Qu'est-ce que la triade CIA (Confidentialité, Intégrité, Disponibilité) ?

Présentation

La triade CIA (pour Confidentiality, Integrity, Availability) représente les trois objectifs fondamentaux de la sécurité de l'information. Ces principes directeurs guident la sélection des mesures de sécurité, l'évaluation des risques et l'analyse de l'impact des incidents dans l'ISO 27001 et tous les cadres de cybersécurité.

Ce que cela signifie en pratique

Chaque mesure de sécurité que vous mettez en œuvre protège un ou plusieurs aspects de la triade CIA. Lors de l'évaluation des risques, vous analysez les impacts potentiels sur la confidentialité, l'intégrité et la disponibilité. En cas d'incident, vous mesurez les dommages selon ces mêmes critères.

Confidentialité

Définition

La confidentialité garantit que l'information n'est pas divulguée à des individus, entités ou processus non autorisés. Seules les personnes ayant un besoin légitime et une autorisation appropriée peuvent accéder aux informations sensibles.

Ce que la confidentialité protège

• Données personnelles : Informations clients, dossiers du personnel, données de santé

• Secrets commerciaux : Secrets de fabrication, plans stratégiques, modèles de tarification

• Informations financières : Coordonnées bancaires, données de cartes de paiement, rapports financiers

• Propriété intellectuelle : Code source, brevets, recherche propriétaire

• Communications confidentielles : E-mails privés, correspondance juridique

Menaces sur la confidentialité

• Violations de données et accès non autorisés

• Menaces internes (divulgation malveillante ou accidentelle)

• Ingénierie sociale et attaques de phishing

• Contrôles d'accès ou authentification faibles

• Transmission ou stockage de données non chiffrées

• Élimination inappropriée de documents physiques ou de supports

• Mauvaise manipulation des données par des tiers

Mesures ISO 27001 protégeant la confidentialité

• A.5.12 - Classification de l'information : Étiqueter les données par niveau de sensibilité

• A.5.15 - Contrôle d'accès : Restreindre l'accès aux utilisateurs autorisés

• A.5.17 - Informations d'authentification : Sécuriser les mots de passe et les identifiants

• A.8.5 - Authentification sécurisée : Authentification multi-facteurs

• A.8.24 - Utilisation de la cryptographie : Chiffrer les données sensibles

• A.6.6 - Accords de confidentialité : Protection juridique via des accords de non-divulgation (NDA)

• A.5.14 - Transfert d'information : Méthodes de transmission sécurisées

Mesurer l'impact sur la confidentialité

Lors de l'évaluation de l'impact d'un risque sur la confidentialité, considérez :

• Juridique/Réglementaire : Amendes RGPD, sanctions réglementaires

• Réputationnel : Perte de confiance des clients, atteinte à l'image de marque

• Concurrentiel : Divulgation de secrets commerciaux aux concurrents

• Financier : Usurpation d'identité, pertes par fraude, coûts de notification

Intégrité

Définition

L'intégrité garantit que l'information reste exacte, complète et non altérée, sauf par des processus autorisés. Elle protège contre la modification, la suppression ou la corruption non autorisée des données.

Ce que l'intégrité protège

• Exactitude des données : Registres financiers, journaux de transactions, bases de données clients

• Configurations système : Paramètres de sécurité, règles d'accès, configurations réseau

• Code source : Applications logicielles, scripts, code d'automatisation

• Pistes d'audit : Journaux qui doivent rester inviolables pour la conformité

• Documents juridiques : Contrats, accords, dépôts réglementaires

Menaces sur l'intégrité

• Logiciels malveillants modifiant ou corrompant les fichiers

• Modifications non autorisées par des initiés ou des attaquants

• Bogues logiciels introduisant des erreurs

• Défaillances matérielles causant de la corruption de données

• Erreur humaine (suppression ou modification accidentelle)

• Attaques de l'homme du milieu (man-in-the-middle) altérant les données en transit

