MORPHEUS: A Multidimensional Framework for Modeling, Measuring, and Mitigating Human Factors in Cybersecurity
यह शोध पत्र MORPHEUS को प्रस्तुत करता है, जो एक समग्र ढांचा है जो 50 मानव कारकों के बीच 302 अनुभवजन्य अंतःक्रियाओं को व्यवस्थित रूप से मैप करने के लिए कॉग्निशन-अफेक्ट-बिहेवियर मॉडल और एट्रिब्यूशन थ्योरी को एकीकृत करता है, जो प्रमाणित मूल्यांकन उपकरणों और लक्षित हस्तक्षेपों के माध्यम से साइबर सुरक्षा में मानवीय कमजोरियों के मॉडलिंग, मापन और शमन के लिए एक गतिशील, बहुआयामी दृष्टिकोण प्रदान करता है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
साइबर सुरक्षा की कल्पना एक किले के रूप में करें। वर्षों तक, निर्माताओं ने पूरी तरह से दीवारों, द्वारों और तालों (तकनीक) को मजबूत करने पर ध्यान केंद्रित किया। उन्होंने माना कि यदि दीवारें पर्याप्त मजबूत होंगी, तो कोई अंदर नहीं आ पाएगा। लेकिन यह शोध पत्र तर्क देता है कि वास्तविक कमजोर बिंदु दीवार नहीं है; बल्कि वह है द्वार पर खड़ा गार्ड।
लेखक, जो इटली के शोधकर्ताओं की एक टीम है, ने एक नया ब्लूप्रिंट बनाया है जिसे MORPHEUS कहा जाता है। MORPHEUS को एक एकल उपकरण के रूप में नहीं, बल्कि सुरक्षा से संबंधित मानव मस्तिष्क के एक विशाल, संवादात्मक 3D मानचित्र के रूप में समझें। इसे संगठनों को यह समझने में मदद करने के लिए डिज़ाइन किया गया है कि लोग गलतियाँ क्यों करते हैं और व्यक्ति को दोष देने के बजाय उनके मूल कारणों को कैसे ठीक किया जाए।
यहाँ यह शोध पत्र सरल उपमाओं का उपयोग करके इसे कैसे समझाता है:
1. समस्या: "स्थिर सूची" बनाम "जीवंत प्रणाली"
पिछले सुरक्षा मॉडल एक सपाट चेकलिस्ट की तरह थे। वे कहते थे, "लोग आलसी हैं," या "लोग भुलक्कड़ हैं," और इन्हें अलग-थलग, अपरिवर्तनीय तथ्यों के रूप में देखते थे।
- शोध पत्र का दृष्टिकोण: मानव मस्तिष्क एक जटिल पारिस्थितिकी तंत्र (ecosystem) या एक मौसम प्रणाली की तरह है। यह गतिशील है। एक व्यक्ति का मूड (affect), उसका ज्ञान (cognition), और उसका व्यवहार (behavior) आपस में लगातार संवाद करते हैं। काम का एक बुरा दिन (तनाव) एक बुद्धिमान व्यक्ति को भी पासवर्ड भूलने पर मजबूर कर सकता है। एक मिलनसार व्यक्तित्व किसी व्यक्ति को स्कैमर पर भरोसा करने के लिए उकसा सकता है।
2. मानचित्र: "कारण पथ" (The Causal Pathway)
MORPHEUS 50 विभिन्न मानवीय गुणों को एक श्रेणीबद्ध प्रवाह (hierarchical flow) में व्यवस्थित करता है, जैसे कि एक झरना।
- झरने का शीर्ष (Modulators): ये गहरे, पृष्ठभूमि वाले कारक हैं। कुछ आंतरिक हैं (जैसे आपका व्यक्तित्व या आयु), और कुछ बाहरी (जैसे आपके बॉस का रवैया या आपके पास कितना समय है)। ये मंच तैयार करते हैं।
- झरने का मध्य (Direct Factors): यहीं पर क्रिया होती है। यह CAB कोर है:
- Cognition (संज्ञान): आप क्या सोचते हैं और क्या जानते हैं।
- Affect (भाव): आप कैसा महसूस करते हैं (डर, तनाव, खुशी)।
- Behavior (व्यवहार): आप वास्तव में क्या करते हैं।
- निचला हिस्सा (Outcome): यह परिणाम है: क्या आपने फिशिंग लिंक पर क्लिक किया? क्या आपने सर्वर को गलत तरीके से कॉन्फ़िगर किया?
