Triade CIA.

La triade CIA enonce les trois objectifs cles que tout programme de securite doit equilibrer. La confidentialite limite l'acces aux parties autorisees via chiffrement, controle d'acces et classification des donnees. L'integrite garantit que donnees et systemes ne soient pas modifies sans autorisation, soutenue par hash, signatures, gestion de versions et stockage en lecture seule. La disponibilite garantit que les utilisateurs autorises puissent utiliser services et donnees au bon moment, grace a la redondance, la planification de capacite, la protection DDoS et le DRP.

Les proprietes s'opposent entre elles

La valeur de la triade est de forcer des arbitrages explicites. Chiffrer et isoler une base maximise la confidentialite mais peut nuire a la disponibilite ; une replication multi-regions agressive ameliore la disponibilite mais elargit la surface ou la confidentialite pourrait fuir. Presque toute decision de securite est en realite une negociation entre les trois, ponderee par le risque de l'actif.

A travers des incidents reels

• Le rancongiciel est avant tout une attaque sur la disponibilite et l'integrite — il chiffre les fichiers sur place —, d'ou les sauvegardes hors ligne et immuables comme controle canonique.
• Une fuite de donnees (ex. l'exposition Equifax de 2017 de ~147 millions d'enregistrements) est une defaillance pure de confidentialite.
• Une alteration de la chaine d'approvisionnement comme SolarWinds SUNBURST (2020) est une defaillance d'integrite : un logiciel signe et de confiance transportait du code malveillant, raison pour laquelle l'attestation de provenance et les builds reproductibles renforcent aujourd'hui l'integrite.

Extensions

Le modele est volontairement incomplet. L'Hexade de Parker de Donn Parker (1998) ajoute Possession/Controle, Authenticite et Utilite, et des cadres comme ISO/IEC 27001 et le NIST CSF y empilent Authentification, Autorisation, Non-repudiation et Vie privee.

flowchart TD
  A[Actif d'information] --> C[Confidentialite<br/>chiffrement, controle d'acces]
  A --> I[Integrite<br/>hash, signatures]
  A --> V[Disponibilite<br/>redondance, sauvegardes, anti-DDoS]
  C --- I
  I --- V
  V --- C
  C -.->|arbitrage| V