Los profesionales de seguridad evalúan las amenazas y vulnerabilidades en función del impacto potencial que tienen en la confidencialidad, integridad y disponibilidad de los activos de una organización, es decir, sus datos, aplicaciones y sistemas críticos. Sobre la base de esa evaluación, el equipo de seguridad implementa un conjunto de controles de seguridad para reducir el riesgo dentro de su entorno. En la siguiente sección, proporcionaremos explicaciones precisas y detalladas de estos principios en el contexto de InfoSec, y luego veremos las aplicaciones del mundo real de estos principios.
Confidencialidad
Confidencialidad se refiere a los esfuerzos de una organización para mantener sus datos privados o secretos. En la práctica, se trata de controlar el acceso a los datos para evitar la divulgación no autorizada. Por lo general, esto implica garantizar que solo aquellos que están autorizados tengan acceso a activos específicos y que aquellos que no estén autorizados tengan impedimento activo para obtener acceso. Por ejemplo, solo los empleados autorizados de Nómina deben tener acceso a la base de datos de la nómina de empleados. Además, dentro de un grupo de usuarios autorizados, puede haber limitaciones adicionales más estrictas sobre exactamente a qué información pueden acceder esos usuarios autorizados. Otro ejemplo: es razonable que los clientes de comercio electrónico esperen que la información personal que brindan a una organización (como tarjeta de crédito, contacto, envío u otra información personal) esté protegida de manera que se evite el acceso o la exposición no autorizados.
La confidencialidad se puede violar de muchas formas, por ejemplo, mediante ataques directos diseñados para obtener acceso no autorizado a sistemas, aplicaciones y bases de datos con el fin de robar o manipular datos. El reconocimiento de la red y otros tipos de análisis, las escuchas electrónicas (a través de un ataque de intermediario) y la escalada de privilegios del sistema por parte de un atacante son solo algunos ejemplos. Pero la confidencialidad también se puede violar involuntariamente a través de errores humanos, descuidos o controles de seguridad inadecuados. Los ejemplos incluyen fallas (por parte de los usuarios o la seguridad de TI) para proteger adecuadamente las contraseñas; intercambio de cuentas de usuario; espionaje físico (también conocido como surf de hombro); falta de cifrado de datos (en proceso, en tránsito y cuando se almacenan); sistemas de autenticación deficientes, débiles o inexistentes; y robo de equipos físicos y dispositivos de almacenamiento.
Las contramedidas para proteger la confidencialidad incluyen clasificación y etiquetado de datos; fuertes controles de acceso y mecanismos de autenticación; cifrado de datos en proceso, en tránsito y en almacenamiento; esteganografía; capacidades de borrado remoto; y educación y capacitación adecuadas para todas las personas con acceso a los datos.
Integridad
En el uso diario, la integridad se refiere a la calidad de que algo está completo o completo. En InfoSec, la integridad consiste en garantizar que los datos no se hayan manipulado y, por lo tanto, se pueda confiar en ellos. Es correcto, auténtico y confiable. Los clientes de comercio electrónico, por ejemplo, esperan que la información sobre productos y precios sea precisa y que la cantidad, los precios, la disponibilidad y otra información no se altere después de realizar un pedido. Los clientes bancarios deben poder confiar en que su información bancaria y los saldos de sus cuentas no han sido alterados. Asegurar la integridad implica proteger los datos en uso, en tránsito (como cuando se envía un correo electrónico o cuando se carga o descarga un archivo) y cuando se almacena, ya sea en una computadora portátil, un dispositivo de almacenamiento portátil, en el centro de datos o en la nube. .
Como es el caso de la confidencialidad, la integridad puede verse comprometida directamente a través de un vector de ataque (como la manipulación de los sistemas de detección de intrusiones, la modificación de archivos de configuración o el cambio de registros del sistema para evadir la detección) o involuntariamente, a través de error, falta de cuidado, errores de codificación o políticas, procedimientos y mecanismos de protección inadecuados.
Las contramedidas que protegen la integridad de los datos incluyen cifrado, hash, firmas digitales, certificados digitales Las autoridades de certificación (CA) de confianza emiten certificados digitales para organizaciones para verificar su identidad a los usuarios del sitio web, de manera similar a la forma en que se puede usar un pasaporte o una licencia de conducir para verificar la identidad de un individuo., sistemas de detección de intrusos, auditoría, control de versión ol, y fuertes mecanismos de autenticación y controles de acceso.
Tenga en cuenta que la integridad va de la mano con el concepto de no repudio: la incapacidad de negar algo. Al usar firmas digitales en el correo electrónico, por ejemplo, un remitente no puede negar haber enviado un mensaje, y el destinatario no puede afirmar que el mensaje recibido fue diferente al enviado. El no repudio ayuda a garantizar la integridad.
Disponibilidad
Los sistemas, las aplicaciones y los datos tienen poco valor para una organización y sus clientes si no son accesibles cuando los usuarios autorizados los necesitan. En pocas palabras, disponibilidad significa que las redes, los sistemas y las aplicaciones están en funcionamiento.Garantiza que los usuarios autorizados tengan acceso oportuno y confiable a los recursos cuando los necesiten.
Muchas cosas pueden poner en peligro la disponibilidad, incluidas fallas de hardware o software, fallas de energía, desastres naturales y errores humanos. Quizás el ataque más conocido que amenaza la disponibilidad es el ataque de denegación de servicio, en el que el rendimiento de un sistema, sitio web, aplicación basada en web o servicio basado en web se degrada intencional y maliciosamente, o el sistema se vuelve completamente inalcanzable.
Las contramedidas para ayudar a garantizar la disponibilidad incluyen redundancia (en servidores, redes, aplicaciones y servicios), tolerancia a fallas de hardware (para servidores y almacenamiento), parches de software regulares y actualizaciones del sistema, copias de seguridad, recuperación integral de desastres planes y soluciones de protección contra denegación de servicio.
Aplicación de los principios
Dependiendo de los objetivos de seguridad de una organización, la industria, la naturaleza del negocio y cualquier requisito regulatorio aplicable, uno de estos tres principios puede tener prioridad sobre otro. Por ejemplo, la confidencialidad es vital dentro de ciertas agencias gubernamentales (como los servicios de inteligencia); la integridad tiene prioridad en el sector financiero donde la diferencia entre $ 1.00 y $ 1,000,000.00 podría ser catastrófica; y la disponibilidad es fundamental tanto en el sector del comercio electrónico (donde el tiempo de inactividad puede costar a las empresas millones de dólares) como en el sector de la salud (donde se podrían perder vidas humanas si los sistemas críticos no están disponibles).
Un concepto clave para entender Sobre la tríada de la CIA es que priorizar uno o más principios puede significar la compensación de otros. Por ejemplo, un sistema que requiere alta confidencialidad e integridad podría sacrificar un rendimiento a la velocidad de la luz que otros sistemas (como el comercio electrónico) podrían valorar más. Esta compensación no es necesariamente algo malo; es una elección consciente. Cada organización debe decidir cómo aplicar estos principios dados sus requisitos únicos, equilibrados con su deseo de proporcionar una experiencia de usuario segura y sin problemas.
Para conocer otros conceptos de seguridad fundamentales, lea ¿Qué son los controles de seguridad?