C.I.A. Triade

cia
@Adobe @Sashkin

Was ist die CIA-Triade? Die Komponenten der CIA-Triade, eine Definition

Die CIA-Triade ist ein weit verbreitetes Informationssicherheitsmodell, das die Bemühungen und Richtlinien einer Organisation zur Sicherung ihrer Daten leiten kann. Das Modell hat nichts mit der USCentral Intelligence Agency zu tun; vielmehr stehen die Initialen für die drei Prinzipien, auf denen Informationssicherheit beruht:

Vertraulichkeit: Nur autorisierte Benutzer und Prozesse sollten auf die Daten zugreifen oder sie ändern können.

Integrität: Daten sollten in einem korrekten Zustand gehalten werden, und niemand sollte in der Lage sein, sie unsachgemäß zu ändern, weder versehentlich noch böswillig.

Verfügbarkeit: Autorisierte Benutzer sollten jederzeit auf die Daten zugreifen können, wenn sie dies benötigen.

Diese drei Prinzipien sind offensichtlich für jeden Informationssicherheitsprofi oberstes Gebot. Aber sie als Triade zu betrachten, zwingt die Sicherheitsprofis, die harte Arbeit zu leisten und darüber nachzudenken, wie sie sich überschneiden und manchmal gegenüber stehen können, was bei der Festlegung von Prioritäten bei der Umsetzung von Sicherheitspolitiken helfen kann. Auf jedes dieser Prinzipien werden wir gleich ausführlicher eingehen, aber lassen Sie uns zunächst über die Ursprüngeund die Bedeutung der Triade sprechen.

Wer hat die CIA-Triade geschaffen und wann?

Im Gegensatz zu vielen grundlegenden Konzepten der Informationssicherheit scheint die CIA-Triade nicht einen einzigen Schöpfer oder Befürworter zu haben; vielmehr hat sie sich im Laufe der Zeit als ein Weisheitsartikel der Informationssicherheitsprofis herauskristallisiert. Ben Miller, ein VP bei der Cybersicherheitsfirma Dragos, geht auf frühe Erwähnungen der drei Komponenten der Triade in einem Blog-Post zurück; er glaubt, dass das Konzept der Vertraulichkeit in der Informatik 1976 in einer Studie der U.S. Air Force formalisiert wurde, und die Idee der Integrität wurde in einem Papier von 1987 dargelegt, in dem anerkannt wurde, dass insbesondere die kommerzielle Datenverarbeitung spezifische Bedürfnisse im Zusammenhang mit Buchhaltungsunterlagen hatte, dieeinen Schwerpunkt auf die Korrektheit der Daten erforderten. Die Verfügbarkeit ist schwieriger zu bestimmen, aber die Diskussion um diese Idee wurde 1988 verstärkt geführt, als der Morris-Wurm, eines der ersten weit verbreiteten Stücke von Malware, einen bedeutenden Teil des Internets vom Netz nahm.

Es ist auch nicht ganz klar, wann die drei Konzepte als Triade behandelt wurden. Aber es scheint sich bereits 1998 als grundlegendes Konzept etabliert zu haben, als Donn Parker in seinem Buch Fighting Computer Crime vorschlug, dieses Konzept auf ein Sechs-Elemente-System namens Parker'sches Hexad auszuweiten. (Wir werden später in diesem Artikel auf das Hexad zurückkommen).

Die CIA-Triade dient also seit mehr als zwei Jahrzehnten als eine Möglichkeit für Informationssicherheitsexperten, über ihre Arbeit nachzudenken. Die Tatsache, dass das Konzept Teilder Cybersicherheitslehre ist und niemandem "gehört", hat viele Menschen dazu ermutigt, das Konzept zu vertiefen und ihre eigenen Interpretationen umzusetzen.

Warum ist die CIA-Triade so wichtig?

Jeder, der auch nur mit den Grundlagen der Cybersicherheit vertraut ist, würde verstehen, warum diese drei Konzepte wichtig sind. Aber warum ist es so hilfreich, sie als eine Triade von miteinander verbundenen Ideen zu betrachten, anstatt sie getrennt voneinander zu betrachten?

