El triángulo CIA (confidencialidad, integridad, disponibilidad) es un modelo ampliamente utilizado en la seguridad de la información que guía los esfuerzos y políticas de una organización para mantener seguros sus datos, aunque se requieren compromisos en escenarios del mundo real.

¿Qué es el triángulo CIA? Componentes definidos El triángulo CIA, que representa confidencialidad, integridad y disponibilidad, es un modelo de seguridad de la información ampliamente utilizado para guiar los esfuerzos y políticas de una organización en la protección de sus datos. A pesar de sus iniciales, no tiene relación con la Agencia Central de Inteligencia de Estados Unidos; más bien, evoca los tres principios fundamentales sobre los cuales descansa la seguridad informática:

• Confidencialidad: Solo los usuarios y procesos autorizados deben poder acceder o modificar los datos.
• Integridad: Los datos deben mantenerse en un estado correcto y nadie debe poder modificarlos indebidamente, ya sea de manera accidental o maliciosa.
• Disponibilidad: Los usuarios autorizados deben poder acceder a los datos siempre que lo necesiten.

Considerar estos tres principios como un triángulo asegura que los profesionales de la seguridad piensen profundamente en cómo se superponen y a veces entran en tensión entre sí, lo que puede ayudar a establecer prioridades al implementar políticas de seguridad.

¿Por qué es importante el triángulo CIA?

Cualquier persona familiarizada con los conceptos básicos de ciberseguridad entendería por qué la confidencialidad, la integridad y la disponibilidad son fundamentales para las políticas de seguridad de la información. Pero, ¿por qué es tan útil pensar en ellos como un triángulo de ideas interconectadas en lugar de por separado?

El triángulo CIA ayuda a dar sentido a la desconcertante variedad de software, servicios y técnicas de seguridad en el mercado. En lugar de simplemente gastar dinero y contratar consultores para abordar el vago «problema» de la «ciberseguridad», el triángulo CIA puede ayudar a los líderes de IT a formular preguntas enfocadas mientras planifican y gastan dinero: ¿Esta herramienta hace más segura nuestra información? ¿Este servicio ayuda a garantizar la integridad de nuestros datos? ¿Fortalecer nuestra infraestructura hará que nuestros datos estén más disponibles para quienes los necesitan?

Además, organizar estos tres conceptos en un triángulo deja claro que a menudo existen tensiones entre ellos. Algunos contrastes son obvios: exigir una autenticación elaborada para acceder a datos puede ayudar a garantizar su confidencialidad, pero también puede significar que algunas personas autorizadas a ver esos datos encuentren difícil hacerlo, reduciendo así la disponibilidad. Mantener el triángulo CIA en mente al establecer políticas de seguridad de la información obliga a un equipo a tomar decisiones productivas sobre cuál de los tres elementos es más importante para conjuntos de datos específicos y para la organización en su conjunto.

Ejemplos del triángulo CIA Para entender cómo funciona el triángulo CIA en la práctica, consideremos el ejemplo de un cajero automático bancario, que ofrece a los usuarios acceso a saldos bancarios y otra información. Un cajero automático abarca todas las tres principios del triángulo:

• Confidencialidad: Proporciona confidencialidad al requerir autenticación de dos factores (una tarjeta física y un código PIN) antes de permitir el acceso a los datos.
• Integridad: El software del cajero automático y del banco asegura la integridad de los datos al garantizar que cualquier transferencia o retiro realizado a través de la máquina se refleje correctamente en la contabilidad de la cuenta bancaria del usuario.
• Disponibilidad: La máquina ofrece disponibilidad porque está en un lugar público y es accesible incluso cuando la sucursal bancaria está cerrada.

Pero los principios del triángulo CIA van más allá de lo evidente. Aquí hay ejemplos de cómo operan en entornos informáticos cotidianos.

Confidencialidad del triángulo CIA: Ejemplos y mejores prácticas Gran parte de lo que las personas ajenas a la ciberseguridad piensan como «ciberseguridad» —esencialmente, cualquier cosa que restrinja el acceso a los datos— cae bajo el ámbito de la confidencialidad. Esto incluye:

• Autenticación: Procesos que permiten a los sistemas determinar si un usuario es quien dice ser. Estos incluyen contraseñas y una variedad de técnicas disponibles para establecer identidad, como biometría, tokens de seguridad, claves criptográficas, entre otros.
• Autorización: Determina quién tiene el derecho de acceder a qué datos. El hecho de que un sistema sepa quién eres no significa que todos sus datos estén abiertos a tu examen. Una de las formas más importantes de garantizar la confidencialidad es establecer mecanismos de necesidad de saber para el acceso a los datos; de esta manera, los usuarios cuyas cuentas han sido hackeadas o que actúan de manera maliciosa no pueden comprometer datos sensibles.
• La criptografía de clave pública es una infraestructura extendida que asegura tanto la autenticación como la autorización: al autenticar que eres quien dices ser mediante claves criptográficas, estableces tu derecho a participar en la conversación cifrada.