• Attaques par injection de base de données

Mesures ISO 27001 protégeant l'intégrité

• A.8.13 - Sauvegarde de l'information : Restaurer les données dans un état connu et sain

• A.8.16 - Activités de surveillance : Détecter les modifications non autorisées

• A.8.24 - Utilisation de la cryptographie : Les fonctions de hachage vérifient que les données n'ont pas changé

• A.5.3 - Ségrégation des tâches : Empêcher les modifications non autorisées par un double contrôle

• A.8.32 - Gestion des changements : Contrôler les modifications du système

• A.8.29 - Tests de sécurité lors du développement : Prévenir les problèmes d'intégrité du code

• A.5.33 - Protection des enregistrements : Maintenir l'intégrité des archives

Mesurer l'impact sur l'intégrité

Lors de l'évaluation de l'impact d'un risque sur l'intégrité, considérez :

• Opérationnel : Données incorrectes entraînant de mauvaises décisions commerciales

• Financier : Transactions frauduleuses, erreurs comptables

• Juridique : Contrats ou enregistrements altérés, piste d'audit compromise

• Sécurité : Modifications des configurations de systèmes critiques (santé, contrôle industriel)

Disponibilité

Définition

La disponibilité garantit que l'information et les systèmes d'information sont accessibles et utilisables par les utilisateurs autorisés au moment voulu. Les systèmes doivent être fiables, résilients et récupérables.

Ce que la disponibilité protège

• Opérations métier : Applications critiques, services orientés client

• Génération de revenus : Plateformes d'e-commerce, traitement des paiements

• Systèmes de communication : E-mail, outils collaboratifs, systèmes téléphoniques

• Accès aux données : Bases de données, serveurs de fichiers, stockage cloud

• Infrastructure : Réseaux, serveurs, postes de travail

Menaces sur la disponibilité

• Attaques par déni de service distribué (DDoS)

• Ransomware chiffrant des données critiques

• Défaillances matérielles et épuisement des capacités

• Coupures de courant et catastrophes environnementales

• Pannes réseau et saturation de la bande passante

• Plantages logiciels et erreurs de configuration

• Suppression malveillante de données ou de systèmes

Mesures ISO 27001 protégeant la disponibilité

• A.8.13 - Sauvegarde de l'information : Récupération suite à une perte de données

• A.5.29 - Sécurité de l'information lors d'une perturbation : Maintenir les opérations pendant les incidents

• A.5.30 - Préparation des TIC pour la continuité d'activité : Planification de la reprise après sinistre

• A.8.6 - Gestion des capacités : Garantir des ressources système adéquates

• A.8.14 - Redondance des moyens de traitement de l'information : Éliminer les points de défaillance uniques

• A.7.12 - Maintenance du matériel : Maintenance préventive pour éviter les pannes

• A.8.7 - Protection contre les logiciels malveillants : Prévenir les interruptions dues aux ransomwares

Mesurer l'impact sur la disponibilité

Lors de l'évaluation de l'impact d'un risque sur la disponibilité, considérez :

• Financier : Perte de revenus pendant l'indisponibilité, pénalités SLA

• Opérationnel : Perte de productivité, échéances manquées

• Réputationnel : Insatisfaction client, échecs des niveaux de service

• Juridique/Réglementaire : Violations de conformité, ruptures de contrat

Mesures de disponibilité

• Objectif de Temps de Récupération (RTO) : Temps d'indisponibilité maximal acceptable

• Objectif de Point de Récupération (RPO) : Perte de données maximale acceptable

• Temps Moyen Entre Pannes (MTBF) : Mesure de la fiabilité du système

• Temps Moyen de Réparation (MTTR) : Rapidité de restauration du service

• Pourcentage de disponibilité : 99,9 % (8,76 h d'indisponibilité/an), 99,99 % (52,6 min/an)

Équilibrer la triade CIA

Compromis entre les principes

Les mesures de sécurité impliquent souvent d'équilibrer les principes CIA :

• Confidentialité vs Disponibilité : Un chiffrement fort protège la confidentialité mais peut ralentir les performances ou compliquer la récupération si les clés sont perdues.

