La tríada CIA: Definición, componentes y ejemplos

0
899

La tríada CIA es un modelo de seguridad de la información, muy utilizado, que puede guiar los esfuerzos y políticas de una organización para mantener sus datos seguros. El modelo no tiene nada que ver con la Agencia Central de Inteligencia de los Estados Unidos; más bien, las iniciales representan los tres principios en los que se basa la seguridad de la información:

  • Confidencialidad:Solo los usuarios y procesos autorizados pueden acceder o modificar los datos
  • Integridad: Los datos deben mantenerse en un estado correcto y nadie debe poder modificarlos de manera incorrecta, ya sea accidental o maliciosamente
  • Disponibilidad (Availability): Los usuarios autorizados pueden acceder a los datos siempre que lo necesiten

Obviamente, estos tres principios son prioritarios para cualquier profesional de seguridad de la información. Pero considerarlos como una tríada obliga a que los profesionales de la seguridad deban realizar el difícil trabajo de pensar cómo es que se superponen y, a veces, cómo pueden oponerse entre sí, lo que puede ayudar a establecer prioridades en la implementación de las políticas de seguridad. Discutiremos cada uno de estos principios con más detalle en un momento, pero primero hablemos sobre los orígenes y la importancia de la tríada.

¿Quién creó la tríada CIA y cuándo lo hizo?
A diferencia de muchos conceptos fundamentales en seguridad de la información, la tríada CIA no parece tener un solo creador o protagonista; más bien, surgió con el tiempo como un artículo de sentido común entre los profesionales de la seguridad de la información. Ben Miller, vicepresidente de la firma de ciberseguridad Dragos, rastrea las primeras menciones de los tres componentes de la tríada en una entrada de blog; él piensa que el concepto de confidencialidad en informática se formalizó en 1976, en un estudio de la Fuerza Aérea de Estados Unidos, y la idea de integridad fue expuesta en un artículo de 1987, que reconocía que la informática de negocios, en particular, tenía necesidades específicas en torno a los registros contables, los cuales requerían un enfoque en la corrección de los datos. La disponibilidad es más difícil de precisar, pero la discusión sobre la idea aumentó en 1988 cuando el gusano Morris, una de las primeras piezas extendidas de malware, desconectó una parte significativa de la Internet embrionaria.

Tampoco está del todo claro cuándo los tres conceptos comenzaron a tratarse como los tres pilares, pero parece haber quedado bien establecido como concepto fundamental para 1998, cuando Donn Parker, en su libro Fighting Computer Crime, propuso extenderlo a un marco de seis elementos llamado Parkerian Hexad. (Regresaremos al Hexad más adelante en este artículo).

Por lo tanto, la tríada CIA ha servido como una forma en la que los profesionales de la seguridad de la información han reflexionado sobre las implicaciones de su trabajo durante más de dos décadas. El hecho de que el concepto sea parte de la tradición de la ciberseguridad y no «pertenezca” a nadie, ha alentado a muchas personas a elaborar el concepto e implementar sus propias interpretaciones.

¿Por qué es importante la tríada CIA?
Cualquiera que esté familiarizado, incluso con los conceptos básicos de ciberseguridad, entendería por qué estos tres conceptos son importantes. Pero ¿por qué es tan útil pensar en ellos como una tríada de ideas vinculadas, en lugar de conceptos separados?

Es instructivo pensar en la tríada CIA como una forma de dar sentido a la desconcertante variedad de software, servicios y técnicas de seguridad que se encuentran en el mercado. En lugar de arrojar dinero y consultores al vago «problema” de la «ciberseguridad”, podemos hacer preguntas específicas mientras planificamos y gastamos dinero: ¿Esta herramienta hace que nuestra información sea más segura? ¿Este servicio ayuda a garantizar la integridad de nuestros datos? ¿Fortalecer nuestra infraestructura hará que nuestros datos estén más fácilmente disponibles para aquellos que los necesitan?

