Tríada CIA
Confidencialidad, integridad y disponibilidad, las tres propiedades que cualquier control de seguridad intenta proteger.
Cuando alguien dice “esto es un problema de seguridad”, casi siempre está diciendo que algo dejó de ser secreto, dejó de ser correcto o dejó de estar disponible. Esas tres palabras son la tríada CIATríada CIALas tres propiedades básicas que protege la seguridad de la información, que deben valorarse por separado para cada activo. (Confidentiality, Integrity, Availability). Es el vocabulario mínimo para hablar de riesgo: te obliga a preguntar qué propiedad de qué activo estás protegiendo antes de discutir herramientas.
Las tres propiedades#
La definición de referencia viene de NIST (FIPS 199, que a su vez cita la ley federal de EE. UU. 44 U.S.C. § 3542). Traducida y resumida:
- Confidencialidad: preservar las restricciones autorizadas sobre el acceso y la divulgación de la información, incluida la protección de la privacidad y de la información propietaria. Solo quien debe ver, ve.
- Integridad: protegerse frente a la modificación o destrucción indebida de la información, incluido garantizar su autenticidad y el no repudio. Lo que hay es lo que tiene que haber, y sabes quién lo cambió.
- Disponibilidad: garantizar un acceso puntual y fiable a la información y a su uso. Funciona cuando se necesita.
Fíjate en que la integridad no es solo “que no lo modifiquen”: también incluye poder detectar que se modificó y atribuir el cambio. Y la disponibilidad no es solo “que no se caiga”: un sistema que responde en 40 segundos en hora punta tampoco está disponible para un recepcionista con una cola de pacientes.
Paso 1 de 5El activo
Todo empieza por lo que proteges: los datos de pacientes de Citas. La tríada CIA describe las tres propiedades que deben mantenerse sobre ellos.
CIA aplicada a Citas#
Tomemos la app de referencia: un SaaS de reservas para clínicas que guarda nombre, teléfono, email y notas de cada cita. Para cada pilar, la pregunta útil es ¿cómo se rompería aquí?
| Pilar | Cómo se rompe en Citas | Impacto |
|---|---|---|
| Confidencialidad | El almacén de objetos con los adjuntos queda expuesto por una política mal escrita, o un token de sesión de una clínica sirve para leer pacientes de otra | Fuga de PII, notificación obligatoria (RGPD: 72 h) y pérdida de confianza |
| Integridad | Alguien cambia la hora de una cita o edita una nota clínica sin dejar rastro; un webhook sin firma inyecta reservas falsas | Pacientes que llegan a otra hora, decisiones sobre datos falsos |
| Disponibilidad | La API se satura un lunes a las 9:00, o un ransomware cifra la base de datos | Las clínicas no pueden atender; pérdida directa de ingresos |
Un mismo incidente puede tocar varios pilares a la vez. El ransomware moderno es el ejemplo clásico: cifra los datos (disponibilidad), los altera (integridad) y además los exfiltra para extorsionar con publicarlos (confidencialidad).
Controles típicos por pilar#
No hay un control “de seguridad” genérico: cada uno protege sobre todo una propiedad. Estos son los grupos de controles descritos por lo que hacen, no por el producto que los implementa:
- Confidencialidad. Cifrado en tránsito (TLS en el borde y entre servicios) y en reposo (con claves gestionadas), control de acceso por identidad con mínimo privilegio, y bloqueo del acceso público al almacenamiento por defecto.
- Integridad. Hashes y checksums para detectar cambios, firmas para atribuirlos (los tokens de sesión van firmados), versionado y almacenamiento inmutable (WORM) para volver atrás, y registros de auditoría que no se pueden alterar sin que se note.
- Disponibilidad. Redundancia entre zonas, autoescalado, backups probados (no solo hechos) y protección frente a saturación y DDoS, como límites de tasa en el borde.
Cada idea recibe un nombre distinto en cada nube, pero es la misma idea:
| Control | AWS | Azure | Google Cloud |
|---|---|---|---|
| Almacén de objetos cifrado | S3 + KMS | Blob Storage + Key Vault | Cloud Storage + Cloud KMS |
| Bloqueo de acceso público | S3 Block Public Access | “Disable public access” | Public access prevention |
| Base de datos redundante | RDS Multi-AZ | Azure SQL zone-redundant | Cloud SQL HA |
| Almacenamiento inmutable (WORM) | S3 Object Lock | Blob immutable storage | Bucket Lock |
| Registro de auditoría firmado | CloudTrail (ficheros digest) | Activity Log | Cloud Audit Logs |
| Protección DDoS en el borde | Shield + WAF rate-based | Azure DDoS Protection + WAF | Cloud Armor |
Los pilares compiten entre sí#
Diseñar con CIA no es maximizar las tres a la vez: a menudo reforzar una debilita otra.
