"A staat niet voor Availability in CIA"
Confidentiality, Integrity en Availability vormen samen de driehoek van informatiebeveiliging en worden als een soort mantra overal herhaald. De A staat echter niet voor Availability, aldus Rich Mogull van Securosis. "Denk er even over na. Als beschikbaarheid even belangrijk als vertrouwelijkheid of integriteit is, hoe kan CIA dan intern consistent zijn?"
Elke keer dat er om een wachtwoord wordt gevraagd, gaat dat ten koste van de beschikbaarheid. Ook het neerzetten van een firewall, access control of encryptie beperkt de beschikbaarheid. De A staat dan ook niet voor availability, maar voor 'attribution', merkt Mogull op. "Logging, monitoring, auditing en incident response? Weten wie wat deed en wanneer? Dat is allemaal attribution. Wie is de eigenaar van de informatie? Wie kan het aanpassen en veranderen? Dat is allemaal afhankelijk van attribution."
Meer availability zorgt juist voor minder veiligheid. "Het veranderen van de A van availability in attribution lost dat probleem op en maakt security intern consistent. "
Precies, die meneer denkt dat de wereld om beveiliging draait. Helaas voor hem draait de wereld om de data. Maar goed, dan weten we dat Securosis het nog niet begrijpt.
En ja het is inderdaad een uitdaging om een balans te vinden, Soms wint C soms I en soms A.
Het gaat om de risicos beheersen. Is iets high risk dan is availability moeilijker (datacenter in een bunker). Is risco laag dan is availabiliy hoog bv een mobiele telefoon die ga je niet in een bunker leggen.
Bij de mobiele telefoon van Obama is het weer een uitdaging maar daar zet je er een hoop assets omheen in de vorm van beveiligings mensen zodat de asset obama toch lekker kan bellen/zijn telefoon availability heeft ;)
Is dus een start van een discussie, gaat wel lukken denk ik ;)
dit is geen discussie, maar een flame war. Met een domme stelling kun je geen discussie starten.
blijkbaar is hij fan van data op een server zetten, deze afsluiten en ontkoppelen, in kluis plaatsen en de kluis in het beton gieten op 20 meter diepte.
gegarandeerd veilig, integer en je weet wat ermee gebeurt.
sorry, kan iemand die man op cursus sturen?
@8:59 gebruik zelf als voorbeeld de Marianentrog 11km diep heel confidential ;)
CIA driehoek moet eigenlijk CIAB piramide zijn cia-business (of bucks) heel veilig als je de deur op slot doet maar als niemand je winkel in kan dan verkoop je niets. Dus als de kosten van C hoger zijn dan de fraude met zeg effe de ov-chip/credit kaart dan laat je dat lekker zitten (maar houd het wel in de gaten.
Peter
Ja, A maakt samen met C en I een consistentie zoals die gewenst is, door de eigenaar.
Er heeft nog nooit iemand beweert dat je confidentiality, integrity en availability allemaal in dezelfde mate kunt waarborgen, en je moet de juiste balans vinden. Attribution is van belang bij aanvallen, waarbij er impact is voor confidentiality, integrity of availability, en maakt eerder deel uit van de wijze waarop je op dergelijke incidenten reageert.
Wat dat met de betekenis van de CIA triangle te maken heeft ontgaat mij, welk punt denkt Mogull hier nou te maken ?
Er heeft nog nooit iemand beweert dat je confidentiality, integrity en availability allemaal in dezelfde mate kunt waarborgen, en je moet de juiste balans vinden. Attribution is van belang bij aanvallen, waarbij er impact is voor confidentiality, integrity of availability, en maakt eerder deel uit van de wijze waarop je op dergelijke incidenten reageert.
Wat dat met de betekenis van de CIA triangle te maken heeft ontgaat mij, welk punt denkt Mogull hier nou te maken ?
Ik denk, dat hij even wil laten zien hoe slim hij is? Je kent dat wel, zoiets merk je op in gezelschap van mensen die er nog veel minder van snappen en dan kijk je slim rond en neemt alle applaus in ontvangst...
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
