Poufność, integralność, dostępność — trzy słowa, które budują bezpieczeństwo w świecie cyfrowym

Czy można zrozumieć cyberbezpieczeństwo bez żargonu? Bez skomplikowanych wykresów, modeli, skrótów? Tak. Wystarczy spojrzeć na trzy filary, które od dekad tworzą jego fundament: poufność, integralność i dostępność – znane jako triada CIA (od ang. Confidentiality, Integrity, Availability).

Ten model jest punktem wspólnym dla nowoczesnych regulacji prawnych, tj. dyrektywa NIS2, zestawu zasad i dobrych praktyk GMP (Good Manufacturing Practice) oraz systemowych standardów bezpieczeństwa informacji, takich jak normy ISO. Co łączy je wszystkie? Realna potrzeba ochrony danych, procesów i zaufania.

CIA: bezpieczeństwo informacji od kuchni

Wyobraź sobie, że Twoja firma to kuchnia dobrej restauracji. Pracownicy mają przypisane stanowiska, przepisy są pilnie strzeżone, a dania muszą być nie tylko smaczne, ale i bezpieczne. W tej kuchni:

• Poufność to zasada, że tylko kucharz zna pełen skład dań — i nie wycieka on poza zespół.
• Integralność to gwarancja, że nikt nie dodał do zupy składnika, który zmienia smak lub zagraża zdrowiu.
• Dostępność to pewność, że goście dostaną swoje zamówienie na czas, bo składniki, sprzęt i ludzie działają sprawnie.

Tak samo działa każda organizacja, która chce być odporna na awarie, włamania, błędy ludzkie i regulacyjne konsekwencje. Co ugotuje — to będzie musiała przełknąć.

GMP: triada CIA w praktyce jakościowej

W firmach farmaceutycznych, kosmetycznych, chemicznych czy spożywczych GMP nie jest opcją — to dzisiejszy obowiązek. I choć kojarzy się z produkcją, to bezpieczeństwo informacji gra tu kluczową rolę.

• Receptury produktów, procedury produkcyjne, dokumentacja jakościowa — to dane, które należy chronić.
• Integralność zapisów laboratoryjnych czy produkcyjnych to temat numer jeden podczas wszelkich audytów i kontroli.
• Dostępność danych w czasie inspekcji może zdecydować o losie całej partii towaru.

Triada CIA w GMP nie jest dodatkiem. To rdzeń wiarygodności. Bez niej nie można udowodnić, że proces był kontrolowany, dane były prawdziwe, a produkt — bezpieczny.

NIS2: CIA jako obowiązek prawny

Unijna dyrektywa NIS2, która wraz z nowelizacją ustawy o Krajowym Systemie Cyberbezpieczeństwa, wyznacza nowe zasady gry w obszarze odporności cyfrowej.

Jej wymogi idealnie wpisują się w ramy CIA:

• Poufność – ochrona danych przed wyciekiem, dostęp tylko dla uprawnionych.
• Integralność – weryfikacja, że systemy działają zgodnie z przeznaczeniem, a dane są wiarygodne.
• Dostępność – ciągłość usług i szybka reakcja w razie incydentu.

W praktyce NIS2 sprawia, że triada CIA staje się obowiązkiem. Natomiast jego niewypełnienie może oznaczać sankcje finansowe, odpowiedzialność kierownictwa i reputacyjną katastrofę.

Normy ISO: CIA jako system zarządzania

Międzynarodowe normy ISO nie tylko porządkują działania firm, ale też pomagają przekształcić CIA w realne, mierzalne i powtarzalne procesy. Szczególnie istotne są te normy, które bezpośrednio dotyczą bezpieczeństwa informacji, zarządzania ryzykiem, ciągłości działania oraz wykorzystania rozwiązań chmurowych:

• ISO/IEC 27001 – systemowe zarządzanie bezpieczeństwem informacji w ramach SZBI (Systemu Zarządzania Bezpieczeństwem Informacji). To podstawowa norma dla firm chcących skutecznie identyfikować, analizować i minimalizować ryzyka związane z danymi.
• ISO/IEC 27002 – zbiór dobrych praktyk w zakresie bezpieczeństwa informacji wspierających wdrożenie 27001.
• ISO/IEC 27005 – norma poświęcona zarządzaniu ryzykiem w obszarze bezpieczeństwa informacji.
• ISO/IEC 27701 – rozszerzenie ISO 27001 dotyczące zarządzania informacjami o charakterze osobowym (PII) i zgodności z RODO oraz innymi regulacjami prywatności.
• ISO/IEC 22301 – standard zarządzania ciągłością działania.
• ISO/IEC 27017 – wytyczne dotyczące bezpieczeństwa w usługach chmurowych.
• ISO/IEC 27018 – norma skupiona na ochronie danych osobowych w chmurze publicznej.

Dzięki normom, poufność przestaje być pustym hasłem, integralność nie opiera się na zaufaniu, a dostępność to coś więcej niż kopia zapasowa na dysku.

Poufność, integralność, dostępność – jak to wdrożyć naprawdę?

Zanim zainwestujemy w narzędzia na „chybił-trafił”, warto zacząć od podstawowych pytań. Nie techniczne. Organizacyjne. Z życia. Takie, które pozwolą Ci wstępnie ocenić, czy w ogóle można mówić, że CIA funkcjonuje w Twojej organizacji.

1. Kto ma dostęp do danych finansowych, umów, danych klientów, dokumentacji?
2. Czy dostęp jest nadawany „na wyrost” — na wszelki wypadek?
3. Czy potrafimy pokazać listę pracowników, którzy mają dostęp do konkretnych systemów lub folderów?
4. Czy wiemy, co się dzieje z danymi po odejściu pracownika z firmy?
5. Czy dane są szyfrowane?
6. Czy ktoś regularnie sprawdza uprawnienia w systemach?
7. Czy hasła są przechowywane i przekazywane w bezpieczny sposób?
8. Czy dostęp do danych jest logowany i monitorowany?

1. Czy mamy rejestr zmian dla kluczowych danych?
2. Czy dane są weryfikowane?
3. Czy system automatycznie wykrywa niezgodności lub błędy w danych?
4. Czy weryfikujemy spójność danych z różnych źródeł?
5. Czy backupy są tworzone poprawnie i nie zawierają błędów z oryginału?
6. Czy dane są podpisywane elektronicznie?
7. Czy występują sytuacje, w których dane są zmieniane „po czasie”?
8. Czy są procedury zatwierdzania zmian w dokumentacji lub konfiguracji systemów?

1. Czy wiemy, które systemy są krytyczne dla działania firmy?
2. Jak długo możemy pozwolić sobie na niedostępność konkretnego systemu?
3. Czy testowaliśmy realnie przywracanie danych z backupu w ostatnich 3 miesiącach?
4. Czy posiadamy alternatywny sposób pracy (awaryjne procedury) w razie awarii IT?
5. Czy dane są trzymane w jednym czy wielu miejscach?
6. Czy mamy umowy SLA z dostawcami systemów chmurowych, aplikacji, internetu?
7. Czy mamy zidentyfikowane pojedyncze punkty awarii?
8. Czy mamy plan działania na czas ataku DDoS, braku prądu, sabotażu, ransomware?

Podsumowanie

Triada CIA nie jest modą. Jest językiem, w którym rozmawiają dziś IT, jakość, zarząd i prawo. I co więcej — wszyscy mówią o tym samym, tylko może innymi słowami.

• GMP to CIA w praktyce produkcyjnej.
• NIS2 to CIA w wersji ustawowej.
• ISO 27001 to CIA jako system zarządzania.

A sama triada CIA? To po prostu zdrowy rozsądek ubrany w techniczny język. Jeśli z całego artykułu masz zapamiętać jedną rzecz – niech będzie to ta: nie da się zbudować bezpiecznej organizacji bez zrozumienia i praktycznego zastosowania poufności, integralności i dostępności.

Wdrożenie CIA w praktyce wymaga nie tylko wiedzy, ale przede wszystkim doświadczenia w praktycznym wdrażaniu rozwiązań i doboru odpowiednich narzędzi. Wiemy o tym, gdyż Hakon Software od lat wspiera firmy w budowie odporności cyfrowej na każdym etapie:

• Audytujemy i projektujemy architekturę systemów, które uwzględniają zasady triady CIA.
• Wdrażamy System Zarządzania Bezpieczeństwem Informacji.
• Integrujemy systemy i automatyzujemy procesy m. in. w środowiskach GMP, wspierając wiarygodność danych.
• Projektujemy systemy zgodnie z wymaganiami.

Jeśli potrzebujesz wsparcia w ocenie stanu bezpieczeństwa lub chcesz przygotować firmę do zgodności z NIS2 i normami ISO – porozmawiajmy.

📞 +48 600 601 165
📧 info@hakon.pl