O que é a Tríade CIA (Confidencialidade, Integridade, Disponibilidade)?

Visão geral

A Tríade CIA - Confidencialidade, Integridade e Disponibilidade - representa os três objetivos fundamentais da segurança da informação. Estes princípios essenciais orientam a seleção de controles de segurança, a avaliação de riscos e a medição do impacto de incidentes na ISO 27001 e em todos os frameworks de segurança da informação.

O que significa na prática

Cada controle de segurança que você implementa protege um ou mais aspectos da Tríade CIA. Ao avaliar riscos, você analisa os potenciais impactos na confidencialidade, integridade e disponibilidade. Quando incidentes ocorrem, você mede os danos em termos da CIA.

Confidencialidade

Definição

Confidencialidade garante que as informações não sejam divulgadas a indivíduos, entidades ou processos não autorizados. Apenas aqueles com necessidade legítima e autorização adequada podem acessar informações sensíveis.

O que a confidencialidade protege

• Dados pessoais: Informações de clientes, registros de funcionários, dados de saúde
• Segredos comerciais: Segredos industriais, planos estratégicos, modelos de precificação
• Informações financeiras: Detalhes bancários, dados de cartões de pagamento, demonstrações financeiras
• Propriedade intelectual: Código-fonte, patentes, pesquisas proprietárias
• Comunicações confidenciais: E-mails privados, correspondência legal

Ameaças à confidencialidade

• Violações de dados e acesso não autorizado
• Ameaças internas (divulgação maliciosa ou acidental)
• Engenharia social e ataques de phishing
• Controles de acesso ou autenticação fracos
• Transmissão ou armazenamento de dados não criptografados
• Descarte inadequado de documentos físicos ou mídias
• Manuseio incorreto de dados por terceiros

Controles da ISO 27001 que protegem a confidencialidade

• A.5.12 - Classificação da informação: Rotular dados por sensibilidade
• A.5.15 - Controle de acesso: Restringir acesso a usuários autorizados
• A.5.17 - Informações de autenticação: Proteger senhas e credenciais
• A.8.5 - Autenticação segura: Autenticação multifator
• A.8.24 - Uso de criptografia: Criptografar dados sensíveis
• A.6.6 - Acordos de confidencialidade: Proteção legal por meio de NDAs
• A.5.14 - Transferência de informação: Métodos de transmissão seguros

Medindo o impacto na confidencialidade

Ao avaliar o impacto do risco na confidencialidade, considere:

• Legal/regulatório: Multas do GDPR, penalidades regulatórias
• Reputacional: Perda de confiança do cliente, dano à marca
• Competitivo: Divulgação de segredos comerciais para concorrentes
• Financeiro: Roubo de identidade, perdas por fraude, custos de notificação

Integridade

Definição

Integridade garante que as informações permaneçam precisas, completas e inalteradas, exceto por processos autorizados. Protege contra modificação, exclusão ou corrupção não autorizada de dados.

O que a integridade protege

• Precisão dos dados: Registros financeiros, logs de transações, bancos de dados de clientes
• Configurações do sistema: Configurações de segurança, regras de acesso, configurações de rede
• Código-fonte: Aplicações de software, scripts, código de automação
• Trilhas de auditoria: Logs que devem permanecer à prova de adulteração para conformidade
• Documentos legais: Contratos, acordos, arquivamentos regulatórios

Ameaças à integridade

• Malware que modifica ou corrompe arquivos
• Alterações não autorizadas por insiders ou atacantes
• Bugs de software que introduzem erros
• Falhas de hardware que causam corrupção de dados
• Erro humano (exclusão ou modificação acidental)
• Ataques man-in-the-middle que alteram dados em trânsito
• Ataques de injeção em bancos de dados

Controles da ISO 27001 que protegem a integridade

• A.8.13 - Backup de informações: Restaurar dados para um estado conhecido como bom
• A.8.16 - Monitoramento de atividades: Detectar alterações não autorizadas
• A.8.24 - Uso de criptografia: Funções de hash verificam se os dados não foram alterados
• A.5.3 - Segregação de funções: Impedir alterações não autorizadas por meio de controle duplo
• A.8.32 - Gerenciamento de mudanças: Controlar modificações no sistema
• A.8.29 - Testes de segurança no desenvolvimento: Prevenir problemas de integridade do código
• A.5.33 - Proteção de registros: Manter a integridade dos registros

Medindo o impacto na integridade

Ao avaliar o impacto do risco na integridade, considere:

• Operacional: Dados incorretos levando a decisões empresariais erradas
• Financeiro: Transações fraudulentas, erros contábeis
• Legal: Contratos ou registros alterados, trilha de auditoria comprometida
• Segurança: Configurações críticas do sistema alteradas (saúde, controle industrial)

Disponibilidade

Definição

Disponibilidade garante que as informações e os sistemas de informação estejam acessíveis e utilizáveis por usuários autorizados quando necessário. Os sistemas devem ser confiáveis, resilientes e recuperáveis.

