CIA TRIAD

Confidentiality

La confidencialidad apunta a proteger la información sensible de intrusos o usuarios no autorizados.

Esto de 3 formas principales

• Encriptación

  • Convertir información en no legible para usuarios no autorizados.

• Authenticación

  • Asegurar la identidad de quién está intentando acceder al sistema o información. Generalmente con credenciales (password/biométrica/etc)

• Control de acceso

  • Definir y regular que recursos o información pueden acceder ciertos usuarios y bajo qué circunstancias

Integrity

La integridad asegura que la información y sistemas estén protegidos contra usuarios no autorizados. Crucial para mantener consistencia, precision y fiabilidad en los sistemas y la información.

Los tres puntos principales

• Checksums

  • Cálculos matemáticos usados para verificar la integridad de la información y detectar cambios

• Permisos de archivos

  • Asegurar que sólo los usuarios autorizados tengan la habilidad de modificar o borrar archivos específicos

• Firmas digitales

  • Técnica criptográfica que puede ser usada para autenticar la fuente e integridad de la información o mensajes.

Availability

La disponibilidad asegura que los sistemas sean accesibles y funcionales cuando sea necesario. Mientras mejor sea, más eficiente y fiable serán los sistemas

Los tres puntos principales:

• Redundancia

  • Duplicados o respaldos de sistemas o archivos críticos que pueden ser usados para garantizar la disponibilidad del sistema

• Tolerancia al fallo

  • Capacidad del sistema de continuar funcionando aun cuando hayan ciertas fallas

• Respaldos

  • Copias regulares de la información para prevenir pérdidas en caso de catástrofe (malwares, desastres naturales, fallas del sistema)

Los planes de seguridad se basan en tres elementos

Assets, Threats y Vulnerabilities.

• ASSETS
  Un asset (activo) es un item percibido como de valor para la organización.

  • El edificio, equipos, información, empleados.

• THREATS
  Los threats (amenazas) es una circunstancia o evento que tiene un impacto negativo en los activos.

  • Ataques directos, phishing, filtraciones
  • Pueden ser involuntarios o intencionales

VULNERABILITIES
Las vulnerabilidades son debilidades que pueden ser explotadas por una amenaza.

• Contraseñas no seguras, privilegios mal administrados, configuraciones por defecto.
• Pueden ser técnicas o humanas

Ejemplo de un inventario de activos conectados en mi casa

La información tiene tres estados

• En uso
  • Que ha sido accedida por una o más persona (por ej buzón de correo electrónico)
• En tránsito
  • Que está viajando de un punto a otro (una respuesta a un correo electrónico)
• En descanso
  • Cuando no está siendo activamente usada (cuando cerramos dicha sesión y no estamos activamente revisandolo)

D.A.D.

El opuesto de CIA.

• Disclosure
  • El divulgar la información rompe la confidencialidad
• Alteration
  • Alterar la información rompe la integridad de la misma, ya no es confiable
• Destruction/Denial
  • Destruir la información haría que esta ya no esté disponible, lo mismo el denegar su acceso a quien lo necesite