CIA trong an ninh mạng là gì? (CIA Triad)

CIA Triad là gì?

CIA Triad (Mô hình CIA) là khung làm việc cốt lõi trong an ninh thông tin, bao gồm 3 nguyên tắc cơ bản: Confidentiality (Bảo mật), Integrity (Toàn vẹn), Availability (Khả dụng). Mô hình này hướng dẫn thiết kế, triển khai và đánh giá các biện pháp bảo vệ hệ thống thông tin.

Lưu ý: CIA ở đây không phải Central Intelligence Agency (Cục Tình báo Trung ương Mỹ).

Chi tiết 3 thành phần

1. Confidentiality (Bảo mật / Tính bảo mật)

Định nghĩa: Đảm bảo thông tin chỉ được truy cập, đọc, sử dụng bởi các thực thể (người, tiến trình, thiết bị) được ủy quyền. Ngăn chặn tiết lộ thông tin cho bên không liên quan.

Các biện pháp thực hiện:

• Mã hóa (Encryption): AES-256 (dữ liệu lưu trữ), TLS 1.3 (dữ liệu truyền), IPsec (VPN)
• Kiểm soát truy cập (Access Control): RBAC (Role-Based), ABAC (Attribute-Based), Zero Trust, MFA
• Phân loại dữ liệu (Data Classification): Công khai, Nội bộ, Bí mật, Tuyệt mật → Áp dụng kiểm soát phù hợp
• Che giấu thông tin (Steganography, Watermarking)
• Quản trị thiết bị di động (MDM), ngăn chặn rò rỉ dữ liệu (DLP)

Ví dụ vi phạm:

• Kẻ tấn công nghe lén Wi-Fi không mã hóa (MitM)
• Nhân viên gửi file khách hàng qua email cá nhân
• Cơ sở dữ liệu bị lộ do cấu hình sai S3 bucket public
• Mã độc keylogger đánh cắp mật khẩu

2. Integrity (Toàn vẹn / Tính toàn vẹn)

Định nghĩa: Đảm bảo thông tin chính xác, hoàn chỉnh, không bị sửa đổi, xóa bỏ, phá hỏng bởi bên không được phép hoặc do lỗi hệ thống. Dữ liệu tin cậy được dùng để ra quyết định.

Các biện pháp thực hiện:

• Hàm băm mật mã (Cryptographic Hash): SHA-256, SHA-3, BLAKE2 - kiểm tra toàn vẹn file/tin nhắn
• Chữ ký số (Digital Signature): RSA, ECDSA, Ed25519 - chứng minh nguồn gốc và chưa bị thay đổi
• Mã xác thực thông điệp (MAC/HMAC): HMAC-SHA256 - xác thực toàn vẹn trong giao thức mạng
• Kiểm soát phiên bản (Version Control): Git, SVN - theo dõi thay đổi code/tài liệu
• Ghi log không thể sửa đổi (Immutable Logging): WORM storage, Blockchain, SIEM
• Backup & Recovery: 3-2-1 rule, kiểm tra checksum định kỳ

Ví dụ vi phạm:

• Tấn công SQL Injection sửa đổi dữ liệu cơ sở dữ liệu
• Ransomware mã hóa file → mất toàn vẹn (và khả dụng)
• Kẻ nội bộ sửa số liệu báo cáo tài chính
• Lỗi phần mềm ghi sai dữ liệu do bug
• Tấn công Supply Chain: chèn mã độc vào bản cập nhật phần mềm hợp pháp

3. Availability (Khả dụng / Tính sẵn sàng)

Định nghĩa: Đảm bảo hệ thống, dịch vụ, dữ liệu luôn sẵn sàng truy cập và sử dụng bởi người được ủy quyền khi cần thiết, đúng mức độ hiệu năng yêu cầu.

Các biện pháp thực hiện:

• Thiết kế sẵn sàng cao (High Availability - HA): Cluster, Load Balancer, Failover tự động
• Dự phòng (Redundancy): RAID, đa đường truyền, đa trung tâm dữ liệu (Multi-AZ/Region)
• Phòng chống DDoS: WAF, CDN (Cloudflare, AWS Shield), Rate limiting, Anycast
• Backup & Disaster Recovery (DR): RPO/RTO rõ ràng, test khôi phục định kỳ
• Giám sát & Cảnh báo (Monitoring/Alerting): Prometheus, Grafana, Datadog, PagerDuty
• Quản lý sự cố (Incident Management): Runbook, On-call rotation, Postmortem blameless
• Bảo trì dự phòng (Preventive Maintenance): Vá lỗ hổng, thay thế phần cứng cũ trước khi hỏng

Ví dụ vi phạm:

• Tấn công DDoS làm sập website thương mại điện tử ngày Black Friday
• Ổ cứng hỏng không RAID → mất dữ liệu, downtime 48h
• Ransomware mã hóa toàn bộ server → không thể phục vụ
• Cập nhật phần mềm sai gây crash hệ thống (như sự cố CrowdStrike 2024)
• Cáp quang biển bị cắt do neo tàu

Tại sao CIA Triad quan trọng?

• Khung tư duy hệ thống: Cân bằng 3 khía cạnh, tránh tập trung một phía bỏ lỡ phía khác
• Cơ sở tuân thủ: GDPR, HIPAA, ISO 27001, PCI-DSS, NIST CSF đều dựa trên CIA
• Định mức rủi ro: Đánh giá tác động vi phạm lên C, I, A để ưu tiên đầu tư
• Thiết kế kiến trúc bảo mật: Mỗi control mapping đến C, I, hoặc A
• Truyền đạt với ban lãnh đạo: Ngôn ngữ chung giữa kỹ thuật và quản trị

Thứ tự ưu tiên: C, I, hay A quan trọng hơn?

Không có câu trả lời tuyệt đối - phụ thuộc bối cảnh:

• Ngân hàng, Quân sự, Y tế: Confidentiality > Integrity > Availability (Rò rối bí mật thương mại/sức khỏe chết người)
• Hệ thống thanh toán, Giao dịch chứng khoán: Integrity > Availability > Confidentiality (Sai số liệu tài chính thiệt hại lớn hơn down 잠시)
• E-commerce, Streaming, Cloud Provider: Availability > Integrity > Confidentiality (Downtime = mất tiền trực tiếp, SLA)
• Hệ thống điều khiển công nghiệp (ICS/SCADA): Availability > Integrity > Confidentiality (An toàn con người, môi trường)

Mở rộng: Parkerian Hexad (6 yếu tố)

Donn Parker mở rộng CIA thành 6 yếu tố:

1. Confidentiality
2. Integrity
3. Availability
4. Authenticity (Tính xác thực): Xác minh danh tính thực thể
5. Possession/Control (Sở hữu/Kiểm soát): Kiểm soát vật lý/logic tài sản
6. Utility (Tính hữu dụng): Dữ liệu có thể sử dụng được (ví dụ: có key giải mã, định dạng đọc được)

CIA trong các tiêu chuẩn phổ biến

Kết luận

CIA Triad là "la bàn" cho mọi quyết định an ninh mạng. Một hệ thống an toàn thực sự phải cân bằng cả ba: Bảo mật dữ liệu nhạy cảm, đảm bảo dữ liệu đáng tin cậy, và giữ hệ thống luôn hoạt động. Việc hiểu rõ CIA giúp chuyên gia bảo mật thiết kế chiến lược, chọn công cụ, và truyền đạt giá trị bảo mật đến ban lãnh đạo hiệu quả.