उपमा: एक कार दुर्घटना की कल्पना करें।
- पुराना दृष्टिकोण: "ड्राइवर ने गलती की।"
- MORPHEUS का दृष्टिकोण: "ड्राइवर थका हुआ था (संज्ञान), सड़क बर्फीली थी (बाहरी मॉड्युलेटर), वह अस्पताल पहुँचने की जल्दी में था (तनाव/भाव), और उसने गाड़ी मोड़ दी (व्यवहार)।" यह ढांचा यह मैप करता है कि बर्फ और तनाव ने कैसे मोड़ लेने का कारण बना।
3. साक्ष्य: बिंदुओं को जोड़ना
शोधकर्ताओं ने केवल अनुमान नहीं लगाया। उन्होंने इन कारकों के बीच 302 विशिष्ट संबंधों को खोजने के लिए हजारों वैज्ञानिक अध्ययनों की गहराई से जांच की।
- खोज: उन्होंने पाया कि 82.8% समय, डेटा बिल्कुल वैसे ही प्रवाहित हुआ जैसा उनके "झरने" वाले मॉडल ने भविष्यवाणी की थी: पृष्ठभूमि के कारक (जैसे व्यक्तित्व) आपकी वर्तमान स्थिति (जैसे तनाव) को प्रभावित करते हैं, जो अंततः क्रिया (जैसे गलत लिंक पर क्लिक करना) की ओर ले जाते हैं।
- 12 तंत्र (Mechanisms): उन्होंने इन हजारों कनेक्शनों को 12 आवर्ती "विफलता लूपों" (failure loops) में संक्षिप्त किया।
- उदाहरण: "मौन लूप" (Silence Loop): यदि कोई कर्मचारी गलती करने के बारे में शर्म महसूस करता है, तो वह चुप रहता है। क्योंकि वह चुप रहता है, टीम सीख नहीं पाती है, और गलती दोबारा होती है।
- उदाहरण: "दोधारी तलवार" (Double-Edged Sword): "कर्तव्यनिष्ठ" (conscientious) होना (एक अच्छा गुण) आमतौर पर मदद करता है, लेकिन सुरक्षा में, यह किसी व्यक्ति को नियमों का पालन करने में इतना केंद्रित बना सकता है कि वह सूक्ष्म चाल को मिस कर दे, या बॉस को खुश करने की इतनी उत्सुकता हो सकती है कि वह चेतावनी को अनदेखा कर दे।
4. टूलकिट: अदृश्य को मापना
आप उसे ठीक नहीं कर सकते जिसे आप माप नहीं सकते। यह शोध पत्र इन मानवीय कारकों को मापने के लिए 99 "रूलर और थर्मामीटर" (वैज्ञानिक सर्वेक्षण और परीक्षण) का एक कैटलॉग प्रदान करता है।
- यह अनुमान लगाने के बजाय कि क्या कोई कर्मचारी तनाव में है, आप तनाव को मापने के लिए एक प्रमाणित पैमाने का उपयोग कर सकते हैं।
- यह अनुमान लगाने के बजाय कि क्या कोई आवेगपूर्ण है, आप यह जाँचने के लिए एक विशिष्ट परीक्षण का उपयोग कर सकते है।
- यह "खराब सुरक्षा संस्कृति" जैसे अस्पष्ट विचारों को ठोस डेटा बिंदुओं में बदल देता है।
5. उपयोग कैसे करें: "नैदानिक" (The Diagnostic)
यह शोध पत्र दिखाता है कि वास्तविक जीवन के परिदृश्यों के माध्यम से इस मानचित्र का उपयोग कैसे किया जाए:
- परिदृश्य A (अस्पताल): एक अस्पताल बार-बार हैक हो रहा है। पुराना तरीका डॉक्टरों को यह कहना है कि "अधिक ध्यान दें!" MORPHEUS का तरीका मानचित्र को देखता है और पाता है: उच्च तनाव + समय की कमी + शर्म का डर = कम सतर्कता। समाधान अधिक प्रशिक्षण नहीं है; बल्कि सिस्टम को बदलना है (जैसे, उच्च-तनाव के समय के दौरान एक "पॉज़" बटन जोड़ना) ताकि इस लूप को तोड़ा जा सके।
- परिदृश्य B (विश्वविद्यालय): कुछ कर्मचारी बार-बार लिंक पर क्लिक करते हैं। मानचित्र उस विशिष्ट समूह की पहचान करता है जो "आवेगपूर्ण" (Impulsive) और "कम चिंतनशील" (Low in Reflection) हैं। पूरे स्टाफ को घंटों प्रशिक्षण देने के बजाय, विश्वविद्यालय केवल उस विशिष्ट समूह को एक विशिष्ट "घर्षण" (friction) टूल के साथ लक्षित करता है (एक पॉप-अप जो उन्हें दोबारा सोचने के लिए मजबूर करता है), जिससे बाकी कर्मचारियों को परेशान होने से बचाया जा सके।
सारांश
MORPHEUS एक ऐसा ढांचा है जो मानवीय त्रुटि को एक साधारण "ओप्स" (गलती) के क्षण के रूप में देखना बंद कर देता है। यह मानवीय व्यवहार को व्यक्तित्व, पर्यावरण, भावनाओं और विचारों द्वारा संचालित एक जटिल, परस्पर जुड़े हुए तंत्र के रूप में मानता है। यह मैप करने में मदद करता है कि ये हिस्से एक साथ कैसे फिट होते हैं और उन्हें मापने के उपकरण प्रदान करता है, जिससे संगठन "उपयोगकर्ता को दोष देने" के बजाय "सिस्टम को ठीक करने" की ओर बढ़ पाते हैं।
यह शोध पत्र क्या दावा नहीं करता है:
- यह यह दावा नहीं करता है कि यह सभी हैकर्स को रोकने का कोई जादुई इलाज है।
- यह यह दावा नहीं करता है कि ये उपकरण बिना परीक्षण के हर स्थिति में पूरी तरह से काम करते हैं।
- यह दावा नहीं करता कि यह तकनीकी सुरक्षा (फायरवॉल, एन्क्रिप्शन) की जगह लेगा; यह पूरी तरह से समीकरण के मानवीय पक्ष को समझने के बारे में है।
- यह मानसिक स्वास्थ्य के मुद्दों के लिए नैदानिक निदान प्रदान नहीं करता है; यह सुरक्षा व्यवहारों को समझाने के लिए केवल मनोवैज्ञानिक अवधारणाओं का उपयोग करता है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।