सूचना खतरा विज्ञान, भेद्यता और जोखिम प्रबंधन

प्रारंभ में, यह पाठ विषय सूचना के खतरे में चेम्बरलेन की टिप्पणी की प्रतिक्रिया के रूप में तैयार किया गया था, लेकिन अंततः एक अलग पोस्ट की मात्रा तक बढ़ गया, और इसलिए इस प्रारूप में प्रकाशित किया गया है।
शुरू करने के लिए, एकमात्र बिंदु जिस पर आप मूल पोस्ट के लेखक के साथ 100% सहमत हो सकते हैं, यह शब्द "सुरक्षा" का गैर-निर्माण है। अपनी व्युत्पत्ति के आधार पर, सूचना के खतरे के अभाव को सुनिश्चित करने के लिए एक अनुशासन के रूप में सूचना सुरक्षा की धारणा, इस शब्द को इतनी गहराई से गुमराह करने में सक्षम है कि भविष्य में इससे बाहर निकलना बेहद मुश्किल हो जाता है। इस विषय क्षेत्र का एक अधिक सही और चिंतनशील सार इस विषय के नाम के रूप में इस्तेमाल किया जाएगा। लेकिन, दुर्भाग्य से, इतिहास ने अन्यथा फैसला किया और "आईबी" शब्द की व्याख्या अब मोटे तौर पर की जाती है, उदाहरण के लिए, "हैकर" शब्द, आईबी के सभी भ्रम और समझ की कमी के साथ। आइए यह जानने की कोशिश करें कि सूचना सुरक्षा का आधार क्या है, इस विषय क्षेत्र के ढांचे के भीतर कौन से कार्य हल किए गए हैं और वास्तव में ऐसा कैसे होता है।

सूचना सिद्धांत का एक सा

दुर्भाग्य से, हमारे प्रश्न का उत्तर प्राप्त करने के लिए, सिद्धांत में थोड़ा सा परिसीमन करना आवश्यक है। अब तक के संदिग्ध शब्द "सुरक्षा" को छोड़कर, आइए हम अपने विषय क्षेत्र के नाम के पहले घटक पर विचार करें - "सूचना"। इस शब्द की कोई एकल और मानकीकृत परिभाषा नहीं है, इसलिए हम कई विषयों में सबसे आम और व्यापक रूप से उपयोग करते हैं:

सूचना संसार के बारे में सचेत ज्ञान है, जो संकेतों, संदेशों, समाचारों, सूचनाओं आदि में व्यक्त की जाती है, जो भंडारण, परिवर्तन, संचरण और उपयोग की वस्तु हैं।

इस तथ्य के बावजूद कि सूचना भंडारण, परिवर्तन, संचरण और उपयोग की वस्तु है, इसे इन कार्यों (वाहक, स्रोत, ट्रांसमिशन चैनल और रिसीवर) को पूरा करने के साधनों से अलग-थलग किया जा सकता है, जिनमें से संयोजन इस सूचना प्रणाली के तहत बेहतर ज्ञात है ”( ईसी)। यह ध्यान देने योग्य है कि "आईपी" शब्द, इसके बाद, सूचना प्रौद्योगिकी के विषय क्षेत्र की तुलना में व्यापक अर्थ में उपयोग किया जाता है, ऐसी प्रणालियों को लागू करने के लिए केवल तकनीकी तरीकों तक सीमित नहीं है। सूचना, इसकी प्रणाली और चौथे आयाम की परवाह किए बिना (मेरा मतलब है, अगर वह समय), संचयी, गैर-सहयोगी और गैर-कम्यूटेटिव, एकाग्रता, उम्र बढ़ने, बिखरने और अन्य जैसे गुणों की एक संख्या है, जिसे जिम्मेदार गुण कहा जाता है। जब एक विशिष्ट प्रणाली के साथ संयोजन में जानकारी और खाते के समय को ध्यान में रखते हुए, जानकारी में नए गुण होते हैं - व्यावहारिकता, जैसे कि निष्पक्षता, विश्वसनीयता, पूर्णता, सटीकता, प्रासंगिकता, अतिरेक और हमारे लिए ब्याज की सुरक्षा। समय के साथ उनकी परिवर्तनशीलता के कारण व्यावहारिक गुण, कॉल स्टेट्स के लिए अधिक सही होंगे और सुरक्षा कोई अपवाद नहीं है। इसका मतलब है कि यदि जानकारी अभी सुरक्षित है, अर्थात यदि यह सुरक्षा की स्थिति में है, तो इसका मतलब यह नहीं है कि यह एक पल में ऐसा रहेगा। लेकिन क्या जानकारी को सुरक्षित कहा जा सकता है? इस संपत्ति की व्यावहारिकता से, यह निम्नानुसार है कि एक ऐसी प्रणाली को संग्रहीत, संसाधित और प्रेषित किया जाता है जिसे माना जाता है। दूसरे शब्दों में, सूचना - अपने आप में, सुरक्षित या असुरक्षित नहीं हो सकती - पूरी तरह से और पूरी तरह से उस प्रणाली से निर्धारित होती है जिसमें यह "रहता है"। सिस्टम की सुरक्षा स्थिति एक संचयी संपत्ति है जिसमें तीन आवश्यक होते हैं, लेकिन हमेशा पर्याप्त राज्य नहीं होते हैं:

- गोपनीयता , - जिसका अर्थ है कि केवल आईपी संस्थाएं जिन्हें सूचना प्राप्त करने का अधिकार है, वे इसे प्राप्त कर सकती हैं;
- अखंडता , - जिसका अर्थ है कि जानकारी अनधिकृत संशोधन के अधीन नहीं थी;
- अभिगम्यता , - जिसका अर्थ है कि प्रत्येक आईपी विषय जिसे जानकारी तक पहुंचने का अधिकार है, उसे महसूस करने का अवसर है।

सूचीबद्ध राज्य तथाकथित मानक सूचना सुरक्षा मॉडल "CIA" बनाते हैं। किसी विशेष आईपी और यहां तक ​​कि एक विशिष्ट सूचना धारा या घटक की बारीकियों और कार्यान्वयन के विवरण के आधार पर, अन्य स्थितियों पर भी विचार किया जा सकता है। इसलिए, सुरक्षा मॉडल में, जिसके आधार पर STRIDE धमकी मॉडलिंग, जो कि तकनीकी सूचना प्रणालियों में व्यापक रूप से उपयोग की जाती है, का निर्माण किया जाता है, तीन और राज्यों को पेश किया जाता है:

- प्रामाणिकता , - जिसका अर्थ है कि विषय या आईपी वस्तु बिल्कुल वही है जो इसे पहचाना गया था या जैसा दावा किया गया था;
- प्राधिकरण , - अर्थ है कि वस्तुओं के संबंध में एक प्रामाणिक इकाई के कार्यों की सीमा सीमित है;
- अपील क्षमता , - जिसका अर्थ है कि आईपी विषय में वस्तुओं के संबंध में अपने कार्यों की लेखकों से इनकार करने का अवसर नहीं है।

यह स्पष्ट है कि चूंकि सभी सूचीबद्ध राज्य स्थायी विशेषताएं नहीं हैं, इसलिए किसी भी समय, उनमें से एक या कई का उल्लंघन हो सकता है। इसे खतरा कहा जाता है।

विज्ञान को खतरा

वास्तव में, उल्लिखित स्ट्राइड, सूचीबद्ध आईपी राज्यों में से प्रत्येक के उल्लंघन के खतरों के नाम का एक संक्षिप्त नाम है:

- स्पूफिंग , - प्रामाणिकता;
- छेड़छाड़ , - अखंडता;
- प्रतिशोध , - अपील क्षमता;
- जानकारी का खुलासा , - गोपनीयता;
- सेवा से इनकार , - उपलब्धता;
- विशेषाधिकार का उत्थान , - प्राधिकार।

