前言
「CIA 資訊安全三要素」中的三個字母分別代表機密性（Confidentiality）、完整性（Integrity）和可用性（Availability）。這三個要素構成了一個常見的模型，是安全系統開發的基礎，用於識別弱點並制定解決方案。
資訊的機密性、完整性和可用性對企業運營至關重要，CIA 三要素將這三個概念劃分為不同的重點領域，這種劃分有助於安全團隊更好地針對各類風險制定相應的對策。
理想情況下，當這三個要素都達到要求時，企業的資訊安全性將更強，並且能更有效地應對各種威脅。
機密性（Confidentiality）
機密性關乎組織保護資料隱私和機密性的能力。這要求對資訊的存取進行嚴格控制，以防止未經授權的資料共用，無論是故意還是無意。維護機密性的關鍵在於防止未授權個體訪問重要業務資產，同時確保有權存取的個體能夠順利獲取所需資訊。
例如，財務部門的員工應能訪問試算表、銀行帳戶和其他資金相關資訊，但大多數其他員工，甚至某些高階主管，可能無法獲得這些存取權限。為了遵守這些規範，必須實施嚴格的存取控制，限制誰可以看到什麼內容。
機密性可能因多種行為而受損。這些行為可能是直接攻擊，意圖取得未授權存取權來檢視敏感資訊，或是攻擊者試圖侵入應用程式或資料庫以竊取或篡改資料。
直接攻擊可能採用中間人攻擊（MITM）等技術，攻擊者通過攔截資料來竊取或修改信息。有些攻擊者則通過網路間諜手段獲得憑證，甚至試圖取得更高層級的系統權限。
然而，並非所有機密性漏洞都是惡意的。有些可能源於人為錯誤或安全控制不當。例如，某人可能未妥善保護其工作站密碼，或不小心分享了登入憑證。此外，用戶可能在加密通訊時出現疏漏，給予攻擊者攔截信息的機會，或因硬體被盜而導致敏感資料洩露。
為了應對機密性風險，組織應對敏感資料進行分類和標示，實施存取控制政策，加密數據，並使用多因素驗證（MFA）系統。同時，確保員工具備必要的培訓和知識，以識別和避免潛在威脅也是至關重要的。
完整性（Integrity）
完整性指的是確保資料的可靠性和未經篡改的狀態。資料必須是真實、準確且值得信賴的，這樣才能維持其完整性。
例如，如果您的公司在網站上提供高階主管的資訊，那麼這些資訊必須保持完整性。如果資料不準確，瀏覽網站的訪客可能會對您的組織產生不信任感。某些人可能會試圖駭入您的網站，更改高階主管的描述、照片或職稱，以損害他們或公司的聲譽，從中獲益。
損害完整性通常是有意為之。攻擊者可能會繞過入侵偵測系統（IDS）、修改檔案設定以便未經授權的存取，或篡改系統記錄以掩蓋攻擊行為。但完整性也可能因無意的錯誤而受損，比如誤輸錯誤指令碼或操作失誤。此外，如果公司缺乏健全的安全政策、保護措施和程序，即使完整性受到破壞，組織內也可能無人為此負責。
為保護資料完整性，可以使用雜湊、加密、數位憑證或數位簽章等技術。對於網站，您可以採用受信任的憑證授權單位（CA）來驗證網站的真實性，讓訪客確信他們造訪的是正確的網站。
驗證完整性的一種方式是不可否認性，即某些行為無可質疑。例如，如果貴公司的員工使用數位簽章傳送電子郵件，那麼該郵件的發送事實是無可否認的，收件人也無法否認他們收到了該郵件。
可用性（Availability）
即使資料是機密且完整的，但如果無法讓組織內部人員和客戶使用，它仍然沒有實際價值。這意味著系統、網路和應用程式必須按時、按預期地運行。此外，擁有特定資訊存取權限的人員，必須能夠在需要時迅速獲取這些資訊，而不應花費過長的時間。
例如，如果發生停電，且沒有災難復原系統來幫助使用者恢復對關鍵系統的存取權，可用性將會受到影響。同樣地，自然災害如洪水或暴風雪，也可能阻止員工前往辦公室，從而中斷工作站及其他關鍵資訊或應用程式的可用性。此外，可用性還可能因惡意攻擊，如阻斷服務（DoS）攻擊或勒索軟體，而受到損害。
為了確保可用性，組織可以部署冗餘的網路、伺服器和應用程式，這些系統可以在主要系統中斷或故障時啟用。此外，保持軟體和安全系統的及時更新也能增強可用性，降低應用程式崩潰或系統遭入侵的風險。備份和完整的災難復原計劃，亦有助於公司在面對突發事件後迅速恢復可用性。
結論
總結來說，CIA 資訊安全三要素——機密性、完整性和可用性——為企業建立了一個堅實的安全框架。通過將這三個關鍵要素整合到安全策略中，企業能夠更全面地識別風險並制定相應的對策，從而提升整體資訊安全性並有效應對潛在威脅。
參考資料
iThome鐵人賽
看影片追技術