M01-01 · CIA 三要素

今天早間的新路線第一個概念：CIA 三要素。

1. 白話定義

• 機密性 Confidentiality：只有獲授權的人能取得資訊。
• 完整性 Integrity：資訊不被不當修改或破壞。
• 可用性 Availability：需要時能及時、可靠地存取資訊與服務。

2. 用途與條件

評估一個系統時，先問「保護什麼、誰有權使用、什麼時候必須能用」，才選控制措施。三者的重要程度要依業務情境決定，不是所有系統都平均分配。

3. 一個連貫例子

虛構的 Northstar 教材平台：陌生人讀到學生的私人作答，是機密性問題；分數被未授權改動，是完整性問題；考試時系統停擺，是可用性問題。同一事件可能同時損害多項，例如勒索軟體可能讓資料無法使用，也可能先竊走資料。

4. 防護與證據判讀

權限控管與加密可協助保護機密性；變更審核、可信的雜湊比對或數位簽章可協助檢查完整性；備援、容量規劃及實際還原測試可協助維持可用性。

但「有 HTTPS」不能證明授權正確；「有備份」不能證明還原得回來；雜湊相同也不能證明原始資料本來就正確。控制措施與驗證證據要分開看。

5. 小檢核

某份成績檔沒有外洩、內容也沒被更改，但老師在繳交截止前完全打不開。主要受影響的是哪個要素？你會找什麼證據確認？

參考：NIST 機密性、完整性、可用性。