A tríade CIA é um acrônimo fundamental para aplicar uma estratégia de cibersegurança, já que ela reúne os três princípios centrais para promover a segurança de um sistema: confidencialidade, integridade e disponibilidade.
Nesse sentido, a falta dessas medidas pode tornar a empresa mais suscetível a ataques cibernéticos, com perda de dados, além de estimular a necessidade de retrabalhos.
Leia o post até o final para conhecer cada uma delas em detalhes e saber como colocar em prática.
Quais são os três componentes da tríade CIA?
Confidencialidade
A confidencialidade visa proteger e manter a privacidade de informações confidenciais de usuários não autorizados. A manutenção da confidencialidade ajuda a fazer com que apenas indivíduos autorizados possam acessar as informações e os sistemas.
As melhores práticas para reforçar a confidencialidade são:
- Criptografia: converte dados de um formato legível em formato codificado para evitar que eles sejam acessados para fins maliciosos. Somente indivíduos autorizados com as chaves de decodificação apropriadas podem decifrar e acessar as informações;
- Autenticação: analisa a identidade dos usuários que tentam acessar o sistema ou os dados, normalmente por meio do uso de credenciais como nome de usuário/senha ou biometria;
- Controle de Acesso: define e regula quais recursos ou dados podem ser acessados por usuários específicos e sob quais condições. Isso inclui o uso de senhas fortes, autenticação multifator;
- Comunicação segura: para manter a confidencialidade durante a transmissão de dados, os protocolos de comunicação segura como SSL/TLS (Secure Sockets Layer/Transport Layer Security) são úteis para criptografar os dados enquanto eles estão em trânsito.
Integridade
A integridade ajuda a proteger as informações que não estão sob o controle do proprietário (corporativo ou privado) e os sistemas contra modificações realizadas por indivíduos não autorizados. Esse aspecto da tríade é crucial para manter a precisão, consistência e confiabilidade nos sistemas e dados.
Os principais controles de integridade incluem:
- Checksums: também conhecidos como somas de verificação, são cálculos matemáticos que podem verificar a integridade dos dados ao detectar qualquer alteração ou erro na transmissão ou no armazenamento de dados. Vale ressaltar que o foco principal é a detecção e não correção de de erros;
- Mecanismo de garantia da integridade da informação: por meio de funções como Hashing ou checagem, um código único é gerado para avaliar a integridade da informação;
- Assinaturas digitais: existem técnicas criptográficas que criam uma assinatura digital exclusiva para verificar a identidade do remetente e detectar quaisquer modificações nos dados.
Disponibilidade
A disponibilidade garante que os sistemas e as informações sejam acessíveis e funcionais quando necessário, para obter a recuperação automática e evitar interrupções. Um exemplo é quando ocorre a perda de comunicação com um sistema importante para a empresa, decorrente da queda de um servidor ou uma aplicação crítica que apresentou uma falha devido a um erro interno ou ação não autorizada.
As soluções mais recomendados para aumentar a disponibilidade são:
- Redundância: duplicar ou fazer backup de componentes ou sistemas que podem ser utilizados em caso de falha como substituição. Isso pode ser implementado em vários níveis, como infraestrutura de rede, servidores ou armazenamento de dados;
- Tolerância a falhas: capacidade de um sistema manter o funcionamento na presença de falhas de hardware ou software, mesmo que de forma parcial. Geralmente, eles incluem recursos como failover automático, em que um componente de backup assume o controle quando o componente principal falha;
- Planos de recuperação: essa medida descreve as estratégias e procedimentos para recuperar os sistemas e dados em casos como falha de hardware, ataque de malware ou erro humano. Esses planos incluem estratégias de backup, armazenamento de dados fora do local e etapas predefinidas para recuperação e restauração do sistema.
Bônus
Além dos três princípios apresentados acima, existem dois conceitos da segurança da informação que são importantes e vale a pena conhecer:
Irretratabilidade
Também conhecida como não repúdio, esse termo se refere a propriedade responsável por impedir que indivíduos neguem seu envolvimento em uma transação digital ou a autenticidade de um ativo digital.
É um aspecto fundamental da manutenção da confiança e responsabilidade nas interações digitais, além de contextos legais e regulatórios, para evitar disputas, fraudes e repúdio. Ela ajuda a obter evidências da integridade e origem dos dados.
Algumas práticas comuns são:
- Assinaturas Digitais e Comunicação Segura conforme citamos acima;
- Registros de Auditoria e Carimbos de data e hora: os logs de auditoria registram eventos e ações executados em um sistema, enquanto os carimbos de data e hora fornecem um registro cronológico de quando esses eventos ocorreram. Portanto, ambos servem como prova das ações realizadas por indivíduos ou entidades.
- Não utilizar contas em grupo: uma conta única de acesso que possui dois ou mais usuários dificulta a análise das atividades sobre quem realizou determinada ação. Por isso, é importante evitar isso para aumentar a irretratabilidade.
Autenticidade
A autenticidade é um princípio que busca validar se as entidades digitais, como usuários, sistemas ou dados são legítimos e confiáveis. Ela é útil para evitar a falsificação de identidade, manipulação de dados e acesso não autorizado.
Isso ajuda a promover confiança, legitimidade das entidades digitais, além de fortalecer a postura geral de segurança de sistemas e redes.
Os pontos-chave da autenticidade são:
- Autenticação de usuários: é fundamental para garantir que somente pessoas autorizadas possam acessar sistemas, redes ou dados confidenciais. Os principais métodos incluem senhas, biometria e autenticação de dois fatores;
- Autenticação de sistemas e dispositivos: envolve a verificação de sua identidade e integridade. Geralmente, isso ocorre com o uso de certificados digitais, chaves criptográficas ou mecanismos de inicialização segura;
- Auditoria e registro de logs: os logs servem como evidência de atividades, o que ajuda a estabelecer autenticidade das ações executadas por usuários ou sistemas.
Checks para obter confidencialidade, integridade e disponibilidade
- Transferência de dados sem HTTPS: para ampliar a proteção do Storage Account é recomendado habilitar o recurso de transferência segura para que todos os dados sejam criptografados com o protocolo HTTPS, pois rejeita qualquer solicitação originada de uma conexão insegura;
- Verificação de integridade do arquivo de log do CloudTrail não está ativo: os logs do CloudTrail podem conter informações importantes para a organização, então para verificar os arquivos e detectar se eles foram modificados ou excluídos, recomenda-se habilitar a verificação de integridade;
- Instâncias do banco de dados Cloud SQL sem backup ativado: habilitar o backup automático das instâncias de banco de dados é importante para recuperar o conteúdo em caso de perda, roubo de dados ou desastres que envolvam a estrutura física de armazenamento do provedor.
Aplique os pilares da tríade CIA com o CleanCloud Score
Agora que você conhece os pilares de confidencialidade, integridade e disponibilidade, é preciso contar com uma solução de cibersegurança para implementar uma política de segurança com qualidade.
O CleanCloud Score pode ser um parceiro estratégico nesse cenário, para ajudar a estimular uma postura de segurança consolidada em toda a estrutura da empresa, ao orientar processos e equipes.
A plataforma disponibiliza +400 verificações para identificar vulnerabilidades no ambiente em nuvem AWS, Azure e Google Cloud para corrigi-las com um passo a passo de remediação em cada uma delas.
Saiba mais: https://cleancloud.io/
