💻 computer science

SECAdvisor: a Tool for Cybersecurity Planning using Economic Models

यह शोध पत्र SECAdvisor को प्रस्तुत करता है, जो जोखिमों का आकलन करने, इष्टतम निवेश की गणना करने और लागत प्रभावी सुरक्षा रणनीतियों की सिफारिश करने के लिए आर्थिक मॉडलों को एकीकृत करके कंपनियों को उनकी साइबर सुरक्षा योजना को अनुकूलित करने में सहायता करने के लिए डिज़ाइन किया गया एक उपकरण है।

मूल लेखक: Muriel Figueredo Franco, Christian Omlin, Oliver Kamer, Eder John Scheid, Burkhard Stiller

प्रकाशित 2026-04-17

📖 6 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Muriel Figueredo Franco, Christian Omlin, Oliver Kamer, Eder John Scheid, Burkhard Stiller

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

कल्पना कीजिए कि आपकी एक छोटी सी दुकान है। आप जानते हैं कि चोरों को दूर रखने के लिए दरवाजे पर ताला लगाना जरूरी है, लेकिन आप यह भी जानते हैं कि $10,000 का तिजोरी वाला दरवाजा खरीदने से चोर के आने से पहले ही आप दिवालिया हो सकते हैं। दूसरी ओर, एक कमजोर सा ताला किसी को रोक नहीं पाएगा। बड़ा सवाल यह है: बेहतरीन सुरक्षा पाने के लिए आपको अपने व्यवसाय के विभिन्न हिस्सों पर कितना खर्च करना चाहिए ताकि आप कंगाल न हो जाएं?

यह वही समस्या है जिसे "SECAdvisor" नामक पेपर हल करने की कोशिश करता है। यह एक डिजिटल टूल पेश करता है जो साइबर सुरक्षा के लिए एक 'वित्तीय जीपीएस' (Financial GPS) की तरह काम करता है। अंदाज़ा लगाने के बजाय, यह गणित और अर्थशास्त्र का उपयोग करता है ताकि यह बता सके कि आपको अपने व्यवसाय के अलग-अलग हिस्सों पर सुरक्षा के लिए ठीक कितना पैसा खर्च करना चाहिए।

यहाँ बताया गया है कि यह कैसे काम करता है, सरल उपमाओं (analogies) का उपयोग करते हुए:

1. समस्या: "एक ही आकार सबके लिए" (One-Size-Fits-All) का जाल

कई कंपनियाँ अपने सभी डेटा के साथ एक जैसा व्यवहार करती हैं। वे शायद एक ऐसी सार्वजनिक वेबसाइट की सुरक्षा पर बहुत सारा पैसा खर्च कर देती हैं जिसमें कोई संवेदनशील जानकारी नहीं है, जबकि अपने ग्राहक डेटाबेस (जिसमें क्रेडिट कार्ड नंबर होते हैं) को एक कमजोर ताले के साथ छोड़ देती हैं।

उपमा: कल्पना कीजिए कि आपके पास एक घर है। आप बगीचे के शेड (जहाँ आप पुराने अखबार रखते हैं) के लिए $5,000 का हाई-टेक अलार्म सिस्टम खरीदते हैं, लेकिन अपने बेडरूम के मुख्य दरवाजे को खुला छोड़ देते हैं। यह खराब योजना है। आपको बेडरूम पर अधिक खर्च करने की आवश्यकता है और शेड पर कम।

2. समाधान: SECAdvisor (एक "स्मार्ट बजट प्लानर")

SECAdvisor एक मुफ्त, ओपन-सोर्स टूल है जो कंपनियों को अपने व्यवसाय को "सेगमेंट" (जैसे शेड बनाम बेडरूम) में तोड़ने में मदद करता है और प्रत्येक पर खर्च करने वाली सटीक राशि की गणना करता है।

यह दो मुख्य आर्थिक अवधारणाओं पर निर्भर करता है:

A. गॉर्डन-लोएब (GL) मॉडल: "घटते प्रतिफल" (Diminishing Returns) का नियम

यह इसके पीछे का इंजन है। GL मॉडल हमें एक विरोधाभासी सबक सिखाता है: आपको किसी नुकसान को रोकने के लिए उस संभावित नुकसान के लगभग 37% से अधिक कभी नहीं खर्च करना चाहिए।

