CIA üçlüsü, bilgi güvenliğinin üzerine kurulduğu üç temel niteliği tanımlar: Confidentiality (gizlilik), Integrity (bütünlük) ve Availability (erişilebilirlik). Bir güvenlik kontrolünün neden var olduğu sorulduğunda cevap neredeyse her zaman bu üç başlıktan birine dayanır.

Model, güvenlik kararlarını sadeleştirdiği için yaygın olarak kullanılır. Yeni bir sistem tasarlarken ya da bir riski değerlendirirken “bu tehdit hangi niteliği zedeliyor?” sorusu, alınacak önlemi doğrudan işaret eder. Aynı soru, gereksiz kontrolleri ayıklamaya da yarar: hiçbir niteliği korumayan bir uygulama, güvenlik değil yalnızca maliyettir.

CIA Üçlüsü Nedir?

CIA üçlüsü; bilginin yetkisiz kişilere açılmamasını (gizlilik), izinsiz değiştirilmemesini (bütünlük) ve ihtiyaç duyulduğunda erişilebilir olmasını (erişilebilirlik) birlikte ele alan temel güvenlik modelidir.

Üçlü, 1970’lerden bu yana bilgi güvenliği literatürünün ortak dili olmuştur. ISO/IEC 27000 ve NIST yayınları da güvenliği bu üç nitelik üzerinden tanımlar. Modelin gücü, teknik olmayan paydaşlarla konuşurken de anlaşılır kalmasıdır: bir yöneticiye “veri sızdı”, “veri bozuldu” ve “sisteme erişilemiyor” arasındaki fark kolayca anlatılabilir.

Gizlilik (Confidentiality)

Gizlilik, bilginin yalnızca yetkili kişilerce görülebilmesidir. Şifreleme, erişim kontrolü, veri sınıflandırma ve maskeleme bu niteliği korur. Bir veri tabanındaki müşteri kayıtlarının şifreli tutulması ya da bir dosyaya yalnızca ilgili ekibin erişebilmesi gizlilik kontrolüdür.

Gizliliğin ihlali; veri sızıntısı, yetkisiz erişim ve omuz sörfü gibi basit yollarla bile gerçekleşebilir. Bu yüzden teknik kontrollerin yanında ekran gizliliği, temiz masa politikası ve bilmesi gereken ilkesi gibi uygulamalar da önemlidir.

Gizliliği koruyan başlıca kontroller

• Aktarımda ve saklamada şifreleme (TLS, disk ve veri tabanı şifrelemesi)
• Rol tabanlı erişim kontrolü ve düzenli yetki gözden geçirme
• Veri sınıflandırma ve sınıfa göre paylaşım kuralları
• Test ortamlarında gerçek verinin maskelenmesi
• Fiziksel erişim denetimi ve temiz masa uygulaması

Bütünlük (Integrity)

Bütünlük, bilginin doğru ve eksiksiz kalmasıdır. Bir muhasebe kaydının, bir yapılandırma dosyasının veya bir yazılım güncellemesinin yolda değiştirilmemiş olması gerekir. Özet fonksiyonları, dijital imzalar, sürüm kontrolü ve değişiklik yönetimi bu niteliği korur.

Bütünlük ihlali çoğu zaman gizlilik ihlalinden daha sessizdir: veri sızmamıştır ama artık güvenilmezdir. Yanlış bir fiyat listesi, bozulmuş bir yedek ya da kurcalanmış bir log kaydı, fark edilmeden uzun süre kullanılabilir. Bu nedenle bütünlük kontrolleri yalnızca engellemeye değil, değişikliği görünür kılmaya da odaklanır.

Yazılım tedarik zincirinde bütünlük ayrı bir başlık hâline gelmiştir. Bir güncelleme paketinin üreticinin imzasını taşıması, tedarik zinciri saldırılarına karşı ilk savunma hattıdır.

Erişilebilirlik (Availability)

Erişilebilirlik, yetkili kullanıcının ihtiyaç duyduğu anda bilgiye ve sisteme ulaşabilmesidir. Yedeklilik, yük dengeleme, yedekleme ve felaket kurtarma planları bu niteliğe hizmet eder. DDoS saldırıları doğrudan erişilebilirliği hedefleyen saldırı türüdür.

Erişilebilirlik yalnızca saldırıyla değil; donanım arızası, hatalı yapılandırma, kapasite yetersizliği ya da bir yazılım güncellemesinin ters gitmesiyle de kaybedilebilir. Bu yüzden iş sürekliliği planlaması güvenlik programının ayrılmaz parçasıdır ve hedef toparlanma süresi (RTO) ile kabul edilebilir veri kaybı (RPO) önceden yazılır.

