Lección 64 — Tríada CIA: Confidencialidad, Integridad y Disponibilidad

La tríada CIA es uno de los modelos fundamentales de la seguridad de la información. Está formada por tres principios esenciales: confidencialidad, integridad y disponibilidad, que permiten comprender qué debemos proteger y cuáles son los objetivos de las medidas de seguridad.

Cada vez que utilizamos una computadora, consultamos una cuenta bancaria, enviamos un correo electrónico o almacenamos documentos en la nube, necesitamos que nuestra información permanezca protegida, sea confiable y esté disponible cuando la necesitemos.

Imagina que alguien lee tus mensajes privados sin autorización, modifica tus calificaciones escolares o impide que accedas a tus archivos. Aunque son situaciones diferentes, todas representan problemas relacionados con alguno de los principios de la tríada CIA.

En esta lección aprenderás qué significa cada principio, cómo se relacionan entre sí, qué situaciones pueden comprometerlos y qué medidas generales ayudan a protegerlos.

¿Qué es la tríada CIA?

La tríada CIA es un modelo conceptual utilizado en seguridad de la información para representar tres propiedades fundamentales que deben protegerse:

• Confidencialidad (Confidentiality): la información solo debe ser accesible o divulgada a quienes están autorizados.

• Integridad (Integrity): la información debe mantenerse exacta, completa y protegida frente a modificaciones indebidas.

• Disponibilidad (Availability): la información y los sistemas deben estar accesibles para los usuarios autorizados cuando se necesiten.

Las letras CIA provienen de los términos en inglés Confidentiality, Integrity y Availability.

No deben confundirse con las siglas de la agencia de inteligencia estadounidense, ya que en seguridad informática representan un modelo completamente diferente.

¿Para qué sirve este modelo?

La tríada CIA ayuda a:

• Comprender los objetivos básicos de la protección de la información.

• Identificar qué propiedades pueden verse afectadas por un incidente.

• Evaluar necesidades de seguridad.

• Seleccionar medidas de protección apropiadas.

• Analizar consecuencias de fallas o accesos no autorizados.

• Establecer prioridades de protección.

Ejemplo inicial

Una escuela almacena las calificaciones de sus estudiantes en un sistema informático.

Para proteger adecuadamente esa información necesita:

• Evitar que personas no autorizadas consulten las calificaciones.

• Impedir modificaciones indebidas de los resultados.

• Permitir que los profesores autorizados consulten el sistema cuando lo necesiten.

Estas tres necesidades corresponden a confidencialidad, integridad y disponibilidad.

¿Qué es la confidencialidad de la información?

La confidencialidad es el principio que busca impedir que la información sea consultada o divulgada por personas, sistemas o procesos que no cuentan con autorización.

Su objetivo principal es controlar quién puede conocer determinada información.

No significa que nadie pueda acceder a los datos, sino que solo deben hacerlo quienes tengan los permisos correspondientes.

Ejemplos de confidencialidad

• Un paciente puede consultar su expediente médico mediante un sistema autorizado.

• Un estudiante accede a sus calificaciones utilizando su cuenta personal.

• Una empresa limita el acceso a los datos de sus clientes.

• Una persona protege sus conversaciones privadas.

• Un empleado consulta únicamente los documentos necesarios para realizar su trabajo.

¿Cómo se protege la confidencialidad?

Entre las medidas habituales se encuentran:

Autenticación: permite verificar la identidad de quien intenta acceder a un sistema.

Control de acceso: establece qué recursos puede consultar cada usuario.

Cifrado: transforma la información mediante métodos criptográficos para impedir que resulte comprensible sin los medios necesarios para descifrarla.

Permisos de archivos: restringen la lectura o utilización de determinados documentos.

Protección física: evita que personas no autorizadas accedan directamente a equipos o documentos.

¿Qué situaciones comprometen la confidencialidad?

• Compartir información privada con personas no autorizadas.

• Exponer accidentalmente documentos personales.

• Utilizar permisos de acceso demasiado amplios.

