¿Qué es la Tríada de la CIA (Confidencialidad, Integridad, Disponibilidad)?

Descripción General

La Tríada de la CIA (Confidencialidad, Integridad y Disponibilidad, por sus siglas en inglés) representa los tres objetivos fundamentales de la seguridad de la información. Estos principios básicos guían la selección de controles de seguridad, la evaluación de riesgos y la valoración del impacto de los incidentes en ISO 27001 y en todos los marcos de seguridad de la información.

Qué significa en la práctica

Cada control de seguridad que implemente protege uno o más aspectos de la Tríada de la CIA. Al evaluar los riesgos, se analizan los impactos potenciales en la confidencialidad, la integridad y la disponibilidad. Cuando ocurren incidentes, el daño se mide en términos de la CIA.

Confidencialidad

Definición

La confidencialidad garantiza que la información no se divulgue a personas, entidades o procesos no autorizados. Solo aquellos con una necesidad legítima y la autorización adecuada pueden acceder a la información sensible.

Qué protege la confidencialidad

• Datos personales: Información del cliente, registros de empleados, datos de salud

• Secretos comerciales: Secretos industriales, planes estratégicos, modelos de precios

• Información financiera: Detalles bancarios, datos de tarjetas de pago, estados financieros

• Propiedad intelectual: Código fuente, patentes, investigación patentada

• Comunicaciones confidenciales: Correos electrónicos privados, correspondencia legal

Amenazas a la confidencialidad

• Brechas de datos y acceso no autorizado

• Amenazas internas (divulgación maliciosa o accidental)

• Ingeniería social y ataques de phishing

• Controles de acceso o autenticación débiles

• Transmisión o almacenamiento de datos sin cifrar

• Eliminación inadecuada de documentos físicos o soportes multimedia

• Mal manejo de datos por parte de terceros

Controles ISO 27001 que protegen la confidencialidad

• A.5.12 - Clasificación de la información: Etiquetar los datos según su sensibilidad

• A.5.15 - Control de acceso: Restringir el acceso a usuarios autorizados

• A.5.17 - Información de autenticación: Asegurar contraseñas y credenciales

• A.8.5 - Autenticación segura: Autenticación de múltiples factores

• A.8.24 - Uso de criptografía: Cifrar datos sensibles

• A.6.6 - Acuerdos de confidencialidad: Protección legal mediante acuerdos de no divulgación (NDA)

• A.5.14 - Transferencia de información: Métodos de transmisión seguros

Medición del impacto en la confidencialidad

Al evaluar el impacto del riesgo en la confidencialidad, considere:

• Legal/Regulatorio: Multas de GDPR, sanciones regulatorias

• Reputacional: Pérdida de confianza del cliente, daño a la marca

• Competitivo: Divulgación de secretos comerciales a competidores

• Financiero: Robo de identidad, pérdidas por fraude, costes de notificación

Integridad

Definición

La integridad garantiza que la información permanezca precisa, completa y sin alteraciones, excepto mediante procesos autorizados. Protege contra la modificación, eliminación o corrupción no autorizada de los datos.

Qué protege la integridad

• Exactitud de los datos: Registros financieros, registros de transacciones, bases de datos de clientes

• Configuraciones del sistema: Ajustes de seguridad, reglas de acceso, configuraciones de red

• Código fuente: Aplicaciones de software, scripts, código de automatización

• Pistas de auditoría: Registros que deben permanecer a prueba de manipulaciones para cumplimiento

• Documentos legales: Contratos, acuerdos, presentaciones regulatorias

Amenazas a la integridad

• Malware que modifica o corrompe archivos

• Cambios no autorizados por parte de personas internas o atacantes

• Errores de software que introducen fallos

• Fallos de hardware que causan corrupción de datos

• Error humano (eliminación o modificación accidental)

• Ataques de intermediario (man-in-the-middle) que alteran datos en tránsito

• Ataques de inyección en bases de datos

Controles ISO 27001 que protegen la integridad

• A.8.13 - Copia de seguridad de la información: Restaurar los datos a un estado conocido como bueno

