सूचना सुरक्षा के प्रमुख तकनीकी क्षेत्रों को आमतौर पर मूल CIA द्वारा परिभाषित किया जाता है जिसमें गोपनीयता, अखंडता, और प्रमाणीकरण या उपलब्धता शामिल हैं। गोपनीयता यह निर्धारित करती है कि डेटा अनधिकृत पार्टियों द्वारा नहीं बनाया जा सकता।
पहुंच नियंत्रण
पहुंच नियंत्रण बनाए रखना न केवल यह परिभाषित करता है कि उपयोगकर्ता केवल उन संसाधनों और सेवाओं तक पहुंच सकते हैं जिनके लिए वे अधिकृत हैं, बल्कि यह भी कि उन्हें उन संसाधनों से वंचित नहीं किया जाता है जिन्हें वे वैध रूप से एक्सेस करने की उम्मीद कर सकते हैं।
गैर-अस्वीकृति
गैर-अस्वीकृति का अर्थ है कि एक व्यक्ति जो संदेश भेजता है, यह इनकार नहीं कर सकता कि उसने इसे भेजा है और, इसके विपरीत, कि जिस व्यक्ति ने संदेश प्राप्त किया है, वह यह इनकार नहीं कर सकता कि उसने इसे प्राप्त किया है। इन तकनीकी तत्वों के अलावा, डेटा सुरक्षा की वैचारिक पहुंच व्यापक और बहुआयामी है।
गोपनीयता
जबकि गोपनीयता, अखंडता, और प्रामाणिकता सूचना सुरक्षा प्रबंधक की महत्वपूर्ण चिंताएं हैं, गोपनीयता वेब उपयोगकर्ताओं के लिए सूचना सुरक्षा का आवश्यक पहलू है।
विस्तृत पहलू
- प्रामाणिकता (Authenticity) - प्रमाणीकरण यह परिभाषित करता है कि उपयोगकर्ता वही हैं जो वे होने का दावा करते हैं। उपलब्धता यह परिभाषित करती है कि संसाधन अधिकृत पार्टियों द्वारा सुलभ हैं; "सेवा से इनकार" हमले, जो राष्ट्रीय समाचार का विषय हैं, उपलब्धता के खिलाफ हमले हैं। सूचना सुरक्षा पेशेवरों की चिंताएं पहुंच नियंत्रण और गैर-अस्वीकृति हैं। प्राधिकरण वह शक्ति है जो अधिकृत उपयोगकर्ताओं को अनधिकृत उपयोगकर्ताओं से अलग करने और बीच में पहुंच के स्तरों पर हो सकती है। प्रामाणिकता उन निरंतर जांचों को परिभाषित करती है जिन्हें यह सुनिश्चित करने के लिए सिस्टम पर चलाना पड़ता है कि संवेदनशील स्थान संरक्षित हैं और पूरी तरह से काम कर रहे हैं।
- अखंडता (Integrity) - अखंडता यह परिभाषित करती है कि जानकारी अनधिकृत परिवर्तनों से सुरक्षित है जो अधिकृत उपयोगकर्ताओं के लिए बोधगम्य नहीं हैं; हैकिंग की कुछ घटनाएं डेटाबेस और कई संसाधनों की अखंडता से समझौता करती हैं।
- सटीकता (Accuracy) - सूचना प्रणालियों की सटीकता और पूर्णता और सिस्टम के भीतर समर्थित डेटा एक प्रशासनिक चिंता का विषय होना चाहिए। जानकारी जिसे अनुचित रूप से बदला या नष्ट किया गया है (बाहरी या कर्मचारियों द्वारा) संगठन को प्रभावित कर सकती है। प्रत्येक संगठन को यह सुनिश्चित करने के लिए नियंत्रण बनाने चाहिए कि उसके स्वचालित फ़ाइलों और डेटाबेस में दर्ज और सहेजे गए डेटा पूर्ण और सटीक हैं, और प्रसारित डेटा की सटीकता प्रदान करते हैं।
- गोपनीयता (Confidentiality) - गोपनीयता का सिद्धांत यह निर्धारित करता है कि केवल प्रेषक और इच्छित प्राप्तकर्ता ही संदेश की सामग्री को बनाने में सक्षम होने चाहिए। यदि कोई अनधिकृत व्यक्ति संदेश को पढ़ने में सक्षम है तो गोपनीयता से समझौता किया गया है।
- पहुंच नियंत्रण (Access Control) - पहुंच नियंत्रण का सिद्धांत यह तय करता है कि कौन क्या एक्सेस कर सकता है। उदाहरण के लिए, यह परिभाषित करने में सक्षम होना चाहिए कि उपयोगकर्ता A डेटाबेस में डेटा देख सकता है, लेकिन उन्हें रीफ्रेश नहीं कर सकता। उपयोगकर्ता A को अपडेट बनाने की भी अनुमति दी जा सकती है। इसे प्रदान करने के लिए एक अभिगम-नियंत्रण तंत्र स्थापित किया जा सकता है। पहुंच नियंत्रण दो क्षेत्रों से जुड़ा है जिसमें भूमिका प्रबंधन और नियम प्रबंधन शामिल हैं। भूमिका प्रबंधन उपयोगकर्ता पक्ष पर लागू होता है, जबकि नियम प्रबंधन संसाधन पक्ष पर लक्षित होता है।
