CIA Triad - Trái tim của An ninh thông tin & An ninh mạng
CIA Triad (Confidentiality - Integrity - Availability) là mô hình cốt lõi hướng dẫn mọi quyết định, chính sách, kiểm soát an ninh thông tin. Không phải tổ chức CIA (Central Intelligence Agency).
3 Trụ cột chi tiết
| Nguyên tắc | Định nghĩa | Kiểm soát kỹ thuật (Technical Controls) | Kiểm soát quản trị (Administrative Controls) |
|---|---|---|---|
| Confidentiality (Bảo mật / Tính bí mật) | Chỉ thực thể được ủy quyền mới được truy cập, xem, sử dụng thông tin. Ngăn chặn tiết lộ trái phép. | Mã hóa (AES-256, TLS 1.3, IPsec, BitLocker, LUKS), ACL/NAC/Zero Trust, DLP, Information Rights Management, Steganography, Private VLAN | Phân loại dữ liệu (Classification), Policy xử lý dữ liệu, NDA, Security Awareness, Need-to-know basis, Access review |
| Integrity (Toàn vẹn / Tính chính xác) | Thông tin chính xác, hoàn chỉnh, không bị sửa đổi/xóa trái phép (kể cả vô ý). Tin cậy được dữ liệu. | Hash (SHA-256/3), Chữ ký số (RSA/ECDSA), HMAC, Blockchain/Merkle Tree, Version control (Git), Checksum, Database constraints, Code signing, Secure Boot, TPM | Quy trình Change Management, Separation of Duties, Code review, Audit trail/Logging (Immutable), Data validation rules, Backup verification |
| Availability (Sẵn sàng / Tính khả dụng) | Hệ thống, dịch vụ, dữ liệu khả dụng khi người được phép cần. Phòng chống gián đoạn. | HA/Clustering, Load Balancing, CDN, DDoS Protection (Scrubbing), Redundancy (Power, Net, Geo), Backup 3-2-1 (Immutable, Offline), DR/BCP, Auto-scaling, Health checks | SLA/SLO/SLI, Incident Response Plan, BCP/DRP testing, Capacity planning, Vendor SLA management, Maintenance windows |
Cách đảm bảo CIA Triad trong thực tế
- Phân loại dữ liệu & Tài sản (Data Classification): Public, Internal, Confidential, Restricted. Áp dụng control phù hợp từng mức.
- Mã hóa end-to-end: Data at rest (LUKS, BitLocker, S3 SSE-KMS), Data in transit (TLS 1.3, mTLS, WireGuard), Data in use (Confidential Computing/TEE).
- Xác thực mạnh & Phân quyền tối thiểu (Least Privilege + MFA): FIDO2/WebAuthn, Passkeys, Certificate-based auth, PAM, JIT Access, Zero Trust.
- Giám sát & Kiểm soát toàn vẹn: FIM (File Integrity Monitoring - Tripwire, AIDE, Wazuh), SIEM correlation, Immutable logging (CloudTrail, Syslog-ng + WORM), Blockchain audit trail.
- Thiết kế cho Sẵn sàng (Design for Availability): Multi-AZ/Region, Stateless services, Circuit breaker, Retry/Timeout, Chaos Engineering (Gremlin, Litmus), RTO/RPO defined & tested.
Áp dụng CIA trong Quản trị Rủi ro (Risk Management)
Mỗi rủi ro được đánh giá ảnh hưởng đến 3 trụ cột:
- Rủi ro vi phạm Confidentiality: Data breach, Insider leak, MITM, Side-channel
- Rủi ro vi phạm Integrity: Data tampering, Ransomware encryption, Supply chain inject, Config drift
- Rủi ro vi phạm Availability: DDoS, Ransomware (encrypt), Hardware failure, Cloud outage, Human error
Kiểm soát (Controls) được chọn để giảm thiểu rủi ro trên một hoặc nhiều trụ cột CIA.
Mở rộng: Parkerian Hexad (6 nguyên tắc)
- CIA 3 nguyên tắc + Possession/Control (Sở hữu/Kiểm soát), Authenticity (Tính xác thực), Utility (Tính hữu dụng)
Tại sao CIA Triad vẫn dùng sau 30+ năm?
- Đơn giản, dễ hiểu, truyền cảm hứng cho mọi cấp độ (Board đến Kỹ sư)
- Phủ sóng mọi lĩnh vực an ninh: Network, App, Cloud, Data, Physical, Personnel
- Cơ sở cho Standards: ISO 27001, NIST CSF, COBIT, PCI-DSS, HIPAA, GDPR
- Hỗ trợ Risk Assessment, Control Selection, Audit, Compliance, Incident Response
Ví dụ áp dụng CIA cho Windows Server Hardening
| CIA | Biện pháp Hardening Windows Server |
|---|---|
| Confidentiality | BitLocker ổ C:/Data, TLS 1.2+ cho RDP/LDAPS/WinRM, Restrict NTLM, LAPS cho local admin, EFS cho file nhạy cảm |
| Integrity | System Guard Secure Launch (VBS/HVCI), WDAC/AppLocker (Allow list), Signed scripts/drivers, Registry/FS Auditing (SACLs), Windows Update (WSUS/Intune) |
| Availability | Failover Clustering, Storage Spaces Direct, NIC Teaming, Scheduled Backup (Veeam/Windows Server Backup), Monitoring (SCOM/Azure Monitor), Patch Management (WSUS/Autopatch) |
Kết luận
CIA Triad không phải checklist tick xong. Là triết lý thiết kế, vận hành, đo lường, cải tiến liên tục. Mọi dự án, công cụ, quy trình an ninh đều phải trả lời: "Nó bảo vệ Confidentiality, Integrity, hay Availability (hoặc cả 3) như thế nào? Chi phí/Phức độ/Rủi ro còn lại ra sao?"