È facile proteggere alcuni dati che sono preziosi solo per te. È possibile memorizzare le immagini o idee o note su una chiavetta criptata, rinchiuso in un punto in cui solo tu hai la chiave.

Ma le aziende e le organizzazioni hanno a che fare con questo su vasta scala., Dopo tutto, sono i dati aziendali—prodotti, dettagli di clienti e dipendenti, idee, ricerche, esperimenti—che rendono la tua azienda utile e preziosa. (Le “risorse” a cui normalmente pensiamo, come hardware e software, sono semplicemente gli strumenti che ti permettono di lavorare e salvare i tuoi dati aziendali.)

Quindi, come fa un’organizzazione a proteggere questi dati? Certamente, ci sono strategie di sicurezza e soluzioni tecnologiche che possono aiutare, ma un concetto li sottolinea tutti: la Triade di sicurezza della CIA.,

Questo concetto combina tre componenti—riservatezza, integrità e disponibilità—per aiutare a guidare le misure di sicurezza, i controlli e la strategia generale. Diamo un’occhiata.

(Questo articolo fa parte della nostra Security & Compliance Guide. Utilizzare il menu a destra per navigare.)

Definizione di CIA in sicurezza

La triade CIA rappresenta le funzioni dei vostri sistemi informativi. Il tuo sistema informativo comprende sia i tuoi sistemi informatici che i tuoi dati., Ben Dynkin, Co-fondatore & CEO di Atlas Cybersecurity, spiega che queste sono le funzioni che possono essere attaccate-il che significa che queste sono le funzioni che devi difendere.

La triade di sicurezza CIA è composta da tre funzioni:

• Riservatezza. La capacità di un sistema di garantire che solo l’utente/sistema/risorsa corretto e autorizzato possa visualizzare, accedere, modificare o utilizzare in altro modo i dati.
• Integrità. La capacità di un sistema di garantire che il sistema e le informazioni siano accurate e corrette.
• Disponibilità., La capacità di un sistema di garantire che i sistemi, le informazioni e i servizi siano disponibili la maggior parte del tempo.

Diamo un’occhiata a ciascuno in maggiori dettagli.

Riservatezza

In un senso non di sicurezza, la riservatezza è la tua capacità di mantenere qualcosa di segreto. Nel mondo reale, potremmo appendere le tende o mettere le tende alle nostre finestre. Potremmo chiedere ad un amico di mantenere un segreto. La riservatezza entra in gioco anche con la tecnologia. Si può giocare in modo diverso a livello di uso personale, dove usiamo VPN o crittografia per il nostro bene privacy-seeking., Potremmo spegnere i dispositivi in-home che sono sempre in ascolto.

Ma nella sicurezza aziendale, la riservatezza viene violata quando una persona non autorizzata può visualizzare, prendere e / o modificare i file. La riservatezza è importante perché la vostra azienda vuole proteggere il suo vantaggio competitivo – le attività immateriali che rendono la vostra azienda distinguersi dalla concorrenza.

Integrità

Nei sistemi informatici, integrità significa che i risultati di quel sistema sono precisi e fattuali., Nel mondo dei dati, è noto come affidabilità dei dati: puoi fidarti dei risultati dei tuoi dati, dei tuoi sistemi informatici?

Quando si protegge un sistema informativo, l’integrità è una funzione che si sta tentando di proteggere. Non vuoi che i cattivi attori o l’errore umano, di proposito o accidentalmente, rovinino l’integrità dei tuoi sistemi informatici e dei loro risultati.

Disponibilità

Disponibilità è un termine ampiamente utilizzato in IT—la disponibilità di risorse per supportare i servizi. In sicurezza, disponibilità significa che le persone giuste hanno accesso ai sistemi informativi., Se un utente con accesso privilege non ha accesso al suo computer dedicato, allora non c’è disponibilità.

La disponibilità è un grosso problema di sicurezza perché può essere attaccato. Un attacco alla tua disponibilità potrebbe limitare l’accesso degli utenti ad alcuni o tutti i tuoi servizi, lasciando il tuo rimescolamento per ripulire il pasticcio e limitare i tempi di inattività.

La triade CIA in enterprise security

OK, quindi abbiamo i concetti giù, ma cosa facciamo con la triade?,

Al suo interno, la triade CIA è un modello di sicurezza che si può—dovrebbe—seguire al fine di proteggere le informazioni memorizzate in sistemi informatici on-premise o nel cloud. Ti aiuta:

• Mantieni le informazioni segrete (Riservatezza)
• Mantieni lo stato previsto e accurato di tali informazioni (Integrità)
• Assicurati che le tue informazioni e i tuoi servizi siano attivi e funzionanti (Disponibilità)

È un equilibrio: nessun team di sicurezza può garantire al 100% che riservatezza, integrità e disponibilità non possano mai essere violate, indipendentemente dalla causa.,

Invece, i professionisti della sicurezza utilizzano la triade CIA per comprendere e valutare i rischi organizzativi. Dynkin suggerisce di abbattere ogni potenziale minaccia, attacco e vulnerabilità in qualsiasi funzione della triade. Ad esempio:

• Una violazione dei dati attacca la riservatezza dei tuoi dati.
• Un incidente ransomware attacca la disponibilità dei sistemi informativi.

