsito

---

D.A.D.

Mnemotecnia para recordar fallos de CIA; no una clasificación exhaustiva de incidentes.

• Disclosure
  • La divulgación no autorizada afecta la confidencialidad; publicar información autorizadamente no constituye ese fallo
• Alteration
  • La alteración indebida afecta la integridad; una actualización legítima no es por definición un fallo
• Destruction/Denial
  • Destruir la información haría que esta ya no esté disponible, lo mismo el denegar su acceso a quien lo necesite

Véase también

• Controles de seguridad — Controles que implementan los objetivos de la triada.

Contraste conceptual: NIST: integridad y riesgo.

+----------------------------------------+
| Floure &                               |
| Tachibana's guild                      |
| [Hikari · Nozomi]                      |
| SEAL: sha256/12: ddd8e901643a          |
| STATUS: LITURGY_IN_PROGRESS            |
+----------------------------------------+