Üç İlke Arasındaki Denge

Üç nitelik çoğu zaman birbiriyle çekişir. Çok katmanlı kimlik doğrulama gizliliği artırır ama erişimi yavaşlatır; geniş erişim hakları çalışmayı kolaylaştırır ama gizliliği zayıflatır; her değişikliği onaya bağlamak bütünlüğü korur ama operasyonu ağırlaştırır.

Doğru denge, varlığın kritikliğine ve kurumun kabul ettiği artık riske göre kurulur. Bir hastane sisteminde erişilebilirlik öne çıkarken, bir Ar-Ge veri tabanında gizlilik; finansal kayıtlarda ise bütünlük ilk sıraya geçer. Aynı kurumun farklı sistemlerinde farklı öncelikler geçerli olabilir.

Modelin Genişletilmiş Hâlleri

Bazı kaynaklar modele özgünlük ve inkâr edilemezliği ekleyerek beşli bir çerçeve kullanır. Parkerian Hexad ise sahiplik ve fayda niteliklerini de ekleyerek altı boyutlu bir model önerir. Hangi çerçeve seçilirse seçilsin amaç aynıdır: her kontrolün hangi niteliği koruduğunu bilerek yatırım yapmak.

Sektörlere Göre Öncelik Nasıl Değişir?

Üç niteliğin ağırlığı sektöre göre belirgin biçimde değişir. Sağlık kuruluşlarında hasta kayıtlarına anında erişilememesi doğrudan can güvenliği sorunu doğurduğu için erişilebilirlik öne çıkar; buna karşılık aynı kayıtların gizliliği yasal olarak en yüksek düzeyde korunmak zorundadır. Finans sektöründe bütünlük belirleyicidir: bir bakiyenin bir kuruş yanlış olması, sızmış olmasından daha ağır sonuç doğurabilir.

Savunma sanayii ve Ar-Ge yoğun kurumlarda gizlilik neredeyse tartışmasız birinci sıradadır; bir tasarım dosyasının sızması yılların yatırımını değersizleştirir. Enerji ve üretim gibi operasyonel teknolojinin ağırlıkta olduğu ortamlarda ise erişilebilirlik ve emniyet birlikte düşünülür, çünkü bir kontrol sisteminin durması fiziksel sonuç üretir.

Bu nedenle güvenlik programı kurulurken önce kurumun hangi niteliği kaybetmeye tahammülü olmadığı konuşulur. Bu soru yanıtlanmadan seçilen kontroller, teknik olarak doğru ama iş açısından yanlış önceliklendirilmiş olur.

CIA Üçlüsü Hangi Saldırılarla İhlal Edilir?

Her saldırı türü öncelikli olarak bir niteliği hedefler. Veri sızdırma ve yetkisiz erişim gizliliği, veri değiştirme ve sahte işlem bütünlüğü, hizmet kesintisi saldırıları ise erişilebilirliği zedeler. Bazı saldırılar üçünü aynı anda vurur: bir fidye yazılımı olayında veriler şifrelenerek erişilemez hâle gelir, kopyalanarak sızdırılır ve bütünlükleri artık doğrulanamaz.

• Gizlilik: veri sızıntısı, yetkisiz erişim, ortadaki adam saldırıları
• Bütünlük: veri değiştirme, sahte işlem, tedarik zincirinde kod bozma
• Erişilebilirlik: DDoS, fidye yazılımı, altyapı arızası ve kapasite tükenmesi

Bu eşleştirme olay müdahalesinde de yol gösterir. Ekip önce hangi niteliğin kaybedildiğini belirler; çünkü gizlilik ihlalinde bildirim yükümlülüğü, bütünlük ihlalinde doğrulama ve geri alma, erişilebilirlik kaybında ise hızlı ayağa kaldırma öne çıkar.

Kontrolleri Üçlüye Göre Haritalamak

Olgun kurumlar sahip oldukları kontrolleri üç nitelikle eşleştirir. Böylece hangi nitelikte fazla, hangisinde eksik yatırım yapıldığı görünür hâle gelir. Çoğu kurumda gizlilik kontrolleri güçlü, bütünlük kontrolleri ise zayıftır: log değişikliğini fark edecek, yapılandırma sapmasını yakalayacak ya da yedeklerin bozulmadığını doğrulayacak bir mekanizma çoğu zaman kurulmamıştır.

Haritalama basit bir tabloyla yapılabilir: satırlarda kontroller, sütunlarda üç nitelik. Bir kontrolün birden fazla niteliğe hizmet etmesi olağandır; hiçbirine hizmet etmiyorsa varlık nedeni sorgulanmalıdır. Tablo, bütçe görüşmelerinde de somut bir dayanak sunar.

Pratikte bu, güvenlik raporlarının anlaşılırlığını da artırır. Bulguları “gizlilik riski”, “bütünlük riski” ve “erişilebilirlik riski” olarak ayırmak, hangi bulgunun hangi iş sonucunu tehdit ettiğini yöneticiye tek bakışta gösterir.