信息安全的核心：CIA三元組 | 安全千字文系列1

05-11

我們總是在說信息安全管理，那麼信息安全管理到底是在管什麼？我們要如何定義信息安全？

這裡就要引出信息安全最基本的概念：CIA三元組。

為什麼說CIA三元組是信息安全最基本的原則呢？因為我們做的信息安全管理，就是為了保障信息的機密性、完整性、可用性。這是貫穿整個信息安全管理全局的一個思路。包括在進行信息安全評估的時候，通常也從這三個方向著手進行分析。

機密性、完整性、可用性三者相互依存，形成一個不可分割的整體，三者中任何一個的損害都將影響到整個安全系統。

下面詳細介紹一下CIA三元組：

機密性是防止未授權的用戶訪問數據，簡單來說就是「不能看」。

為了維護機密性，通常會在數據的處理、傳輸、儲存過程中進行一些諸如加密或者許可權類的保護措施來進行安全控制。

針對機密性的破壞主要包括竊取密碼文件、社會工程學、嗅探、肩窺等。

這裡著重要提一下肩窺（shoulder surfing）。肩窺就是越過肩膀探看別人操作獲取信息的做法，看到別人輸入密碼，或者看到一些辦公信息導致的機密性損失。

「2016年，Reddit網友Tripleh280放出照片，稱一位疑似是SE的員工在加拿大蒙特利爾的地鐵上使用筆記本編輯一個演講文檔，其中顯示下一作古墓麗影系列遊戲的名稱可能是《古墓麗影：暗影| Shadow of the Tomb Raider》」

這就是一個典型的肩窺破壞機密性的例子。

為何要著重提出肩窺呢？因為很多安全管理工作者總會有一種想法，認為只有所謂的「黑客入侵「、病毒攻擊才會對安全造成破壞。這是必須扭轉的錯誤觀念。很多時候，進入辦公室，偷走一塊硬碟或者拿走一疊文件，往往會造成更大的損失。

完整性是防止未授權的修改數據，也就是：「不能改」

針對完整性的破壞主要有病毒、應用程序錯誤、邏輯炸彈，以及被授權用戶的非授權操作。

所以，為了保護完整性，要進行嚴格的訪問控制，嚴格的身份認證以及嚴密的人員培訓。

完整性依賴於機密性，如果沒有機密性，也就無法維護完整性。

可用性是保證經過授權的客戶能及時準確的不間斷的訪問數據，也就是「一直用」

針對破壞可用性的威脅主要有設備故障、軟體錯誤、包括一些不可抗力如洪水、火災等。再企業中，造成可用性破壞的最主要原因是人為錯誤，疏忽或失職造成的如意外刪除文件、私自分配資源、安全策略配置錯誤等。

可用性依賴於完整性和機密性。

不同機構對CIA三元組的需求重點是不同的，安全管理員要根據自己企業的實際情況進行安全管理分析。如軍隊和政府更傾向於更高的機密性，而私人企業更傾向較高的可用性。

以指紋識別舉例：軍隊和政府可能要求指紋匹配率99%才能進入，從而會導致有些授權用戶需要嘗試多次才能進入系統；而個人企業僅要求指紋匹配了95%就能進入系統，以保證授權員工一次性就能登錄系統，但是這就導致了一些「萬能指紋」的出現使得未授權的用戶有進入系統的可能性。

本文首發於微信公眾號：聽雨的安全屋 tysafehouse

歡迎大家關注，在這裡，我們不說技術，只聊管理。