यह स्पष्ट है कि प्रत्येक खतरा आईपी वस्तुओं में से प्रत्येक के लिए प्रासंगिक नहीं है। प्रासंगिक खतरों की पहचान करने के लिए, उनके मॉडल बनाए गए हैं। खतरे के मॉडल के निर्माण के लिए बहुत सारे दृष्टिकोण हैं, सबसे आम और औपचारिक दृष्टिकोण डेटा प्रवाह आरेख (DFD) पर आधारित है। इस दृष्टिकोण की एक विस्तृत चर्चा एक अलग, बल्कि बड़े लेख का विषय है, इसलिए हम इसे सामान्य स्ट्रोक में विचार करेंगे। शुरुआत के लिए, सिम्युलेटेड सिस्टम के लिए एक शीर्ष-स्तरीय DFD बनाया जा रहा है। परंपरागत रूप से, ऐसे आरेख के तत्व हैं:

- एक प्रक्रिया , - एक आईपी घटक जो सूचना को संसाधित या स्थानांतरित करता है;
- एक इंटरएक्टर , - आईपी के संबंध में एक बाहरी घटक, जो आईपी के किसी भी घटक के साथ सूचना का आदान-प्रदान करता है;
- भंडारण , - एक आईपी घटक जो जानकारी संग्रहीत या स्थानांतरित करता है;
- डेटा स्ट्रीम , - प्रक्रियाओं, इंटरेक्टर और स्टोरेज के बीच सूचनाओं के आदान-प्रदान के लिए चैनल;
- विश्वास की सीमा , - डेटा प्रवाह से गुजरती है और विश्वसनीय आईपी घटकों को अविश्वासियों से अलग करती है।

उसके बाद, घटक प्रकारों में से प्रत्येक के लिए खतरों की प्रासंगिकता के आधार पर (ये सभी प्रक्रियाओं के लिए खतरा हैं; एस और आर इंटरएक्टर्स के लिए; टी, आर, आई, डी, स्टोरेज के लिए और टी, आई, डी डेटा धाराओं के लिए), और जानकारी के आधार पर भी। डेटा प्रवाह द्वारा आत्मविश्वास की सीमा पार करने के बारे में, विचार के तहत मॉडल के लिए वर्तमान खतरों की एक सूची बनाई जाती है। फिर, आरेख के प्रत्येक तत्व का अपघटन किया जाता है जैसे कि यह घटक एक अलग आईएस था, और इसके अंदर घूमने वाले डेटा प्रवाह को भी विश्वास की सीमाओं द्वारा चिह्नित किया जाता है, यदि आवश्यक हो। प्राप्त DFD के आधार पर, वर्तमान खतरों की एक सूची फिर से बनाई जा रही है, पिछले वाले को पूरक। यह प्रक्रिया तब तक पुनरावृत्ति होती है जब तक कि मॉडल के विस्तार का प्राप्त स्तर नए वास्तविक खतरों को पेश करना बंद कर देता है, या जब तक कि यह संभव नहीं हो जाता तब तक अपघटन नहीं होता है। नतीजतन, हमें एक प्रकार का आरेख प्राप्त होता है (चित्र लेख से लिया गया है, जिसका लिंक नीचे दिया गया है):



... और एक बहुत ही सभ्य, यहां तक ​​कि छोटी प्रणालियों के मामले में, आईपी में प्रासंगिक सूचनाओं की सूची प्रश्न में प्रासंगिक है। कृपया ध्यान दें कि जब आप मॉडल के विस्तार की पर्याप्त डिग्री तक पहुंच जाते हैं (और यह डिग्री अभ्यास में काफी प्राप्त होती है), तो हमें उन सभी खतरों की सूची मिलती है जो हमारे लिए प्रासंगिक हैं। अधिक विस्तार से और चित्रण के साथ, इस प्रक्रिया के बारे में, आप यहाँ उदाहरण के लिए पढ़ सकते हैं। इसके अलावा, मैं एक बहुत ही सुविधाजनक Visio- आधारित टूल की भी सलाह देता हूं जो STRIDE का उपयोग करके धमकी मॉडलिंग प्रक्रिया के अधिक स्वचालन की अनुमति देता है: धमकी मॉडलिंग उपकरण , प्रलेखन जिसके लिए प्रक्रिया का काफी विस्तृत विवरण और एक वास्तविक प्रणाली के तैयार मॉडल का उदाहरण है (विज़ुअल स्टूडियो के साथ TMT को एकीकृत करने के लिए प्लग-इन) TFS, सटीक होना)।

