Punti chiave
- Riservatezza, integrità e disponibilità (triade CIA) sono i tre obiettivi della sicurezza delle informazioni: il dato lo vede solo chi è autorizzato, non viene modificato o distrutto senza permesso, è accessibile a chi ne ha diritto quando serve.
- Le definizioni di riferimento sono nella FIPS 199 del NIST (2004), che per ciascun principio descrive anche la perdita: divulgazione non autorizzata, modifica o distruzione non autorizzata, interruzione dell'accesso.
- I tre principi non pesano allo stesso modo: la FIPS 199 valuta l'impatto di ciascuno su tre livelli e per tipo di informazione, e per un sito pubblico considera la riservatezza non applicabile.
- Il GDPR chiede all'art. 32 la capacità di assicurare su base permanente riservatezza, integrità, disponibilità e resilienza; le linee guida EDPB 9/2022 classificano i data breach secondo la triade.
- La NIS2 e il D.Lgs. 138/2024 (art. 2) aggiungono l'autenticità e definiscono l'incidente come evento che compromette disponibilità, autenticità, integrità o riservatezza.
- I cinque principi spesso citati sono la triade più autenticazione e non ripudio (CNSSI 4009-2022, glossario NIST); per la FIPS 199 autenticità e non ripudio rientrano nell'integrità.
La risposta breve: riservatezza, integrità e disponibilità sono i tre obiettivi della sicurezza delle informazioni, la cosiddetta triade CIA. Riservatezza vuol dire che un dato lo vede solo chi è autorizzato; integrità, che nessuno lo modifica o lo distrugge senza permesso; disponibilità, che chi ne ha diritto lo trova e lo usa quando serve.
Un incidente di sicurezza si descrive quasi sempre come la perdita di uno o più di questi tre attributi, e per questo la triade è il punto di partenza di GDPR, NIS2 e ISO 27001. Qui vediamo le tre definizioni con le fonti, esempi concreti, come cambia il loro peso da un dato all'altro e cosa c'è oltre la triade.
Cos'è la triade CIA
La sigla viene dalle iniziali inglesi dei tre principi: confidentiality, integrity, availability. Non ha niente a che vedere con l'agenzia americana: è il modo più compatto per descrivere cosa significa che un'informazione è al sicuro.
Le definizioni più citate sono quelle della FIPS 199 del NIST (febbraio 2004), che le riprende dalla legge federale statunitense (44 U.S.C. 3542). Per ognuno dei tre obiettivi la FIPS 199 dice anche cosa significa perderlo, ed è la parte più utile in pratica: un incidente si descrive meglio dicendo quale principio è stato violato. Nel mondo ISO i tre termini sono definiti nel vocabolario della famiglia 27000, la ISO/IEC 27000.
Riservatezza
Per la FIPS 199 la riservatezza consiste nel mantenere le restrizioni autorizzate all'accesso e alla divulgazione delle informazioni, compresi i mezzi per tutelare la privacy delle persone e le informazioni proprietarie. Si perde quando un'informazione viene divulgata a chi non è autorizzato.
Esempi di violazione:
- un attaccante entra con credenziali rubate e copia l'archivio clienti;
- un'email con un file di stipendi parte verso il destinatario sbagliato;
- un bucket cloud resta pubblico e chiunque può leggerne il contenuto;
- un portatile non cifrato viene perso in treno.
Le misure che la sostengono sono la gestione delle identità e degli accessi (ognuno vede solo ciò che serve al suo ruolo), l'autenticazione a più fattori, la classificazione dei dati e la crittografia dei dati a riposo e in transito.
Integrità
La FIPS 199 definisce l'integrità come la tutela contro modifiche o distruzioni improprie delle informazioni, e vi fa rientrare anche il non ripudio e l'autenticità. Si perde quando un'informazione viene modificata o distrutta senza autorizzazione.
Esempi di violazione:
- l'IBAN di un fornitore viene cambiato nell'anagrafica e il bonifico successivo va a un truffatore;
- un malware altera i file di configurazione di un server;
- un dipendente corregge a posteriori un valore in un registro di produzione;
- un aggiornamento software arriva manomesso da un fornitore compromesso.