• Perder un dispositivo que contiene información sensible sin protección adecuada.

• Enviar información confidencial al destinatario equivocado.

Ejemplo práctico

Una empresa tiene un archivo con los salarios de sus empleados.

El departamento autorizado puede consultarlo para realizar sus funciones.

Sin embargo, si el documento queda disponible para todos los trabajadores sin justificación, se produce una exposición que compromete la confidencialidad.

Idea fundamental: la confidencialidad responde a la pregunta ¿quién está autorizado a conocer esta información?

¿Qué es la integridad de la información?

La integridad es el principio que busca mantener la información exacta, completa y confiable, evitando modificaciones, eliminaciones o alteraciones indebidas.

También implica que los cambios legítimos se realicen correctamente.

Por ejemplo, una calificación puede modificarse cuando un profesor autorizado corrige un error. Esa modificación no necesariamente compromete la integridad, siempre que sea válida y se realice mediante el procedimiento correspondiente.

Ejemplos de integridad

• Las calificaciones escolares reflejan los resultados correctos.

• Los saldos bancarios corresponden a las operaciones realizadas.

• Un documento conserva su contenido original cuando no debe modificarse.

• Un inventario registra correctamente las cantidades disponibles.

• Una base de datos mantiene información consistente.

¿Cómo se protege la integridad?

Permisos de modificación: permiten establecer quién puede cambiar determinados datos.

Validación de información: ayuda a comprobar que los datos introducidos cumplen las reglas establecidas.

Registros de cambios: permiten conocer qué modificaciones se realizaron y, cuando corresponde, quién las efectuó.

Versiones de documentos: facilitan consultar estados anteriores y recuperar información después de determinadas modificaciones.

Funciones hash: generan valores que pueden utilizarse para detectar cambios en archivos o datos.

Procedimientos de revisión: ayudan a verificar que las modificaciones sean correctas y estén autorizadas.

¿Qué situaciones comprometen la integridad?

• Modificar registros sin autorización.

• Alterar accidentalmente una fórmula.

• Guardar información incorrecta.

• Eliminar datos necesarios.

• Cambiar un documento sin seguir el procedimiento establecido.

• Corromper archivos durante una falla.

Ejemplo práctico

Una tienda registra que tiene 25 unidades de un producto.

Si alguien modifica accidentalmente el inventario y registra 250 unidades, la información deja de representar correctamente la realidad.

Aunque nadie haya robado información, existe un problema de integridad.

Idea fundamental: la integridad responde a la pregunta ¿podemos confiar en que esta información es correcta y no ha sido alterada indebidamente?

¿Qué es la disponibilidad de la información?

La disponibilidad es el principio que busca asegurar que los sistemas, servicios y datos puedan utilizarse por los usuarios autorizados cuando sean necesarios.

No significa que todos los sistemas deban funcionar las 24 horas del día.

El nivel de disponibilidad requerido depende de la importancia del servicio y de las necesidades de quienes lo utilizan.

Ejemplos de disponibilidad

• Un estudiante puede ingresar a su plataforma educativa durante los horarios establecidos.

• Un empleado accede a los documentos necesarios para trabajar.

• Un hospital dispone de sus sistemas clínicos cuando necesita atender pacientes.

• Una empresa puede consultar su sistema de inventario.

• Un usuario recupera sus archivos cuando los necesita.

¿Cómo se protege la disponibilidad?

Mantenimiento preventivo: ayuda a reducir fallas de los equipos y sistemas.

Copias de seguridad: permiten recuperar información después de determinados incidentes.

Redundancia: consiste en disponer de recursos adicionales que pueden utilizarse si falla un componente.

Sistemas de alimentación ininterrumpida (UPS): proporcionan energía temporal ante ciertos problemas eléctricos.

Monitoreo: permite detectar fallas y comportamientos anormales.

Planes de recuperación: establecen procedimientos para restablecer servicios después de una interrupción.

¿Qué situaciones comprometen la disponibilidad?

