สามเสาหลัก CIA ในเครือข่าย

สามประการ CIA เป็นแบบจำลองหลักของการรักษาความปลอดภัยสารสนเทศ CIA ย่อมาจาก การรักษาความลับ ความถูกต้องครบถ้วน และ ความพร้อมใช้งาน ซึ่งเป็นเป้าหมายสามประการที่การควบคุมความปลอดภัยทุกชนิดมุ่งปกป้อง

กฎไฟร์วอลล์ รหัสผ่าน และข้อมูลสำรองทุกอย่างล้วนทำหน้าที่สนับสนุนอย่างน้อยหนึ่งในสามประการนี้ หากคุณเชื่อมโยงการควบคุมใดกับเป้าหมายของ CIA ได้ คุณก็เข้าใจเหตุผลที่มีการควบคุมนั้น (หมายเหตุ: CIA ในที่นี้ไม่เกี่ยวข้องกับหน่วยงานรัฐบาล)

การรักษาความลับหมายถึงการที่เฉพาะบุคคลที่ได้รับอนุญาตเท่านั้นจึงจะอ่านข้อมูลได้ ช่วยเก็บความลับให้เป็นความลับ และป้องกันผู้ดักฟังกับผู้ใช้ที่ไม่ได้รับอนุญาต

เครื่องมือเครือข่ายที่ช่วยปกป้องการรักษาความลับ ได้แก่ การเข้ารหัส (การทำให้ข้อมูลอ่านไม่ออก เพื่อให้เฉพาะกุญแจที่ถูกต้องเท่านั้นที่ถอดได้) การยืนยันตัวตนที่รัดกุม และการควบคุมการเข้าถึง เมื่อคุณท่องเว็บผ่าน HTTPS การเข้ารหัสจะปกป้องความลับของการรับส่งข้อมูลจากผู้ที่แอบสอดส่องบนสายสัญญาณ

ความถูกต้องครบถ้วนหมายถึงข้อมูลถูกต้องและไม่ถูกเปลี่ยนแปลง สิ่งที่มาถึงต้องตรงกับสิ่งที่ส่งไปทุกประการ ช่วยป้องกันการปลอมแปลงและความเสียหายจากความผิดพลาด

เครื่องมือทั่วไปสำหรับรักษาความถูกต้องครบถ้วนคือการแฮช ซึ่งเป็นฟังก์ชันที่เปลี่ยนข้อมูลให้เป็นลายนิ้วมือแบบคงที่ หากมีการเปลี่ยนแปลงแม้เพียงหนึ่งบิต ค่าแฮชก็จะเปลี่ยนไปและเปิดเผยการปลอมแปลง ลายเซ็นดิจิทัลและผลรวมตรวจสอบใช้แนวคิดนี้เพื่อพิสูจน์ว่าข้อมูลไม่ได้ถูกแก้ไขระหว่างการส่ง

ความพร้อมใช้งานหมายถึงระบบและข้อมูลสามารถเข้าถึงได้เมื่อผู้ใช้ที่ได้รับอนุญาตต้องการ ระบบที่รักษาความลับและมีความถูกต้องสมบูรณ์แบบจะไม่มีประโยชน์หากไม่สามารถใช้งานได้

ความพร้อมใช้งานได้รับการปกป้องด้วยความซ้ำซ้อน (เส้นทางและอุปกรณ์สำรอง) การสำรองข้อมูลเป็นประจำ การสลับไปใช้ระบบสำรอง และการป้องกันการโจมตีแบบปฏิเสธการให้บริการ ซึ่งพยายามทำให้บริการรับภาระเกินขีดจำกัดจนใช้งานไม่ได้

เป้าหมายทั้งสามประการมักขัดแย้งกัน การเข้ารหัสอย่างเข้มข้นและการควบคุมการเข้าถึงที่เคร่งครัดช่วยเพิ่มการรักษาความลับ แต่อาจทำให้ระบบช้าลงและลดความพร้อมใช้งาน การล็อกทุกอย่างอย่างเข้มงวดเกินไปอาจสร้างความลำบากให้ผู้ใช้ที่มีสิทธิ์

การรักษาความปลอดภัยที่ดีต้องหาสมดุลที่เหมาะสมสำหรับแต่ละระบบ โดยพิจารณาจากคุณค่าและความเสี่ยง หน้าเว็บสาธารณะให้ความสำคัญกับความพร้อมใช้งาน ส่วนเวชระเบียนให้ความสำคัญกับการรักษาความลับและความถูกต้องครบถ้วน

การรักษาความลับถูกทำลายโดยการรั่วไหลของข้อมูล การดักฟัง (การดักจับการรับส่งข้อมูล) การแอบมองหน้าจอ และข้อมูลรับรองที่ถูกขโมย ในเครือข่าย ผู้โจมตีที่ดักจับการรับส่งข้อมูลที่ไม่ได้เข้ารหัสสามารถอ่านรหัสผ่านและข้อมูลในรูปแบบข้อความธรรมดาได้

นี่คือเหตุผลที่การเข้ารหัสในทุกจุด (HTTPS, VPN และ Wi-Fi ที่เข้ารหัส) กลายเป็นมาตรฐาน เพราะทำให้การรับส่งข้อมูลที่ถูกดักจับไม่มีค่าโดยทำให้อ่านไม่ได้

