तकनीकी सारांश: साइबर थ्रेट इंटेलिजेंस (CTI) के ROI का आकलन

1. समस्या विवरण

साइबर थ्रेट इंटेलिजेंस (CTI) कार्यक्रमों के निवेश पर प्रतिफल (ROI) के परिमाणीकरण में एक मौलिक मापन समस्या है: सफल रोकथाम के परिणामस्वरूप "गैर-घटनाएं" (non-events) होती हैं जो कोई दृश्यमान वित्तीय संकेत नहीं छोड़ती हैं। फलस्वरूप, CTI खर्च पारंपरिक लागत-लाभ विश्लेषण का प्रतिरोध करता है। इसके अतिरिक्त, CTI का मूल्य अक्सर अप्रत्यक्ष होता है, जो स्टैंडअलोन तकनीकी नियंत्रण के बजाय डाउनस्ट्रीम कंट्रोल्स (जैसे, फायरवॉल, EDR, विश्लेषक) के लिए एक 'फोर्स मल्टीप्लायर' के रूप में कार्य करता है। यह कारणत्मक एट्रिब्यूशन (causal attribution) और निवेश की सीमा को परिभाषित करने की प्रक्रिया को जटिल बनाता है। पारंपरिक आर्थिक मॉडल, जैसे कि गॉर्डन-लोब (GL) मॉडल, स्वतंत्र तकनीकी नियंत्रणों के लिए डिज़ाइन किए गए हैं और इंटेलिजेंस-संचालित वर्कफ़्लो में निहित संभावabilistic जोखिम-न्यूनीकरण और उत्तोलन प्रभावों (leverage effects) को पकड़ने में विफल रहते हैं। एक सुदृढ़ मॉडल के बिना, CTI कार्यक्रमों को लागत केंद्र (cost centers) के रूप में देखा जा जाने का जोखिम रहता है, जिससे कम वित्तपोषण और संसाधनों का गलत आवंटन होता है।

2. कार्यप्रणाली

यह शोध पत्र एक बहु-स्तरीय ढांचे का प्रस्ताव करता है जो मापन अंतराल को संबोधित करने के लिए मात्रात्मक मेट्रिक्स, गुणात्मक संकेतकों और एक विशिष्ट वित्तीय मॉडलिंग दृष्टिकोण को जोड़ता है।

2.1 थ्रेट इंटेलिजेंस इफेक्टिवनेस इंडेक्स (TIEI)

CTI परिपक्वता को संचालित करने के लिए, लेखक थ्रेट इंटेलिजेंस इफेक्टिवनेस इंडेक्स (TIEI) पेश करते हैं। पारंपरिक भारित अंकगणितीय माध्य (weighted arithmetic means) के विपरीत, जो रैखिकता (linearity) मानकर चलते हैं और एक क्षेत्र में उच्च स्कोर को दूसरे क्षेत्र की विफलताओं की भरपाई करने की अनुमति देते हैं, TIEI एक भारित ज्यामितीय माध्य (weighted geometric mean) का उपयोग करता है। यह सूत्र कमजोर कड़ियों को दंडित करता है, जो इस वास्तविकता को दर्शाता है कि एक आयाम में कमी (जैसे, खराब एकीकरण) अन्य आयामों के मूल्य को निष्प्रभावी कर सकती है।

TIEI चार आयामों को एकत्रित करता है:

1. इंटेलिजेंस की गुणवत्ता: सटीकता, सामयिकता, प्रासंगिकता और पूर्णता।
2. संवर्धन (Enrichment): TTPs (ATT&CK) के साथ मैपिंग, आंतरिक सहसंबंध, एंटिटी लिंकिंग और क्रियाशीलता (actionability)।
3. एकीकरण और स्वचालन (Integration & Automation): नियंत्रण कवरेज, वितरण सफलता, स्वचालन दर और SLA अनुपालन।
4. परिचालन प्रभाव: मीन टाइम टू डिटेक्ट (MTTD) और मीन टाइम टू रिस्पोंड (MTTR) में कमी, फॉल्स-पॉजिटिव में कमी, और कवरेज लिफ्ट।

पुनरुत्पादकता सुनिश्चित करने के लिए स्कोर को परिभाषित लक्ष्यों या मल्टी-एंकर नॉर्मलाइजेशन (अस्वीकार्य, संदर्भ, स्ट्रेच स्तर) का उपयोग करके [1, 100] स्केल पर सामान्यीकृत किया जाता है।