• Fallas de hardware.

• Interrupciones eléctricas.

• Problemas de conectividad.

• Errores de configuración.

• Daños en dispositivos de almacenamiento.

• Sobrecarga de sistemas.

• Ataques que impiden utilizar determinados servicios.

Ejemplo práctico

Una universidad utiliza una plataforma para entregar tareas.

Si el sistema deja de funcionar durante el periodo de entrega, los estudiantes no pueden acceder al servicio cuando lo necesitan.

Aunque la información no haya sido robada ni modificada, existe un problema de disponibilidad.

Idea fundamental: la disponibilidad responde a la pregunta ¿pueden los usuarios autorizados utilizar la información y los sistemas cuando los necesitan?

Diferencias entre confidencialidad, integridad y disponibilidad

Aunque los tres principios forman parte del mismo modelo, cada uno protege una propiedad diferente.

Una forma sencilla de recordarlos

Confidencialidad: que nadie no autorizado conozca la información.

Integridad: que los datos sean correctos y no se alteren indebidamente.

Disponibilidad: que la información y los servicios puedan utilizarse cuando sean necesarios.

Ejemplo con una fotografía personal

Imagina que guardas una fotografía en un servicio de almacenamiento en la nube.

• Si un desconocido consigue verla sin autorización, se compromete la confidencialidad.

• Si alguien modifica la fotografía sin permiso, se compromete la integridad.

• Si el servicio deja de funcionar y no puedes acceder a ella, se compromete la disponibilidad.

Una misma fotografía puede necesitar protección en los tres aspectos.

¿Cómo se relacionan los tres principios de la tríada CIA?

La confidencialidad, la integridad y la disponibilidad son propiedades diferentes, pero se complementan.

Proteger una sola de ellas no garantiza que la información esté adecuadamente protegida.

Confidencialidad sin disponibilidad

Un archivo puede estar perfectamente protegido contra accesos no autorizados, pero resultar inútil si su propietario no puede abrirlo cuando lo necesita.

Disponibilidad sin integridad

Un sistema puede funcionar continuamente, pero ofrecer información incorrecta.

En ese caso, su disponibilidad no garantiza que los usuarios puedan confiar en sus resultados.

Integridad sin confidencialidad

Un documento puede conservarse sin modificaciones, pero quedar expuesto a personas que no deberían conocerlo.

La importancia del equilibrio

Las organizaciones deben establecer medidas que protejan los tres principios de acuerdo con sus necesidades.

En ocasiones, una medida que fortalece una propiedad puede dificultar otra.

Por ejemplo, controles de acceso excesivamente restrictivos podrían impedir que usuarios legítimos obtengan información necesaria durante una emergencia.

La seguridad busca establecer un equilibrio adecuado, no maximizar una propiedad ignorando las demás.

Ejemplos de la tríada CIA en la vida cotidiana

Los principios de la tríada CIA aparecen en numerosas actividades digitales.

Correo electrónico

Confidencialidad: impedir que personas no autorizadas lean mensajes privados.

Integridad: evitar modificaciones indebidas de los mensajes y sus archivos adjuntos.

Disponibilidad: permitir que el usuario consulte su correo cuando lo necesite.

Banca digital

Confidencialidad: proteger los datos financieros y personales.

Integridad: mantener registros correctos de saldos y operaciones.

Disponibilidad: permitir el acceso a los servicios bancarios conforme a sus condiciones de funcionamiento.

Plataforma educativa

Confidencialidad: restringir el acceso a información académica personal.

Integridad: proteger calificaciones y registros escolares.

Disponibilidad: facilitar el acceso a materiales y actividades durante los periodos necesarios.

Sistema hospitalario

Confidencialidad: proteger los expedientes de los pacientes.

Integridad: mantener información clínica exacta.

Disponibilidad: permitir que el personal autorizado consulte los datos necesarios para la atención.

Tienda en línea

Confidencialidad: proteger la información personal de los clientes.

Integridad: mantener correctos los precios, pedidos e inventarios.

