सूचना का खतरा

संपूर्ण सूचना सुरक्षा उद्योग में, मैं हमेशा इस विचारधारा के विरोधाभास से उलझन में था कि सूचना सुरक्षा में शामिल लोग क्या करते हैं और वे अपने व्यवसाय को क्या कहते हैं।

एक सूचना प्रणाली की सुरक्षा का आकलन करने के लिए कोई उद्देश्य तरीके नहीं हैं। सभी मौजूदा तरीके या तो खतरे के बारे में बात कर सकते हैं (यह असंभव है, यह असंभव है, यह एक छेद है), या वे कह सकते हैं कि सिस्टम कुछ प्रमाणन प्राधिकरण की कुछ आवश्यकताओं को पूरा करता है ... और यहां, ध्यान, अपने हाथों को देखें, इन आवश्यकताओं के अनुपालन को सुरक्षा मानदंड कहा जाता है। । जैसे, SFOD-12 के लिए प्रमाणीकरण पारित किया, जिसका अर्थ है कि यह सुरक्षित है। मुख्य बात यह है कि कागज का एक टुकड़ा होना चाहिए। और कागज के इस टुकड़े के लेखक - अधिक ठोस रूप से, अधिकार के साथ साबित करने के लिए कि कहीं भी सुरक्षित नहीं है।

इसका कारण "सुरक्षा" शब्द के गैर-रचनात्मक अर्थों में है। एक "सुरक्षित प्रणाली" क्या है? यह एक ऐसी प्रणाली है जिसमें कार्यात्मक का एक हिस्सा नहीं है (उदाहरण के लिए, जो जानकारी तक पहुंच प्रदान नहीं करता है, या जो कोई फ़ंक्शन प्रदान नहीं करता है)। इस प्रकार, एक सुरक्षित प्रणाली एक प्रणाली है जिसमें टीके में वर्णित EXCEPT कोई अन्य कार्यक्षमता नहीं है।

यदि गणित की भाषा में अनुवाद किया जाता है, तो हम कार्यों का एक निश्चित सेट लेते हैं (संदर्भ की शर्तें), इसके पूरक की गणना करें। क्या है? इसमें, यह मुख्य मुद्दा है जो आधुनिक सूचना सुरक्षा का वर्णन नहीं करता है। सेट का पूरक, जिसे हम नहीं जानते हैं, जो कि अनंत है (या, यदि परिमित है, तो हमें दिखाई देने वाली सीमा से परे)। इस अनंत सेट में हम विभिन्न प्रकार के हमलों, खराब कॉन्फ़िगरेशन, डिज़ाइन त्रुटियों आदि का वर्णन करते हैं, लेकिन यह वास्तविक संख्याओं के सेट पर सूचीबद्ध सेगमेंट के समान है।


इसे बहुत स्पष्ट करने के लिए: मान लीजिए कि हम सब कुछ एक संख्या रेखा तक कम कर देते हैं। 1 से 2 तक का खंड हमारी कार्यक्षमता है। बाकी हमारे लिए एक कार्यात्मक समझ से बाहर है, "खतरे" का एक क्षेत्र

तो, सुरक्षा विशेषज्ञ जो कहते हैं:

यदि हमारे पास 0 है, तो यह 0-भेद्यता है।
यदि हमारे पास ई है, तो यह एक घातीय भेद्यता है।
यदि हमारे पास π है, तो यह एक त्रिकोणमितीय-गोलाकार सेवा से इनकार है।
यदि हमारे पास 10 से 99 तक का सेगमेंट है, तो यह कई विशिष्ट दो अंकों का हमला है।
अगर हमारे पास 100 से 999 तक का खंड है, तो ये तीन अंकों के हमले हैं।
यदि हमारे पास 2 से कम, लेकिन 1 से अधिक हैं, तो ये ऊपरी सीमा के हमले हैं।

सिद्धांत स्पष्ट है? एक विशेषज्ञ किसी भी डिग्री के विवरणों की असीमित संख्या को किसी भी सीमा के साथ प्रकाशित कर सकता है - लेकिन वह कभी भी वास्तविक संख्याओं के पूरे सेट को उनके साथ कवर नहीं करेगा।

यह ठीक वही है जो सूचना सुरक्षा करती है - एक अनंत सेट के व्यक्तिगत खंडों को सूचीबद्ध करना।

अनुशासन अपने आप में काफी समझने योग्य, आवश्यक, महत्वपूर्ण है ... लेकिन तब तक, जब तक हम "सूचना प्रणाली की सुरक्षा" के बारे में कुछ सुनना शुरू नहीं करते। ऐसा नहीं होता है। कोई फर्क नहीं पड़ता कि कितने सूचीबद्ध हैं - सभी समान, ये परिमित संख्या बनाम अनंत हैं। खतरे की बात - हाँ। सुरक्षा के बारे में - नहीं।

लेकिन बाजार को सुरक्षा की आवश्यकता है - और सरल "ठीक है, मैं सुरक्षा के बारे में नहीं बताता, लेकिन यह, यह और यह निश्चित रूप से करने योग्य नहीं है," एक हास्यास्पद आवरण आता है - "सिस्टम सुरक्षा का स्तर।" ... हमने सिस्टम का ऑडिट किया और अब यह सीमित नहीं है। _{x →} and (2 / x) सुरक्षित है, और _{x x ∞} (300 / x) सुरक्षित है।

पहली नज़र में, 300 2 से अधिक है, हम कह सकते हैं कि सिस्टम अधिक सुरक्षित है । और एक करीब से देखने के साथ - जैसा कि यह शून्य था, यह बना रहा।

UPD: जैसा कि टिप्पणीकार सुझाव देते हैं, एक निश्चित "सुरक्षा की स्थिति" है जिसका तकनीकी महत्व मुझे सुनना बहुत पसंद आएगा ...