• Intégrité vs Disponibilité : Des processus approfondis de contrôle des changements protègent l'intégrité mais peuvent retarder les mises à jour système urgentes nécessaires à la disponibilité.

• Disponibilité vs Confidentialité : Une haute disponibilité nécessite souvent la réplication des données sur plusieurs sites, augmentant le risque de confidentialité lié à la multiplication des points de stockage.

Priorisation spécifique au contexte

Différentes organisations et types d'informations priorisent la CIA différemment :

• Santé : La disponibilité est critique (les soins dépendent de l'accès au système) mais la confidentialité est une obligation légale (RGPD/HDS).

• Services financiers : L'intégrité est primordiale (exactitude des transactions) avec une forte confidentialité et une haute disponibilité.

• Sites web publics : La disponibilité est critique (impact réputationnel), l'intégrité est importante (prévenir le défaçage), la confidentialité est moins pertinente pour des données publiques.

• Données de recherche : L'intégrité est essentielle (exactitude des données), la confidentialité varie selon la sensibilité, la disponibilité peut tolérer un certain délai.

La triade CIA dans les processus ISO 27001

Classification de l'information

Lors de la classification des actifs (A.5.12), déterminez quels principes CIA nécessitent une protection :

• Public : Faibles exigences CIA

• Interne : Confidentialité, intégrité et disponibilité moyennes

• Confidentiel : Haute confidentialité, haute intégrité, disponibilité variable

• Critique : Niveau élevé sur les trois dimensions CIA

Évaluation d'impact dans l'analyse des risques

Les évaluations de risques ISO 27001 analysent l'impact sur la confidentialité, l'intégrité et la disponibilité séparément, puis les combinent ou les priorisent selon le contexte organisationnel.

Sélection des mesures de sécurité

Associez les types de contrôles aux menaces CIA :

• Mesures préventives : Empêcher les violations CIA avant qu'elles ne surviennent (contrôles d'accès, chiffrement)

• Mesures détectives : Identifier les violations CIA lorsqu'elles se produisent (surveillance, journaux)

• Mesures correctives : Restaurer la CIA après des violations (sauvegardes, réponse aux incidents)

Au-delà de la triade CIA

Modèles étendus

Certains cadres ajoutent des principes de sécurité supplémentaires :

• Authenticité : Vérification que les données ou les utilisateurs sont authentiques (couvert par les contrôles d'authentification)

• Non-répudiation : Preuve que des actions ne peuvent être niées (pistes d'audit, signatures numériques)

• Responsabilité (Accountability) : Traçabilité des actions jusqu'aux individus (journalisation, contrôles d'accès)

L'ISO 27001 traite implicitement ces points à travers ses contrôles, mais se concentre principalement sur la CIA.

La triade CIA dans la réponse aux incidents

Classification des incidents

Catégorisez les incidents de sécurité selon le principe CIA violé :

• Incidents de confidentialité : Violations de données, accès non autorisés, fuites d'informations

• Incidents d'intégrité : Modifications non autorisées, corruption de données, défaçage

• Incidents de disponibilité : Attaques DDoS, ransomware, pannes système

Priorisation de la réponse

La gravité dépend du principe CIA affecté et de son importance pour votre activité. Une fuite de données personnelles clients peut être plus grave qu'une indisponibilité temporaire d'un outil interne.

Concepts associés

• Évaluation des risques - Évalue les menaces pesant sur la CIA

• Actif - Éléments nécessitant une protection CIA

• Mesure de sécurité (Contrôle) - Mesures protégeant la CIA

• Classification de l'information - Catégorisation des données selon les exigences CIA

• Réponse aux incidents - Traitement des violations de la CIA

Obtenir de l'aide

Utilisez ISMS Copilot pour évaluer quels principes CIA sont les plus critiques pour vos actifs, sélectionner les contrôles de manière appropriée et documenter l'impact CIA dans vos évaluations de risques.