उपमा: कल्पना कीजिए कि आपका घर $100,000 का है। यदि आग इसे नष्ट कर देती है, तो आपको$ $100, 000 काहै।यदिआगइसेनष्टकरदेतीहै, तोआपको$ 100k का नुकसान होगा।
- यदि आप $10k का स्प्रिंकलर सिस्टम खरीदते हैं, तो आप$ 90k बचा सकते हैं। बहुत अच्छा सौदा!
- यदि आप $50k का फायरप्रूफ बंकर खरीदते हैं, तो आप केवल अतिरिक्त$ 5k ही बचा पाएंगे क्योंकि आग लगने की संभावना पहले से ही बहुत कम थी।
- GL मॉडल "स्वीट स्पॉट" (सही बिंदु) की गणना करता है। यह आपको बताता है, "तब तक खर्च करना बंद करें जब सुरक्षा पर खर्च किया गया अगला डॉलर उस नुकसान से अधिक हो जिसे वह रोकता है।" यह आपको केवल सुरक्षित महसूस करने के लिए सुरक्षा पर अत्यधिक खर्च करने से रोकता है।

B. सूचना विभाजन (Information Segmentation): "लंचबॉक्स" रणनीति

पूरे व्यवसाय को एक बड़े लक्ष्य के रूप में देखने के बजाय, SECAdvisor आपसे अपने व्यवसाय को टुकड़ों (सेगमेंट) में बांटने के लिए कहता है।

उपमा: अपने व्यवसाय के डेटा को एक लंचबॉक्स के रूप में सोचें।
- सेगमेंट A: एक सैंडविच (सार्वजनिक वेबसाइट)। कम मूल्य, कम जोखिम।
- सेगमेंट B: एक हीरे की अंगूठी (ग्राहक क्रेडिट कार्ड)। उच्च मूल्य, उच्च जोखिम।
- SECAdvisor सैंडविच और हीरे की अंगूठी के लिए अलग-अलग "सुरक्षा बजट" की गणना करता है। आप हीरे की अंगूठी को सैंडविच के रैपर में नहीं रखते; आप उसे एक तिजोरी में रखते हैं।

C. ROSI (सुरक्षा निवेश पर रिटर्न): "पैसे का मूल्य" की जाँच

एक बार जब टूल आपको बता देता है कि आपको कितना खर्च करना चाहिए, तो यह आपको चुनने में मदद करता है कि आपको क्या खरीदना है। यह ROSI नामक एक मेट्रिक का उपयोग करता है।

उपमा: आप एक दुकान में दो अग्निशामक यंत्रों (fire extinguishers) को देख रहे हैं।
- अग्निशामक A: लागत $100, 10% आग रोकता है।
- अग्निशामक B: लागत $200, 50% आग रोकता है।
- ROSI एक कैलकुलेटर है जो कहता है, "अग्निशामक B बेहतर सौदा है क्योंकि आपके द्वारा खर्च किए गए प्रत्येक डॉलर के लिए, आप लंबे समय में अधिक पैसा बचाते हैं।" यदि ROSI 1 से कम है, तो यह एक बुरा सौदा है (आप इसे खरीदकर पैसा गंवा रहे हैं)।

3. वास्तविक जीवन में यह टूल कैसे काम करता है

पेपर इस टूल का परीक्षण वास्तविक लोगों (छात्रों, सलाहकारों और शोधकर्ताओं) के साथ करने का वर्णन करता है। यहाँ कार्यप्रवाह (workflow) दिया गया है:

इनपुट (Input): आप टूल को बताते हैं कि आपका व्यवसाय क्या है (जैसे, "मैं एक ऑनलाइन स्टोर चलाता हूँ")।
सेगमेंट (Segment): आप अपने "कमरे" जोड़ते हैं (जैसे, "ग्राहक डेटाबेस," "सर्वर," "मार्केटिंग साइट")।
अनुमान (Estimate): आप अनुमान लगाते हैं कि प्रत्येक कमरे का मूल्य कितना है और उस पर हमला होने की कितनी संभावना है।
गणना (Calculate): टूल गणित (GL मॉडल) चलाता है और कहता है, "डेटाबेस पर $5,000 खर्च करें, मार्केटिंग साइट पर$ 500 खर्च करें।"
सिफारिश (Recommend): यह विशिष्ट सुरक्षा उत्पादों (जैसे एक विशिष्ट फ़ायरवॉल या एंटीवायरस) का सुझाव देता है जो आपके बजट में फिट बैठते हैं।
सत्यापन (Verify): यह सुनिश्चित करने के लिए ROSI की जाँच करता है कि आप पैसा बर्बाद नहीं कर रहे हैं।