• A.8.16 - Actividades de monitoreo: Detectar cambios no autorizados

• A.8.24 - Uso de criptografía: Las funciones hash verifican que los datos no hayan cambiado

• A.5.3 - Segregación de funciones: Evitar cambios no autorizados mediante el control dual

• A.8.32 - Gestión de cambios: Controlar las modificaciones del sistema

• A.8.29 - Pruebas de seguridad en el desarrollo: Prevenir problemas de integridad del código

• A.5.33 - Protección de registros: Mantener la integridad de los registros

Medición del impacto en la integridad

Al evaluar el impacto del riesgo en la integridad, considere:

• Operacional: Datos incorrectos que conducen a decisiones empresariales erróneas

• Financiero: Transacciones fraudulentas, errores contables

• Legal: Contratos o registros alterados, pista de auditoría comprometida

• Seguridad física: Cambios en configuraciones de sistemas críticos (salud, control industrial)

Disponibilidad

Definición

La disponibilidad garantiza que la información y los sistemas de información sean accesibles y utilizables por los usuarios autorizados cuando sea necesario. Los sistemas deben ser fiables, resilientes y recuperables.

Qué protege la disponibilidad

• Operaciones comerciales: Aplicaciones críticas, servicios orientados al cliente

• Generación de ingresos: Plataformas de comercio electrónico, procesamiento de pagos

• Sistemas de comunicación: Correo electrónico, herramientas de colaboración, sistemas telefónicos

• Acceso a datos: Bases de datos, servidores de archivos, almacenamiento en la nube

• Infraestructura: Redes, servidores, estaciones de trabajo

Amenazas a la disponibilidad

• Ataques de denegación de servicio distribuido (DDoS)

• Ransomware que cifra datos críticos

• Fallos de hardware y agotamiento de capacidad

• Cortes de energía y desastres ambientales

• Fallos de red y saturación de ancho de banda

• Bloqueos de software y configuraciones erróneas

• Eliminación maliciosa de datos o sistemas

Controles ISO 27001 que protegen la disponibilidad

• A.8.13 - Copia de seguridad de la información: Recuperación ante pérdida de datos

• A.5.29 - Seguridad de la información durante interrupciones: Mantener las operaciones durante incidentes

• A.5.30 - Preparación de las TIC para la continuidad del negocio: Planificación de la recuperación ante desastres

• A.8.6 - Gestión de capacidad: Garantizar recursos de sistema adecuados

• A.8.14 - Redundancia de las instalaciones de procesamiento de información: Eliminar puntos de fallo únicos

• A.7.12 - Mantenimiento de equipos: Mantenimiento preventivo para evitar fallos

• A.8.7 - Protección contra malware: Prevenir interrupciones por ransomware

Medición del impacto en la disponibilidad

Al evaluar el impacto del riesgo en la disponibilidad, considere:

• Financiero: Pérdida de ingresos durante el tiempo de inactividad, penalizaciones de SLA

• Operacional: Pérdida de productividad, incumplimiento de plazos

• Reputacional: Insatisfacción del cliente, fallos en el nivel de servicio

• Legal/Regulatorio: Violaciones de cumplimiento, incumplimientos contractuales

Métricas de disponibilidad

• Objetivo de Tiempo de Recuperación (RTO): Tiempo máximo aceptable de inactividad

• Objetivo de Punto de Recuperación (RPO): Pérdida máxima aceptable de datos

• Tiempo Medio Entre Fallos (MTBF): Medida de la fiabilidad del sistema

• Tiempo Medio de Reparación (MTTR): Rapidez con la que se restaura el servicio

• Porcentaje de tiempo de actividad: 99.9% (8.76 horas/año de inactividad), 99.99% (52.6 minutos/año)

Equilibrio de la Tríada de la CIA

Compromisos entre principios

Los controles de seguridad a menudo implican equilibrar los principios de la CIA:

• Confidencialidad frente a Disponibilidad: Un cifrado fuerte protege la confidencialidad, pero puede ralentizar el rendimiento del sistema o complicar la recuperación si se pierden las claves de cifrado