Es ist lehrreich, sich die CIA-Triade als eine Möglichkeit vorzustellen, sich einen Überblick über die verwirrende Vielfalt an Sicherheitssoftware, -diensten und -techniken zu verschaffen, die auf dem Markt erhältlich sind. Anstatt nur Geld und Berater auf das vage "Problem" der "Cybersicherheit" zu werfen, können wir gezielte Fragen stellen, während wir planen und Geld ausgeben: Macht dieses Werkzeug unsere Informationen sicherer? Hilft dieser Dienst, die Integrität unserer Daten zu gewährleisten? Wird die Stärkung unserer Infrastruktur unsere Daten leichter für diejenigen verfügbar machen, die sie benötigen?

Außerdem macht die Anordnung dieser drei Konzepte in einer Triade deutlich, dass sie in vielen Fällen in einem Spannungsverhältnis zueinander stehen. Einige Beispiele werden wir gleich noch genauer untersuchen, aber einige Gegensätze sind offensichtlich: Die Forderung nach einer ausgefeilten Authentifizierung für den Datenzugriff kann dazu beitragen, die Vertraulichkeit der Daten zu gewährleisten, aber es kann auch bedeuten, dass einige Personen, die das Recht haben, diese Daten einzusehen, Schwierigkeiten damit haben und damit die Verfügbarkeit verringern. Die Berücksichtigung der CIA-Triade bei der Festlegung von Informationssicherheitsrichtlinien zwingt ein Team dazu, produktive Entscheidungen darüber zu treffen, welches der drei Elemente für bestimmte Datensätze und für die Organisation als Ganzes am wichtigsten ist.

Beispiele für die CIA-Triade

Um zu verstehen, wie die CIA-Triade in der Praxis funktioniert, betrachten Sie das Beispiel eines Bankautomaten, der den Benutzern Zugang zu Bankguthaben und anderen Informationen bieten kann. Ein Geldautomat verfügt über Werkzeuge, die alle drei Prinzipien der Triade abdecken:

Er bietet Vertraulichkeit, indem er eine Zwei-Faktor-Authentifizierung (sowohl eine physische Karte als auch einen PIN-Code) erfordert, bevor er den Zugang zu Daten erlaubt.

Die Geldautomaten- und Bankensoftware setzt die Datenintegrität durch, indem sie dafür sorgt, dass alle über das Gerät getätigten Überweisungen oder Abhebungen in der Buchhaltung des Bankkontos des Benutzers ausgewiesen werden.

Das Gerät bietet Verfügbarkeit, da es sich an einem öffentlichen Ort befindet und auch dann zugänglich ist, wenn die Bankfiliale geschlossen ist.

Aber die drei Prinzipien sind mehr als nur das, was an der Oberfläche ist. Hier sind einige Beispiele dafür, wie sie in alltäglichen IT-Umgebungen funktionieren.

Beispiele für die Vertraulichkeit der CIA-Triade

Vieles von dem, was Laien als "Cybersicherheit" bezeichnen - im Wesentlichen alles, was den Zugang zu Daten einschränkt - fällt unter den Begriff der Vertraulichkeit. Dazu gehören die beiden großen As von infosec:

Authentifizierung, die Prozesse umfasst, die es den Systemen ermöglichen, festzustellen, ob ein Benutzer derjenige ist, für den er sich ausgibt. Dazu gehören Passwörter und die Palette der verfügbaren Techniken zur Feststellung der Identität: Biometrie, Sicherheits-Token, kryptographischeSchlüssel und ähnliches.

Autorisierung, die bestimmt, wer auf welche Daten zugreifen darf: Nur weil ein System weiß, wer Sie sind, öffnet es nicht notwendigerweise alle seine Daten für Ihre Einsicht! Eine der wichtigsten Möglichkeiten, die Vertraulichkeit durchzusetzen, ist die Einrichtung von "Need-to-know"-Mechanismen für den Datenzugriff; auf diese Weise können Benutzer, deren Konten gehackt wurdenoder die abtrünnig geworden sind, keine sensiblen Daten kompromittieren. Die meisten Betriebssysteme erzwingen die Vertraulichkeit in diesem Sinne, indem sie viele Dateien nur ihren Erstellern oder einem Admin zugänglich machen.