- Confidencialidad contra disponibilidad. Si cifras todo con una clave gestionada y esa clave se deshabilita o se programa su borrado (los proveedores imponen una espera de varios días precisamente por esto), los datos siguen ahí pero nadie puede leerlos. Un MFA obligatorio sin plan de recuperación deja a un administrador fuera en mitad de un incidente.
- Integridad contra disponibilidad. El almacenamiento inmutable (WORM, como S3 Object Lock en modo compliance) impide que nadie —ni siquiera la cuenta raíz— borre un objeto antes de su fecha de retención. Es perfecto contra el ransomware, y molesto si necesitas corregir un dato por una petición de supresión del RGPD.
- Disponibilidad contra confidencialidad. Más réplicas, más cachés y más regiones significan más copias de los datos que proteger y más permisos que gestionar.
Más allá de la tríada#
La tríada es un punto de partida, no una teoría completa. Dos ampliaciones aparecen a menudo:
- Autenticidad y no repudioNo repudioGarantía de que alguien no puede negar de forma creíble haber realizado una acción, porque existe una evidencia fiable de ella.: poder demostrar quién originó una acción y que no pueda negarlo. NIST las incluye dentro de la integridad. En la práctica son registros de auditoría firmados (CloudTrail en AWS, Cloud Audit Logs en GCP), firmas digitales y logs centralizados en una cuenta separada.
- Hexada parkeriana: Donn B. Parker (1998) propuso seis atributos, añadiendo posesión o control (un portátil robado y cifrado: no hay fuga de confidencialidad, pero has perdido el control), autenticidad y utilidad (datos cifrados con una clave perdida: íntegros y “disponibles”, pero inútiles).
Cuando modeles amenazas verás que STRIDE es básicamente la tríada ampliada y vista desde el lado del atacante: cada categoría de amenaza viola una propiedad concreta.
Tu turno
Explica cada pilar con un ejemplo de tu trabajo actual
Elige un activo concreto que manejes en tu trabajo (una base de datos, un pipeline, un bucket, un servicio interno) y rellena la tabla. Intenta que cada fila sea un escenario realista, no genérico.
- ¿Qué dato o servicio sería más grave filtrar, alterar o perder? ¿Es el mismo en los tres casos?
- ¿Qué control existe hoy para cada pilar? ¿Lo has visto funcionar o das por hecho que funciona?
- ¿Qué pilar está peor cubierto? ¿Qué tensión entre pilares has vivido (por ejemplo, un control que provocó una caída)?
Activo: ...
| Pilar | Escenario realista de fallo | Control actual | Hueco / mejora || ---------------- | --------------------------- | -------------- | -------------- || Confidencialidad | | | || Integridad | | | || Disponibilidad | | | |Reto
Un atacante obtiene acceso de lectura a los backups de la base de datos de Citas, pero no los modifica ni los borra. ¿Qué pilares se han violado?
▸Mostrar solución
Solo la confidencialidad: ha accedido a información sin autorización. La integridad y la disponibilidad se mantienen, porque los datos siguen siendo correctos y accesibles. Aun así es un incidente grave: los backups contienen toda la PII y la notificación del RGPD aplica igual.
Reto
¿Por qué validar los registros de auditoría firmados es un control de integridad y no de confidencialidad?
▸Mostrar solución
Porque no impide que nadie lea los logs: detecta si se han modificado o borrado después de escribirse. Por ejemplo, CloudTrail genera cada hora un fichero digest con el hash SHA-256 de los logs, firmado con RSA; si un atacante edita un log para borrar su rastro, la validación falla.
En resumen#
- La tríada CIA nombra lo que proteges: confidencialidad (solo quien debe ver), integridad (correcto y atribuible) y disponibilidad (funciona cuando se necesita).
- Clasifica el impacto por pilar y por activo: no todos los datos necesitan lo mismo.
- Cada control protege sobre todo una propiedad: cifrado y control de acceso (C), hashes, firmas y versionado (I), redundancia, escalado y backups (A).
- Los pilares compiten. Diseñar es equilibrarlos según el riesgo, no maximizarlos todos.
- Autenticidad, no repudio y la hexada parkeriana amplían el modelo cuando la tríada se queda corta.