La tríada CIA se introdujo en 1977 y tiene como objeto guiar la elección de tecnología, políticas y prácticas de las organizaciones para proteger sus sistemas de información: el hardware, el software y las personas involucradas en la producción, el almacenamiento, el uso y el intercambio de datos en la infraestructura de tecnología de la información (TI) de la empresa. Elementos de la tríada:
Confidencialidad: asegúrese de que las partes no puedan acceder a los datos para los que no tienen autorización. La confidencialidad define un espectro, desde personas con acceso privilegiado a gran parte de los datos de la empresa hasta personas externas autorizadas a ver solo la información que el público tiene autorización o permiso para ver.
Integridad: asegúrese de que toda la información incluida en las bases de datos de la empresa sea completa y precisa, y no haya sido manipulada. La integridad se aplica a todo, desde evitar que los adversarios modifiquen intencionalmente los datos hasta evitar que los usuarios bienintencionados modifiquen los datos de manera deliberada o involuntaria, y sin autorización.
Disponibilidad: asegúrese de que los usuarios puedan acceder a la información para la que tienen acceso cuando la necesiten. La disponibilidad establece que las medidas y políticas de seguridad de la información nunca deben interferir con el acceso autorizado a los datos.
El proceso continuo de lograr y mantener la confidencialidad, integridad y disponibilidad de los datos en un sistema de información se conoce como “seguridad de la información”.

Generalmente, la creación de un programa de seguridad de la información comienza con una evaluación del riesgo cibernético. Cuando se auditan todos los aspectos del sistema de información de una empresa, los profesionales de seguridad de la información pueden comprender el riesgo exacto al que se enfrentan y elegir las medidas de seguridad y la tecnología más adecuadas para mitigar los riesgos. Una evaluación de riesgos cibernéticos suele implicar lo siguiente:

Identificación de vulnerabilidades. Una vulnerabilidad es cualquier debilidad en la infraestructura de tecnología de la información (TI) que los adversarios pueden utilizar para obtener acceso no autorizado a los datos. Por ejemplo, los hackers pueden aprovechar errores en programas informáticos para introducir malware o código malicioso en una aplicación o servicio legítimo.

Los usuarios humanos también pueden generar vulnerabilidades en un sistema de información. Por ejemplo, los delincuentes cibernéticos pueden manipular a los usuarios para que compartan información confidencial mediante ataques de ingeniería social como el phishing.

A menudo, los profesionales de seguridad de la información emplean pruebas de penetración, un ataque simulado en su propio sistema de información, a fin de detectar estas vulnerabilidades.

Identificación de amenazas. Una amenaza es todo aquello que pueda comprometer la confidencialidad, integridad o disponibilidad de un sistema de información.

Una amenaza cibernética es aquella que utiliza una vulnerabilidad digital. Por ejemplo, un ataque de denegación de servicio (DoS) es una amenaza cibernética en la que los delincuentes cibernéticos saturan con tráfico parte del sistema de información de una empresa, lo cual genera una falla.

Las amenazas también pueden ser físicas. Los desastres naturales, los ataques físicos o armados, e incluso las fallas sistémicas de hardware se consideran amenazas para el sistema de información de una empresa.