Die Kryptographie mit öffentlichen Schlüsseln ist eine weitverbreitete Infrastruktur, die beides erzwingt: Indem Sie mit Hilfe kryptographischer Schlüssel authentifizieren, dass Sie der sind, der Sie zu sein vorgeben, legen Sie Ihr Recht auf die Teilnahme an der verschlüsselten Konversation fest.

Die Vertraulichkeit kann auch mit nicht-technischen Mitteln durchgesetzt werden. Zum Beispiel kann die Geheimhaltung von Hardcopy-Daten hinter Schloss und Riegel gewährleistet werden, ebenso wie das Abhören von Computern und der Kampf gegen Social-Engineering-Versuche.

Ein Verlust der Vertraulichkeit wird definiert als Daten, die von jemandem gesehen werden, der sie nicht hätte sehen sollen. Große Datenverstöße wie der Marriott-Hack sind erstklassige, hochkarätige Beispiele für den Verlust der Vertraulichkeit.

Beispiele für die Integrität der CIA-Triade

Die Techniken zur Aufrechterhaltung der Datenintegrität können sich über das erstrecken, was viele als disparate Disziplinen ansehen würden. Viele der Methoden zum Schutz der Vertraulichkeit erzwingen beispielsweise auch die Datenintegrität: Sie können schließlich nicht böswillig Daten ändern, auf die Sie keinen Zugriff haben. Wir haben auch die Datenzugriffsregeln erwähnt, die von den meisten Betriebssystemen durchgesetzt werden: In einigen Fällen können Dateien von bestimmten Benutzern gelesen, aber nicht bearbeitet werden, was dazu beitragen kann, die Datenintegrität zusammen mit der Verfügbarkeit zu erhalten.

Aber es gibt noch andere Möglichkeiten, wie die Datenintegrität verloren gehen kann, die über böswillige Angreifer hinausgehen, die versuchen, sie zu löschen oder zu verändern. Technik, die die physische Integrität von Speichermedien schützen soll, kann auch die virtuelle Integrität von Daten schützen.

Viele der Methoden, die Sie gegen Integritätsverletzungen verteidigen würden, sollen Ihnen helfen, zu erkennen, wenn sich Daten geändert haben, wie z.B. Datenprüfsummen, oder sie in einen bekanntguten Zustand zurückzubringen, wie z.B. die Durchführung häufiger und sorgfältiger Backups. Integritätsverletzungen sind etwas weniger häufig oder offensichtlich als Verletzungen der beiden anderen Prinzipien, aber sie können zum Beispiel die Änderung von Geschäftsdaten zur Beeinflussung der Entscheidungsfindung oder das Hacken in ein Finanzsystem umfassen, um den Wert einer Aktie oder eines Bankkontos kurzzeitig aufzublähen und dann den Überschuss abzuschöpfen. Ein einfacheres - und häufigeres - Beispiel für einen Angriff auf die Datenintegrität wäre ein Verunstaltungsangriff, bei dem Hacker das HTML einer Website verändern, um sie aus Spaß oder aus ideologischen Gründen zu zerstören.

Beispiele für die Verfügbarkeit der CIA-Triade

Die Aufrechterhaltung der Verfügbarkeit fällt oft auf die Schultern von Abteilungen, die nicht stark mit der Cybersicherheit verbunden sind. Der beste Weg, um sicherzustellen, dass Ihre Daten verfügbar sind, besteht darin, alle Ihre Systeme am Laufen zu halten und sicherzustellen, dass sie die erwartete Netzwerklast bewältigen können. Dazu gehört es, die Hardware auf dem neuesten Stand zu halten, die Bandbreitennutzung zu überwachen und im Falle eines Systemausfalls Failover- und Disaster Recovery-Kapazitäten bereitzustellen.

