Les principes d'une politique de sécurité avec la triade CIA
Qu'est-ce que la triade CIA ?
Tout d'abord, la triade CIA n'a rien à voir avec l'organisme appelé CIA - Central Intelligence Agency. 👮
La triade CIA est un modèle de sécurité créé pour aider à l'élaboration des politiques de sécurité des organisations. Elle intègre trois éléments que sont la confidentialité, l'intégrité et la disponibilité.
Ces trois éléments forment les bases fondamentales des besoins en cybersécurité.
Confidentiality > Integrity > Availability
Les trois éléments de la triade CIA
Confidentialité
La confidentialité est un concept qui vise à protéger le secret des données : c'est à dire prévenir l'accès ou minimiser l'accès à des données secrètes.
De nombreuses contremesures peuvent aider à assurer la confidentialité contre des tentatives d'accès illicites : chiffrer les données, filtrer le réseau, filtrer les accès, authentifier, classer les données, former le personnel.
La confidentialité des données comprend :
- La sensibilité ; pour déterminer qui à le droit d'en connaître
- La discrétion ; la capacité à contrôler la divulgation de manière à protéger ou limiter les dommages
- La criticité ; en cas de divulgation et vis-à-vis des risques financier, environnementaux, image de l'entreprise, etc
- La dissimulation ; pour prévenir ou cacher les données
- Le secret ; laisser les données méconnues
- La confidentialité ; conserver les données confidentielles et personnellement identifiées
- L'isolement ; stocker les données dans un emplacement avec un accès strict
- La segmentation ; conserver les données séparément du reste dans un emplacement spécifique
Intégrité
L'intégrité est un concept qui vise à protéger la fiabilité et l'exactitude des données du risque d'altération.
L'intégrité peut être vue de trois perspectives :
- Prévenir une modification d'une personne non autorisée
- Prévenir une modification non autorisée d'une personne autorisée
- Maintenir une consistance interne/externe entre les objets afin que chaque lien soit valide, consistant et vérifiable
De nombreuses contremesures peuvent aider à assurer l'intégrité contre des attaques : contrôle d'accès strict, procédure d'authentification rigoureuse, système de détection d'intrusion, chiffrement de données, hash, vérification des données d'entrée, formation appropriée.
La confidentialité et l'intégrité sont intimement liés. Sans intégrité (autrement dit, l'incapacité à pouvoir se prémunir de modifications sans permission), la confidentialité ne peut être maintenue.
Sans intégrité, la confidentialité ne peut être maintenue
L'intégrité comprend :
- La précision
- La véracité
- La validité
- La responsabilité
- La complétude
- La compréhension
Disponibilité
La disponibilité signifie autoriser dans le temps et sans interruption un accès aux données.
La disponibilité inclue généralement un système anti-DDOS et cela implique que l'infrastructure, le réseau, la communication et les systèmes d'accès soient complètement fonctionnels. Pour maintenir un système disponible, des contrôles doivent être mis en place pour assurer la redondance, le maintien des sauvegardes et la prévention de perte de données.
De nombreuses contremesures peuvent aider à assurer la disponibilité contre des attaques : systèmes redondants, contrôles d'accès, monitoring des performances et de la charge réseau, utilisation de firewalls et de routeurs, maintenir un système de test des sauvegardes.
La disponibilité dépend de l'intégrité et de la confidentialité
La disponibilité comprend :
- L'utilisabilité
- L'accessibilité
- La rapidité d'accès
En bref
La triade CIA sert de socle dans l'élaboration d'une politique de sécurité. Elle comprend les trois éléments suivants :
- La confidentialité qui vise à protéger le secret des données
- L'intégrité qui vise à protéger les données du risque d'altération
- La disponibilité qui vise à assurer la continuité d'accès aux données