हालांकि, हमने जो मॉडल बनाया है, वह आईपी कार्यान्वयन की बारीकियों को ध्यान में नहीं रखता है, जो लगभग हमेशा वर्तमान खतरों का एक बड़ा प्रतिशत बंद कर देता है। उदाहरण के लिए, यदि इंटरएक्टर और प्रक्रिया के बीच विश्वास की सीमा से गुजरने वाली सूचनाओं के आदान-प्रदान के लिए एक सुरक्षित चैनल का उपयोग किया जाता है, तो संबंधित डेटा स्ट्रीम के लिए T और I को पहले ही बंद कर दिया जाता है। यदि, इसके अलावा, क्रिप्टोग्राफिक टूल (क्लाइंट सर्टिफिकेट, डिजिटल सिग्नेचर) का उपयोग इंटरेक्टर की प्रामाणिकता की पुष्टि करने के लिए किया जाता है, तो हम इस घटक में खतरे एस को बंद करने के बारे में बात कर सकते हैं। और इसी तरह आगे भी। अंततः, हमें उन सभी खतरों की सूची मिलती है, जो हमारे आईपी में लागू नहीं होते हैं। सिस्टम में ऐसे खतरों के अस्तित्व की स्थिति को कमजोरियां कहा जाता है।

Uyazvimovedenie

औपचारिक रूप से, "भेद्यता" एक प्रणाली या इसके व्यक्तिगत घटकों के संबंध में किसी विशेष सूचना के खतरे की प्राप्ति के लिए अनुकूल कारकों और स्थितियों का एक समूह है। एक भेद्यता एक साथ कई खतरों के कार्यान्वयन में योगदान कर सकती है। यह ध्यान दिया जाना चाहिए कि भेद्यता हमेशा खतरे को लागू करने का एक विशिष्ट तरीका नहीं है, और कम बार ऐसा नहीं होता है कि खतरे का एहसास कई कमजोरियों के संयोजन का कारण बनता है और, उनमें से किसी एक को समाप्त करके, हम इस खतरे को बंद कर देंगे, हालांकि हम इसे छोड़ देंगे प्रणाली की स्थिति इसके कार्यान्वयन के लिए अनुकूल है जब तक कि हम सभी शेष कमजोरियों को समाप्त नहीं करते हैं। और यहां हमें एक दिलचस्प समस्या का सामना करना पड़ रहा है: अगर खतरा पहले से ही बंद है, तो क्या उन्हें खत्म करना उचित है? वैसे भी, क्या सभी पहचाने गए खतरों को खत्म करना इसके लायक है? सब के बाद, यह हो सकता है कि उनमें से कुछ के कार्यान्वयन से नुकसान कमजोरियों को खत्म करने पर खर्च किए गए फंड की तुलना में काफी कम होगा, जो उन्हें पैदा करते हैं। यह कैसे समझें कि हमें कौन सी धमकियों को पहली जगह में बंद करने की जरूरत है, कौन सी दूसरी, और कौन सी बिल्कुल भी नहीं? ऐसा करने के लिए, हमें प्रत्येक पहचानी गई कमजोरियों पर विचार करने की आवश्यकता है, इस संभावना का अनुमान लगाएं कि इसके माध्यम से विशिष्ट जानकारी के खतरों का एहसास होगा, उनके कार्यान्वयन से नुकसान का आकलन करें, शायद - कई और कारकों को ध्यान में रखें जो हमारे लिए रुचि के हैं, उदाहरण के लिए, भेद्यता, श्रम लागत आदि को ठीक करने की लागत। दूसरे शब्दों में, हमें अपनी प्रणाली में प्रत्येक कमजोरियों की उपस्थिति से जुड़े जोखिमों का आकलन करने की आवश्यकता है।

