es fácil proteger algunos datos que solo son valiosos para usted. Puede almacenar sus imágenes, ideas o notas en una unidad de memoria USB cifrada, encerrada en un lugar donde solo usted tiene la llave.

pero las empresas y organizaciones tienen que lidiar con esto a gran escala., Después de todo, son los datos de la empresa—Productos, Detalles de clientes y empleados, ideas, investigación, experimentos—los que hacen que su empresa sea útil y valiosa. (Los» activos » en los que normalmente pensamos, como el hardware y el software, son simplemente las herramientas que le permiten trabajar y guardar los datos de su empresa.)

entonces, ¿cómo protege una organización estos datos? Ciertamente, hay estrategias de seguridad y soluciones tecnológicas que pueden ayudar, pero un concepto las subraya todas: la tríada de seguridad de la CIA.,

este concepto combina tres componentes-confidencialidad, integridad y disponibilidad—para ayudar a guiar las medidas de seguridad, los controles y la estrategia general. Echemos un vistazo.

(Este artículo es parte de nuestra Seguridad & Guía de Cumplimiento. Utilice el menú de la derecha para navegar.)

definiendo CIA en seguridad

la tríada CIA representa las funciones de sus sistemas de información. Su sistema de información abarca tanto sus sistemas y sus datos., Ben Dynkin, Co-Fundador & CEO de Atlas Cybersecurity, explica que estas son las funciones que pueden ser atacadas, lo que significa que estas son las funciones que debe defender.

la tríada de seguridad de la CIA se compone de tres funciones:

• confidencialidad. La capacidad de un sistema para garantizar que solo el Usuario/sistema/recurso correcto y autorizado pueda ver, acceder, cambiar o usar los datos.
• Integridad. La capacidad de un sistema para garantizar que el sistema y la información sean precisos y correctos.
• Disponibilidad., La capacidad de un sistema para garantizar que los sistemas, la información y los Servicios estén disponibles la gran mayoría del tiempo.

veamos cada uno con más detalles.

confidencialidad

en un sentido que no es de seguridad, la confidencialidad es su capacidad para mantener algo en secreto. En el mundo real, podríamos colgar persianas o poner cortinas en nuestras ventanas. Podríamos pedirle a un amigo que guarde un secreto. La confidencialidad también entra en juego con la tecnología. Puede jugar de manera diferente en un nivel de uso personal, donde usamos VPN o cifrado para nuestro propio bien de búsqueda de privacidad., Podríamos apagar los dispositivos domésticos que siempre están escuchando.

pero en la seguridad empresarial, la confidencialidad se viola cuando una persona no autorizada puede ver, tomar y/o cambiar sus archivos. La confidencialidad es importante porque su empresa quiere proteger su ventaja competitiva, los activos intangibles que hacen que su empresa se destaque de su competencia.

integridad

en sistemas informáticos, integridad significa que los resultados de ese sistema son precisos y factuales., En el mundo de los datos, se conoce como confiabilidad de los datos: ¿puede confiar en los resultados de sus datos, de sus sistemas informáticos?

al asegurar cualquier sistema de información, la integridad es una función que está tratando de proteger. Usted no quiere que los malos actores o el error humano, a propósito o accidentalmente, arruinar la integridad de sus sistemas informáticos y sus resultados.

disponibilidad

la disponibilidad es un término ampliamente utilizado en ti: la disponibilidad de recursos para respaldar sus servicios. En seguridad, la disponibilidad significa que las personas adecuadas tienen acceso a sus sistemas de información., Si un usuario con acceso privilegiado no tiene acceso a su computadora dedicada, entonces no hay disponibilidad.

la disponibilidad es un gran problema en la seguridad porque puede ser atacada. Un ataque a su disponibilidad podría limitar el acceso de los usuarios a algunos o todos sus servicios, dejando su lucha para limpiar el desorden y limitar el tiempo de inactividad.

la tríada CIA en seguridad empresarial

OK, así que tenemos los conceptos abajo, pero ¿qué hacemos con la tríada?,

en su esencia, la tríada CIA es un modelo de seguridad que puede—debe—seguir para proteger la información almacenada en sistemas informáticos locales o en la nube. Le ayuda a:

• Mantener la información en secreto (confidencialidad)
• Mantener el estado esperado y preciso de esa información (integridad)
• garantizar que su información y Servicios estén en funcionamiento (disponibilidad)

es un equilibrio: ningún equipo de seguridad puede garantizar al 100% que la confidencialidad, la integridad y la disponibilidad nunca se violen, sin importar la causa.,

en su lugar, los profesionales de seguridad utilizan la tríada CIA para comprender y evaluar los riesgos de su organización. Dynkin sugiere descomponer cada amenaza potencial, ataque y vulnerabilidad en cualquier función de la tríada. Por ejemplo:

• una violación de datos ataca la confidencialidad de sus datos.
• Un incidente de ransomware ataca la disponibilidad de sus sistemas de información.

entender lo que está siendo atacado es cómo puede crear protección contra ese ataque., Tomemos el caso del ransomware: todos los profesionales de la seguridad quieren detener el ransomware. Donde tendemos a ver el ransomware ampliamente, como un «ataque de malware esotérico», Dynkin dice que deberíamos verlo como un ataque diseñado específicamente para limitar su disponibilidad.

Cuando piensa en esto como un intento de limitar la disponibilidad, me dijo, puede tomar medidas de mitigación adicionales de las que podría tener si solo estuviera tratando de «detener el ransomware».

la tríada puede ayudarte a profundizar en controles específicos. También se aplica a nivel estratégico y político., Dynkin continúa: cuando entiendes la tríada de la CIA, puedes expandir tu visión de la seguridad «más allá de las minucias específicas (que todavía es críticamente importante) y enfocarte en un enfoque organizacional para la seguridad de la información.»

priorice cada cosa que necesita proteger en función de cuán severas serían las consecuencias si se violara la confidencialidad, la integridad o la disponibilidad. Por ejemplo, cómo podría cada evento violar una parte o más de la tríada de la CIA:

• una interrupción del servicio: Un atacante podría interrumpir su acceso como moneda de cambio para otra cosa.,
• interceptación: un atacante podría bloquear o secuestrar sus correos electrónicos para obtener información sobre la actividad de la empresa.
• modificación o fabricación: un atacante podría modificar o falsificar su información.

¿Qué pasa si algún incidente puede violar dos funciones a la vez? Considere, planifique y tome medidas para mejorar cada característica de seguridad tanto como sea posible. Por ejemplo, tener copias de seguridad (redundancia) mejora la disponibilidad general. Si la disponibilidad de algún sistema es atacada, ya tiene una copia de seguridad lista para funcionar.,

tríada de la CIA en acción

usted sabrá que su equipo de Seguridad Está Poniendo un poco de seguridad para la tríada de la CIA cuando vea cosas como:

• límites en los derechos de administrador
• incapacidad para usar sus propios dispositivos desconocidos
• El uso de VPN para acceder a cierta información confidencial de la empresa

cualquier cosa que sea un activo-hardware y software tangible, conocimiento intangible y talento-debería de alguna manera estar protegido por su seguridad equipo. Y ese es el trabajo del equipo de seguridad: proteger cualquier activo que la empresa considere valioso., Y claramente no es un proyecto fácil.

propiedades de seguridad adicionales

Los profesionales de seguridad ya saben que la seguridad informática no se detiene con la tríada de la CIA. ISO-7498-2 también incluye propiedades adicionales para seguridad informática:

• autenticación: la capacidad de sus sistemas para confirmar una identidad.
• no repudio o rendición de cuentas: la capacidad de sus sistemas para confirmar la validez de algo que ocurre sobre el sistema. Es una garantía sobre los orígenes y la integridad de los datos.,

confidencialidad, integridad, disponibilidad

estos tres componentes son la piedra angular para cualquier profesional de seguridad, el propósito de cualquier equipo de seguridad. John Svazic, fundador de EliteSec, dice que la tríada de la CIA «actúa como puntos de contacto para cualquier tipo de trabajo de seguridad que se realice». Es decir, es una forma para que los profesionales de SecOps respondan:

¿cómo está mejorando activamente el trabajo que estamos haciendo uno de estos factores?,

Cuando su empresa crea un programa de seguridad o agrega un control de seguridad, puede usar la tríada de la CIA para justificar la necesidad de controles que está implementando. Siempre dibuje sus acciones de seguridad de nuevo a uno o más de los componentes de la CIA.

Es Por Eso Que Svazic considera la tríada de la CIA «un ‘criterio’ útil» que le ayuda a asegurarse de que los controles que está implementando sean realmente útiles y necesarios, no un placebo.

lectura relacionada

• BMC Security & Compliance Blog
• riesgo vs Amenaza vs vulnerabilidad: ¿cuáles son las diferencias?,
• lista de comprobación de recuperación de incumplimiento para usted & su empresa
• Las 8 mejores formas en que los Hackers Exfiltrarán los datos de su Mainframe
• Gestión de activos de TI: 10 mejores prácticas para Itam exitoso