Además, organizar estos tres conceptos en una tríada deja en claro que existen, en muchos casos, tensión entre ellos. Profundizaremos en algunos ejemplos en un momento, pero algunos contrastes son obvios: exigir una autenticación elaborada para el acceso a los datos puede ayudar a garantizar su confidencialidad, pero también puede significar que algunas personas -que tienen derecho a ver esos datos- pueden tener dificultades para hacerlo, reduciendo así la disponibilidad. Tener en cuenta la tríada CIA al establecer políticas de seguridad de la información, obliga a un equipo a tomar decisiones productivas sobre cuál de los tres elementos es más importante para conjuntos específicos de datos y para la organización en su conjunto.

Ejemplos de la tríada CIA
Para comprender cómo funciona la tríada CIA en la práctica, considere el ejemplo de un cajero automático, que puede ofrecer a los usuarios acceso a saldos bancarios y otra información. Un cajero automático tiene herramientas que cubren los tres principios de la tríada:

  • Proporciona confidencialidad al requerir autenticación de dos factores (tanto una tarjeta física como un código PIN) antes de permitir el acceso a los datos
  • El cajero automático y el software bancario refuerzan la integridad de los datos al garantizar que cualquier transferencia o retiro realizado a través de la máquina se refleje en la contabilidad de la cuenta bancaria del usuario
  • La máquina proporciona disponibilidad porque está en un lugar público y es accesible incluso cuando la sucursal bancaria está cerrada

Pero hay más en los tres principios que solo lo que está en la superficie. Estos son algunos ejemplos de cómo funcionan en ambientes cotidianos de TI.

Ejemplos de confidencialidad de la tríada CIA
Gran parte de lo que los legos conciben como «ciberseguridad” -esencialmente, cualquier cosa que restrinja el acceso a los datos- cae bajo la rúbrica de la confidencialidad. Esto incluye a las dos grandes Aes de seguridad de la información:

  • Autenticación, que abarca procesos que permiten a los sistemas determinar si un usuario es quien afirma ser. Estos incluyen contraseñas y la variedad de técnicas disponibles para establecer la identidad: biometría, tokensde seguridad, claves criptográficas y similares.
  • Autorización, que determina quién tiene derecho a acceder a qué datos: solo porque un sistema sabe quién es usted, no necesariamente abre todos sus datos para su lectura. Una de las formas más importantes para hacer cumplir la confidencialidad es establecer mecanismos de necesidad de conocer el acceso a los datos; de esa manera, los usuarios cuyas cuentas han sido pirateadas o que se han vuelto desconfiables no pueden comprometer datos confidenciales. La mayoría de los sistemas operativos imponen la confidencialidad en este sentido al tener muchos archivos a los que solo pueden acceder sus creadores o un administrador, por ejemplo.

La criptografía de clave pública es una infraestructura generalizada que refuerza ambas Aes: al autenticar que usted es quien afirma ser a través de claves criptográficas, establece su derecho a participar en la conversación encriptada.

La confidencialidad también puede hacerse cumplir por medios no técnicos. Por ejemplo, mantener encerrados los datos impresos bajo llave puede mantener la confidencialidad; también lo pueden hacer las computadoras separadas y la lucha contra los intentos de ingeniería social.

Una pérdida de confidencialidad se define como datos que ve alguien que no debió haberlos visto. Las grandes filtraciones en big data, como fue el caso de Marriott, son ejemplos de pérdidas de confidencialidad famosas.

Ejemplos de integridad de la tríada CIA
Las técnicas para mantener la integridad de los datos pueden abarcar lo que muchos considerarían disciplinas dispares. Por ejemplo, muchos de los métodos para proteger la confidencialidad también imponen la integridad de los datos: después de todo, no puede alterar maliciosamente los datos a los que no puede acceder. También mencionamos las reglas de acceso a datos aplicadas por la mayoría de los sistemas operativos: en algunos casos, ciertos usuarios pueden leer los archivos, pero no editarlos, lo que puede ayudar a mantener la integridad de los datos junto con la disponibilidad.

Pero existen otras formas en que se puede perder la integridad de los datos, las cuales van más allá de los atacantes maliciosos que intentan eliminarlos o alterarlos. Por ejemplo, más regularmente de lo que usted piensa, la corrupción se filtra en los datos de la RAM ordinaria como resultado de las interacciones con los rayos cósmicos. Eso está en el extremo exótico del espectro, pero cualquier técnica diseñada para proteger la integridad física de los medios de almacenamiento también puede proteger la integridad virtual de los datos.

