Profissionais de segurança avaliam ameaças e vulnerabilidades com base no impacto potencial que têm sobre a confidencialidade, integridade e disponibilidade dos ativos de uma organização, ou seja, seus dados, aplicativos e sistemas críticos. Com base nessa avaliação, a equipe de segurança implementa um conjunto de controles de segurança para reduzir o risco em seu ambiente. Na próxima seção, forneceremos explicações precisas e detalhadas desses princípios no contexto do InfoSec e, em seguida, examinaremos as aplicações reais desses princípios.
Confidencialidade
Confidencialidade refere-se aos esforços de uma organização para manter seus dados privados ou secretos. Na prática, trata-se de controlar o acesso aos dados para evitar divulgação não autorizada. Normalmente, isso envolve garantir que apenas aqueles que estão autorizados tenham acesso a ativos específicos e que aqueles que não estão autorizados sejam ativamente impedidos de obter acesso. Por exemplo, apenas funcionários autorizados da folha de pagamento devem ter acesso ao banco de dados da folha de pagamento de funcionários. Além disso, dentro de um grupo de usuários autorizados, pode haver limitações adicionais e mais rigorosas sobre exatamente quais informações esses usuários autorizados têm permissão para acessar. Outro exemplo: é razoável para os clientes de comércio eletrônico esperar que as informações pessoais que fornecem a uma organização (como cartão de crédito, contato, envio ou outras informações pessoais) sejam protegidas de uma forma que evite o acesso ou exposição não autorizada.
A confidencialidade pode ser violada de várias maneiras, por exemplo, por meio de ataques diretos projetados para obter acesso não autorizado a sistemas, aplicativos e bancos de dados a fim de roubar ou adulterar dados. Reconhecimento de rede e outros tipos de varreduras, espionagem eletrônica (por meio de um ataque man-in-the-middle) e escalonamento de privilégios de sistema por um invasor são apenas alguns exemplos. Mas a confidencialidade também pode ser violada involuntariamente por meio de erro humano, descuido ou controles de segurança inadequados. Os exemplos incluem falha (por usuários ou segurança de TI) em proteger adequadamente as senhas; compartilhamento de contas de usuário; espionagem física (também conhecido como surfe de ombro); falha na criptografia de dados (em processo, em trânsito e quando armazenados); sistemas de autenticação ruins, fracos ou inexistentes; e roubo de equipamentos físicos e dispositivos de armazenamento.
As contramedidas para proteger a confidencialidade incluem classificação e rotulagem de dados; fortes controles de acesso e mecanismos de autenticação; criptografia de dados em processo, em trânsito e em armazenamento; esteganografia; recursos de limpeza remota; e educação e treinamento adequados para todos os indivíduos com acesso aos dados.
Integridade
No uso diário, integridade se refere à qualidade de algo ser íntegro ou completo. No InfoSec, integridade significa garantir que os dados não foram violados e, portanto, podem ser confiáveis. É correto, autêntico e confiável. Os clientes de comércio eletrônico, por exemplo, esperam que as informações de produto e preço sejam precisas e que a quantidade, preço, disponibilidade e outras informações não sejam alteradas depois de fazer um pedido. Os clientes do setor bancário precisam confiar que suas informações bancárias e saldos de contas não foram adulterados. Garantir a integridade envolve proteger os dados em uso, em trânsito (como ao enviar um e-mail ou fazer upload ou download de um arquivo) e quando eles são armazenados, seja em um laptop, um dispositivo de armazenamento portátil, no data center ou na nuvem .
Como no caso da confidencialidade, a integridade pode ser comprometida diretamente por meio de um vetor de ataque (como adulteração de sistemas de detecção de intrusão, modificação de arquivos de configuração ou alteração dos registros do sistema para evitar a detecção) ou involuntariamente, através de humanos erro, falta de cuidado, erros de codificação ou políticas, procedimentos e mecanismos de proteção inadequados.
As contramedidas que protegem a integridade dos dados incluem criptografia, hashing, assinaturas digitais, certificados digitais Autoridades de certificação confiáveis (CAs) emitem certificados digitais para organizações para verificar sua identidade para os usuários do site, da mesma forma que um passaporte ou carteira de motorista podem ser usados para verificar a identidade de um indivíduo., sistemas de detecção de intrusão, auditoria, controle de versão ol, e fortes mecanismos de autenticação e controles de acesso.
Observe que a integridade anda de mãos dadas com o conceito de não repúdio: a incapacidade de negar algo. Ao usar assinaturas digitais no e-mail, por exemplo, o remetente não pode negar o envio de uma mensagem e o destinatário não pode afirmar que a mensagem recebida é diferente da enviada. O não-repúdio ajuda a garantir a integridade.
Disponibilidade
Sistemas, aplicativos e dados têm pouco valor para uma organização e seus clientes se não estiverem acessíveis quando usuários autorizados precisam deles. Muito simplesmente, disponibilidade significa que redes, sistemas e aplicativos estão ativos e em execução.Ele garante que os usuários autorizados tenham acesso oportuno e confiável aos recursos quando necessário.
Muitas coisas podem comprometer a disponibilidade, incluindo falha de hardware ou software, falha de energia, desastres naturais e erro humano. Talvez o ataque mais conhecido que ameaça a disponibilidade seja o ataque de negação de serviço, no qual o desempenho de um sistema, site, aplicativo baseado na web ou serviço baseado na web é intencional e maliciosamente degradado ou o sistema se torna completamente inacessível.
As contramedidas para ajudar a garantir a disponibilidade incluem redundância (em servidores, redes, aplicativos e serviços), tolerância a falhas de hardware (para servidores e armazenamento), patching de software regular e atualizações de sistema, backups, recuperação abrangente de desastres planos e soluções de proteção contra negação de serviço.
Aplicando os princípios
Dependendo dos objetivos de segurança da organização, do setor, da natureza do negócio e de quaisquer requisitos regulamentares aplicáveis, um desses três princípios pode ter precedência sobre outro. Por exemplo, a confidencialidade é vital em certas agências governamentais (como serviços de inteligência); a integridade tem prioridade no setor financeiro, onde a diferença entre US $ 1,00 e US $ 1.000.000,00 pode ser catastrófica; e a disponibilidade é crítica tanto no setor de comércio eletrônico (onde o tempo de inatividade pode custar milhões de dólares às empresas) quanto no setor de saúde (onde vidas humanas podem ser perdidas se sistemas críticos não estiverem disponíveis).
Um conceito-chave para entender sobre a tríade da CIA é que priorizar um ou mais princípios pode significar a troca de outros. Por exemplo, um sistema que exige alta confidencialidade e integridade pode sacrificar o desempenho da velocidade da luz que outros sistemas (como comércio eletrônico) podem valorizar mais. Essa compensação não é necessariamente uma coisa ruim; é uma escolha consciente. Cada organização deve decidir como aplicar esses princípios de acordo com seus requisitos exclusivos, equilibrados com o desejo de fornecer uma experiência de usuário contínua e segura.
Para aprender sobre outros conceitos básicos de segurança, leia O que são controles de segurança?