• Integridad frente a Disponibilidad: Los procesos extensos de control de cambios y aprobación protegen la integridad, pero pueden retrasar las actualizaciones urgentes del sistema necesarias para la disponibilidad

• Disponibilidad frente a Confidencialidad: La alta disponibilidad a menudo requiere la replicación de datos en varias ubicaciones, lo que aumenta el riesgo de confidencialidad al tener múltiples puntos de almacenamiento

Priorización específica según el contexto

Diferentes organizaciones y tipos de información priorizan la CIA de manera distinta:

• Atención sanitaria: La disponibilidad es crítica (el cuidado del paciente depende del acceso al sistema), pero la confidencialidad es un mandato legal (HIPAA)

• Servicios financieros: Integridad primordial (exactitud de las transacciones) con una fuerte confidencialidad y alta disponibilidad

• Sitios web públicos: Disponibilidad crítica (impacto reputacional), integridad importante (evitar el sabotaje visual o defacement), la confidencialidad es menos relevante para datos públicos

• Datos de investigación: Integridad esencial (exactitud de los datos), la confidencialidad varía según la sensibilidad, la disponibilidad puede tolerar cierto retraso

La Tríada de la CIA en los procesos de ISO 27001

Clasificación de la información

Al clasificar los activos (A.5.12), considere qué principios de la CIA necesitan protección:

• Público: Bajos requisitos de CIA

• Interno: Confidencialidad media, integridad media, disponibilidad media

• Confidencial: Alta confidencialidad, alta integridad, disponibilidad variable

• Crítico: Alto en las tres dimensiones de la CIA

Evaluación de impacto en el análisis de riesgos

Las evaluaciones de riesgos de ISO 27001 evalúan el impacto en la confidencialidad, la integridad y la disponibilidad por separado, luego los combinan o priorizan según el contexto de la organización.

Selección de controles

Haga coincidir los tipos de control con las amenazas a la CIA:

• Controles preventivos: Detienen las violaciones de la CIA antes de que ocurran (controles de acceso, cifrado)

• Controles detectives: Identifican las violaciones de la CIA cuando ocurren (monitoreo, registro)

• Controles correctivos: Restauran la CIA tras las violaciones (copias de seguridad, respuesta a incidentes)

Más allá de la Tríada de la CIA

Modelos extendidos

Algunos marcos añaden principios de seguridad adicionales:

• Autenticidad: Verificación de que los datos o usuarios son genuinos (cubierto por controles de autenticación)

• No repudio: Prueba de que las acciones no pueden ser negadas (pistas de auditoría, firmas digitales)

• Responsabilidad (Accountability): Trazabilidad de las acciones hacia individuos (registros, controles de acceso)

ISO 27001 aborda estos principios implícitamente a través de los controles, pero se centra principalmente en la CIA.

La Tríada de la CIA en la respuesta a incidentes

Clasificación de incidentes

Categorice los incidentes de seguridad según el principio de la CIA que fue violado:

• Incidentes de confidencialidad: Brechas de datos, acceso no autorizado, filtraciones de información

• Incidentes de integridad: Modificaciones no autorizadas, corrupción de datos, defacement

• Incidentes de disponibilidad: Ataques DDoS, ransomware, cortes del sistema

Priorización de la respuesta

La gravedad depende de qué principio de la CIA se vea afectado y su importancia para su negocio. Una brecha de confidencialidad de datos personales (PII) de clientes puede ser más grave que la indisponibilidad temporal de una herramienta interna.

Conceptos relacionados

• Evaluación de Riesgos - Evalúa las amenazas a la CIA

• Activo - Elementos que requieren protección de la CIA

• Control - Medidas que protegen la CIA

• Clasificación de la Información - Categorización de datos por requisitos de la CIA

• Respuesta a Incidentes - Abordar las violaciones de la CIA

Obtener ayuda

Utilice ISMS Copilot para evaluar qué principios de la CIA son más críticos para sus activos, seleccionar los controles de manera adecuada y documentar el impacto en la CIA en sus evaluaciones de riesgos.