La confidencialidad también puede ser reforzada mediante medios no técnicos. Por ejemplo, mantener datos impresos bajo llave puede mantenerlos confidenciales; lo mismo sucede con el aislamiento de computadoras y la lucha contra intentos de ingeniería social.

Una pérdida de confidencialidad se define como el hecho de que alguien vea datos que no debería ver. Grandes violaciones de datos, como el hackeo de Marriott, son ejemplos notables y de alto perfil de pérdida de confidencialidad.

Integridad del triángulo CIA: Ejemplos y mejores prácticas Las técnicas para mantener la integridad de los datos pueden abarcar lo que muchos considerarían disciplinas dispares. Por ejemplo, muchos de los métodos para proteger la confidencialidad también garantizan la integridad de los datos: no se puede alterar maliciosamente datos a los que no se puede acceder, por ejemplo. También mencionamos las reglas de acceso a datos impuestas por la mayoría de los sistemas operativos: en algunos casos, los archivos pueden ser leídos por ciertos usuarios pero no editados, lo que puede ayudar a mantener la integridad de los datos junto con la disponibilidad.

Pero hay otras formas en las que se puede perder la integridad de los datos que van más allá de los ataques maliciosos que intentan eliminarlos o alterarlos. Por ejemplo, la corrupción se filtra en los datos en la RAM ordinaria como resultado de las interacciones con los rayos cósmicos con mucha más frecuencia de la que uno podría pensar. Eso está en el extremo exótico del espectro, pero cualquier técnica diseñada para proteger la integridad física de los medios de almacenamiento también puede proteger la integridad virtual de los datos.

Muchas de las formas en que defenderías contra violaciones de la integridad están destinadas a ayudarte a detectar cuándo los datos han cambiado, como los checksums de datos, o restaurarlos a un estado conocido y correcto, como realizar copias de seguridad frecuentes y meticulosas. Las violaciones de la integridad son algo menos comunes o evidentes que las infracciones de los otros dos principios, pero podrían incluir, por ejemplo, alterar datos comerciales para afectar la toma de decisiones, o hackear un sistema financiero para inflar brevemente el valor de una acción o cuenta bancaria y luego desviar el exceso. Un ejemplo más simple y común de un ataque a la integridad de los datos sería un ataque de desfiguración, en el que los hackers alteran el HTML de un sitio web para vandalizarlo por diversión o razones ideológicas.

Disponibilidad del triángulo CIA: Ejemplos y mejores prácticas Mantener la disponibilidad suele recaer en departamentos no fuertemente asociados con la ciberseguridad. La mejor manera de garantizar que tus datos estén disponibles es mantener todos tus sistemas en funcionamiento y asegurarte de que puedan manejar las cargas de red esperadas. Esto implica mantener actualizado el hardware, monitorear el uso del ancho de banda y proporcionar capacidad de conmutación por error y recuperación ante desastres si los sistemas fallan.

Otras técnicas en torno a este principio implican equilibrar la disponibilidad con las otras dos preocupaciones del triángulo. Regresando a los permisos de archivo integrados en cada sistema operativo, la idea de archivos que pueden ser leídos pero no editados por ciertos usuarios representa una forma de equilibrar las necesidades competitivas: que los datos estén disponibles para muchos usuarios, a pesar de nuestra necesidad de proteger su integridad.

El ejemplo clásico de una pérdida de disponibilidad debido a un actor malicioso es un ataque de denegación de servicio (DoS). En cierto sentido, este es el acto más directo de ciberagresión: no estás alterando los datos de tu víctima o espiando información a la que no deberías tener acceso; simplemente los estás abrumando con tráfico para que no puedan mantener su sitio web en línea. Sin embargo, los ataques DoS son muy dañinos, lo que ilustra por qué la disponibilidad pertenece al triángulo.

Implementación del triángulo CIA

El triángulo CIA debe guiar a tu organización mientras escribe e implementa sus políticas de seguridad generales y marcos de trabajo. Recuerda, implementar el triángulo no se trata de comprar ciertas herramientas; es una forma de pensar, planificar y, quizás lo más importante, establecer prioridades.

Los marcos de ciberseguridad estándar de la industria, como los de NIST (que se enfocan mucho en la integridad), se basan en las ideas del triángulo CIA, aunque cada uno tiene su propio énfasis particular.

Pros del triángulo CIA Debido a que el triángulo CIA proporciona a los equipos de seguridad de la información un marco para diseñar políticas de seguridad y reflexionar sobre los diversos compromisos involucrados en las decisiones de seguridad, ofrece varios beneficios y ventajas, incluidos los siguientes:

• Guía para controles: El triángulo CIA proporciona una guía robusta para seleccionar e implementar controles y tecnologías de seguridad.
• Prioridades de seguridad equilibradas: El triángulo también ayuda a los equipos de seguridad a crear políticas de seguridad equilibradas según las necesidades específicas de su organización.
• Simplicidad: Al descomponer la toma de decisiones de seguridad en tres elementos básicos, el triángulo CIA proporciona un enfoque directo para la formulación de políticas y garantiza que la comunicación dentro de la organización pueda ser clara, al estar vinculada a los principios subyacentes del triángulo.
• Fundamento para el cumplimiento: Dado que muchos estándares regulatorios se basan en el triángulo CIA, establecer políticas de seguridad alineadas con el triángulo puede mejorar la capacidad de la organización para cumplir con esos estándares.

Desafíos y contras del triángulo CIA A pesar de sus beneficios, el triángulo CIA también presenta algunas limitaciones que vale la pena considerar, incluido el hecho de que no siempre es aplicable, que enfatiza preocupaciones de seguridad tradicionales y por lo tanto puede no estar actualizado con las complejidades y compromisos inherentes en dominios emergentes más recientes, que sus componentes no siempre pueden equilibrarse fácilmente entre sí en todas las instancias y que, debido a su alcance limitado, puede no tener en cuenta aspectos más amplios que podrían influir en las posturas de seguridad organizativas.

Más allá del triángulo

El Hexágono Parkeriano y más El triángulo CIA es importante, pero no es una doctrina sagrada, y hay muchos expertos en seguridad de la información que te dirán que no cubre todo. En 1998, Donn Parker propuso un modelo de seis lados que luego se denominó Hexágono Parkeriano, basado en los siguientes principios:

• Confidencialidad
• Posesión o control
• Integridad
• Autenticidad
• Disponibilidad
• Utilidad

Es discutible si los tres puntos adicionales realmente exploran nuevas áreas — por ejemplo, la utilidad y la posesión podrían agruparse bajo disponibilidad. Sin embargo, vale la pena mencionarlo como un modelo alternativo.

Un principio importante de seguridad de la información que no encaja claramente en el triángulo CIA es la «no repudiación», que esencialmente implica que alguien no puede negar falsamente que creó, alteró, observó o transmitió datos. Esto es crucial en contextos legales cuando, por ejemplo, alguien podría necesitar probar que una firma es precisa o que un mensaje fue enviado por la persona cuyo nombre figura en él. El triángulo CIA no es una solución definitiva, pero es una herramienta valiosa para planificar tu estrategia de seguridad de la información.

¿Quién creó el triángulo CIA y cuándo?

A diferencia de muchos conceptos fundamentales en la seguridad de la información, el triángulo CIA no parece tener un único creador o defensor; más bien, emergió con el tiempo como un artículo de sabiduría entre los profesionales de la seguridad de la información. Ben Miller, vicepresidente de la empresa de ciberseguridad Dragos, rastrea los primeros menciones de los tres componentes del triángulo en una publicación de blog; considera que el concepto de confidencialidad en la ciencia de la computación se formalizó en un estudio de la Fuerza Aérea de EE.UU. en 1976, y la idea de integridad se estableció en un artículo de 1987 que reconoció que la informática comercial en particular tenía necesidades específicas en torno a los registros contables que requerían un enfoque en la corrección de los datos. La disponibilidad es más difícil de ubicar, pero la discusión en torno a esta idea ganó prominencia en 1988 cuando el gusano Morris, uno de los primeros malware generalizados, dejó fuera de línea una parte significativa del incipiente internet.

Tampoco está claro exactamente cuándo comenzaron a ser tratados los tres conceptos como un trípode. Pero parece haber sido bien establecido como un concepto fundamental hacia 1998, cuando Donn Parker, en su libro «Fighting Computer Crime«, propuso extenderlo al Hexágono Parkeriano de seis elementos mencionado anteriormente.

Por lo tanto, el triángulo CIA ha servido como una forma para que los profesionales de la seguridad de la información piensen en lo que implica su trabajo durante más de dos décadas. El hecho de que el concepto sea parte de la tradición de la ciberseguridad y no «pertenezca» a nadie ha alentado a muchas personas a elaborar sobre él e implementar sus propias interpretaciones.