Andere Techniken rund um dieses Prinzip beinhalten die Suche nach einem Ausgleich zwischen der Verfügbarkeit und den beiden anderen Anliegen in der Triade. Um auf die in jedem Betriebssystem integrierten Dateiberechtigungen zurückzukommen: Die Idee von Dateien, die von bestimmten Benutzern gelesen, aber nicht bearbeitet werden können, stellt eine Möglichkeit dar, konkurrierendeBedürfnisse auszugleichen: dass Daten für viele Benutzer verfügbar sind, obwohl wir ihre Integrität schützen müssen.

Das klassische Beispiel für den Verlust der Verfügbarkeit durch einen böswilligen Akteur ist ein Denial-of-Service-Angriff. In gewisser Weise ist dies der brutalste Akt der Cyberaggression da draußen: Sie verändern nicht die Daten Ihres Opfers oder werfen heimlich einen Blick auf Informationen, die Sie nicht haben sollten; Sie überhäufen sie nur mit Datenverkehr, so dass sie ihre Website nicht aufrechterhalten können. Aber DoS-Angriffe sind sehr schädlich, und das veranschaulicht, warum die Verfügbarkeit in die Triade gehört.

Umsetzung der CIA-Triade

Die CIA-Triade sollte Sie anleiten, wenn Ihre Organisation ihre allgemeinen Sicherheitsrichtlinien und Rahmenbedingungen schreibt und umsetzt. Denken Sie daran, dass es bei der Umsetzung der Triade nicht darum geht, bestimmte Werkzeuge zu kaufen; die Triade ist eine Art des Denkens, Planens und,vielleicht am wichtigsten, des Setzens von Prioritäten. Branchenübliche Cybersicherheitsrahmen wie die von NIST (die sich sehr auf die Integrität konzentrieren) sind von den Ideen hinter der CIA-Triade geprägt, obwohl jeder seinen eigenen besonderen Schwerpunkt hat.

Über die Triade hinaus: Das Parkerianische Hexad und mehr

Die CIA-Triade ist wichtig, aber sie ist nicht heilig, und es gibt viele infosec-Experten, die Ihnen sagen werden, dass sie nicht alles abdeckt. Wie wir bereits erwähnt haben, schlug Donn Parker 1998 ein sechsseitiges Modell vor, das später als Parker'sches Hexad bezeichnet wurde und auf den folgenden Prinzipien beruht:

  • Geheimhaltung
  • Besitz oder Kontrolle
  • Integrität
  • Authentizität
  • Verfügbarkeit
  • Dienstprogramm

Es ist etwas offen, ob die drei zusätzlichen Punkte wirklich Neuland betreten - Nutzen und Besitz könnten beispielsweise unter der Verfügbarkeit in einen Topf geworfen werden. Aber als alternativesModell ist es erwähnenswert.

Ein letztes wichtiges Prinzip der Informationssicherheit, das nicht so recht in die CIA-Triade passt, ist die Nichtabstreitbarkeit, was im Wesentlichen bedeutet, dass jemand nicht fälschlicherweise leugnenkann, dass er Daten erstellt, verändert, beobachtet oder übermittelt hat. Dies ist in rechtlichen Zusammenhängen von entscheidender Bedeutung, wenn zum Beispiel jemand beweisen muss, dass eine Signatur korrekt ist oder dass eine Nachricht von der Person, deren Name darauf steht, gesendet wurde. Die CIA-Triade ist nicht das A und O, aber sie ist ein wertvolles Werkzeug für die Planung Ihrer infosec-Strategie.

Über den Autor: Uwe Poltoranin
Datenschutzbeauftragter (DGI / bitkom) Datenschutzbeauftragter (TüV Rheinland Akademie) IT-Sicherheitsbeauftragter (TüV Rheinland Akademie)
BSI Grundschutz Praktiker (DGI), ISMS-Prüfer / leitender Prüfer nach ISO / IEC 27001 ( ISACA), IT-Risikomanager (DGI)
Projektmanagement IPMA® Level C, ITIL®Foundation Level, PRINCE2® Foundation Level, Certified Scrum Master - Scrum Product Owner
Nach oben scrollen