Qui contano i permessi di scrittura limitati, la doppia verifica sulle modifiche sensibili (per esempio le coordinate bancarie), i log non modificabili, le funzioni di hash per controllare che un file non sia cambiato e la firma digitale, che lega un contenuto a chi lo ha prodotto.
Disponibilità
Per la FIPS 199 la disponibilità significa garantire un accesso tempestivo e affidabile alle informazioni e al loro uso. Si perde quando l'accesso alle informazioni o a un sistema informativo viene interrotto.
Esempi di violazione:
- un ransomware cifra i server e l'ERP si ferma;
- un attacco DDoS rende irraggiungibile il portale clienti;
- un guasto o un blackout spegne la sala server;
- i dati sono cifrati in modo corretto, ma la chiave di decifratura è andata persa.
L'ultimo esempio non è un caso di scuola: lo riportano le linee guida 9/2022 dell'EDPB sulla notifica dei data breach tra le perdite di disponibilità. Le misure tipiche sono i backup verificati e conservati separati dai sistemi, la ridondanza dei componenti critici, il monitoraggio e un piano di continuità operativa provato.
Un incidente può colpire più principi insieme
Le linee guida EDPB classificano le violazioni dei dati personali proprio secondo la triade: violazione di riservatezza (divulgazione o accesso non autorizzati o accidentali), di integrità (alterazione non autorizzata o accidentale) e di disponibilità (perdita di accesso o distruzione dei dati). E precisano che una stessa violazione può riguardarne più di una alla volta.
Il caso tipico è il ransomware. Se i dati si recuperano dal backup, la perdita di disponibilità può essere temporanea; ma c'è stata comunque un'intrusione nella rete, e se l'attaccante ha avuto accesso ai dati personali l'EDPB indica che l'incidente può qualificarsi anche come violazione di riservatezza, con eventuale obbligo di notifica. Ripristinare i sistemi non chiude la valutazione: bisogna capire cosa è uscito.
I tre principi non pesano allo stesso modo
Un errore frequente è trattare la triade come una lista da spuntare, con lo stesso peso per tutto. La FIPS 199 fa il contrario: per ogni tipo di informazione si valuta separatamente l'impatto potenziale di una perdita di riservatezza, di integrità e di disponibilità, su tre livelli (basso, moderato, alto).
Gli esempi del documento rendono l'idea:
- le informazioni pubbliche sul sito web di un'organizzazione: riservatezza non applicabile, integrità e disponibilità a impatto moderato;
- le informazioni investigative molto sensibili di un organo di polizia: riservatezza a impatto alto, integrità e disponibilità moderate;
- le informazioni amministrative di routine di un'organizzazione finanziaria: impatto basso su tutti e tre.
Per un sistema che tratta più tipi di informazione, la FIPS 199 prende per ciascun principio il valore più alto tra quelli dei singoli tipi (il criterio del high water mark). Tradotto per un'azienda: la linea di produzione chiede soprattutto disponibilità, l'archivio delle buste paga soprattutto riservatezza, il sistema contabile soprattutto integrità. Decidere dove investire vuol dire sapere quale dei tre conta di più per ogni sistema.
Dove compaiono nelle norme
GDPR
Il Regolamento (UE) 2016/679 usa la triade in tre punti:
- art. 5, par. 1, lett. f): tra i principi del trattamento c'è quello chiamato «integrità e riservatezza», cioè un'adeguata sicurezza dei dati personali contro trattamenti non autorizzati o illeciti e contro perdita, distruzione o danno accidentali;
- art. 32, par. 1, lett. b): tra le misure di sicurezza adeguate al rischio, "la capacità di assicurare su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento". La lettera c) aggiunge la capacità di ripristinare tempestivamente disponibilità e accesso ai dati dopo un incidente fisico o tecnico;
- art. 4, punto 12: la violazione dei dati personali è definita come distruzione, perdita, modifica, divulgazione non autorizzata o accesso ai dati, cioè le tre perdite della triade descritte con altre parole.
Come si mette in pratica l'art. 32 lo vediamo nell'articolo sull'art. 32 GDPR.
