👨🏿‍🎨 🎽 🕵️ क्या CIA मॉडल प्रक्रिया नियंत्रण प्रणालियों की सुरक्षा के लिए उपयोगी है? 👨🏿‍🤝‍👨🏽 🚋 🦁

मुझे एक स्वचालित प्रक्रिया नियंत्रण प्रणाली में सूचना की सुरक्षा सुविधाओं (गोपनीयता, अखंडता और उपलब्धता) को प्राथमिकता देने के मुद्दे पर हाल ही में एक लेख और टोफिनो सुरक्षा वेबसाइट पर बाद की चर्चा द्वारा इस पोस्ट को लिखने के लिए कहा गया था।

और क्या यह सवाल प्रक्रिया नियंत्रण प्रणाली के संबंध में सही ढंग से सामने आया है?

CIA (गोपनीयता, अखंडता, उपलब्धता) मॉडल समय की कसौटी पर खरा उतरा है और इस पर संदेह करने का संदेह है। लेकिन प्रक्रिया नियंत्रण प्रणाली की बारीकियों के संबंध में, मुझे लगता है कि यह इस मॉडल की प्रयोज्यता को संशोधित करने के लायक है। यह समझना आवश्यक है कि यह प्रक्रिया नियंत्रण प्रणाली की सूचना सुरक्षा का पर्याप्त रूप से वर्णन करता है, और क्या किसी भी परिवर्तन की आवश्यकता है।

प्रबंधकीय निर्णय लेने के संदर्भ में गोपनीयता, अखंडता और पहुंच पर एक नज़र। हमें अपने लक्ष्यों को प्राप्त करने के लिए सूचित निर्णय और उनके आगे के कार्यान्वयन के लिए जानकारी की आवश्यकता है।

यदि गोपनीयता का उल्लंघन किया जाता है, तो हमारे फैसले हमारे विरोधियों को ज्ञात हो जाते हैं, जो उनकी प्रतिक्रिया को भड़काता है और हमें अपने लक्ष्यों को प्राप्त करने की अनुमति नहीं देता है। सभी गतिविधि का परिणाम नकारात्मक है, लक्ष्य प्राप्त नहीं किया गया है।
यदि अखंडता का उल्लंघन होता है, तो हमारे निर्णय गलत हो जाते हैं, क्योंकि वे विकृत जानकारी पर आधारित होते हैं। स्थिति इस तथ्य से जटिल है कि यह पता नहीं है कि जब हम सीखते हैं कि जानकारी विकृत थी। गतिविधि का परिणाम समान है।
मामले में पहुंच का उल्लंघन होने पर, हम बिल्कुल निर्णय नहीं ले सकते। अच्छी खबर यह है कि हम जानते हैं कि कोई जानकारी नहीं है और अगर अतिरिक्त समय है, तो भी हमारे पास इसे पाने का मौका है। गतिविधि का परिणाम समान है।

ऊपर एक बहुत ही सामान्य दृष्टिकोण का वर्णन किया गया है। प्रक्रिया नियंत्रण प्रणाली की सुरक्षा के लिए इस दृष्टिकोण की आवश्यकता नहीं है। यह प्रक्रिया नियंत्रण प्रणाली की बारीकियों और बारीकियों द्वारा संकुचित किया जा सकता है। अर्थात्:

