Trekëndëshi CIA: Tre Shtyllat e Sigurisë

Kur profesionistët e sigurisë flasin për "siguri të mirë", ata zakonisht e masin atë me tre parime. Këto tre parime quhen Trekëndëshi CIA — dhe jo, nuk ka lidhje me agjencinë amerikane.

CIA qëndron për: Confidentiality (Konfidencialiteti), Integrity (Integriteti), Availability (Disponueshmëria).

Në fund të këtij mësimi do të jesh në gjendje të vlerësosh çdo incident sigurie duke pyetur: "cili nga tre parimet u prek?".

1. Konfidencialiteti — "Vetëm ata që duhet, e dinë"

Konfidencialiteti do të thotë që informacioni është i aksesueshëm vetëm nga njerëzit e autorizuar. Nëse dikush tjetër e lexon atë, konfidencialiteti është thyer.

Shembull real: fjalëkalimi yt ruhet i enkriptuar në serverët e Gmail. Vetëm ti mund ta hapësh llogarinë.

Shembull i thyerjes: një leak ku bazat e të dhënave publikohen në internet.

Si mbrohet:

• Enkriptimi i të dhënave në disk dhe në lëvizje (HTTPS, TLS).
• Kontrolli i aksesit (vetëm admini mund të shohë të dhënat e pagesave).
• Autentikimi i fortë (fjalëkalime + 2FA).

2. Integriteti — "Informacioni është i saktë dhe i paprekur"

Integriteti do të thotë që të dhënat nuk janë ndryshuar në mënyrë të paautorizuar. Nëse dikush edit një faturë bankare pa leje, integriteti është thyer.

Shembull real: kur shkarkon një program, zhvilluesi publikon një "hash" (p.sh. SHA-256). Ti mund të kontrollosh nëse file-i që shkarkove është ekzaktësisht i njëjtë me atë që ai publikoi.

Shembull i thyerjes: një sulmues ndryshon shumën e transfertës bankare nga 10 euro në 10,000 euro.

Si mbrohet:

• Hash-et dhe nënshkrimet digjitale.
• Version control (p.sh. Git).
• Audit log-et që regjistrojnë çdo ndryshim.

3. Disponueshmëria — "Shërbimi funksionon kur më duhet"

Disponueshmëria do të thotë që përdoruesit e autorizuar mund t'i aksesojnë sistemet kur kanë nevojë. Nëse faqja e bankës nuk hapet për një javë, disponueshmëria është thyer edhe nëse të dhënat janë të sigurta.

Shembull real: serverët e bankës duhet të jenë online 24/7.

Shembull i thyerjes: një sulm DDoS që përmbyt faqen me trafik të rremë derisa nuk i shërben më askujt.

Si mbrohet:

• Redundancë (shumë serverë që mund të zëvendësojnë njëri-tjetrin).
• Backup i rregullt dhe plane rikuperimi.
• Mbrojtje nga DDoS (p.sh. Cloudflare).

Pse është trekëndësh?

Sepse kur fokusohesh shumë në një prej tyre, shpesh dëmton të tjerat. P.sh.:

• Maksimum konfidencialitet = enkripto gjithçka = ngadalson sistemet = dëmton disponueshmërinë.
• Maksimum disponueshmëri = akses i lehtë për të gjithë = dëmton konfidencialitetin.

Puna e një profesionisti sigurie është të gjejë balancën e duhur për çdo situatë.

Për secilin parim ekzistojnë mjete të dedikuara. Si fillestar mjafton të njohësh emrat:

• Konfidencialitet: VeraCrypt (enkriptim lokal), GPG (enkriptim email-i), OpenSSL (kryen enkriptim në nivel teknik).
• Integritet: sha256sum (Linux/Mac), CertUtil (Windows) për të verifikuar hash-e.
• Disponueshmëri: Cloudflare, backup tools si restic ose Veeam.

Klasifiko këto incidente

Për secilin, pyet veten: cili nga parimet CIA u prek?

1. Një punonjës dërgon gabimisht një listë klientësh te një konkurrent.
2. Një sulmues ndryshon çmimet e produkteve në një faqe e-commerce për të blerë lirë.
3. Një sulm DDoS bllokon faqen e një gazete për 6 orë.
4. Një ransomware enkripton të gjithë serverët e një kompanie.

Përgjigjet: 1 = Konfidencialiteti; 2 = Integriteti; 3 = Disponueshmëria; 4 = Disponueshmëria (dhe pak integritet).

Ushtrim praktik

Mendo për llogarinë tënde të email-it. Për secilin nga parimet CIA, shkruaj:

• Konfidencialiteti: Çfarë masash ke për të parandaluar që email-et e tua të lexohen nga të tjerët?
• Integriteti: Si e di që një email që dukej se erdhi nga banka jote vërtet u dërgua nga banka?
• Disponueshmëria: Çfarë do të bëje nëse nuk mund të hyje në email për një javë?

• NIST SP 800-12 — dokument klasik që prezanton CIA Triad në thellësi.
• ISO/IEC 27001 — standardi ndërkombëtar për menaxhimin e sigurisë së informacionit, i ndërtuar rreth këtyre parimeve.