2.2 वित्तीय ढांचा: ब्रेकईवन-फर्स्ट दृष्टिकोण

यह शोध पत्र विशिष्ट ROI मूल्यों की भविष्यवाणी करने के बजाय एक ब्रेकईवन व्यवहार्यता सीमा (breakeven feasibility frontier) को परिभाषित करने की ओर स्थानांतरित होता है। यह दृष्टिकोण स्वीकार करता है कि एक संगठन-विशिष्ट वार्षिक भौतिक हानि की घटना की संभावना ($p_0$) और CTI-आश्रित न्यूनीकरण अंश ($M$) अज्ञात हैं जिन्हें व्यापक क्षेत्र-व्यापी प्रसार रिपोर्टों से विश्वसनीय रूप से अनुमानित नहीं किया जा जा सकता है।

मॉडल यह परिभाषित करता है कि CTI के कुल स्वामित्व लागत (TCO) ($TCO_{CTI}$) में न केवल प्लेटफॉर्म और फीड लागत शामिल है, बल्कि इंटेलिजेंस को संचालित करने के लिए आवश्यक वृद्धिशील डाउनस्ट्रीम लागत (एकीकरण, इंजीनियरिंग, स्वचालन) भी शामिल है।

धनात्मक ROI के लिए शर्त इस प्रकार व्युत्पन्न की गई है:
$$p_0 \times M > \kappa$$
जहाँ $\kappa = \frac{TCO_{CTI}}{L_M}$, और $L_M$ घटना का सशर्त हानि परिमाण है।

यह एक दो-अज्ञात वाली सीमा (two-unknown frontier) बनाता है: एक संगठन को यह प्रमाणित करना चाहिए कि उसकी विशिष्ट घटना की संभावना और उसकी विशिष्ट न्यूनीकरण क्षमता का गुणनफल लागत-से-हानि अनुपात से अधिक है।

2.3 सशर्त सिमुलेशन (Conditional Simulation)

अनिश्चितता कैसे प्रसारित होती है इसे दर्शाने के लिए, लेखक TIEI स्कोर पर आधारित एक PERT सिमुलेशन का उपयोग करते हैं। न्यूनीकरण कारक ($M$) को एक PERT वितरण के रूप में मॉडल किया गया है जहाँ सीमाएँ (निराशावादी, सर्वाधिक संभावित, आशावादी) TIEI स्कोर के अफ़ाइन (affine) फलन हैं। यह परिचालन परिपक्वता को संभावित वित्तीय परिणामों की सीमा से सीधे जोड़ता है, बिना किसी एकल नियतिवादी (deterministic) मान का दावा किए।

3. मुख्य योगदान

शोध पत्र के दो प्राथमिक योगदान हैं:

1. थ्रेट इंटेलिजेंस इफेक्टिवनेस इंडेक्स (TIEI): एक संरचित, भारित ज्यामितीय परिपक्वता माप जो इंटेलिजेंस गुणवत्ता, संवर्धन, एकीकरण और परिचालन प्रभाव को कैप्चर करता है। यह असंतुलित प्रदर्शन को दंडित करता है और कार्यक्रम के विकास को ट्रैक करने के लिए एक पुनरुत्पादक आधार प्रदान करता है।
2. एक ब्रेकईवन-फर्स्ट वित्तीय निर्णय ढांचा: एक विधि जो $p_0$ और $M$ को अज्ञात मानकर, धनात्मक ROI के लिए आवश्यक संयोजनों को स्पष्ट करती है। इस ढांचे में निवेश की सीमा (TCO) की व्यापक परिभाषा शामिल है और यह भ्रामक क्षेत्र-व्यापी प्रसार डेटा पर निर्भर रहने के बजाय स्कोप-मैच्ड ब्रेकईवन आवश्यकताओं को प्राप्त करने का तरीका प्रदर्शित करता है।

4. परिणाम और अनुप्रयोग

इस ढांचे को वित्तीय सेवाओं और स्वास्थ्य सेवा (healthcare) क्षेत्रों के उदाहरणों पर लागू किया गया।