4. यह क्यों महत्वपूर्ण है

पेपर ने पाया कि जब लोगों ने SECAdvisor का उपयोग किया:

वे अपने जोखिमों को बेहतर ढंग से समझे।
उन्होंने महत्वहीन चीजों पर अत्यधिक खर्च करना बंद कर दिया।
वे निर्णय लेने में अधिक आत्मविश्वासी महसूस करने लगे।
गैर-विशेषज्ञ भी इसका उपयोग कर सके क्योंकि टूल एक सरल इंटरफ़ेस के पीछे जटिल गणित को छिपा देता है।

निष्कर्ष (The Bottom Line)

साइबर सुरक्षा को अक्सर एक रहस्य के रूप में माना जाता है जहाँ कंपनियाँ बस उम्मीद में पैसा लगा देती हैं कि यह काम करेगा। SECAdvisor साइबर सुरक्षा को विज्ञान में बदल देता है। यह एक व्यक्तिगत वित्तीय सलाहकार होने जैसा है जो आपको बताता है कि आपको अपने घर की सुरक्षा पर कितना खर्च करना चाहिए ताकि आप सुरक्षित रहें और दिवालिया न हों।

इसका उद्देश्य एक अभेद्य किला बनाना नहीं है (जो असंभव और बहुत महंगा है); बल्कि एक स्मार्ट, लागत प्रभावी रक्षा बनाना है जो आपकी विशिष्ट आवश्यकताओं के अनुकूल हो।

यहाँ "SECAdvisor: आर्थिक मॉडलों का उपयोग करके साइबर सुरक्षा नियोजन के लिए एक उपकरण" नामक शोध पत्र का विस्तृत तकनीकी सारांश दिया गया है।

1. समस्या विवरण

डिजिटाइज्ड कंपनियों, विशेष रूप से लघु और मध्यम उद्यमों (SMEs) के लिए साइबर सुरक्षा नियोजन एक गंभीर चुनौती का सामना कर रहा है: पर्याप्त सुरक्षा और अत्यधिक खर्च के जोखिम के बीच संतुलन बनाना।

अंतराल: निवेश की कमी और प्रतिकूल आर्थिक प्रोत्साहन साइबर हमलों का कारण बनते हैं। अधिकांश कंपनियों के पास प्रभावी ढंग से योजना बनाने के लिए तकनीकी विशेषज्ञता और बजट का अभाव है।
जटिलता: मौजूदा आर्थिक मॉडल, जैसे कि गॉर्डन-लो (GL) मॉडल, निवेश के इष्टतम स्तर को निर्धारित करने के लिए सैद्धांतिक रूप से सुदृढ़ हैं, लेकिन गैर-तकनीकी उपयोगकर्ताओं के लिए उन्हें लागू करना कठिन है। इनके लिए संपत्ति मूल्यांकन (asset valuation), भेद्यता संभावनाओं (vulnerability probabilities) और ब्रीच प्रोबेबिलिटी फंक्शन (BPF) के संबंध में सटीक इनपुट की आवश्यकता होती है।
आवश्यकता: कंपनियों को एक ऐसे उपकरण की आवश्यकता है जो निर्णय लेने को सरल बनाने, बजट को अनुकूलित करने और लागत प्रभावी सुरक्षा उपायों की सिफारिश करने के लिए तकनीकी जोखिम विश्लेषण को आर्थिक मॉडलों (विशेष रूप से GL और ROSI) के साथ एकीकृत करे।

2. कार्यप्रणाली (Methodology)

यह शोध पत्र SECAdvisor का प्रस्ताव करता है, जो एक ओपन-सोर्स, वेब-आधारित टूल है जिसे साइबर सुरक्षा अर्थशास्त्र को संचालित करने के लिए डिज़ाइन किया गया है। इसकी कार्यप्रणाली तीन मुख्य स्तंभों पर आधारित है:

A. सैद्धांतिक आधार

सूचना विभाजन के साथ गॉर्डन-लो (GL) मॉडल:
- यह टूल पूरी कंपनी के बजाय विशिष्ट सूचना खंडों (information segments) के लिए इष्टतम निवेश ( $z^*$ ) की गणना करने के लिए GL मॉडल का उपयोग करता है।
- यह सूचना विभाजन (Information Segmentation) को शामिल करता है, जो यह स्वीकार करता है कि विभिन्न व्यावसायिक इकाइयों (जैसे वित्त बनाम मानव संसाधन) के अलग-अलग संपत्ति मूल्य ( $L_i$ ) और भेद्यताएं ( $v_i$ ) होती हैं।
- इष्टतम निवेश वहां प्राप्त किया जाता है जहाँ इन्फॉर्मेशन सिक्योरिटी में अपेक्षित शुद्ध लाभ (ENBIS) अधिकतम होता है।
- टूल निवेश की उत्पादकता को मॉडल करने के लिए एक विशिष्ट ब्रीच प्रोबेबिलिटी फंक्शन (BPF) $S(z, v)$ का उपयोग करता है, जो यह स्वीकार करता है कि इष्टतम निवेश आमतौर पर अपेक्षित हानि के ~37% ( $1/e$ ) से अधिक नहीं होता है।
रिटर्न ऑन सिक्योरिटी इन्वेस्टमेंट (ROSI):
- इसका उपयोग विशिष्ट सुरक्षा समाधानों की लागत-प्रभावशीलता का मूल्यांकन करने के लिए किया जाता है।
- सूत्र: $ROSI = \frac{(ALE \times MitigationRatio) - SolutionCost}{SolutionCost}$
- $ROSI \geq 1$ एक लागत-कुशल समाधान का संकेत देता है। टूल अनुशंसित सुरक्षा उपायों के लिए इसकी गणना करता है ताकि तुलनात्मक विश्लेषण किया जा सके।

B. सिस्टम आर्किटेक्चर

SECAdvisor को AngularJS (फ्रंटएंड) और NestJS (बैकएंड) के साथ MongoDB डेटाबेस का उपयोग करके बनाया गया है। इसमें तीन मुख्य परतें हैं:

बिजनेस प्रोफाइल और सेगमेंट लेयर:
- उपयोगकर्ता कंपनी का प्रोफाइल (क्षेत्र, राजस्व, कर्मचारी) परिभाषित करते हैं।
- उपयोगकर्ता सूचना खंड (Information Segments) बनाते हैं (जैसे, वेब सर्वर, डेटाबेस)।
- प्रत्येक खंड के लिए, उपयोगकर्ता इनपुट देते हैं: वैल्यू (एसेट वैल्यू), रिस्क (हमले की संभावना), और वल्नरेबिलिटी (हमले की सफलता की संभावना)।
- सिस्टम सार्वजनिक डेटा या मैनुअल एंट्री के आधार पर एसेट वैल्यू निर्धारित करने में सहायता के लिए एक "वैल्यूएशन एस्टिमेटर" प्रदान करता है।
इन्वेस्टमेंट कैलकुलेटर:
- यह खंडित डेटा के लिए GL मॉडल समीकरणों को लागू करता है।
- प्रत्येक खंड के लिए इष्टतम निवेश ( $z^*_i$ ) की गणना करता है।
- अपेक्षित शुद्ध लाभ (ENBIS) वक्र को विज़ुअलाइज़ करता है, जिससे उपयोगकर्ता निवेश लागत और जोखिम में कमी के बीच के ट्रेड-ऑफ को देख सकते हैं।
- यह विशिष्ट कंपनी की वास्तविकताओं के अनुरूप फिट होने के लिए BPF मापदंडों (वेटिंग वेरिएबल्स या नए फंक्शन को परिभाषित करना) के अनुकूलन की अनुमति देता है।
रिकमेंडेशन लेयर (सिफारिश परत):
- यह एक बाहरी MENTOR रिकमेंडेशन इंजन (RESTful API के माध्यम से) के साथ एकीकृत है।
- गणना किए गए इष्टतम बजट और विशिष्ट खतरों के आधार पर, यह सुरक्षा उपायों (जैसे फायरवॉल, एंटी-फ़िशिंग) का सुझाव देता है।
- उपयोगकर्ताओं को सबसे लागत प्रभावी विकल्प चुनने में मदद करने के लिए प्रत्येक अनुशंसित समाधान के लिए ROSI की गणना करता है।