O que a disponibilidade protege

• Operações comerciais: Aplicações críticas, serviços voltados para o cliente
• Geração de receita: Plataformas de comércio eletrônico, processamento de pagamentos
• Sistemas de comunicação: E-mail, ferramentas de colaboração, sistemas telefônicos
• Acesso a dados: Bancos de dados, servidores de arquivos, armazenamento em nuvem
• Infraestrutura: Redes, servidores, estações de trabalho

Ameaças à disponibilidade

• Ataques de Negação de Serviço Distribuída (DDoS)
• Ransomware que criptografa dados críticos
• Falhas de hardware e esgotamento de capacidade
• Falta de energia e desastres ambientais
• Falhas de rede e saturação de largura de banda
• Travamentos de software e configurações incorretas
• Exclusão maliciosa de dados ou sistemas

Controles da ISO 27001 que protegem a disponibilidade

• A.8.13 - Backup de informações: Recuperação de perda de dados
• A.5.29 - Segurança da informação durante interrupções: Manter operações durante incidentes
• A.5.30 - Prontidão de TIC para continuidade de negócios: Planejamento de recuperação de desastres
• A.8.6 - Gerenciamento de capacidade: Garantir recursos adequados do sistema
• A.8.14 - Redundância das instalações de processamento de informações: Eliminar pontos únicos de falha
• A.7.12 - Manutenção de equipamentos: Manutenção preventiva para evitar falhas
• A.8.7 - Proteção contra malware: Prevenir interrupções por ransomware

Medindo o impacto na disponibilidade

Ao avaliar o impacto do risco na disponibilidade, considere:

• Financeiro: Perda de receita durante o tempo de inatividade, penalidades por SLA
• Operacional: Perda de produtividade, prazos não cumpridos
• Reputacional: Insatisfação do cliente, falhas no nível de serviço
• Legal/regulatório: Violações de conformidade, quebras de contrato

Métricas de disponibilidade

• Objetivo de Tempo de Recuperação (RTO): Tempo máximo aceitável de inatividade
• Objetivo de Ponto de Recuperação (RPO): Perda máxima aceitável de dados
• Tempo Médio Entre Falhas (MTBF): Medida de confiabilidade do sistema
• Tempo Médio Para Reparo (MTTR): Rapidez com que você restaura o serviço
• Percentual de disponibilidade: 99,9% (8,76 horas/ano de inatividade), 99,99% (52,6 minutos/ano)

Balanceando a Tríade CIA

Compensações entre princípios

Os controles de segurança frequentemente envolvem o balanceamento dos princípios da CIA:

• Confidencialidade vs. Disponibilidade: Criptografia forte protege a confidencialidade, mas pode reduzir o desempenho do sistema ou complicar a recuperação se as chaves de criptografia forem perdidas
• Integridade vs. Disponibilidade: Processos extensos de controle e aprovação de mudanças protegem a integridade, mas podem atrasar atualizações urgentes do sistema necessárias para a disponibilidade
• Disponibilidade vs. Confidencialidade: Alta disponibilidade frequentemente requer replicação de dados em vários locais, aumentando o risco de confidencialidade devido a múltiplos pontos de armazenamento

Priorização específica ao contexto

Diferentes organizações e tipos de informação priorizam a CIA de maneiras distintas:

• Saúde: Disponibilidade é crítica (o atendimento ao paciente depende do acesso ao sistema), mas a confidencialidade é legalmente mandatada (HIPAA)
• Serviços financeiros: Integridade é primordial (precisão das transações) com forte confidencialidade e alta disponibilidade
• Websites públicos: Disponibilidade crítica (impacto reputacional), integridade importante (prevenir desfiguração), confidencialidade menos relevante para dados públicos
• Dados de pesquisa: Integridade essencial (precisão dos dados), confidencialidade varia conforme a sensibilidade, disponibilidade pode tolerar algum atraso

Tríade CIA nos processos da ISO 27001

Classificação da informação

Ao classificar ativos (A.5.12), considere quais princípios da CIA precisam de proteção:

• Público: Baixos requisitos de CIA
• Interno: Confidencialidade média, integridade média, disponibilidade média
• Confidencial: Alta confidencialidade, alta integridade, disponibilidade variável
• Crítico: Alto em todas as três dimensões da CIA

Avaliação de impacto na análise de riscos

As avaliações de risco da ISO 27001 avaliam o impacto na confidencialidade, integridade e disponibilidade separadamente, depois combinam ou priorizam com base no contexto organizacional.

Seleção de controles

Combine os tipos de controle com as ameaças à CIA:

• Controles preventivos: Impedem violações da CIA antes que ocorram (controles de acesso, criptografia)
• Controles detectivos: Identificam violações da CIA quando acontecem (monitoramento, logging)
• Controles corretivos: Restauram a CIA após violações (backups, resposta a incidentes)

Além da Tríade CIA

Modelos estendidos

Alguns frameworks adicionam princípios de segurança adicionais:

• Autenticidade: Verificação de que dados ou usuários são genuínos (coberto por controles de autenticação)
• Não repúdio: Prova de que ações não podem ser negadas (trilhas de auditoria, assinaturas digitais)
• Responsabilização: Rastreabilidade de ações para indivíduos (logging, controles de acesso)

A ISO 27001 aborda implicitamente esses aspectos por meio de controles, mas foca principalmente na CIA.

Tríade CIA na resposta a incidentes

Classificação de incidentes

Categorize incidentes de segurança de acordo com qual princípio da CIA foi violado:

• Incidentes de confidencialidade: Violações de dados, acesso não autorizado, vazamentos de informação
• Incidentes de integridade: Modificações não autorizadas, corrupção de dados, desfiguração
• Incidentes de disponibilidade: Ataques DDoS, ransomware, indisponibilidade de sistemas

Priorização de resposta

A gravidade depende de qual princípio da CIA é afetado e de sua importância para o seu negócio. Uma violação de confidencialidade de PII de clientes pode ser mais grave do que a indisponibilidade temporária de uma ferramenta interna.

Conceitos relacionados

• Risk Assessment - Avalia ameaças à CIA
• Asset - Itens que requerem proteção da CIA
• Control - Medidas que protegem a CIA
• Information Classification - Categorização de dados por requisitos de CIA
• Incident Response - Tratamento de violações da CIA

Obtendo ajuda

Use o ISMS Copilot para avaliar quais princípios da CIA são mais críticos para seus ativos, selecionar controles apropriadamente e documentar o impacto na CIA em suas avaliações de risco.