Triad CIA dalam Rangkaian

Triad CIA ialah model teras keselamatan maklumat. CIA bermaksud Kerahsiaan, Integriti dan Ketersediaan, iaitu tiga matlamat yang ingin dilindungi oleh setiap kawalan keselamatan.

Setiap peraturan tembok api, kata laluan dan sandaran menyokong sekurang-kurangnya satu daripada tiga matlamat ini. Jika anda boleh memetakan sesuatu kawalan kepada matlamat CIA, anda memahami sebab kawalan itu wujud. (Nota: CIA ini tidak berkaitan dengan agensi kerajaan tersebut.)

Kerahsiaan bermaksud hanya orang yang diberi kuasa boleh membaca data. Ia memastikan rahsia kekal rahsia serta menyekat pengintip dan pengguna tanpa kebenaran.

Alat rangkaian yang melindungi kerahsiaan termasuk penyulitan (mengubah data supaya hanya kunci yang betul dapat membukanya), pengesahan kukuh dan kawalan akses. Apabila anda melayari internet melalui HTTPS, penyulitan melindungi kerahsiaan trafik anda daripada sesiapa yang mengintip pada saluran rangkaian.

Integriti bermaksud data adalah tepat dan tidak diubah, iaitu perkara yang tiba sama seperti perkara yang dihantar. Integriti melindungi daripada pengusikan dan kerosakan tidak sengaja.

Alat integriti yang biasa ialah pencincangan: fungsi yang menukar data menjadi cap jari tetap. Jika walaupun satu bit berubah, cincangan turut berubah lalu mendedahkan pengusikan. Tandatangan digital dan jumlah semak menggunakan idea ini untuk membuktikan bahawa data tidak diubah semasa penghantaran.

Ketersediaan bermaksud sistem dan data boleh dicapai apabila pengguna yang diberi kuasa memerlukannya. Sistem yang sangat sulit dan sangat tepat sekalipun tidak berguna jika tidak berfungsi.

Ketersediaan dilindungi melalui lewah (laluan dan peranti sandaran), sandaran berkala, pertukaran gagal dan pertahanan terhadap serangan DoS (Penafian Perkhidmatan) yang cuba membebankan perkhidmatan sehingga terhenti.

Ketiga-tiga matlamat ini sering bertentangan. Penyulitan berat dan kawalan akses yang ketat meningkatkan kerahsiaan tetapi boleh memperlahankan sistem dan menjejaskan ketersediaan. Mengunci segala-galanya terlalu ketat juga boleh menyusahkan pengguna yang sah.

Keselamatan yang baik mencari keseimbangan yang sesuai bagi setiap sistem berdasarkan nilai dan risikonya. Halaman sesawang awam mengutamakan ketersediaan; rekod perubatan mengutamakan kerahsiaan dan integriti.

Kerahsiaan terjejas akibat kebocoran data, pengintipan (menghidu trafik), intipan dari belakang bahu dan kecurian bukti kelayakan. Dalam rangkaian, penyerang yang menangkap trafik tidak disulitkan boleh membaca kata laluan dan data dalam teks biasa.

Inilah sebabnya penyulitan di mana-mana (HTTPS, VPN dan Wi-Fi disulitkan) kini menjadi amalan standard: penyulitan menghilangkan nilai trafik yang dipintas dengan menjadikannya tidak boleh dibaca.

Integriti diserang melalui serangan atas laluan (memintas dan mengubah trafik), perisian hasad yang mengubah suai fail dan penghantaran yang rosak. Jika penyerang mengubah jumlah pindahan bank semasa penghantaran, integriti telah gagal.

Cincangan, tandatangan digital dan kod pengesahan mesej mengesan perubahan ini supaya penerima mengetahui sama ada data boleh dipercayai sebagai data yang tidak diubah.

Ketersediaan paling langsung diserang oleh serangan DoS dan DDoS (Penafian Perkhidmatan Teragih), tetapi juga oleh kegagalan perkakasan, kehilangan kuasa, perisian tebusan dan bencana alam. Apa-apa sahaja yang menyebabkan perkhidmatan terhenti merupakan masalah ketersediaan.

Pertahanan termasuk sistem berlebihan, pengimbangan beban, sandaran di luar tapak dan penapisan trafik yang menyerap atau menyekat limpahan serangan sebelum sumber habis digunakan.

Dua idea sering melengkapi triad ini. Pengesahan membuktikan identiti seseorang sebelum akses diberikan. Tanpa penafian memastikan pihak tertentu tidak boleh kemudiannya menafikan bahawa mereka telah menghantar mesej, biasanya dengan pembuktian melalui tandatangan digital.

Bersama-sama triad CIA, kedua-duanya membentuk matlamat yang menjadi asas reka bentuk oleh profesional keselamatan, dan kadangkala disebut model keselamatan lanjutan atau prinsip berkaitan AAA.

Apabila menilai sesuatu kawalan, tanyakan matlamat yang disokongnya. Sandaran melindungi ketersediaan. Penyulitan melindungi kerahsiaan. Jumlah semak melindungi integriti. Tembok api boleh melindungi ketiga-tiganya dengan menyekat serangan.

Rangka kerja ini menukarkan kebimbangan keselamatan yang kabur kepada soalan yang jelas, lalu membantu anda mengutamakan kawalan yang melindungi perkara paling penting bagi setiap sistem.

Triad CIA ialah kanta yang membantu semua topik keselamatan lain difahami. Pembahagian rangkaian, kawalan akses, penyulitan dan pemantauan semuanya kembali kepada perlindungan kerahsiaan, integriti atau ketersediaan.

Mulakan setiap analisis keselamatan dengan bertanya yang mana antara tiga matlamat itu berisiko, dan anda akan sentiasa memahami ancaman serta pertahanan yang menanganinya.

Triad CIA mentakrifkan tiga matlamat keselamatan: Kerahsiaan (akses yang dibenarkan sahaja, melalui penyulitan), Integriti (data yang tidak diubah, melalui pencincangan) dan Ketersediaan (boleh dicapai apabila diperlukan, melalui lewah). Ketiga-tiganya saling melibatkan pertukaran keutamaan, maka reka bentuk yang baik mengimbanginya mengikut sistem. Pengesahan dan tanpa penafian melanjutkan model ini.