Что означает Триада CIA?

Базовая модель информационной безопасности: цели сгруппированы в конфиденциальность, целостность и доступность.

Как защититься от Триада CIA?

Защита от Триада CIA обычно сочетает технические меры и операционные практики, как описано в определении выше.

Какие есть другие названия Триада CIA?

Распространённые альтернативные названия: Конфиденциальность, целостность, доступность.

Что такое Триада CIA? Значение, определение и примеры

Триада CIA описывает три ключевые цели, которые должна балансировать любая программа безопасности. Конфиденциальность ограничивает доступ к информации авторизованными сторонами через шифрование, управление доступом и классификацию данных. Целостность гарантирует, что данные и системы не изменяются без разрешения, опираясь на хэширование, цифровые подписи, контроль версий и защищённое от записи хранение. Доступность обеспечивает, что авторизованные пользователи получают сервисы и данные тогда, когда они нужны, через резервирование, ёмкостное планирование, защиту от DDoS и DRP.

Свойства тянут друг против друга

Ценность триады в том, что она вынуждает делать компромиссы явными. Зашифровать и изолировать базу данных максимизирует конфиденциальность, но может навредить доступности; агрессивная мультирегиональная репликация повышает доступность, но расширяет поверхность, через которую может утечь конфиденциальность. Почти любое решение по безопасности на деле — переговоры между этими тремя, взвешенные по риску актива.

Через призму реальных инцидентов

Вымогательское ПО — прежде всего атака на доступность и целостность (шифрует файлы на месте), поэтому офлайновые неизменяемые резервные копии являются каноническим контролем.
Утечка данных (например, раскрытие Equifax в 2017 году ~147 млн записей) — чистый отказ конфиденциальности.
Подмена в цепочке поставок, как SolarWinds SUNBURST (2020), — отказ целостности: подписанное доверенное ПО несло вредоносный код, поэтому аттестация происхождения и воспроизводимые сборки сегодня усиливают целостность.

Расширения

Модель намеренно неполна. Гексада Паркера Донна Паркера (1998) добавляет владение/контроль, подлинность и полезность, а такие фреймворки, как ISO/IEC 27001 и NIST CSF, добавляют аутентификацию, авторизацию, неотказуемость и приватность.

flowchart TD
  A[Информационный актив] --> C[Конфиденциальность<br/>шифрование, управление доступом]
  A --> I[Целостность<br/>хэши, подписи]
  A --> V[Доступность<br/>резервирование, бэкапы, анти-DDoS]
  C --- I
  I --- V
  V --- C
  C -.->|компромисс| V

Триада CIA