A tríade CIA (Confidentiality, Integrity, and Availability) é um modelo de segurança da informação que se sustenta em três pilares: confidencialidade, integridade e disponibilidade.
Esse modelo fornece às organizações diretrizes para o estabelecimento de procedimentos e políticas de segurança capazes de lidar com essas três áreas críticas. Apesar de ampla e abrangente, a tríade CIA é um modelo comprovado para direcionar iniciativas de planejamento, bem como identificar ameaças à segurança cibernética e implementar soluções de segurança e mitigação de riscos que as impeçam ou minimizem.
Embora sejam aspectos importantes de uma postura de segurança eficaz, os três elementos da tríade CIA algumas vezes entram em conflito.
Por exemplo, soluções de acesso a dados voltadas à confidencialidade podem ser complexas e interferir na disponibilidade dos dados. As demandas particulares de cada organização determinam o equilíbrio ideal entre os componentes da tríade CIA.
Nem todas as ameaças à segurança cibernética são provenientes de ataques cibernéticos provenientes de ambientes externos à empresa. Por isso, os controles da tríade CIA voltados à confidencialidade precisam levar em consideração criminosos cibernéticos externos, bem como infiltrados casuais e mal-intencionados.
Qual é a importância da tríade CIA na segurança cibernética?
A tríade CIA fornece uma ampla diretriz para a segurança da informação. Ela ajuda as organizações a avaliar seus ambientes, identificar falhas, encontrar soluções e otimizar as implementações existentes. Ao considerar os três pilares da tríade CIA, as organizações obrigam-se a avaliar e ponderar a importância de cada área a fim de encontrar o equilíbrio ideal e adotar uma estratégia holística da segurança.
A importância da tríade CIA também torna-se evidente ao considerarmos as vulnerabilidades que ela ajuda a resolver. A seguir, alguns exemplos dos três pilares.
São vulnerabilidades tratadas no pilar de confidencialidade:
- Malwares;
- Ataques indiretos (man-in-the-middle);
- Ataques de Phishing;
- Spywares;
- Softwares sem patches;
- Senhas fracas.
São vulnerabilidades tratadas no pilar de integridade:
- Privilégios excessivos de usuário;
- Malwares;
- Adulteração física;
- Ransomwares;
- Ataques de injeção de SQL.
São vulnerabilidades tratadas no pilar de disponibilidade:
- Desastres (por exemplo, incêndios, inundações e terremotos);
- Ataques de negação de serviço distribuído (DDoS, Distributed Denial of Service);
- Falhas de hardware;
- Configurações incorretas;
- Danos físicos a discos rígidos ou servidores;
- Ransomwares;
- Bugs de softwares.
Quais são os 3 componentes da tríade CIA?
Confidencialidade
Confidencialidade refere-se à proteção de informações contra acesso não autorizado por meio da implementação de sistemas e processos que impõem restrições ao acesso, uso e compartilhamento de informações.
Para manter os mais elevados padrões de proteção de dados e garantir a segurança de informações confidenciais, a implementação da confidencialidade na tríade CIA deve restringir o acesso segundo o princípio do privilégio mínimo. Isso significa que os usuários só têm acesso às informações de que precisam explicitamente, pelo tempo necessário.
Exigir autenticação multifator quando um usuário acessa uma conta é um exemplo de confidencialidade. Nesse caso, ao efetuar o login em um site, é solicitado ao usuário que insira um código que foi enviado ao seu dispositivo móvel. Em seguida, pode ser solicitado que o usuário responda a uma pergunta de segurança.
Integridade
Integridade significa que os dados estão protegidos contra modificações ou exclusões não autorizadas. Este componente da tríade CIA ajuda a garantir a confiabilidade e a integridade dos dados.
Hashing, criptografia, certificados digitais e assinaturas digitais são exemplos do componente de integridade da tríade CIA. Esses métodos verificam a integridade e ajudam a garantir que a autenticidade não seja repudiada ou negada.
Disponibilidade
Disponibilidade significa que os usuários têm acesso oportuno e seguro aos dados sempre que precisam, o que implica a necessidade de proteção dos sistemas contra adulterações.
A disponibilidade é o elemento da tríade CIA que costuma servir como o proverbial sinal de alerta. Se houve comprometimento dos sistemas, a disponibilidade costuma ser um dos primeiros indicadores de problemas. Por isso, ela costuma ter prioridade em relação aos outros dois elementos da tríade CIA: confidencialidade e integridade.
Constituem exemplos de interrupções na disponibilidade que a tríade CIA busca evitar e mitigar: ataques de DDoS e ransomwares. Esses, juntamente com outros vetores de ataque que afetam a disponibilidade, são o foco dos esforços de segurança relacionados a esse componente. Mesmo que os dados sejam mantidos em sigilo e sua integridade preservada, seu valor é nulo, se estiverem inacessíveis.
Que tipos de controles de segurança a tríade CIA utiliza?
