La tríada CID/CIA (Confidencialidad, Integridad, Disponibilidad, también “CIA Triad” o “Modelo CID”) es el modelo fundamental de la seguridad de la información, estableciendo los tres pilares sobre los que se construye toda estrategia de ciberseguridad. La confidencialidad asegura que la información solo sea accesible para personas autorizadas, la integridad garantiza que la información no sea modificada de manera no autorizada y la disponibilidad asegura que la información y los sistemas estén accesibles cuando se necesiten, siendo este modelo la base para la evaluación de riesgos.

Confidencialidad (Confidentiality)

Definición

La confidencialidad garantiza que la información solo sea accesible por personas, entidades o procesos autorizados.

Características

  • Control de acceso: Solo usuarios autorizados pueden acceder
  • Cifrado: Protección de datos en tránsito y en reposo
  • Clasificación de datos: Niveles de sensibilidad (público, interno, confidencial, secreto)

Técnicas de Protección

  • Autenticación: Verificar la identidad del usuario
  • Autorización: Determinar qué puede hacer cada usuario
  • Cifrado: Transformar datos en formato ilegible
  • Anonimización: Eliminar identificadores personales

Ejemplos de Violaciones

  • Acceso no autorizado a bases de datos
  • Interceptación de comunicaciones
  • Robo de credenciales
  • Ingeniería social

Integridad (Integrity)

Definición

La integridad asegura que la información no sea modificada sin autorización y que mantenga su exactitud y completitud.

Tipos de Integridad

Integridad de Datos

  • Exactitud: Los datos son correctos y precisos
  • Completitud: No faltan datos importantes
  • Consistencia: Los datos son coherentes entre sistemas

Integridad de Sistema

  • Funcionamiento correcto: El sistema opera como se espera
  • Sin modificaciones no autorizadas: El código no ha sido alterado
  • Configuración segura: Los parámetros son los correctos

Técnicas de Protección

  • Hashes criptográficos: Verificar integridad de archivos
  • Firmas digitales: Autenticar origen e integridad
  • Controles de acceso: Prevenir modificaciones no autorizadas
  • Backups: Recuperar datos en caso de corrupción

Ejemplos de Violaciones

  • Modificación de registros financieros
  • Alteración de códigos fuente
  • Manipulación de bases de datos
  • Cambios no autorizados en configuraciones

Disponibilidad (Availability)

Definición

La disponibilidad garantiza que la información y los recursos estén disponibles cuando se necesiten.

Aspectos de Disponibilidad

Tiempo de Actividad (Uptime)

  • SLA: Acuerdos de nivel de servicio
  • RTO: Tiempo objetivo de recuperación
  • RPO: Punto objetivo de recuperación

Rendimiento

  • Latencia: Tiempo de respuesta
  • Throughput: Capacidad de procesamiento
  • Escalabilidad: Capacidad de crecimiento

Técnicas de Protección

  • Redundancia: Sistemas de respaldo
  • Balanceadores de carga: Distribuir tráfico
  • Clusters: Agrupaciones de servidores
  • CDN: Redes de distribución de contenido

Amenazas a la Disponibilidad

  • DDoS: Ataques de denegación de servicio
  • Fallas de hardware: Problemas físicos
  • Cortes de energía: Interrupciones eléctricas
  • Desastres naturales: Eventos catastróficos

Equilibrio de la Tríada

Tensiones Comunes

Confidencialidad vs Disponibilidad

  • Cifrado fuerte: Aumenta seguridad pero puede reducir rendimiento
  • Autenticación robusta: Mejora seguridad pero puede ralentizar acceso

Integridad vs Disponibilidad

  • Validaciones exhaustivas: Mejoran integridad pero pueden reducir velocidad
  • Backups frecuentes: Protegen integridad pero consumen recursos

Estrategias de Balance

  • Análisis de riesgos: Evaluar amenazas específicas
  • Clasificación de datos: Aplicar controles según criticidad
  • Arquitectura de seguridad: Diseño que equilibre los tres pilares
  • Monitoreo continuo: Medir y ajustar controles

Implementación Práctica

Controles de Confidencialidad

1
2
3
4
5
6

# Cifrado de archivos
gpg --symmetric --cipher-algo AES256 archivo.txt

# Control de acceso
chmod 600 archivo_sensible.txt
chown usuario:grupo archivo_sensible.txt

Controles de Integridad

1
2
3
4
5

# Generar hash SHA-256
sha256sum archivo.txt

# Verificar integridad
echo "hash_esperado archivo.txt" | sha256sum -c

Controles de Disponibilidad

1
2
3
4
5
6
7
8

# Monitoreo de servicios
systemctl status servicio_critico

# Balanceador de carga
upstream backend {
    server servidor1:80;
    server servidor2:80;
}

Métricas y KPIs

Confidencialidad

  • Intentos de acceso no autorizado: Número de intentos bloqueados
  • Cobertura de cifrado: Porcentaje de datos cifrados
  • Tiempo de detección: Velocidad para detectar accesos no autorizados

Integridad

  • Integridad de backups: Verificación de integridad de respaldos
  • Detección de modificaciones: Alertas por cambios no autorizados
  • Tiempo de recuperación: Velocidad para restaurar integridad

Disponibilidad

  • Uptime: Porcentaje de tiempo de actividad
  • MTTR: Tiempo promedio de recuperación
  • SLA compliance: Cumplimiento de acuerdos de servicio

Marcos de Referencia

ISO 27001

  • A.8.1: Gestión de activos
  • A.9: Control de acceso
  • A.10: Criptografía
  • A.12: Seguridad en el desarrollo

NIST Framework

  • Identify: Identificar activos y riesgos
  • Protect: Implementar controles de protección
  • Detect: Monitorear y detectar amenazas
  • Respond: Responder a incidentes
  • Recover: Recuperar capacidades

Conceptos Relacionados

Referencias