信息安全三元组

1994年，信息美国国家标准与技术研究院发布了一份文件，安全定义了信息安全的元组三个核心属性：机密性、完整性、信息可用性。安全这份文件编号FIPS 199，元组后来成为全球信息安全体系的信息基石。我入行那年，安全师傅把这三个词写在白板上，元组说：“记住，信息这就是安全你吃饭的家伙。”

机密性不是元组加密那么简单。加密只是信息手段，机密性是安全“谁被允许看什么”的哲学。2017年Equifax泄露1.43亿用户数据，元组问题出在一个未修补的漏洞——但更深层的原因，是该公司把敏感数据和非敏感数据放在同一个数据库里。权限边界模糊，机密性就形同虚设。我见过太多创业公司，开发环境用生产数据，测试账号有管理员权限，这种“方便”迟早要还。

完整性常被忽视，直到出大事。2008年，一个叫“震网”的病毒通过修改离心机转速参数，让伊朗的核设施物理损坏。它没偷任何数据，但比任何数据泄露都致命。完整性攻击改变的是“信任”——你看到余额是100万，实际只有1万；医生调用的病历里，青霉素过敏史被悄悄删掉。这种攻击最阴险，因为它不声不响，等你发现时，决策已经基于错误信息做出了。

可用性最直白，也最容易被业务方误解。2016年Dyn公司DNS服务遭DDoS攻击，半个美国的网站瘫痪，Twitter、Netflix、Spotify全黑。那次攻击用的不是高级漏洞，而是海量物联网设备组成的僵尸网络。可用性攻击不碰你的数据，不篡改你的记录，就是让你用不了。银行系统宕机一小时，损失可能是千万级；医院系统不可用，直接关系人命。

这三个属性不是并列关系，是三角关系——互相制约，互相拉扯。你加密所有数据（机密性），但解密过程拖慢系统，可用性下降；你频繁校验数据完整性，每次操作都要哈希对比，用户体验变差；你为了可用性做冗余备份，数据副本增多，泄露面又扩大。没有完美的平衡点，只有根据业务风险做的取舍。

我见过最典型的失衡案例，是一家传统银行做数字化转型。安全团队坚持所有API调用必须双向证书认证，结果第三方合作方接入周期从两周拖到两个月，业务部门直接绕过安全团队，用明文HTTP传客户资料。你看，过度追求机密性，反而逼出了更严重的泄露风险。

这三元组还有个常被忽略的维度——它们会随时间漂移。一份文件今天不需要机密性，明天可能因为法规变化变成敏感数据；一个系统设计时可用性要求是99.9%，上线后发现竞品能做到99.99%，你就得重新评估。安全不是一次性的工程，是持续调整的动态过程。

说白了，三元组是个思维框架，不是检查清单。每次做安全决策，问自己三个问题：这个改动会影响谁看数据？会不会破坏数据的可信度？会不会让系统变得不可用？三个问题都过一遍，再拍板。那些翻车的事故，回头看，几乎都是只盯着其中一个属性，忽略了另外两个。