São exemplos de controles de segurança usados na tríade CIA:
- Políticas de confidencialidade;
- Classificação de dados;
- Programas de governança de dados;
- Políticas de retenção de dados;
- Métodos de controle de acesso digital, como autenticação multifator e logon sem senha;
- Criptografia para dados em repouso e em movimento;
- Sistemas de segurança empresarial;
- Softwares antivírus;
- Proteção de endpoints;
- Soluções de prevenção contra perda de dados;
- Firewalls;
- Gerenciamento de Identidade e Acesso (IAM, Identity and Access Management);
- Sistemas de controle de acesso baseado em função (RBAC, Role-Based Access Control);
- Acordos de confidencialidade;
- Controles de acesso físico;
- Senhas fortes.
Por que as empresas usam a tríade CIA
A tríade CIA, simples, porém poderosa, é amplamente usada por empresas de todos os tipos. Entre os muitos motivos, estão:
Facilita a resposta a incidentes.
Cada elemento da tríade CIA entra em ação após um incidente de segurança. Os sistemas usados para proteger a confidencialidade de dados confidenciais reduzem o impacto de um incidente de segurança.
Por exemplo, protocolos para conter sistemas afetados podem interromper ou reduzir o vazamento de dados, enquanto a criptografia garante que dados confidenciais não sejam utilizados, mesmo que estejam comprometidos. Controles de integridade, como mecanismos de registro, ajudam as equipes a determinar se um invasor adulterou algum sistema ou dado, o que permite às equipes restaurar as versões válidas.
Seguir as práticas recomendadas da tríade CIA voltadas à disponibilidade ajuda a garantir a rápida restauração do acesso a sistemas e dados em caso de ataque ou outra interrupção do serviço.
Fornece um modelo de referência à programas de treinamento em segurança.
A tríade CIA fornece um sistema de referência para programas de treinamento em segurança, descrevendo ameaças e detalhando as principais medidas de segurança às quais os usuários precisam aderir como parte de sua função na otimização da postura de segurança de uma organização. Para manter a confidencialidade, o treinamento do usuário deve incluir controles de acesso e procedimentos a respeito de como lidar com dados confidenciais, conscientização das táticas de engenharia social e a importância do gerenciamento adequado de senhas e da criptografia.
Constituem as principais áreas de treinamento relacionadas à integridade a forma de identificar adulterações de dados e garantir que as informações permaneçam seguras, a importância de verificar as fontes de dados antes de inserir ou usar informações, e as diretrizes sobre como comunicar e responder a incidentes em que possa ter havido comprometimento da integridade dos dados. Por disponibilidade, os usuários devem compreender os procedimentos de recuperação de incidentes de segurança e desastres, como responder a ameaças relacionadas à disponibilidade (por exemplo, ataques de DDoS ou falhas do sistema) e procedimentos de backup.
Oferece suporte a avaliações post-mortem de incidentes de segurança cibernética.
Avaliar o impacto de um incidente de segurança sob a ótica da tríade CIA fornece um método estruturado de avaliação. Também pode ajudar as organizações a entender melhor a eficácia de suas medidas de segurança e onde melhorias são necessárias.
Ajuda a interromper as cadeias de destruição cibernética.
A tríade CIA ajuda a interromper a cadeia de destruição cibernética, orientando medidas de segurança que interrompem um ataque em vários estágios (ou seja, reconhecimento, armamento, lançamento, exploração, instalação, comando e controle e ações sobre os objetivos). Cada componente da tríade CIA desempenha um papel na interrupção desse processo, uma vez que os invasores geralmente visam comprometer elementos de uma ou mais dessas áreas durante um ataque.
Desafios da tríade CIA
Embora seja amplamente elogiada como peça fundamental de uma postura sólida de segurança cibernética, a tríade CIA também é alvo de críticas. A seguir, algumas das limitações e desafios associados à tríade CIA:
Equilíbrio entre segurança e usabilidade
Um problema com a tríade CIA é o equilíbrio entre segurança e usabilidade. Esse problema decorre do impasse gerado entre a necessidade de proteger a confidencialidade, a integridade e a disponibilidade e a de garantir uma experiência tranquila ao usuário.
Medidas de segurança mais robustas, como controles de acesso rigorosos, criptografia e validação frequente de dados, podem tornar os sistemas mais seguros, mas também podem reduzir a disponibilidade e torná-los mais difíceis e demorados de usar. Isso pode levar à frustração do usuário, à ineficiência e até mesmo a tentativas de burlar protocolos de segurança. No entanto, priorizar a usabilidade reduzindo as camadas de segurança pode enfraquecer as defesas, deixando os sistemas mais vulneráveis a ataques.