Disponibilidad: permitir que los usuarios utilicen la plataforma cuando el servicio debe estar operativo.

¿Qué ocurre cuando se compromete la tríada CIA?

Un incidente de seguridad puede afectar una o varias propiedades simultáneamente.

Exposición de información

Cuando datos privados quedan disponibles para personas no autorizadas, se compromete principalmente la confidencialidad.

Alteración de registros

Cuando alguien modifica información sin autorización, se compromete la integridad.

Interrupción de servicios

Cuando un sistema deja de estar disponible para sus usuarios autorizados, se compromete la disponibilidad.

Incidentes combinados

Algunas situaciones afectan más de un principio.

Por ejemplo, un programa malicioso podría:

• Copiar documentos privados.

• Modificar archivos importantes.

• Impedir el acceso al sistema.

En ese escenario podrían verse comprometidas las tres propiedades de la tríada CIA.

¿Por qué es importante identificar la propiedad afectada?

Porque ayuda a comprender el incidente y determinar qué medidas de protección o recuperación pueden resultar necesarias.

Medidas generales para proteger la tríada CIA

Las medidas de seguridad pueden contribuir a proteger una o varias propiedades.

Importante: los efectos de cada medida dependen de su diseño e implementación. Por ejemplo, el cifrado por sí solo no garantiza la integridad; para ello pueden requerirse mecanismos criptográficos adicionales.

Protección mediante diferentes capas

En la práctica, la seguridad suele combinar controles técnicos, procedimientos y hábitos responsables.

Una sola herramienta no garantiza la protección completa de las tres propiedades.

¿Cómo identificar qué principio es más importante?

Los tres principios son relevantes, pero su prioridad puede variar según el contexto.

Ejemplo: hospital

La disponibilidad de ciertos sistemas puede resultar especialmente importante durante la atención de emergencias.

Sin embargo, también es indispensable proteger la confidencialidad y la integridad de los expedientes médicos.

Ejemplo: banco

La integridad de los registros financieros es esencial para mantener saldos y operaciones correctos.

La confidencialidad de los datos y la disponibilidad de los servicios también son necesarias.

Ejemplo: fotografías personales

La confidencialidad puede ser una prioridad para imágenes privadas.

La integridad y la disponibilidad también importan para evitar alteraciones o pérdidas.

Principio de evaluación

Antes de seleccionar medidas de seguridad conviene preguntarse:

• ¿Qué información o servicio necesitamos proteger?

• ¿Quién está autorizado a utilizarlo?

• ¿Qué ocurriría si alguien accediera sin permiso?

• ¿Qué consecuencias tendría una modificación incorrecta?

• ¿Qué sucedería si el recurso dejara de estar disponible?

• ¿Qué medidas podrían reducir esos riesgos?

Estas preguntas permiten comenzar a evaluar las necesidades de protección de manera organizada.

Actividad práctica: identifica los principios de la tríada CIA

Analiza las siguientes situaciones y determina qué principio se ve comprometido principalmente.

Caso: correo privado

Una persona descubre que alguien ha leído sus correos electrónicos sin autorización.

Pregunta: ¿qué principio se ha comprometido?

Caso: calificación modificada

Un estudiante descubre que su calificación fue cambiada por error en el sistema escolar.

Pregunta: ¿qué principio se ha comprometido?

Caso: plataforma inaccesible

Una plataforma educativa deja de funcionar durante un examen en línea.

Pregunta: ¿qué principio se ha comprometido?

Caso: documentos expuestos y modificados

Una carpeta compartida permite que personas no autorizadas consulten y cambien documentos.

Pregunta: ¿qué principios se han comprometido?

Caso: falla de almacenamiento

Una computadora presenta una falla que provoca la pérdida de archivos importantes y evita que puedan recuperarse.

Pregunta: ¿qué principios podrían verse afectados?

Respuestas orientativas

Correo privado: confidencialidad.

Calificación modificada: integridad.

Plataforma inaccesible: disponibilidad.

