信息安全的核心：CIA三元组 | 安全千字文系列1

我们总是在说信息安全管理，那么信息安全管理到底是在管什么？我们要如何定义信息安全？

这里就要引出信息安全最基本的概念：CIA三元组。

• 这里的 C，指的是Confidentiality机密性

• 这里的 I ，指的是Integrity 完整性

• 这里的 A ，指的是Availability可用性。

为什么说CIA三元组是信息安全最基本的原则呢？因为我们做的信息安全管理，就是为了保障信息的机密性、完整性、可用性。这是贯穿整个信息安全管理全局的一个思路。包括在进行信息安全评估的时候，通常也从这三个方向着手进行分析。

机密性、完整性、可用性三者相互依存，形成一个不可分割的整体，三者中任何一个的损害都将影响到整个安全系统。

下面详细介绍一下CIA三元组：

机密性

机密性是防止未授权的用户访问数据，简单来说就是“不能看”。

为了维护机密性，通常会在数据的处理、传输、储存过程中进行一些诸如加密或者权限类的保护措施来进行安全控制。

针对机密性的破坏主要包括窃取密码文件、社会工程学、嗅探、肩窥等。

这里着重要提一下肩窥（shoulder surfing）。肩窥就是越过肩膀探看别人操作获取信息的做法，看到别人输入密码，或者看到一些办公信息导致的机密性损失。

“2016年，Reddit网友Tripleh280放出照片，称一位疑似是SE的员工在加拿大蒙特利尔的地铁上使用笔记本编辑一个演讲文档，其中显示下一作古墓丽影系列游戏的名称可能是《古墓丽影：暗影| Shadow of the Tomb Raider》”

这就是一个典型的肩窥破坏机密性的例子。

为何要着重提出肩窥呢？因为很多安全管理工作者总会有一种想法，认为只有所谓的“黑客入侵“、病毒攻击才会对安全造成破坏。这是必须扭转的错误观念。很多时候，进入办公室，偷走一块硬盘或者拿走一叠文件，往往会造成更大的损失。

完整性

完整性是防止未授权的修改数据，也就是：“不能改”

针对完整性的破坏主要有病毒、应用程序错误、逻辑炸弹，以及被授权用户的非授权操作。

所以，为了保护完整性，要进行严格的访问控制，严格的身份认证以及严密的人员培训。

完整性依赖于机密性，如果没有机密性，也就无法维护完整性。

可用性

可用性是保证经过授权的客户能及时准确的不间断的访问数据，也就是“一直用”

针对破坏可用性的威胁主要有设备故障、软件错误、包括一些不可抗力如洪水、火灾等。再企业中，造成可用性破坏的最主要原因是人为错误，疏忽或失职造成的如意外删除文件、私自分配资源、安全策略配置错误等。

可用性依赖于完整性和机密性。

不同机构对CIA三元组的需求重点是不同的，安全管理员要根据自己企业的实际情况进行安全管理分析。如军队和政府更倾向于更高的机密性，而私人企业更倾向较高的可用性。

以指纹识别举例：军队和政府可能要求指纹匹配率99%才能进入， 从而会导致有些授权用户需要尝试多次才能进入系统；而个人企业仅要求指纹匹配了95%就能进入系统，以保证授权员工一次性就能登录系统，但是这就导致了一些“万能指纹”的出现使得未授权的用户有进入系统的可能性。

本文首发于微信公众号：听雨的安全屋 tysafehouse

欢迎大家关注，在这里，我们不说技术，只聊管理。