जोखिम प्रबंधन

क्या, और जोखिम मूल्यांकन के तरीके गंदगी की तरह हैं, क्योंकि यह प्रक्रिया सूचना सुरक्षा के क्षेत्र के लिए विशिष्ट नहीं है और यह जोखिम प्रबंधन के अनुशासन को संदर्भित करता है। फिर भी, तकनीकी सूचना प्रणाली की भेद्यता जोखिमों का आकलन करने के लिए पारंपरिक रूप से दो तरीकों का उपयोग किया जाता है। पहले को DREAD कहा जाता है, जो इस पैमाने को ध्यान में रखने वाले कारकों का संक्षिप्त नाम है:

- क्षति क्षमता , - भेद्यता के शोषण के माध्यम से खतरों के कार्यान्वयन से नुकसान का आकलन;
- प्रजननशीलता , - भेद्यता के शोषण का प्रजनन;
- शोषणशीलता , - भेद्यता के शोषण में आसानी;
- प्रभावित उपयोगकर्ता , - भेद्यता के शोषण के माध्यम से खतरों के कार्यान्वयन से प्रभावित उपयोगकर्ताओं के दर्शकों का आकलन;
- खोजनीयता, - भेद्यता का पता लगाना।

प्रत्येक पहचानी गई कमजोरियों के लिए, सूचीबद्ध कारकों का मूल्यांकन 0 से 10 तक किया जाता है और कुल जोखिम मूल्य की गणना सूत्र द्वारा की जाती है:

Risk_DREAD = (DAMAGE + REPRODUCIBILITY + EXPLOITABILITY + स्वीकृत USERS + DISCOVERABILITY) / 5

फिर समझ में आता है कि किन कमजोरियों को पहली जगह में बंद करने की जरूरत है। हालांकि, DREAD प्रकृति में काफी मूल्यांकन योग्य है और उदाहरण के लिए, कई कारकों को ध्यान में नहीं रखता है, जो कि खतरा है कि अनुमानित भेद्यता को महसूस करने की अनुमति देता है और एक पूरे के रूप में सिस्टम की सुरक्षा स्थिति पर इसका क्या प्रभाव पड़ता है। अधिक विस्तृत मूल्यांकन के लिए, सीवीएसएस (कॉमन वल्नेरेबिलिटी स्कोर साइटम) स्केल का उपयोग किया जाता है, जो हर किसी ने कम से कम एक बगट्रैक मेलिंग सूची में सदस्यता ली है। कमजोरियों के वर्णन में, एवी: एन / एसी: एल / एयू: एन / सी: एन / आई: एन / ए: सी जैसे वैक्टर? खैर, यह सीवीएसएस है। यह पैमाना काफी जटिल है, बहुत अधिक संख्या में कारकों को ध्यान में रखते हुए, इसलिए इसे यहां विस्तार से चित्रित करना उचित नहीं है। इस पैमाने का विनिर्देश यहां है , कैलकुलेटर (क्योंकि सूत्र DREAD की तुलना में थोड़ा अधिक जटिल हैं) यहां हैं ।

जोखिम मूल्यांकन, इस तथ्य के बावजूद कि इसे प्रारंभिक विषय में टिनसेल के लिए जिम्मेदार ठहराया गया था और अनिवार्य रूप से सूचना सुरक्षा प्रबंधन प्रक्रिया में अंतिम लक्ष्य है: सूचना प्रणाली में कुछ कमजोरियों के शोषण से जुड़े सूचना सुरक्षा जोखिमों का एक विचार प्राप्त करना और इसके लिए उपाय करना स्वीकार्य स्तर तक इन जोखिमों को कम करने के लिए। और नहीं, लेकिन कम नहीं।

दरअसल, यह वह सब है जो सूचना सुरक्षा के विषय क्षेत्र से संबंधित है। हालाँकि, मूल विषय में, और इसके लिए टिप्पणियों में, कई सवाल उठाए गए थे, जो यहाँ अनलिखे रहे। उन पर विचार करें और यहां खत्म करें।