Documentos expuestos y modificados: confidencialidad e integridad.

Falla de almacenamiento: disponibilidad e integridad, dependiendo de las consecuencias concretas.

Ejercicio de clasificación

Completa la siguiente tabla indicando el principio correspondiente.

Respuestas

• Expediente médico: confidencialidad.

• Inventario: integridad.

• Sistema de atención: disponibilidad.

• Documentos privados: confidencialidad.

• Verificación de archivos: integridad.

• Recuperación de información: disponibilidad, y también puede contribuir a restaurar la integridad.

Preguntas de repaso

Responde con tus propias palabras:

• ¿Qué es la tríada CIA?

• ¿Qué significan sus siglas?

• ¿Qué es la confidencialidad de la información?

• ¿Qué es la integridad de los datos?

• ¿Qué es la disponibilidad de la información?

• ¿Cuál es la diferencia entre los tres principios?

• ¿Por qué deben protegerse conjuntamente?

• ¿Qué principio se compromete cuando alguien consulta información sin autorización?

• ¿Qué principio se compromete cuando se altera un documento indebidamente?

• ¿Qué principio se compromete cuando un servicio deja de funcionar?

• ¿Puede un incidente afectar más de un principio?

• ¿Por qué la prioridad de cada principio puede variar según el contexto?

Respuestas orientativas

Tríada CIA: modelo que representa tres propiedades fundamentales de la seguridad de la información.

Significado de CIA: Confidentiality, Integrity y Availability.

Confidencialidad: protección contra accesos y divulgaciones no autorizados.

Integridad: conservación de la exactitud, completitud y confiabilidad de los datos.

Disponibilidad: acceso oportuno a información y sistemas por parte de usuarios autorizados.

Diferencia: cada principio protege una propiedad distinta de la información.

Protección conjunta: una propiedad protegida no garantiza que las otras también lo estén.

Consulta no autorizada: confidencialidad.

Alteración indebida: integridad.

Servicio inaccesible: disponibilidad.

Incidentes combinados: sí, pueden afectar varias propiedades simultáneamente.

Prioridades diferentes: dependen de las necesidades, consecuencias y características de cada sistema.

Lo que has aprendido

Al finalizar esta lección, ya puedes:

• Definir qué es la tríada CIA.

• Identificar el significado de sus tres componentes.

• Explicar qué es la confidencialidad.

• Comprender la importancia de la integridad de la información.

• Reconocer el papel de la disponibilidad.

• Diferenciar los tres principios mediante ejemplos.

• Identificar situaciones que comprometen cada propiedad.

• Comprender que un incidente puede afectar varios principios.

• Reconocer medidas generales de protección.

• Analizar la importancia de equilibrar los objetivos de seguridad.

• Aplicar los conceptos a situaciones cotidianas.

• Evaluar de manera introductoria las necesidades de protección de un sistema.

Estos conocimientos constituyen una base esencial para comprender las amenazas y los mecanismos de protección que estudiarás en las siguientes lecciones.

Conclusión

La tríada CIA es uno de los modelos más importantes para comprender los objetivos de la seguridad de la información.

Sus tres principios —confidencialidad, integridad y disponibilidad— permiten analizar si los datos están protegidos frente a accesos indebidos, si conservan su exactitud y si pueden utilizarse cuando se necesitan.

La confidencialidad controla quién puede conocer la información; la integridad ayuda a mantenerla correcta y confiable; y la disponibilidad procura que permanezca accesible para los usuarios autorizados.

Aunque cada principio tiene una función específica, los tres deben considerarse conjuntamente para establecer una protección adecuada.

Una información verdaderamente protegida necesita ser confidencial cuando corresponde, íntegra y disponible según las necesidades de sus usuarios.

En la siguiente lección conocerás las amenazas informáticas más comunes, comprenderás cómo pueden afectar los sistemas y aprenderás a reconocer diferentes situaciones de riesgo.

Lección anterior　　 Índice del programa　　 Siguiente lección