ความถูกต้องครบถ้วนถูกโจมตีด้วยการโจมตีระหว่างเส้นทาง (การดักจับและแก้ไขการรับส่งข้อมูล) มัลแวร์ที่แก้ไขไฟล์ และการส่งข้อมูลที่เสียหาย หากผู้โจมตีเปลี่ยนจำนวนเงินในการโอนธนาคารระหว่างทาง ความถูกต้องครบถ้วนก็ถือว่าถูกทำลาย

ค่าแฮช ลายเซ็นดิจิทัล และรหัสยืนยันข้อความจะตรวจจับการเปลี่ยนแปลงเหล่านี้ ทำให้ผู้รับทราบว่าข้อมูลยังเชื่อถือได้และไม่ถูกแก้ไขหรือไม่

ความพร้อมใช้งานถูกโจมตีโดยตรงที่สุดด้วยการโจมตีแบบปฏิเสธการให้บริการและปฏิเสธการให้บริการแบบกระจาย แต่ยังอาจเกิดจากฮาร์ดแวร์ขัดข้อง ไฟฟ้าดับ แรนซัมแวร์ และภัยพิบัติทางธรรมชาติ ทุกสิ่งที่ทำให้บริการใช้งานไม่ได้ล้วนเป็นปัญหาด้านความพร้อมใช้งาน

การป้องกันประกอบด้วยระบบซ้ำซ้อน การกระจายภาระงาน ข้อมูลสำรองนอกสถานที่ และการกรองการรับส่งข้อมูลเพื่อดูดซับหรือบล็อกการโจมตีปริมาณมากก่อนที่จะใช้ทรัพยากรจนหมด

มักมีแนวคิดอีกสองประการเข้ามาร่วมกับสามประการ CIA การยืนยันตัวตนพิสูจน์ว่าบุคคลนั้นเป็นใครก่อนอนุญาตให้เข้าถึง ส่วนการปฏิเสธความรับผิดไม่ได้ทำให้มั่นใจว่าฝ่ายหนึ่งไม่สามารถปฏิเสธภายหลังว่าไม่ได้ส่งข้อความ โดยทั่วไปจะพิสูจน์ด้วยลายเซ็นดิจิทัล

เมื่อรวมกับสามประการ CIA แนวคิดเหล่านี้จะเป็นเป้าหมายที่ผู้เชี่ยวชาญด้านความปลอดภัยใช้ในการออกแบบระบบ และบางครั้งเรียกว่าแบบจำลองความปลอดภัยแบบขยายหรือหลักการที่เกี่ยวข้องกับ AAA

เมื่อประเมินการควบคุมใด ๆ ให้ถามว่าการควบคุมนั้นสนับสนุนเป้าหมายใด ข้อมูลสำรองช่วยปกป้องความพร้อมใช้งาน การเข้ารหัสช่วยปกป้องการรักษาความลับ ผลรวมตรวจสอบช่วยปกป้องความถูกต้องครบถ้วน ไฟร์วอลล์อาจปกป้องได้ทั้งสามประการด้วยการบล็อกการโจมตี

กรอบแนวคิดนี้เปลี่ยนความกังวลด้านความปลอดภัยที่คลุมเครือให้เป็นคำถามที่ชัดเจน ช่วยให้คุณจัดลำดับความสำคัญของการควบคุมที่ปกป้องสิ่งสำคัญที่สุดสำหรับแต่ละระบบ

สามประการ CIA เป็นมุมมองที่ช่วยให้เข้าใจหัวข้อความปลอดภัยอื่น ๆ ทั้งหมด การแบ่งส่วน การควบคุมการเข้าถึง การเข้ารหัส และการเฝ้าติดตาม ล้วนย้อนกลับไปสู่การปกป้องการรักษาความลับ ความถูกต้องครบถ้วน หรือความพร้อมใช้งาน

เริ่มการวิเคราะห์ความปลอดภัยทุกครั้งด้วยการถามว่าสามประการใดกำลังตกอยู่ในความเสี่ยง แล้วคุณจะเข้าใจทั้งภัยคุกคามและการป้องกันที่ตอบโต้ภัยนั้นได้เสมอ

ทดสอบความเข้าใจของคุณเกี่ยวกับสามประการ CIA

สามประการ CIAกำหนดเป้าหมายด้านความปลอดภัยสามประการ ได้แก่ การรักษาความลับ (อนุญาตเฉพาะการเข้าถึงที่ได้รับสิทธิ์ โดยใช้การเข้ารหัส) ความถูกต้องครบถ้วน (ข้อมูลไม่ถูกแก้ไข โดยใช้การแฮช) และ ความพร้อมใช้งาน (เข้าถึงได้เมื่อต้องการ โดยใช้ความซ้ำซ้อน) เป้าหมายทั้งสามมีข้อแลกเปลี่ยนระหว่างกัน ดังนั้นการออกแบบที่ดีจึงต้องสร้างสมดุลให้เหมาะกับแต่ละระบบ การยืนยันตัวตนและการปฏิเสธความรับผิดไม่ได้ช่วยขยายแบบจำลองนี้