• वित्तीय सेवाएं: अनुमानित उल्लंघन लागत ($L_M$) \$5.82M और कुल वार्षिक निवेश ($TCO_{CTI}) \0.40M का उपयोग करते हुए, व्यवहार्यता स्थिरांक $\kappa$ 6.87% है। विश्लेषण दिखाता है कि CTI कार्यक्रम को 20% न्यूनीकरण क्षमता ($M=0.20$) के साथ ब्रेक ईवन करने के लिए, संगठन की स्कोप-मैच्ड वार्षिक घटना की संभावना 34.4% से अधिक होनी चाहिए।
• स्वास्थ्य सेवा: उच्च अनुमानित उल्लंघन लागत ($L_M$) \8.595M और निवेश \0.60M के साथ, $\kappa$ 6.98% है। इसी तरह, 20% न्यूनीकरण क्षमता के लिए घटना की संभावना 34.9% से अधिक होने की आवश्यकता है।

शोध पत्र इस बात पर जोर देता है कि ये क्षेत्र के जोखिम की भविष्यवाणियां नहीं हैं बल्कि व्यवहार्यता सीमाएं (feasibility frontiers) हैं। वे उस न्यूनतम साक्ष्य को परिभाषित करते हैं जिसे एक संगठन निवेश को उचित ठहराने के लिए प्रदान करना चाहिए। कंडीशनल PERT सिमुलेशन आगे यह स्पष्ट करता है कि एक परिपक्व कार्यक्रम (TIEI = 80) के लिए, धनात्मक ROI प्राप्त करने की संभावना तब काफी बढ़ जाती है जब मानी गई घटना की संभावना ($p_0$) बढ़ती है, लेकिन सिमुलेशन इस बात पर निर्भर करता है कि संगठन एक रक्षात्मक $p_0$ प्रदान करे।

5. महत्व और दावे

लेखक का दावा है कि यह ढांचा परिचालन परिपक्वता (TIEI) को एक ऑडिट योग्य वित्तीय सीमा से जोड़कर CTI निवेश निर्णयों के लिए एक पुनरुत्पादक आधार प्रदान करता है।

• ROI का पुनर्निर्धारण: शोध पत्र तर्क देता है कि ROI को लाभ प्राप्त करने के बजाय "बची हुई नाजुकता" (fragility avoided) के माप के रूप में देखा जाना चाहिए, जो "रोकथाम विरोधाभास" (prevention paradox) को संबोधित करता है जहाँ सफल सुरक्षा अदृश्य होती है।
• कारण संगति (Causal Consistency): संगठन-विशिष्ट घटना की संभावनाओं के स्थान पर व्यापक क्षेत्र प्रसार का उपयोग करने से इनकार करके, यह ढांचा पारंपरिक नियंत्रण-आधारित मॉडलों को सूचनात्मक संपत्तियों पर लागू करने वाली "श्रेणी त्रुटि" (category error) से बचता है।
• समग्र मूल्यांकन: यह दृष्टिकोण मात्रात्मक प्रदर्शन संकेतकों (MTTD, MTTR), गुणात्मक रणनीतिक मूल्य (ब्रांड सुरक्षा, नियामक अनुपालन), और वित्तीय मॉडलिंग (FAIR-आधारित जोखिम न्यूनीकरण) को एकीकृत करता है।
• दावों में विनम्रता: शोध पत्र स्पष्ट रूप से कहता है कि यह सार्वभौमिक क्षेत्र ROI का अनुमान नहीं लगाता है। संख्यात्मक सीमाएं परिदृश्य इनपुट के आधार पर नियतिवादी संवेदनशीलता सीमाएं हैं, न कि विश्वास अंतराल (confidence intervals)। TIEI-कंडीशन्ड PERT सिमुलेशन को एक भविष्य कहने वाले उपकरण के बजाय एक माध्यमिक, धारणा-सशर्त चित्रण के रूप में प्रस्तुत किया गया है।

अध्ययन निष्कर्ष निकालता है कि जबकि महत्वपूर्ण मापन चुनौतियां (एट्रिब्यूशन, डेटा ओवरलोड, अमूर्त तत्व) मौजूद हैं, TIEI के साथ ब्रेकईवन-फर्स्ट वित्तीय मॉडल को जोड़ने वाला एक बहु-स्तरीय दृष्टिकोण CTI के मूल्य को एक रक्षात्मक रणनीतिक निवेश के रूप में संवाद करने की अनुमति देता है, न कि केवल एक लागत केंद्र के रूप में।