Wat is de CIA driehoek?

Wat is de CIA driehoek? Betekenis en BIV uitgelegd

Informatiebeveiliging begint bij een fundamenteel model voor cyber security. Het begrijpen van wat is de cia driehoek helpt risicos te beheersen und cruciale bedrijfsgegevens effectief te beschermen. Ontdek hoe deze universele pijlers de betrouwbaarheid van digitale systemen garanderen en datalekken voorkomen.

Wat is de CIA driehoek en hoe vertaal je dit model?

De CIA driehoek is het fundamentele model binnen cybersecurity dat staat voor Confidentiality, Integrity en Availability. In het Nederlands gebruiken experts hiervoor de BIV-classificatie: Beschikbaarheid, Integriteit en Vertrouwelijkheid. Deze drie onafhankelijke pijlers vormen samen de basis voor elk modern informatiebeveiligingsbeleid.

Toen ik jaren geleden begon met het inrichten van netwerken, dacht ik dat cybersecurity puur een kwestie was van sterke wachtwoorden en firewalls. Pas na mijn eerste grote systeemcrash ontdekte ik hoe gevaarlijk die tunnelvisie is. Beveiliging gaat niet alleen over het geheimhouden van data, maar net zo hard over de vraag of je back-ups wel werken als de boel platligt. Het model dwingt je om vanuit drie verschillende hoeken naar data te kijken. Mis je er eentje? Dan is je beveiligingsketen per definitie gebroken.

De urgentie om deze pijlers in evenwicht te houden is de afgelopen jaren explosief gestegen. Wereldwijde analyses laten zien dat de gemiddelde kosten van een datalek inmiddels zon 4.44 miljoen USD per incident bedragen. Zonder een gestructureerd model zoals de cia triade cyber security tasten IT-afdelingen vaak in het duister bij het toewijzen van hun budgetten. Dit model helpt risicos concreet te categoriseren en te prioriteren.

Waarvoor gebruik je BIV in de praktijk?

Je gebruikt de BIV-classificatie om de kritische waarde van bedrijfsinformatie te bepalen en passende beveiligingseisen op te stellen. Door data te labelen op basis van vertrouwelijkheid integriteit beschikbaarheid, weet een organisatie precies welke systemen zware bescherming vereisen en waar lichtere maatregelen volstaan. Dit vormt de absolute kern van risicoanalyses en compliance-trajecten zoals de ISO 27001-certificering.

In de praktijk werkt de classificatie als een kompas. Een zorginstelling zal bijvoorbeeld de vertrouwelijkheid van patiëntengegevens extreem hoog inschatten, terwijl een webshop de realtime beschikbaarheid van de betaalpagina als topprioriteit ziet. Het is een voortdurend spel van keuzes maken - en hier gaan veel bedrijven de fout in door alles direct het hoogste beveiligingsniveau te geven. Dat is onbetaalbaar en onwerkbaar.

Ongeveer 60% van alle beveiligingsincidenten is nog altijd terug te voeren op de menselijke factor, wat bewijst dat techniek alleen niet herstelt wat een gebrekkige procedure veroorzaakt. Door BIV te gebruiken, creëer je heldere richtlijnen voor medewerkers. Je koppelt concrete acties aan abstracte security-doelen, waardoor iedereen binnen de organisatie begrijpt waarvoor gebruik je biv.

Wat zijn maatregelen en IT controls?

Een wat zijn maatregelen en it controls is de feitelijke actie of technologie die wordt ingezet, terwijl een IT control de overkoepelende beheersing en controle daarvan is. Waar een maatregel een slot op de deur is, controleert de IT control periodiek of het slot nog werkt, wie de sleutel heeft en of de deur wel echt op slot gedraaid wordt. Samen zorgen ze ervoor dat de drie BIV-pijlers effectief worden beschermd binnen de IT-infrastructuur.

Het onderscheid tussen die twee begrippen ontdekken is voor veel IT-teams een pijnlijk leermoment. Maar daarover zometeen meer in de praktijkvoorbeelden hieronder.

Statistieken tonen aan dat 44% van de cyberaanvallen inmiddels ransomware-gerelateerd is, wat direct een enorme aanslag is op zowel de beschikbaarheid als de integriteit van je data. Om dit te pareren, heb je een gelaagde structuur van maatregelen en controls nodig. Controls zorgen ervoor dat security geen eenmalig project is, maar een continu doorlopend proces dat meebeweegt met nieuwe dreigingen.

BIV-Maatregelen en IT Controls gecategoriseerd

Vertrouwelijkheid (Confidentiality)

1. Zorgen dat uitsluitend geautoriseerde personen toegang krijgen tot specifieke data.
2. Maandelijkse audit op gebruikersrechten en actieve monitoring op ongeoorloofde inlogpogingen.
3. Invoeren van Multi-Factor Authentication (MFA) en data-encryptie in rust en transport.

Integriteit (Integrity)

1. Garantie dat informatie juist, compleet en niet ongemerkt aangepast is.
2. Automatische integriteitscontroles via File Integrity Monitoring (FIM) software.
3. Toepassen van hashing-algoritmes bij bestandsoverdracht en strikte write-permissions.

Beschikbaarheid (Availability) ⭐

1. Garantie dat systemen en data operationeel en toegankelijk zijn voor gebruikers.
2. Driemaandelijkse disaster recovery-tests waarbij de hersteltijd (RTO) hard wordt gemeten.
3. Inrichten van redundante servers (load balancing) en een offline back-upsysteem.

Het back-up trauma van logistiek bedrijf Vos

Vos Logistiek, een transportbedrijf nabij Rotterdam met 85 medewerkers, vertrouwde volledig op hun dagelijkse automatische back-up naar de cloud om de beschikbaarheid van hun rittenschema's te garanderen. De IT-beheerder dacht dat alles soepel liep.

Toen sloeg een ransomware-aanval toe. Het volledige hoofdsysteem werd versleuteld. De beheerder probeerde direct de cloud-back-up terug te zetten, maar stuitte op een enorme muur: de back-upbestanden bleken al maanden corrupt te zijn door een onopgemerkte synchronisatiefout.

De frustratie en paniek waren compleet toen het bedrijf drie dagen lang handmatig met Excel-lijsten moest werken. Het team realiseerde zich dat ze wel een maatregel hadden (de back-up software), maar dat er geen IT control was om de werking te controleren.

Na dit incident voerde Vos een harde IT control in: elke eerste maandag van de maand wordt er een volledige test-restore uitgevoerd. De downtime kostte het bedrijf duizenden euro's, maar de les dat een ongeteste maatregel waardeloos is, vergeten ze nooit meer.