Het is gemakkelijk om bepaalde gegevens te beschermen die alleen voor u waardevol zijn. U kunt uw foto ‘ s of ideeën of notities op te slaan op een versleutelde USB-stick, opgesloten op een plek waar alleen u de sleutel.

maar bedrijven en organisaties moeten hier op grote schaal mee omgaan., Het zijn immers de bedrijfsgegevens-producten, klant-en medewerkergegevens, ideeën, onderzoek, experimenten—die uw bedrijf nuttig en waardevol maken. (De “assets” waar we normaal aan denken, zoals hardware en software, zijn gewoon de tools waarmee u kunt werken en uw bedrijfsgegevens kunt opslaan.)

dus, hoe gaat een organisatie over het beschermen van deze gegevens? Zeker, er zijn beveiligingsstrategieën en technologische oplossingen die kunnen helpen, maar een concept onderstreept ze allemaal: de CIA Security Triad.,

dit concept combineert drie componenten-vertrouwelijkheid, integriteit en beschikbaarheid—om beveiligingsmaatregelen, controles en algemene strategie te helpen sturen. Laten we eens kijken.

(Dit artikel maakt deel uit van onze Security & Compliance Guide. Gebruik het rechtermenu om te navigeren.)

CIA definiëren in beveiliging

de CIA triade vertegenwoordigt de functies van uw informatiesystemen. Uw informatiesysteem omvat zowel uw computersystemen als uw gegevens., Ben Dynkin, medeoprichter & CEO van Atlas Cybersecurity, legt uit dat dit de functies zijn die aangevallen kunnen worden-wat betekent dat dit de functies zijn die je moet verdedigen.

de CIA – beveiligingstriade bestaat uit drie functies:

• vertrouwelijkheid. De mogelijkheid van een systeem om ervoor te zorgen dat alleen de juiste, geautoriseerde gebruiker/systeem/Bron gegevens kan bekijken, openen, wijzigen of anderszins gebruiken.
• integriteit. Het vermogen van een systeem om ervoor te zorgen dat het systeem en de informatie accuraat en correct zijn.
• beschikbaarheid., Het vermogen van een systeem om ervoor te zorgen dat systemen, informatie en diensten de overgrote meerderheid van de tijd beschikbaar zijn.

laten we eens kijken naar elk in meer details.

vertrouwelijkheid

in een niet-beveiligde zin is vertrouwelijkheid uw vermogen om iets geheim te houden. In de echte wereld kunnen we zonwering ophangen of gordijnen op onze ramen zetten. We kunnen een vriend vragen om een geheim te bewaren. Vertrouwelijkheid speelt ook een rol bij Technologie. Het kan anders uitpakken op een persoonlijk gebruiksniveau, waar we VPN ‘ s of encryptie gebruiken voor onze eigen privacy-zoekende sake., We kunnen in-home apparaten uitschakelen die altijd luisteren.

maar in enterprise security wordt de vertrouwelijkheid geschonden wanneer een onbevoegde persoon uw bestanden kan bekijken, nemen en/of wijzigen. Vertrouwelijkheid is belangrijk omdat uw bedrijf zijn concurrentievoordeel wil beschermen-de immateriële activa die ervoor zorgen dat uw bedrijf zich onderscheidt van uw concurrentie.

integriteit

in computersystemen betekent integriteit dat de resultaten van dat systeem nauwkeurig en feitelijk zijn., In de data wereld, het is bekend als data betrouwbaarheid-kunt u vertrouwen op de resultaten van uw gegevens, van uw computersystemen?

bij het beveiligen van een informatiesysteem is integriteit een functie die u probeert te beschermen. U wilt niet dat slechte acteurs of menselijke fouten, opzettelijk of per ongeluk, de integriteit van uw computersystemen en hun resultaten ruïneren.

beschikbaarheid

beschikbaarheid is een term die veel wordt gebruikt in het—de beschikbaarheid van bronnen ter ondersteuning van uw diensten. In beveiliging betekent beschikbaarheid dat de juiste mensen toegang hebben tot uw informatiesystemen., Als een gebruiker met privilege Toegang heeft geen toegang tot haar dedicated computer, dan is er geen beschikbaarheid.

beschikbaarheid is een groot probleem in beveiliging omdat het kan worden aangevallen. Een aanval op uw beschikbaarheid kan de toegang van de gebruiker tot sommige of alle van uw diensten te beperken, waardoor uw scrambling om het opruimen van de rommel en de downtime te beperken.

de CIA triade in enterprise security

OK, dus we hebben de concepten down, maar wat doen we met de triade?,

in de kern, de CIA triad is een beveiligingsmodel dat u kunt—moet—volgen om informatie opgeslagen in on-premises computersystemen of in de cloud te beschermen. Het helpt u:

• informatie geheim houden (vertrouwelijkheid)
• Houd de verwachte, accurate staat van die informatie (integriteit)
• ervoor zorgen dat uw informatie en diensten up and running zijn (beschikbaarheid)