Alcance limitado
A tríade CIA é criticada por se concentrar apenas em confidencialidade, integridade e disponibilidade, falhando na abordagem de outros aspectos da segurança cibernética, como autenticação, responsabilização, não repúdio e conscientização sobre segurança, bem como a necessidade de monitoramento contínuo, resposta a incidentes e inteligência contra ameaças. Concentrar-se apenas nesses três componentes pode gerar falhas na postura de segurança, pois invasores podem explorar áreas ignoradas pela tríade CIA.
Inespecificidade
A falta de especificidade é considerada uma limitação da tríade CIA, pois pode criar desafios na implementação eficaz de medidas de segurança adaptadas às diversas necessidades organizacionais e a organizações com conhecimento limitado em segurança. Embora destaque os princípios fundamentais de confidencialidade, integridade e disponibilidade, a tríade CIA é relativamente simplista e não fornece orientações detalhadas sobre como atender a esses requisitos.
Essa ambiguidade pode levar a interpretações e usos inconsistentes das práticas de segurança, deixando falhas na proteção. Além disso, a falta de métricas ou estruturas específicas pode impedir que as organizações avaliem efetivamente sua postura de segurança ou priorizem vulnerabilidades, o que pode dificultar a elaboração de estratégias necessárias ao combate de ameaças cibernéticas sofisticadas.
Benefícios da tríade CIA
Apesar de seus desafios, a tríade CIA é amplamente utilizada graças aos muitos benefícios que ela pode oferecer. A seguir, alguns dos benefícios que as organizações podem obter ao usar a tríade CIA na condução de seus programas de segurança:
- Segurança e privacidade de dados: ajudam na proteção contra acesso não autorizado, roubo ou manipulação de dados.
- Conformidade: garante que as organizações cumpram as exigências regulatórias e jurídicas que protegem as informações confidenciais.
- Prevenção proativa de riscos: facilita a identificação e a redução de vulnerabilidades a fim de eliminar falhas de segurança e prevenir ataques cibernéticos.
- Acessibilidade: mantém a disponibilidade de sistemas e dados, além de garantir a qualidade deles, impedindo acessos não autorizados.
- Perfil de segurança: otimiza as posturas de segurança cibernética das organizações visando ao aprimoramento da segurança como um todo.
- Treinamento de funcionários: oferece uma diretriz que garante a abrangência e a eficácia dos programas de treinamento em segurança cibernética.
Normas que fazem referência à tríade CIA
Como eixo central do ecossistema de segurança da informação, os elementos da tríade CIA são citados em diversas normas, tais como:
ISO 27001
Na descrição da norma ISO 27001, a ISO lista “integridade, confidencialidade e disponibilidade de dados” como um de seus principais benefícios. Afirma que a ISO 27001 ajudará as organizações a “garantir que ativos como demonstrações financeiras, propriedade intelectual, dados de funcionários e informações confiadas por terceiros permaneçam íntegros, confidenciais e disponíveis conforme a necessidade”.
RGPD
O Regulamento Geral sobre a Proteção de Dados(RGDP) da União Europeia, uma das leis de privacidade e segurança mais rigorosas do mundo, menciona os pilares da tríade CIA no Artigo 32 (ou seja, “garantir a confidencialidade, integridade, disponibilidade e resiliência contínuas dos sistemas e serviços de processamento”).
PCI-DSS
O Padrão de Segurança de Dados do Setor de Cartões de Pagamento (PCI DSS, Payment Card Industry Data Security Standard) refere-se explicitamente à confidencialidade e à integridade em toda a norma, com referências específicas no Requisito 3 (“proteger dados de contas armazenados”) e no Requisito 7 (“restringir o acesso a componentes do sistema e dados do titular do cartão”). A disponibilidade é implícita por meio de medidas como a manutenção de sistemas seguros (Requisito 6) e a garantia de monitoramento e controle de acesso contínuos (Requisitos 10 e 11).
NIST SP 800-53
O NIST SP 800-53 (Controles de Segurança e Privacidade para Sistemas e Organizações de Informação) faz referência aos componentes da tríade CIA em toda a norma.
A confidencialidade é mencionada na Seção 3.3.4 (Controles de Segurança e Privacidade para Confidencialidade da Informação), a integridade, na Seção 3.3.3 (Controles de Segurança e Privacidade para Integridade da Informação) e a disponibilidade, na Seção 3.3.2 (Controles de Segurança e Privacidade para Disponibilidade da Informação).
Tríade CIA: fundamentos simples, mas não fáceis
Em seu nível mais básico, o núcleo da segurança da informação é construído em torno da tríade CIA. Esta diretriz comprovada pode auxiliar a empresa no desenvolvimento e na manutenção da postura de segurança necessária à proteção de seus ativos.
A eficácia da tríade CIA é reforçada por sua representação na maioria dos guias de segurança, práticas recomendadas e padrões de segurança da informação do mundo. A tríade CIA consta até mesmo em regulamentações de segurança e privacidade.
Não se deixe enganar pela aparente simplicidade da tríade CIA. Ela deve ser incluída na caixa de ferramentas de todo profissional de segurança.
