Tríada CIA (Confidencialidad, Integridad y Disponibilidad)

La Tríada CIA (del inglés Confidentiality, Integrity, Availability) es el modelo fundamental que guía todas las políticas, controles y estrategias de ciberseguridad. Representa los tres objetivos principales que toda organización debe proteger respecto a su información y sistemas.

Sin estos tres pilares, la seguridad pierde su propósito. Cualquier medida de seguridad puede evaluarse preguntando: "¿Protege la confidencialidad?, ¿garantiza la integridad?, ¿asegura la disponibilidad?"

Confidencialidad

La Confidencialidad asegura que la información solo sea accesible a personas, procesos o sistemas autorizados. Protege los datos contra accesos no permitidos.

Objetivo

Garantizar que los datos sensibles (personales, financieros, estratégicos, etc.) no sean vistos, leídos o extraídos por quien no tenga permiso explícito.

Mecanismos comunes para garantizarla

Cifrado (en tránsito y en reposo).
Control de accesos (permisos, roles, autenticación fuerte).
Mascaramiento de datos (ocultar dígitos de tarjetas o documentos).
Segmentación de redes (aislar información crítica).
Políticas de clasificación de información.

Ejemplo práctico

Un hospital almacena historias clínicas. Solo los médicos tratantes y el personal de enfermería asignado al paciente pueden verlas. El recepcionista no tiene acceso, aunque esté en el mismo sistema.

Riesgo si falla

Fuga de datos, robo de identidad, espionaje industrial, multas por incumplimiento normativo (GDPR, HIPAA, etc.).

Integridad

La Integridad garantiza que la información sea exacta, completa y no haya sido modificada de forma no autorizada (ya sea por error, por malicia o por fallos técnicos).

Objetivo

Asegurar que los datos no sean alterados, borrados o corruptos sin el debido permiso, y que cualquier modificación autorizada quede registrada y sea trazable.

Mecanismos comunes para garantizarla

Hashing (ej: SHA-256, MD5) para verificar que un archivo no cambió.
Firmas digitales (aseguran origen e integridad).
Registros de auditoría (logs) que documenten quién, cuándo y qué cambió.
Controles de versionado (ej: Git, backups históricos).
Sumas de verificación (checksums) en transferencias de archivos.

Ejemplo práctico

Descargas un instalador desde la web oficial y verificas su hash contra el publicado en el sitio. Si coinciden, sabes que no fue manipulado por un atacante en el camino.

Riesgo si falla

Datos corruptos, toma de decisiones erróneas, sabotaje de transacciones financieras, inyección de malware en actualizaciones de software.

Disponibilidad

La Disponibilidad asegura que los sistemas, redes y datos estén accesibles y operativos cuando los usuarios autorizados los necesiten.

Objetivo

Evitar interrupciones del servicio, ya sea por ataques, fallos técnicos o desastres naturales. La información debe estar "ahí" cuando se requiera.

Mecanismos comunes para garantizarla

Redundancia (servidores, fuentes de alimentación, enlaces de red).
Copias de respaldo (backups) y planes de recuperación ante desastres.
Balanceo de carga (distribuir tráfico entre múltiples servidores).
Sistemas tolerantes a fallos (ej: discos RAID).
Protección contra DDoS (ataques de denegación de servicio).

Ejemplo práctico

Una tienda online en Black Friday debe soportar un pico de 10 000 usuarios simultáneos. Con balanceo de carga y servidores redundantes, la página sigue operativa. Sin ellos, colapsa y pierde ventas.

Riesgo si falla

Pérdida de ingresos, caída de la productividad, daño a la reputación, incumplimiento de acuerdos de nivel de servicio (SLA).

Relación con otros conceptos de seguridad

Principio de Mínimo Privilegio: Ayuda a garantizar la confidencialidad e integridad al limitar quién puede ver o modificar qué.
Defensa en profundidad: Usa múltiples capas de controles (cifrado, firewalls, autenticación) para proteger los tres pilares al mismo tiempo.
Control de Seguridad: Cada control (ej: firewall, antivirus, cifrado) se diseña para proteger uno o más aspectos de la Tríada.
Cifrado: Es la herramienta estrella para proteger confidencialidad (que no lean) e integridad (que no modifiquen).
Zero Trust: Aplica la Tríada de forma estricta al no confiar en nadie por defecto, verificando siempre acceso, integridad y disponibilidad de recursos.

La Tríada en la práctica (equilibrio)

A veces los tres pilares entran en conflicto. Por ejemplo:

Cifrado muy fuerte → protege confidencialidad e integridad, pero puede ralentizar el acceso y afectar la disponibilidad.
Múltiples copias de respaldo → protegen disponibilidad e integridad, pero aumentan la superficie de ataque para la confidencialidad (más lugares donde pueden robar los datos).

Por eso, la seguridad no es absoluta, sino un equilibrio entre estos tres objetivos, adaptado al riesgo y al contexto de cada organización.

Estándares que referencia la Tríada CIA

ISO/IEC 27001 – Norma internacional de gestión de seguridad de la información.
NIST SP 800-53 – Guía de controles de seguridad del Instituto Nacional de Estándares y Tecnología de EE.UU.
GDPR (Reglamento General de Protección de Datos de la UE) – enfocado en confidencialidad e integridad de datos personales.

Véase también

Esta página forma parte de la Categoría:Conceptos de seguridad.