NIS2 e D.Lgs. 138/2024
La direttiva (UE) 2022/2555, all'art. 6, e il D.Lgs. 138/2024 che la recepisce, all'art. 2, aggiungono un quarto elemento: l'autenticità. Alla lettera t) il decreto definisce l'incidente come "un evento che compromette la disponibilità, l'autenticità, l'integrità o la riservatezza di dati conservati, trasmessi o elaborati o dei servizi offerti dai sistemi informativi e di rete o accessibili attraverso di essi".
Con la stessa formula, alla lettera q) dello stesso articolo, il decreto definisce la sicurezza dei sistemi informativi e di rete come la capacità di resistere agli eventi che potrebbero compromettere quei quattro attributi. Per un soggetto NIS2 quindi la triade, più l'autenticità, è il metro con cui si riconosce un incidente.
ISO/IEC 27001
L'introduzione della ISO/IEC 27001 (nell'edizione italiana UNI CEI EN ISO/IEC 27001:2024+A1:2024) spiega che il sistema di gestione per la sicurezza delle informazioni preserva riservatezza, integrità e disponibilità delle informazioni applicando un processo di gestione del rischio. In concreto, l'analisi dei rischi di un ISMS ragiona su cosa succede se un'informazione perde una delle tre proprietà, e la politica per la sicurezza delle informazioni fissa gli obiettivi su quelle basi.
Oltre la triade: autenticità e non ripudio
Chi cerca i cinque principi della sicurezza informatica di solito trova la triade più due voci. La definizione di information assurance del glossario del CNSS statunitense (CNSSI 4009-2022), ripresa nel glossario del NIST, elenca cinque proprietà da garantire: disponibilità, integrità, autenticazione, riservatezza e non ripudio.
- Autenticazione e autenticità: la certezza che un utente sia chi dichiara di essere e che un dato o un messaggio provenga davvero da chi lo ha prodotto. L'autenticità è l'elemento che la NIS2 aggiunge esplicitamente alla triade.
- Non ripudio: l'impossibilità, per chi ha inviato o firmato un'informazione, di negarlo in seguito. Nella pratica si ottiene con la firma digitale.
Non sono in conflitto con la triade: la FIPS 199 le considera parte dell'integrità. Elencarle a parte serve quando contano molto, per esempio nei pagamenti, nei contratti firmati in digitale o nelle comunicazioni con le autorità.
Come usare la triade in azienda
La triade diventa utile quando smette di essere una definizione e diventa una domanda da fare a ogni sistema. Un modo semplice per cominciare:
- Elencare i sistemi e i dati che contano: ERP, posta, file server, gestionale di produzione, archivi del personale, applicazioni esposte ai clienti.
- Dare un peso ai tre principi per ciascuno, come fa la FIPS 199: cosa succede se questi dati escono, se vengono alterati, se restano bloccati per un giorno.
- Controllare che le misure seguano i pesi: cifratura e controllo degli accessi dove la riservatezza è alta, controlli sulle modifiche e log dove conta l'integrità, backup provati e ridondanza dove la disponibilità è critica.
- Usare lo stesso linguaggio negli incidenti: dire quale principio è stato violato aiuta a valutare gli obblighi di notifica previsti da GDPR e NIS2.
È lo stesso lavoro che sta alla base della sicurezza informatica aziendale: misure tecniche e organizzative scelte in base a cosa si rischia di perdere.
In sintesi
Riservatezza, integrità e disponibilità descrivono cosa significa che un'informazione è al sicuro: la vede solo chi deve, non cambia senza permesso, è accessibile quando serve. Il GDPR le richiama all'art. 32 insieme alla resilienza, la NIS2 aggiunge l'autenticità e definisce l'incidente a partire da questi attributi, la ISO/IEC 27001 costruisce su di loro il sistema di gestione. Il lavoro vero sta nel pesarle sistema per sistema, perché non tutti i dati chiedono le stesse misure.
Se vuoi capire quali dei tuoi sistemi sono più esposti sul piano della riservatezza, dell'integrità o della disponibilità, puoi partire dai nostri servizi di cybersecurity.