Tema 4
La tríada de confidencialidad, integridad y disponibilidad es una base clásica de la ciberseguridad. Ayuda a entender qué se protege y por qué cada control existe.
Cuando hablamos de proteger sistemas y datos, necesitamos una forma clara de definir qué significa "estar seguro". La respuesta clásica en seguridad informática se resume en tres principios: confidencialidad, integridad y disponibilidad.
Estos principios suelen presentarse como la tríada CID o CIA (confidentiality, integrity, availability) por sus siglas en inglés. No abarcan absolutamente todo lo que importa en seguridad, pero ofrecen una base muy útil para analizar riesgos, diseñar controles y entender incidentes.
La tríada CIA resume tres objetivos fundamentales que deben mantenerse sobre los activos digitales.
| Principio | Pregunta clave | Idea central |
|---|---|---|
| Confidencialidad | ¿Quién puede ver la información? | Solo deben acceder quienes estén autorizados. |
| Integridad | ¿La información se mantiene correcta y confiable? | No debe alterarse de forma indebida. |
| Disponibilidad | ¿El sistema o dato está accesible cuando se necesita? | Debe poder usarse en el momento oportuno. |
La confidencialidad busca impedir que información sensible sea conocida por personas, procesos o sistemas no autorizados. Este principio es esencial cuando se manejan datos personales, información financiera, secretos comerciales, credenciales, documentos internos o cualquier otro contenido que no deba divulgarse.
Una falla de confidencialidad ocurre, por ejemplo, cuando una base de datos queda expuesta públicamente, un atacante roba credenciales o un empleado accede a datos que no necesita para su tarea.
La integridad garantiza que los datos y sistemas se mantengan correctos, completos y sin alteraciones no autorizadas. Un dato puede ser confidencial, pero si está modificado de forma incorrecta deja de ser confiable.
La pérdida de integridad puede producirse por ataques, errores humanos, fallas de software, corrupción de archivos o configuraciones defectuosas. Por ejemplo, cambiar el importe de una transferencia, alterar un registro médico o modificar un log de auditoría son problemas de integridad.
Muchos controles apuntan a detectar modificaciones no autorizadas o a asegurar que un dato no fue alterado durante el almacenamiento o la transmisión.
La disponibilidad implica que los sistemas, servicios y datos se encuentren accesibles cuando se los necesita. Un entorno puede ser confidencial e íntegro, pero si no está disponible en el momento correcto también representa un problema grave.
Una pérdida de disponibilidad ocurre cuando un sitio se cae, un servidor deja de responder, un ransomware cifra la información, un corte eléctrico interrumpe operaciones o una aplicación se vuelve inutilizable bajo carga.
Los tres objetivos deben analizarse en conjunto. En muchos casos existe tensión entre ellos y se requiere equilibrio. Por ejemplo:
La seguridad madura no intenta maximizar un solo principio de forma aislada, sino encontrar un balance razonable según el contexto.
| Situación | Principio afectado | Explicación |
|---|---|---|
| Filtración de base de datos de clientes | Confidencialidad | Información accedida por personas no autorizadas. |
| Alteración de registros contables | Integridad | Los datos dejan de ser confiables. |
| Caída prolongada de un servicio crítico | Disponibilidad | El sistema no puede utilizarse cuando se necesita. |
Aunque la tríada CIA es una base muy importante, la seguridad moderna también suele considerar otros conceptos, como autenticidad, trazabilidad, no repudio, resiliencia y privacidad.
Sin embargo, para introducirse en el área, la tríada sigue siendo una excelente herramienta mental porque permite entender la intención detrás de muchos controles y la naturaleza de numerosos incidentes.
En un sistema de banca online, por ejemplo:
Este mismo razonamiento puede aplicarse a hospitales, comercio electrónico, educación, gobierno o cualquier entorno digital.
Cuando se evalúa un riesgo, una pregunta clave es cuál de estos principios podría verse afectado. Eso permite medir mejor el impacto de un incidente y priorizar controles.
Por ejemplo, exponer una lista de usuarios afecta confidencialidad, alterar una receta médica afecta integridad y dejar fuera de línea una plataforma logística afecta disponibilidad. Cada caso requiere respuestas distintas.
La tríada de confidencialidad, integridad y disponibilidad es una herramienta simple pero poderosa para pensar la seguridad. Permite interpretar incidentes, diseñar controles y comprender qué se intenta preservar en cada activo.
En el próximo tema avanzaremos sobre los conceptos de riesgo, amenaza, vulnerabilidad y exposición, que completan la base conceptual necesaria para analizar escenarios de seguridad con mayor precisión.