Muchas de las formas en que se defendería contra las violaciones a la integridad están destinadas a ayudarle a detectar cuándo han cambiado los datos, como sumas de verificación de datos, o restaurarlo a un buen estado conocido, como realizar backups frecuentes y meticulosos. Las violaciones de la integridad son algo menos comunes u obvias que las violaciones de los otros dos principios, pero podrían incluir, por ejemplo, alterar los datos de negocio para afectar la toma de decisiones, o hackear un sistema financiero para inflar brevemente el valor de una acción o cuenta bancaria y luego desviar el exceso. Un ejemplo más simple, y más común, de un ataque a la integridad de los datos sería un ataque de desfiguración, en el que los hackers, por razones recreativas o ideológicas, cometen vandalismo mediante la alteración del HTML de una página web.

Ejemplos de disponibilidad de la tríada CIA
Mantener la disponibilidad a menudo recae en los hombros de las áreas que no están fuertemente asociadas con la ciberseguridad. La mejor manera de garantizar que sus datos estén disponibles es mantener todos sus sistemas en funcionamiento y asegurarse de que puedan manejar las cargas de red esperadas. Esto implica mantener el hardware actualizado, monitorear el uso del ancho de banda y proporcionar una capacidad de recuperación ante desastres y fallas si los sistemas se caen.

Otras técnicas en torno a este principio implican descubrir cómo equilibrar la disponibilidad con las otras dos preocupaciones en la tríada. Volviendo a los permisos de archivo integrados en cada sistema operativo, la idea de archivos que pueden ser leídos, pero no editados por ciertos usuarios, representan una forma de equilibrar las necesidades: que los datos estén disponibles para muchos usuarios, a pesar de nuestra necesidad de proteger su integridad.

El ejemplo clásico de una pérdida de disponibilidad para un actor malicioso es un ataque de denegación de servicio (DoS, por sus siglas en inglés). De alguna manera, este es el acto de fuerza cibernética más brutal que existe: no está alterando los datos de su víctima ni echando un vistazo a la información que no debería tener; simplemente los abruma con tráfico para que no puedan mantener su página web actualizada. Pero los ataques DoS son muy dañinos, y eso ilustra por qué la disponibilidad pertenece a la tríada.

Implementación de la tríada CIA
La tríada CIA debe guiarle a medida que su organización escribe e implementa sus marcos y políticas de seguridad generales. Recuerde: implementar la tríada no es cuestión de comprar ciertas herramientas. La tríada es una forma de pensar, planificar y, quizás lo más importante, establecer prioridades. Marcos de seguridad cibernética estándar de la industria como los del NIST (que se centra mucho en la integridad) están informados por las ideas detrás de la tríada CIA, aunque cada una tiene su propio énfasis particular.

Más allá de la tríada: The Parkerian Hexad y más
La tríada CIA es importante, pero no es una escritura sagrada, y hay muchos expertos en seguridad de la información que le dirán que no cubre todo. Como mencionamos, en 1998, Donn Parker propuso un modelo de seis lados que más tarde se denominó Parkerian Hexad, que se basa en los siguientes principios:

  • Confidencialidad
  • Posesión o control
  • Integridad
  • Autenticidad
  • Disponibilidad
  • Utilidad

Está algo abierto a la pregunta de si los tres puntos adicionales realmente abarcan un nuevo territorio: la utilidad y la posesión podrían agruparse según la disponibilidad, por ejemplo. Pero vale la pena señalarlo como un modelo alternativo.

Un principio final importante de seguridad de la información, que no encaja perfectamente en la tríada CIA, es el no repudio, lo que esencialmente significa que alguien no puede negar falsamente que ha creado, alterado, observado o transmitido datos. Esto es crucial en contextos legales cuando, por ejemplo, alguien puede necesitar probar que una firma es precisa, o confirmar la identidad de una persona cuyo nombre figure en un mensaje enviado. La tríada CIA no es un principio absoluto, pero es una herramienta valiosa para planificar su estrategia de seguridad de la información.

Josh Fruhlinger, CSOonline.com