3. प्रमुख योगदान

प्रथम-प्रकार का टूल: SECAdvisor पहला ओपन-सोर्स, विजुअल टूल है जो गॉर्डन-लो मॉडल को सूचना विभाजन और ROSI मेट्रिक्स के साथ एक एकीकृत नियोजन वर्कफ़्लो में एकीकृत करता है।
आर्थिक मॉडलों का संचालन: यह जटिल गणितीय मॉडलों (GL, BPF) को एक सहज इंटरफेस में बदल देता है, जिससे साइबर सुरक्षा अर्थशास्त्र गैर-विशेषज्ञों (परामर्शदाताओं, छात्रों, SMEs) के लिए सुलभ हो जाता है।
विभाजन पर ध्यान: यह इस बात पर जोर देता है कि इष्टतम निवेश को एक अखंड कंपनी आंकड़े के बजाय प्रति सूचना खंड गणना किया जाना चाहिए, जो अधिक सूक्ष्म और सटीक बजट आवंटन रणनीति प्रदान करता है।
शैक्षिक और व्यावहारिक उपयोगिता: यह टूल दोहरे उद्देश्यों की पूर्ति करता है: वास्तविक दुनिया के रणनीतिक नियोजन में सहायता करना और साइबर सुरक्षा परामर्शदाताओं एवं शोधकर्ताओं को प्रशिक्षित करने के लिए एक शैक्षिक मंच के रूप में कार्य करना।

4. परिणाम और मूल्यांकन

लेखकों ने दो प्रकार के मूल्यांकन किए:

A. उपयोगिता मूल्यांकन (Usability Evaluation)

प्रतिभागी: तकनीकी पृष्ठभूमि वाले 13 उपयोगकर्ता (आयु 20-49, स्नातक से पीएचडी तक)।
कार्य: उपयोगकर्ताओं ने 6 कार्य किए, जिसमें खंडों को कॉन्फ़िगर करना, इष्टतम निवेश की गणना करना और ROSI के आधार पर समाधान चुनना शामिल था।
सफलता दर:
- समग्र कार्य सफलता दर: 87.2%।
- बुनियादी कार्य (भेद्यता की पहचान करना, अपेक्षित हानि की गणना करना) की सफलता दर 92-100% थी।
- उन्नत कार्य (BPF वेट्स को समायोजित करना) की सफलता दर कम (69.2%) थी, जिसका कारण अंतर्निहित गणित की जटिलता थी, हालांकि टूल की डिफ़ॉल्ट सेटिंग्स इस आवश्यकता को कम करती हैं।
सिस्टम यूसेबिलिटी स्केल (SUS): टूल ने 82.1/100 का स्कोर प्राप्त किया, जिसे "उत्कृष्ट" की श्रेणी में रखा गया है, जो उच्च उपयोगिता और सहजता को दर्शाता है।

B. वास्तविक दुनिया की प्रशिक्षण गतिविधियाँ

अनुप्रयोग: टूल का उपयोग "बिकमिंग अ साइबर सिक्योरिटी कंसल्टेंट" कोर्स (360 नामांकित, ~120 व्यावहारिक सत्रों में उपस्थित) और पीएचडी स्कूल ट्यूटोरियल में किया गया था।
परिणाम: प्रतिभागियों ने साइबर सुरक्षा रणनीतियों की योजना बनाने के लिए आर्थिक अवधारणाओं को सफलतापूर्वक लागू किया। फीडबैक ने आर्थिक सिद्धांतों और व्यावहारिक कार्यान्वयन के बीच के अंतर को पाटने की टूल की क्षमता को रेखांकित किया।

5. महत्व और भविष्य का कार्य

महत्व: SECAdvisor साइबर सुरक्षा नियोजन के लिए एक डेटा-संचालित, आर्थिक ढांचे के माध्यम से "अत्यधिक खर्च बनाम कम सुरक्षा" के द्वंद्व को संबोधित करता है। यह SMEs को गहरी विशेषज्ञता की आवश्यकता के बिना सूचित निर्णय लेने के लिए सशक्त बनाता है।
भविष्य का कार्य:
- उद्योग सत्यापन: वास्तविक दुनिया के भेद्यता और खतरे के डेटा के साथ परीक्षण।
- सिमुलेशन: निर्णय की मजबूती का आकलन करने के लिए मोंटे कार्लो सिमुलेशन का उपयोग करना।
- स्वचालन (Automation): कंपनी प्रोफाइल के आधार पर BPF अनुकूलन को अधिक स्वचालित और सहज बनाने के लिए सुधार करना।
- AI एकीकरण: एसेट वैल्यूएशन और जोखिम मापदंडों को स्वतः अनुमान लगाने के लिए AI तकनीकों का पता लगाना, जिससे मैनुअल इनपुट का बोझ कम हो सके।

निष्कर्षतः, SECAdvisor साइबर सुरक्षा अर्थशास्त्र के लोकतंत्रीकरण की दिशा में एक महत्वपूर्ण कदम है, जो अमूर्त मॉडलों को संगठनों के सभी आकार के लिए कार्रवाई योग्य, उपयोगकर्ता के अनुकूल रणनीतियों में बदल देता है।