तकनीकी जानकारी (घटने वाली घटनाओं, इनपुट डेटा और आउटपुट कमांड) प्रकृति में विशिष्ट, परिचालन और स्थानीय है, अर्थात् यह ऐसी प्रणालियों के लिए विशिष्ट है, क्रमशः इसकी प्रासंगिकता को खो देता है और क्रमशः उसी प्रणाली के भीतर समझ में आता है।
नियन्त्रण घटनाओं और / या इनपुट डेटा (सूचना संग्रह) के आधार पर निर्णय प्रक्रिया नियंत्रण प्रणाली के नियंत्रकों और ऑपरेटरों के साथ-साथ कंप्यूटिंग डिवाइसेस (उदाहरण के लिए: प्रोग्रामेबल लॉजिक कंट्रोलर) द्वारा दिए गए एल्गोरिदम (सॉफ़्टवेयर) के आधार पर किए जाते हैं।
निर्णय (टीम) ड्यूटी या ऑपरेशनल कर्मियों, साथ ही कार्यकारी तंत्र द्वारा किए जाते हैं।
निर्णय लेने और निष्पादित करने का समय सख्ती से सीमित है।
प्रक्रिया नियंत्रण या तो स्वचालित (मानव भागीदारी के साथ) या स्वचालित (मानव भागीदारी के बिना) हो सकता है।
प्रक्रिया नियंत्रण लूप (लूप) में एक संग्रह चरण, एक निर्णय चरण (स्वचालित प्रसंस्करण या गणना) और एक कमांड चरण होता है।
प्रक्रिया नियंत्रण प्रणाली की सूचना सुरक्षा का विषय अनधिकृत पहुंच के खिलाफ सुरक्षा है (जानकारी से संबंधित अन्य समस्याएं प्रक्रिया नियंत्रण प्रणाली के लिए नई नहीं हैं और यह उन्हें हल कर सकता है, उदाहरण के लिए, औद्योगिक सुरक्षा का उपयोग करके)।
प्रक्रिया नियंत्रण प्रणाली अपराधियों के लिए ब्याज की जानकारी को संसाधित और संग्रहीत कर सकती है (उदाहरण के लिए, आतंकवादी)। उदाहरण के लिए, तकनीकी प्रक्रिया संसाधनों के लेखांकन की जानकारी अवैध लाभ प्राप्त करने और अपने अपराधों के निशान को छुपाने के लिए इच्छुक अपराधियों के लिए ब्याज की हो सकती है।

पहले पैराग्राफ के आधार पर, गोपनीयता सुरक्षा अनावश्यक हो जाती है। यहां अतिरिक्त टिप्पणियां देना आवश्यक है, क्योंकि कैप्चर किए गए नेटवर्क ट्रैफ़िक के विश्लेषण के परिणामस्वरूप तकनीकी अध्ययन (नियंत्रण ऑब्जेक्ट) के प्रकार को निर्धारित करने के लिए कई अध्ययन समर्पित हैं। लेकिन फिर भी, इस मामले में, इस तरह से प्राप्त ज्ञान नियंत्रण प्रणाली के नियंत्रण लक्ष्य की उपलब्धि को प्रभावित नहीं कर सकता है, हालांकि, यह हमलावर को नियंत्रण प्रणाली पर हमले को विकसित करने में मदद कर सकता है। फिर इस ज्ञान को प्रक्रिया नियंत्रण प्रणाली के बारे में जानकारी के प्रकार के लिए जिम्मेदार ठहराया जाना चाहिए, न कि प्रक्रिया नियंत्रण प्रणाली के अंदर संसाधित तकनीकी जानकारी को। और फिर स्वचालित प्रक्रिया नियंत्रण प्रणाली के बारे में जानकारी की गोपनीयता की रक्षा करना आवश्यक है। इस प्रकार की जानकारी में शामिल हैं: डिज़ाइन और ऑपरेशनल डॉक्यूमेंटेशन और अन्य जानकारी जो आपको प्रक्रिया नियंत्रण प्रणाली को पहचानने और वर्णन करने की अनुमति देती है (व्यक्तिगत डेटा की तरह कुछ, केवल प्रक्रिया नियंत्रण प्रणाली के बारे में)।

सीमित समय (चौथे पैराग्राफ) की शर्तों में, प्रक्रिया नियंत्रण प्रणाली में पहुंच और अखंडता समतुल्य हो जाती है, क्योंकि समाधान की अनुपस्थिति के परिणाम (उपलब्धता का उल्लंघन) या एक गलत निर्णय (अखंडता के उल्लंघन का परिणाम) तकनीकी प्रक्रिया के लिए समान हैं। दिए गए समय सीमा में, केवल सही समाधान स्वीकार्य है।
इस प्रकार, एक स्वचालित प्रक्रिया नियंत्रण प्रणाली की संपूर्ण सूचना सुरक्षा एक चीज के बचाव में कम हो जाती है: अखंडता-उपलब्धता या पहुंच-अखंडता। किसी तरह अप्रत्याशित! क्या ऐसा मॉडल उपयोगी है?

