Search

What is the CIA Triad


באופן אידאלי, בכל מצב – בין אם זה במחשבים בבית, בעבודה או באיזו חוות שרתים עצומה כלשהי, נרצה שהמידע שלנו יהיה סודי, שלם וזמין בצורה קבועה. שלישיית CIA או לעיתים קרובות AIC (על מנת למנוע בלבול עם -Central Intelligence Agency), הינה שלישיה של עקרונות היסוד של אבטחת מידע Confidentiality, Integrity, Availability. במאמר זה נסקור את השלישייה לעומק ונציג את משמעות כל אחד מהם, האכיפה שלהם והתקפות נגדם.


קרדיט ל- zenithtechnologies.com על התמונה

סודיות – Confidentiality:

סודיות היא עקרון אשר נועד בכדי לוודא שמידע לא ייחשפו בפניי אנשים לא מורשים. במילים אחרים סודיות נועדה בכדי לשמור על מידע סודי ונתונים פרטיים סודיים או מוגבלים ולמנוע מאנשים לא מורשים מידע מסווג אשר עלול לגרום נזק לבעלי המידע. ניתן לאכוף סודיות במספר דרכים, כגון:

- הצפנת מידע/קריפטוגרפייה

- שימוש בזיהוי ואימות (I&A)

- ניהול הראשות גישה

- הסתרת מידע

מספר דרכים נוספות אשר משומשות ביום יום הינם שימוש ב-VPN, שימוש בפרוטוקולים מאובטחים, שימוש במחיצת נתונים מאובטחת והטמעה של בקרות גישה המבוססות על RBAC ו- ABAC.

יש מספר של סוגים ראשיים של מתקפות שנועדו לפגוע בסודיות של ארגון, לדוגמה:

- מתקפות המבוססות הנדסה חברתית

- ניטור והאזנות

- שימוש בסניפר

- גניבה ופריצה

- ריגול

עקרון הסודיות הינו עקרון חשוב וייעודו להבטיח את בטחון המידע של חברות וארגונים.

שלמות – Integrity:

שלמות הינו עקרון שבא בכדי להבטיח שמידע לא יעבור שינויים על ידי גורמים לא מוכרים במהלך העברתו, יש לשמור את המידע אמין ולמנוע עריכה, בין אם בטעות או בכוונה תכילה – עריכה שכזו יכולה להוביל לגרימת נזק לאמינות המידע. אכיפת שלמות יכולה להתבצע דרך:

- שימוש בגיבוב וקריפטוגרפיה

- הגדרות ותצורת ניהול

- ניהול הראשות גישה

- שימוש בנתיבי תקשורת מאובטחים

מספר דרכים נוספות אשר נמצאות בשימוש ביום יום הינם ניטור המידע, וניהול תצורת ביקורת והטמעת בקרות גישה המבוססות על RBAC ו- ABAC.

קיימות מספר מתקפות נפוצות אשר נועדו לפגוע בעקרון שלמות המידע, כגון:

- שימוש בקוד זדוני או תוכנה

- ניצול שינויים במערכת

- ניצול באגים בתוכנה

- יצירת שינויים ועריכות במידע

זמינות – Availability:

זמינות הינו עקרון אשר נועד לוודא שהמידע או הנתונים זמינים לשימוש על ידי האנשים שצריכים אותו ומורשים לכך, זהו עיקרון שמתייחס לזמינות המידע בצורה חיה, לדוגמא זמינות של אתר למשתמשים שלו, או זמינות רשת האינטרנט ללקוחות שלה.

ניתן לאכוף זמינות במספר דרכים כמו:

- עבודה עם ארכיטקטורת מערכת ועיצוב

- שימוש במערכות מוגנות וגיבויים

- שימוש בשירותים שאפשר לסמוך עליהם

- השמת נהלים להתאוששות מאסון ותכנון המשכיות עסקית

עוד דרכי אכיפה שניתן לפגוש לעיתים:

- ווידוא זמינות עבור נכסי מערכת חשובים

- תחזוקה של עותקים או גיבויים של מידע חשוב

- ביצוע גיבוי נתונים בתזמון קבוע

ישנן מספר מתקפות אשר מתמקדות בפגיעה בעקרון זה:

- מתקפות DoS ו-DDoS

- ניצול פגמים בתוכנה

- מתקפות פיזיות כנגד המתקן או נגד אחד הנכסים

כמו כן דברים מחוץ לשליטת החברה יכולים לגרום לפגיעה בעקרון הזמינות, כדוגמת אסונות טבע ועומסים בלתי צפויים. פגיעה בזמינות המידע פוגעת בתהליך העבודה של חברה ויכולה ליצור נזק כלכלי גבוה.

חשוב להבין מהו משולש ה-CIA ואיך משתמשים בו בכדי לתכנן וליישם מדיניות אבטחה איכותית בחברות. העקרונות השונים מאחוריו מאפשרת חיזוק משמעותי באבטחה היום יומית של חברה. ניתן לקחת כדוגמה לחשיבות המדיניות הזו את המקרה של ה-Whistleblower אדוארד סנודן שדיווח לציבור על אוסף המידע האישי העצום שה-NSA מחזיק. כל הסיכונים, האיומים והפגיעויות נמדדות על פי היכולת הפוטינציאלית שלהם לסכן את אחד העקרונות של המשלוש, ומשלוש זה הינו הבסיס ליצירת לאבטחת מידע בכלל להגנה על המידע הרגיש של ארגונים בפרט.

אדוניס עזאם, ראש צוות בחברת ThinkCyber

0 views

© 2020 by ThinkCyber

THE 2020

CYBERIUM