वर्गीकरण, मानक, प्रमाणपत्र

यदि, इस पोस्ट को पढ़ने के दौरान, किसी को यह महसूस होता है कि धमकी देना एक बहुत ही श्रमसाध्य और नियमित प्रक्रिया है, तो वह बिल्कुल सही है। यह वास्तव में एक बहुत ही निम्न-स्तरीय दृष्टिकोण है जो आपको बहुत अच्छे परिणाम प्राप्त करने की अनुमति देता है, लेकिन काफी गंभीर श्रम लागतों पर। दूसरी ओर, यदि हम तकनीकी सूचना प्रणालियों पर विचार करते हैं, तो उनके अलग-अलग समूहों के बीच आम तौर पर किसी चीज़ को बाहर करना संभव है। एक उदाहरण के रूप में वेब एप्लिकेशन लें: आपको क्या लगता है, मॉडल बिल्डिंग के पहले पुनरावृत्तियों में कितने अलग-अलग वेब एप्लिकेशनों में आम खतरों की पहचान होगी? अधिकांश। इसलिए, हर बार एक नया मॉडल क्यों बनाएं, अगर आईपी की बारीकियां पहले से ही खतरों के कुछ बुनियादी सेट प्रदान करती हैं जो प्रत्येक वेब एप्लिकेशन के लिए प्रासंगिक होंगी, चाहे इसके कार्यान्वयन का विवरण क्यों न हो? और यह एक सामान्यीकृत मॉडल के विचार के परिणामस्वरूप ठीक है, वेब अनुप्रयोगों को लागू करने की बारीकियों, उपकरणों और साधनों को ध्यान में रखते हुए, कि WASC और OWASP से भेद्यता वर्गीकरण दिखाई दिए । XSS, SQLi, LFI, CSRF, विभिन्न गलतफहमी, आदि। - यह वहाँ से है। और ये भेद्यता नहीं हैं। ये उनकी कक्षाएं हैं। कमजोरियाँ एक विशिष्ट आईपी के लिए विशिष्ट कारक और स्थितियाँ होंगी: SQL क्वेरी का पाठ बनाते समय या HTML दस्तावेज़ का पाठ बनाते समय इनपुट डेटा की कमी का अभाव, उपयोगकर्ता मापदंडों में प्रेषित पथ के टुकड़ों का अपर्याप्त नियंत्रण, HTTP अनुरोध के स्रोत की प्रामाणिकता के नियंत्रण की कमी, आदि। एन।

लेकिन क्या कोई कह सकता है कि एक विशिष्ट आईपी से अलगाव में, XSS के संचालन के माध्यम से कौन से सूचना खतरों को लागू किया जा सकता है? खैर, मुख्य बात समझ में आती है: सर्वर द्वारा उपयोगकर्ता के ब्राउज़र को दिए गए दस्तावेज़ की अखंडता का उल्लंघन, और फिर क्या? सत्र टोकन गोपनीयता उल्लंघन? हाँ, यह अच्छी तरह से हो सकता है। और यह स्पूफिंग और निर्विवादता को कम से कम दर्शाता है। और यदि व्यवस्थापक सत्र को अपहृत किया जाता है, तो विशेषाधिकारों में वृद्धि होती है। और अगर सत्र अजेय हैं, लेकिन सीएसआरएफ के लिए शर्तें हैं? धमकियों का एक ही सेट या दूसरा? और, बड़े और, डेवलपर्स को इसकी आवश्यकता है? आखिरकार, वे यह सुनिश्चित करने के लिए जानते हैं कि यदि उनके कोड में XSS के लिए शर्तें नहीं हैं, तो इसके संचालन के माध्यम से लागू किए जाने वाले खतरे भी नहीं होंगे, भले ही ये खतरे हों। आईपी ​​इंजीनियरिंग के विशिष्ट विषय क्षेत्रों में भेद्यता वर्गीकरण केवल अमूर्तता का अगला स्तर है, जो आपको विशिष्ट और पहले से तैयार किए गए काउंटरमेसर मॉडलिंग के लिए श्रमसाध्य खतरे से दूर जाने की अनुमति देता है, इससे ज्यादा कुछ नहीं। और, ज़ाहिर है, आपका सिस्टम सामान्यीकृत मॉडल के साथ कम अनुपालन करता है, इन काउंटरमेशर्स जितना कम प्रभावी होगा।

मानक अमूर्तता का एक उच्च स्तर है, जो न केवल आपके सिस्टम की सुरक्षा स्थिति को सुनिश्चित करने के लिए डिज़ाइन किया गया है, बल्कि दूसरों को यह समझाने के लिए भी है कि यह प्रदान किया गया है। किसी भी मानक का वर्णन करने के लिए बहुत सामान्यीकरण किया गया है, जिसमें वर्णित काउंटरमेशर्स की प्रभावशीलता के बारे में बताया गया है। यह अन्य कार्यों को हल करता है, और लगभग हर प्रणाली के लिए पूरक और स्पष्ट किए जाने की आवश्यकता होती है, यदि आपको न केवल एक दस्तावेज प्राप्त करने के काम का सामना करना पड़ता है, जो यह पुष्टि करता है कि आप इस मानक का पालन करते हैं, बल्कि एक अच्छी तरह से संरक्षित प्रणाली भी रखते हैं। प्रमाणीकरण के लिए, यह मानकों के मुख्य उद्देश्य का प्रत्यक्ष परिणाम है। और, चूंकि कई बड़े निगमों और राज्यों में रुचि है, यह एक अपरिहार्य बुराई के रूप में संदर्भित करता है कि किसी विशेष व्यवसाय में संलग्न रहने के लिए किसी को गुजरना चाहिए, इससे ज्यादा कुछ नहीं। मानक - मानकों द्वारा, प्रमाणन - प्रमाणपत्रों द्वारा, और सूचना सुरक्षा एक प्रक्रिया है, हालांकि यह उनके साथ प्रतिच्छेदन करता है, लेकिन यह "थोड़ा अलग" है।

मूल पद के लेखक को

सूचना सुरक्षा वास्तव में मापना कठिन है। गणित और एल्गोरिदम की भाषा में इसे स्थानांतरित करना भी मुश्किल है (यह पीएम से विकास और परियोजना प्रबंधन प्रक्रियाओं के विस्तार में एल्गोरिदम के बारे में पूछने के समान है), क्योंकि, वैसे भी, लोग तकनीकी आईपी में भी मुख्य कारक हैं। कम से कम क्योंकि वे उन्हें विकसित कर रहे हैं। लेकिन यहां मुद्दा यह है कि यह सब इस विषय क्षेत्र का लक्ष्य नहीं है। मैं खुद "श्वेत-कॉलर श्रमिकों" की तरह नहीं हूं, जो मानकों का पालन करने की आवश्यकता के बारे में चालाकी से बात करते हैं, खतरे के मॉडल को "कार्यालय में सभी गर्मियों में कैसे बिताते हैं" विषय पर कुछ दुखी निबंधों को बुलाते हैं और काउंटरमेशर्स को पेश करने की कोशिश करते हैं, यह नहीं समझते कि क्या खतरे हैं। ऊपर से आवाज दी, वे वास्तव में करीब हैं। यद्यपि सब कुछ एक चयन है - "सूचना सुरक्षा विशेषज्ञ," हाँ। इसलिए, यदि कोई व्यक्ति आईपी सुरक्षा के आकलन के रूप में सीमा के साथ काम करना शुरू कर देता है, या यह सुनिश्चित करने की आवश्यकता के बारे में बात करता है कि किसी भी प्रणाली में कोई खतरे नहीं हैं, तो मैं आपसे पूछता हूं: उसकी आंख में उंगली डालें और उसे बताएं कि यह मुझसे है, ठीक है? क्योंकि सूचना सुरक्षा का कार्य उन सभी प्रासंगिक खतरों की पहचान करना है जो उनकी कमजोरियों को निर्धारित करते हैं और उनके शोषण से जुड़े जोखिमों का प्रबंधन करते हैं।

धमकी अनुसंधान, भेद्यता और जोखिम प्रबंधन।