इस प्रकार, गोपनीयता, अखंडता और पहुंच की प्राथमिकता के बारे में तर्क व्यर्थ है। हमें पोस्ट की शुरुआत में सवाल का जवाब मिला और एक नया सवाल पूछा गया।

आइए हम अपने सैद्धांतिक अनुसंधान को छोड़ दें और अभ्यास के लिए आगे बढ़ें। लेकिन व्यवहार में, हमें प्रक्रिया नियंत्रण प्रणाली की सूचना सुरक्षा सुनिश्चित करने के लिए तकनीकी साधनों और संगठनात्मक उपायों की आवश्यकता होती है, ताकि प्रक्रिया नियंत्रण प्रणाली की सुरक्षा जानकारी की समग्र पहुंच के लिए अनधिकृत पहुंच के खतरों से बचा जा सके । कितने लोग समझेंगे कि समस्या के ऐसे बयान के साथ क्या करने की आवश्यकता है? और सबसे महत्वपूर्ण बात यह है कि क्या प्रक्रिया नियंत्रण प्रणाली के नियंत्रकों और ऑपरेटरों को ऐसी "प्रक्रिया नियंत्रण प्रणाली की सुरक्षा" के महत्व और पर्याप्तता का एहसास होगा जो प्रक्रिया नियंत्रण प्रणाली में सूचना सुरक्षा के लिए बस आवश्यक है? मेरी राय में, इन सवालों के जवाब नकारात्मक हैं।

इसलिए, मैं सीआईए के आधार पर निम्नलिखित मॉडल के आधार पर अनधिकृत पहुंच से प्रक्रिया नियंत्रण प्रणाली के संरक्षण का सुझाव दूंगा, लेकिन प्रक्रिया नियंत्रण प्रणाली में अधिक पर्याप्त:

बंद लूप प्रक्रिया नियंत्रण - तकनीकी जानकारी की अखंडता और उपलब्धता, साथ ही साथ संपूर्ण नियंत्रण चक्र के मापदंडों और सॉफ्टवेयर की अखंडता की रक्षा करना।
- प्रक्रिया की दृश्यता - तकनीकी जानकारी की अखंडता और उपलब्धता की सुरक्षा, साथ ही नियंत्रण चक्र की जानकारी संग्रह चरण के मापदंडों और सॉफ्टवेयर की अखंडता।
- प्रक्रिया नियंत्रणीयता - तकनीकी जानकारी की अखंडता और उपलब्धता की सुरक्षा, साथ ही नियंत्रण चक्र कमांड चरण के मापदंडों और सॉफ्टवेयर की अखंडता।
- तकनीकी प्रक्रिया की सामान्यता - नियंत्रण चक्र के स्वचालित प्रसंस्करण के चरण के मापदंडों और सॉफ्टवेयर की अखंडता की सुरक्षा
प्रक्रिया नियंत्रण की निरंतरता - दुर्घटना, शटडाउन या महत्वपूर्ण देरी के खिलाफ सुरक्षा
इसके अलावा आर्थिक और आपराधिक अपराधों (अखंडता, भड़काने) की रोकथाम और प्रकटीकरण है।

यह मॉडल आपके लिए न्याय करने के लिए पर्याप्त और व्यावहारिक रूप से कितना उपयोगी है, हब्रहाब्र के पाठक।

क्या CIA मॉडल प्रक्रिया नियंत्रण प्रणालियों की सुरक्षा के लिए उपयोगी है?

More articles: