Abbiamo i tre pilastri: riservatezza, integrità e disponibilità.
Perché la privacy non è uno dei tre pilastri?
In primo luogo, la CIA (riservatezza, integrità e disponibilità) non sono obiettivi globali per la sicurezza delle informazioni. Altri principi come la privacy e il non ripudio non si adattano perfettamente a questa famosa triade. ISO / IEC 27000: 2009 definisce la sicurezza delle informazioni come: "Conservazione della riservatezza, integrità e disponibilità delle informazioni Nota: Inoltre, altre proprietà , come l'autenticità, la responsabilità, la non ripudiabilità e l'affidabilità possono anche essere coinvolte." (enfasi aggiunta)
Mentre entrambi i principi affermano che le informazioni personali o sensibili non devono cadere nelle mani sbagliate, la privacy e la riservatezza hanno definizioni leggermente diverse, specialmente in un'applicazione tecnica. ISO 27000 definisce la riservatezza come "la proprietà, che le informazioni non sono rese disponibili o divulgate a individui, entità o processi non autorizzati". La chiave qui è "non autorizzata". La riservatezza mira a fornire un modo affidabile per condividere le informazioni solo con quelle autorizzate e nascondere informazioni da tutte le altre parti senza perdite. Ciò include anche informazioni che potrebbero compromettere altre informazioni sensibili, come la temporizzazione della CPU e la potenza utilizzata durante la crittografia.
La privacy è allo stesso tempo uno standard culturale e giuridico che varia ampiamente e può includere il diritto all'anonimato, il diritto di scegliere a chi sono comunicate le informazioni, l'assenza di intrusioni, il diritto di nascondere informazioni delicate e le limitazioni di accesso a determinati beni personali (come il mio hard disk o le telecamere interne). Non solo alcune di queste categorie non rientrano chiaramente nella definizione di riservatezza, ma ci sono alcune categorie in cui l'accesso alle informazioni è autorizzato ma continua a violare la privacy.
Ad esempio, le informazioni mediche devono rispettare rigide norme sulla privacy. Se una qualsiasi di queste politiche viene violata (ad esempio, i medici non collegati che accedono alle cartelle cliniche o non informano adeguatamente un paziente su come vengono utilizzate le loro informazioni), si tratterebbe di una violazione della privacy, ma non di un fallimento della sicurezza delle informazioni. Se una persona non connessa in un altro paese ha violato le cartelle cliniche, sarebbe una violazione della privacy e della riservatezza. Allo stesso modo, negli Stati Uniti potrebbe essere creato un database per consentire ai genitori di accedere ai voti degli studenti universitari. Sebbene questo database possa superare i controlli di sicurezza a pieni voti, violerebbe le leggi locali sulla privacy. Ciò è complicato dal fatto che riservatezza e privacy sono sinonimi in modo colloquiale. Potresti dire che divulgare i voti ai genitori è una violazione della riservatezza, ma dal punto di vista tecnico la riservatezza descritta nella politica di sicurezza non è stata violata.
TL; DR: nella riservatezza di infosec si afferma che le informazioni sensibili dovrebbero essere visibili solo alle parti che sono state autorizzate dalla politica di sicurezza, mentre la privacy è molto più complessa e ritiene che le informazioni sensibili debbano essere condivise solo con le parti interessate. L'accesso alle informazioni può comunque violare la privacy anche quando tutti gli accessi devono essere autorizzati. Questo va bene perché la CIA non è completa.
La riservatezza è generalmente una preoccupazione sulla privacy . È solo un termine più generico.
È come dire un animale al posto del cane.
Oltre alle definizioni, puoi confermarlo cercando sinonimi di privacy e sinonimi di riservatezza . Puoi usare la riservatezza invece della privacy, ma non il contrario.
La privacy è un concetto legale . Varia da luogo a luogo a luogo (sia nel contenuto che nell'estensione).
In altre parole, non è possibile definire cosa dovrebbe essere fatto per garantire la "privacy". Il concetto di garantire la riservatezza per dati specifici fa parte della sicurezza (la C nella tua lista). La "privacy", quando definita, può essere uno dei dati candidati per la riservatezza.
Generalmente parliamo di privacy per dati personali (è mio, e non voglio che nessun altro lo veda) e riservatezza per dati professionali (solo persone autorizzate dovrebbe vederlo). In questo senso, la riservatezza è una generalizzazione della privacy.
D'altra parte, la sicurezza IT è una delle maggiori preoccupazioni per le organizzazioni (o dovrebbe essere ...) ei professionisti della sicurezza IT sono principalmente interessati alla sicurezza delle organizzazioni.
A proposito, c'è un quarto pilastro anche se generalmente non è considerato importante quanto gli altri 3: tracciabilità (chi ha fatto cosa).
Perché la sicurezza e la privacy hanno proprietà diverse (alcune simili):
In modo che abbiano uno scopo diverso:
Tuttavia, oltre all'usabilità, ritengo che la privacy possa anche essere considerata come uno dei principi di progettazione sicuri. Ad esempio, l'antivirus non è solo utilizzabile, ma deve anche proteggere la privacy degli utenti come la funzione MAPS per segnalare automaticamente malware a Microsoft su Microsoft Security Essential creando una dichiarazione sulla privacy.
La riservatezza, l'integrità e la disponibilità sono usate per descrivere gli attributi delle informazioni e il loro significato è abbastanza chiaro, generalmente le persone hanno definizioni sostanzialmente coerenti. E mentre la necessità di mantenere tali attributi può differire, il significato sarà lo stesso.
La privacy è un concetto o un diritto, e anche se si considera solo la sua rilevanza per l'informazione, non c'è un significato semplice che comprende tutti, può significare cose diverse per persone diverse e può dipendere dal contesto.
L'aspetto legale nella risposta di WoJ è direttamente pertinente, ad esempio, per quanto ricordo nella legislazione britannica non esiste un'unica definizione legale per la privacy, solo un precedente contestuale ecc.
La privacy non può essere un pilastro della sicurezza delle informazioni perché mantenere la privacy non è un obiettivo fondamentale della politica di IS: potrebbe essere un obiettivo, ma a seconda delle circostanze, il tuo obiettivo potrebbe essere quello di ridurre la privacy.
La sicurezza delle informazioni riguarda la progettazione e l'implementazione di sistemi in modo che le informazioni in quei sistemi siano sicure e utilizzate solo in base ad alcune politiche. Le violazioni della privacy, d'altro canto, riguardano maggiormente il contenuto di tale politica: spesso una grave violazione della privacy "funziona come previsto" in base alle politiche.
La tua privacy ti è utile, ma la privacy degli altri potrebbe non esserlo. Sicurezza delle informazioni in alcune organizzazioni riguarda la protezione degli interessi e la mitigazione dei rischi di tale organizzazione. La privacy, d'altra parte, riguarda generalmente interessi di persone esterne all'organizzazione, che possono essere completamente opposte. Un'organizzazione può avere un legittimo interesse a violare la privacy (nella misura consentita dalla legge) rintracciando le persone e adottando misure de-anonimizzate per aumentare le vendite, ridurre le frodi, ecc .; o semplicemente un motivo di profitto per guadagnare soldi vendendo i dati privati. L'IS si preoccuperebbe delle violazioni involontarie della privacy / riservatezza e dei rischi attenuanti di responsabilità, PR e conformità legale, ma non di proteggere gli interessi degli altri finché è nel tuo interesse farlo.
Potrebbero esserci anche requisiti legali per ridurre la privacy e prevenire possibilità di anonimato o pseudonimia. Ad esempio, la legislazione KYC (conosci il tuo cliente) nel settore finanziario; gli accordi contrattuali per fornire dati privati (violazione della privacy) ai fini del monitoraggio delle frodi e la legislazione per l'identificazione e la registrazione di determinati tipi di utenti impongono tutti requisiti IS esplicitamente anti-privacy. Avrete comunque preoccupazioni di riservatezza su questi dati, ma in alcuni aspetti li userete intenzionalmente in modo tale da violare la privacy.
Per una comprensione pratica della differenza tra privacy e sicurezza ti indirizzerei a OMB Circular A-130 pubblicato quest'estate.
L'estratto pertinente:
While security and privacy are independent and separate disciplines, they are closely related, and it is essential for agencies to take a coordinated approach to identifying and managingsecurity and privacy risks and complying with applicable requirements." Privacy goes well beyond CIA and should not be confused with security. Privacy is concerned with the use of personally identifiable information, the sharing of that information, transparency, notice, choice, individual participation, and other issues related to the collection, creation, use, processing, storage, sharing, transfer, and disposal of PII. Privacy issues arise in many contexts related to the collection and use of information about individuals even when there are no security issues and there are no issues related to unauthorized access.
Nella classificazione della protezione dei dati, (ISC) ^ 2 si distinguono "riservato" e "privato". Entrambi sono considerati il livello più alto di informazioni "classificate" non militari che devono essere protette dal pubblico (i livelli inferiori sono "sensibili" e "pubblici"). Qui, "privato" si riferisce esplicitamente alle informazioni relative agli esseri umani. Poiché la "sicurezza delle informazioni" si riferisce molto spesso alla sicurezza delle imprese, troverai più riferimenti alla "riservatezza" che alla "privacy". Quello che Google o Facebook fanno con le tue informazioni private non ha rilevanza centrale per le aziende.
La "Privacy di X", dove X è un dato sensibile, è la quantità di controllo che qualcuno dovrebbe aspettarsi di avere di quei dati.
La sicurezza fornisce il livello di controllo richiesto per assicurare quella privacy. Cioè, i controlli che assicurano la confidenzialità atteso, l'integrità attesa (ovvero la protezione dal cambiamento) e la disponibilità prevista dei dati a se stessi o ad altre parti autorizzate.
Leggi altre domande sui tag audit