Het is een balans: geen enkel beveiligingsteam kan 100% garanderen dat vertrouwelijkheid, integriteit en beschikbaarheid nooit kunnen worden geschonden, ongeacht de oorzaak.,

in plaats daarvan gebruiken beveiligingsprofessionals de CIA-triad om uw organisatorische risico ‘ s te begrijpen en te beoordelen. Dynkin stelt voor om elke potentiële bedreiging, aanval en kwetsbaarheid op te splitsen in één functie van de triade. Bijvoorbeeld:

• een datalek tast de vertrouwelijkheid van uw gegevens aan.
• een ransomwareincident valt de beschikbaarheid van uw informatiesystemen aan.

begrijpen wat er wordt aangevallen is hoe je bescherming tegen die aanval kunt bouwen., Neem het geval van ransomware – alle security professionals willen ransomware stoppen. Waar we de neiging hebben om ransomware in het algemeen te bekijken, zoals sommige “esoterische malware-aanval”, Dynkin zegt dat we het moeten zien als een aanval die speciaal is ontworpen om uw beschikbaarheid te beperken.

als je dit ziet als een poging om de beschikbaarheid te beperken, vertelde hij me, je kunt extra mitigatiemaatregelen nemen dan je zou kunnen hebben als je alleen maar probeert om “ransomware te stoppen”.

De triad kan u helpen om in specifieke besturingselementen te boren. Het is ook van toepassing op strategie-en beleidsniveau., Dynkin vervolgt: Als je de CIA-triade begrijpt, kun je je visie op Beveiliging uitbreiden “voorbij de specifieke minutiae (die nog steeds van cruciaal belang is) en je richten op een organisatorische aanpak van informatiebeveiliging.”

prioriteer elk ding dat je moet beschermen op basis van hoe ernstig de gevolgen zouden zijn als vertrouwelijkheid, integriteit of beschikbaarheid zouden worden geschonden. Bijvoorbeeld, hoe kan elke gebeurtenis hier een deel of meer van de CIA triade schenden:

• een Dienstonderbreking: een aanvaller kan je toegang onderbreken als een ruilmiddel voor iets anders.,
• onderschepping: een aanvaller kan uw e-mails blokkeren of kapen om meer te weten te komen over bedrijfsactiviteiten.
• modificatie of fabricage: een aanvaller kan uw informatie wijzigen of vervalsen.

Wat als een incident twee functies tegelijk kan doorbreken? Overweeg, plan voor en neem maatregelen om elke beveiligingsfunctie zo veel mogelijk te verbeteren. Het hebben van back—ups—redundantie-verbetert bijvoorbeeld de algemene beschikbaarheid. Als de beschikbaarheid van een systeem wordt aangevallen, hebt u al een back-up klaar om te gaan.,

CIA triad in actie

u zult weten dat uw beveiligingsteam enige beveiliging aan het opzetten is voor de CIA triad als u dingen ziet als:

• limieten op beheerdersrechten
• onvermogen om uw eigen, onbekende apparaten te gebruiken
• het gebruik van VPN om toegang te krijgen tot bepaalde gevoelige bedrijfsinformatie

alles wat een asset is—tastbare hardware en software, immateriële kennis en talent—zou op een of andere manier beschermd door uw beveiligingsteam. En dat is het werk van het beveiligingsteam: het beschermen van alle activa die het bedrijf waardevol acht., En het is duidelijk geen eenvoudig project.

aanvullende beveiligingseigenschappen

beveiligingsprofessionals weten al dat computerbeveiliging niet stopt met de CIA-triade. ISO-7498-2 bevat ook aanvullende eigenschappen voor computerbeveiliging:

• Authenticatie: de mogelijkheid van uw systemen om een identiteit te bevestigen.
• Non-repudiation of accountability: de mogelijkheid van uw systemen om de geldigheid te bevestigen van iets dat zich over het systeem voordoet. Het is een garantie over de oorsprong en integriteit van data.,

vertrouwelijkheid, integriteit, beschikbaarheid

Deze drie componenten vormen de hoeksteen voor elke beveiligingsprofessional, het doel van elk beveiligingsteam. John Svazic, oprichter van EliteSec, zegt dat de CIA-triade “fungeert als contactpunten voor elk type beveiligingswerk dat wordt uitgevoerd”. Dat wil zeggen, Het is een manier voor SecOps professionals om te antwoorden:

Hoe is het werk dat we doen actief verbeteren van een van deze factoren?,

wanneer uw bedrijf een beveiligingsprogramma bouwt, of een beveiligingscontrole toevoegt, kunt u de CIA triad gebruiken om de noodzaak van controles die u implementeert te rechtvaardigen. Trek altijd uw beveiligingsacties terug naar een of meer van de CIA componenten.

daarom beschouwt Svazic de CIA-triade als” een nuttige ‘maatstaf’ ” die u helpt ervoor te zorgen dat de controles die u implementeert daadwerkelijk nuttig en noodzakelijk zijn—niet een placebo.

gerelateerd lezen

• BMC Security & Compliance Blog
• risico vs bedreiging vs kwetsbaarheid: Wat zijn de verschillen?,
• Schending Herstel Checklist Voor Je & Uw Bedrijf
• Top 8 Manieren Hackers Exfiltrate Gegevens Van Uw Mainframe
• IT Asset Management: De 10 Best Practices voor Succesvolle ITAM