Capire cosa viene attaccato è come puoi creare protezione contro quell’attacco., Prendete il caso di ransomware – tutti i professionisti della sicurezza vogliono fermare ransomware. Dove tendiamo a visualizzare ransomware in generale, come alcuni “attacco malware esoterico”, Dynkin dice che dovremmo vederlo come un attacco progettato specificamente per limitare la disponibilità.

Quando si pensa a questo come un tentativo di limitare la disponibilità, mi ha detto, si può prendere ulteriori misure di mitigazione di quanto si potrebbe avere se si stesse solo cercando di “fermare ransomware”.

La triade può aiutarti a eseguire il drill-down in controlli specifici. Si applica anche a livello di strategia e politica., Dynkin continua: Quando capisci la triade della CIA, puoi espandere la tua visione della sicurezza ” oltre le minuzie specifiche (che è ancora di fondamentale importanza) e concentrarti su un approccio organizzativo alla sicurezza delle informazioni.”

Dare la priorità a ogni cosa che devi proteggere in base a quanto gravi sarebbero le conseguenze se la riservatezza, l’integrità o la disponibilità fossero violate. Ad esempio, come potrebbe ogni evento qui violare una parte o più della triade CIA:

• Un’interruzione del servizio: un utente malintenzionato potrebbe interrompere l’accesso come merce di scambio per qualcos’altro.,
• Intercettazione: un utente malintenzionato potrebbe bloccare o dirottare le tue e-mail per conoscere l’attività aziendale.
• Modifica o fabbricazione: un utente malintenzionato potrebbe modificare o falsificare le tue informazioni.

Cosa succede se qualche incidente può violare due funzioni contemporaneamente? Prendere in considerazione, pianificare e intraprendere azioni al fine di migliorare ogni funzionalità di sicurezza il più possibile. Ad esempio, la ridondanza dei backup migliora la disponibilità complessiva. Se la disponibilità di alcuni sistemi viene attaccata, hai già un backup pronto per l’uso.,

CIA triade in azione

Hai bisogno di sapere che il team di sicurezza è di mettere via un po ‘ di sicurezza per la CIA triade quando vedi cose del tipo:

• i Limiti dei diritti di amministratore
• l’Incapacità di utilizzare il proprio, periferiche sconosciute
• utilizzo di VPN per l’accesso a determinate informazioni aziendali sensibili

tutto ciò che è un bene—le immobilizzazioni materiali hardware e software, immateriali della conoscenza e del talento—dovrebbe in qualche modo essere protetti dal team di sicurezza. E questo è il lavoro del team di sicurezza: proteggere qualsiasi bene che l’azienda ritenga prezioso., E chiaramente non è un progetto facile.

Proprietà di sicurezza aggiuntive

I professionisti della sicurezza sanno già che la sicurezza informatica non si ferma alla triade CIA. ISO-7498-2 include anche proprietà aggiuntive per la sicurezza del computer:

• Autenticazione: la capacità dei sistemi di confermare un’identità.
• Non ripudio o responsabilità: la capacità dei tuoi sistemi di confermare la validità di qualcosa che si verifica sul sistema. È una garanzia sulle origini e l’integrità dei dati.,

Riservatezza, integrità, disponibilità

Questi tre componenti sono la pietra angolare per qualsiasi professionista della sicurezza, lo scopo di qualsiasi team di sicurezza. John Svazic, fondatore di EliteSec, afferma che la triade della CIA “agisce come punti di contatto per qualsiasi tipo di lavoro di sicurezza eseguito”. Cioè, è un modo per i professionisti SecOps di rispondere:

In che modo il lavoro che stiamo facendo migliora attivamente uno di questi fattori?,

Quando la tua azienda crea un programma di sicurezza o aggiunge un controllo di sicurezza, puoi utilizzare la triade CIA per giustificare la necessità di controlli che stai implementando. Richiama sempre le tue azioni di sicurezza a uno o più componenti della CIA.

Ecco perché Svazic considera la triade CIA “un utile ‘metro’” che ti aiuta a garantire che i controlli che stai implementando siano effettivamente utili e necessari—non un placebo.

Lettura correlata

• BMC Security& Compliance Blog
• Rischio vs minaccia vs vulnerabilità: quali sono le differenze?,
• Breach Recovery Checklist For You& La tua azienda
• I primi 8 modi in cui gli hacker estrarranno i dati dal tuo Mainframe
• IT Asset Management: 10 best practice per ITAM di successo