什麼是 CIA（機密性、完整性與可用性）三元組？

CIA 三元組（機密性、完整性與可用性）是資訊安全中的基本概念。我們的指南探討 CIA 三元組的三大支柱，說明它們在保護敏感資料及確保資訊系統整體安全性方面的重要性。

了解各種安全控制措施與最佳實務，這些方法可協助您為組織的資料與資源達成並維持所需的機密性、完整性與可用性水準。透過我們的專業見解保持領先，並掌握 CIA 三元組。

CIA 三元組的三個組成要素是什麼？

CIA 三元組的每個組成要素——機密性、完整性與可用性——都根植於多個學科，其歷史可追溯至數十年前，甚至數個世紀以前。電腦科學中對機密性的其中一項引用來自 1976 年的一份空軍出版物。完整性則在 1987 年一篇關於電腦安全政策的軍事論文中被提及。大約在同一時期，對資料機密性的引用也變得越來越普遍。到了 1990 年代末期，電腦安全專業人員開始將這三者的組合稱為 CIA 三元組。讓我們進一步檢視 CIA 三元組及其三個組成要素。

機密性

資料擁有者有責任保護資料的機密性，並確保無人洩露資料。企業必須使用存取控制，將資料存取限制於有權存取的人員。企業應限制有權存取資料的員工與無權存取該資料的員工之間共享資料。在工作中共享密碼可能會因共享存取權而破壞機密性。

例如，公司內部人員從人資到客戶支援，可能不需要也不應該存取智慧財產等資料。這不在他們的工作職責範圍內。資料擁有者可以使用網路分段、加密、權杖化與資料遮罩來區隔機密資料，藉此將資訊抽象化，使任何人都無法理解其內容。

這些工具也可以限制資料存取，因此需要存取部分客戶資料的客服代表將無法存取全部資料。加密等工具會在資料離開組織時持續保護資料。在 個人可識別資訊（PII）或受保護健康資訊（PHI） 面臨風險的情況下，這點至關重要。

資料持有者必須實作特定控制措施與技術，例如 多因素驗證（MFA），以防止網路犯罪分子與未經授權的員工查看資料。儘管如此，攻擊者仍會透過 網路釣魚 與其他利用手法取得查看或控制資料的能力。存取權限越大，攻擊者就越有可能透過 橫向移動 在整個網路中蒐集資料。

攻擊者會進行橫向移動，以尋找客戶資料庫、身分與存取控制以及智慧財產。身分與存取控制會讓他們取得更多權限，並開啟更多資料庫與流程，讓他們能在其中找到私人資料。

完整性

人們信任可靠且乾淨、未受錯誤、毀損或竄改影響的資料。異常資料可能誤導從中萃取有價值洞察的分析師。如果他們提出的洞察引導企業朝錯誤方向前進，公司可能會浪費產品開發投資，產出無法引起客戶共鳴或無法如預期運作的產品。

攻擊者可藉由繞過入侵偵測系統（IDS）、取得對內部系統的未經授權存取，以及接觸並變更真實資料來破壞資料完整性。錯誤資料可能導致 IoT 與 OT 資料計算不正確，進而使系統採取對廠房與設備有害的行動，例如資料中心、水壩或發電廠。

無論是公開或私有資料，都必須適當反映新聞事件、產品、服務、組織與人物。駭客行動主義、企業間諜活動與宣傳都是可能促使資料遭到變更、進而失去完整性的動機。

如果人們對資料完整性失去信心，他們也會對呈現該資料的持有者失去信任。組織可能失去聲譽、客戶與營收。

可用性

若人員、流程與機器有權存取的精確資料無法被存取，那麼這些資料就毫無用處。所有讓資料可用的要素，從維護、保護與防護資料的儲存裝置，到傳輸中資料所經過的路徑，都必須將資料傳遞給已驗證的使用者。公開資料必須不受阻礙地傳送至端點裝置的對外介面。

讓資料可用的工具必須值得信賴。如果網路釣魚攻擊突破電子郵件防線，要分辨合法資料與謊言將變得越來越困難。如果人們對通訊媒介失去信任，它就不再是可靠資料的來源，而資料也會變得較不可用。假新聞與深度偽造也是如此，它們可以冒充人類聲音或影像來散播錯誤資訊。

在即時資料、自動化，以及仰賴資料可用性的各種技術與服務世界中，基於這樣的假設與期待，可用性的重要性絲毫不亞於機密性或完整性。停機不僅會導致資料無法使用，執行系統所需資料的不可用也可能導致停機。

CIA 三元組中的任何單一特性都不能取代其他特性。即使組織讓有權存取的人員能夠取得資料，也不能冒著讓其他群體或個人不應看到的機密部分外洩的風險，或在提供可用性的同時危及資料完整性。

為什麼組織應使用 CIA 三元組？

使用 CIA 三元組的組織，能透過三個較高層級的目標達成資訊安全的許多目的。如果組織能維持資料機密性，威脅行為者就無法存取資料。如果他們無法存取資料，就表示其攻擊的最終目標（例如網路釣魚與 勒索軟體）將失敗。如果組織維持資料完整性，則資料不會被勒索軟體攻擊加密，也不會遭到變更、刪除，或以不正確的形式呈現在其他地方。

如果組織維持資料可用性，那麼任何威脅行為者都無法刪除資料或癱瘓使其可用的基礎架構。當組織維持資料可用時，資料便能為組織及其利害關係人實現其價值。組織所有的資料安全目標，都可以從 CIA 三元組出發，並將所有安全工作追溯回此框架來達成。

透過在攻擊者的 cyber kill chain 每個環節實作 CIA 三元組，組織可以阻撓 kill chain 中的步驟，並在網路事件到達目標之前加以阻止。

AI-Powered Cybersecurity

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

結論

CIA 三元組是保護資料機密性、完整性與可用性的框架，藉此達成資料安全。透過使用 CIA 三元組，組織可降低未經授權存取的風險以維持資料機密，備份並維護資料完整性以抵禦勒索軟體攻擊，並確保資料可用。如果資料無法提供給正確的對象使用，那就等同於資料不存在。