Towards Modeling Cybersecurity Behavior of Humans in Organizations

यहाँ क्लास ओले कुर्ट्ज़ (Klaas Ole Kürtz) के शोध पत्र "Towards Modeling Cybersecurity Behavior of Humans in Organizations" का विस्तृत तकनीकी सारांश दिया गया है।

1. समस्या विवरण (Problem Statement)

तकनीकी प्रगति के बावजूद, साइबर सुरक्षा एक महत्वपूर्ण चुनौती बनी हुई है क्योंकि इसमें "मानवीय कारक" (human factor) शामिल है। मनुष्य सुरक्षा में एक द्वैतवादी तत्व (dualistic element) का प्रतिनिधित्व करते हैं:

• हमला वेक्टर (Attack Vector): वे सबसे बड़ी भेद्यता (vulnerability) हैं, जिनका अक्सर सोशल इंजीनियरिंग के माध्यम से शोषण किया जाता है (जो अब जेनेरेटिव एआई द्वारा और भी व्यापक हो गया है) और उन माध्यमों से जो तकनीकी नियंत्रणों को दरकिनार करते हैं (जैसे कि पेशेवर सोशल नेटवर्क)।
• रक्षा तंत्र (Defense Mechanism): सही परिस्थितियों में, मानवीय बुद्धिमत्ता एक "ह्यूमन फायरवॉल" के रूप में कार्य करती है, जो अनुकूलन क्षमता और लचीलापन प्रदान करती है।

वर्तमान सुरक्षा रणनीतियाँ अक्सर विफल हो जाती हैं क्योंकि वे उपयोगकर्ताओं को दोष देने पर ध्यान केंद्रित करती हैं, बजाय इसके कि ऐसे लचीले सिस्टम डिज़ाइन किए जाएं जो मानवीय संज्ञान (cognition) और संगठनात्मक वास्तविकताओं को ध्यान में रखें। इसके अलावा, एजेंटिक एआई (Agentic AI) (स्वायत्त एआई सिस्टम जो उपयोगकर्ताओं की ओर से कार्य करते हैं) का उदय एक नई भेद्यता श्रेणी पेश करता है। ये एआई एजेंट, जो प्राकृतिक भाषा को प्रोसेस करते हैं और स्वायत्त निर्णय लेते हैं, मनुष्यों के समान व्यवहार संबंधी जोखिम प्रदर्शित करते हैं, फिर भी उनके लिए मौजूदा सुरक्षा मॉडल सीमित हैं। मानव व्यवहार के चालकों (drivers) को संगठनात्मक संदर्भ में संश्लेषित करने वाला एक एकीकृत ढांचा (unified framework) मौजूद नहीं है, जो मानव और एआई एजेंट दोनों की सुरक्षा को संबोधित कर सके।

2. कार्यप्रणाली (Methodology)

लेखक ने एक समग्र मॉडल विकसित करने के लिए एक संरचित संश्लेषण दृष्टिकोण (structured synthesis approach) का उपयोग किया:

1. साहित्य समीक्षा (Literature Review): स्थापित व्यवहार विज्ञान सिद्धांतों (जैसे, प्रोटेक्शन मोटिवेशन थ्योरी, थ्योरी ऑफ प्लेन्ड बिहेवियर) और साइबर सुरक्षा प्रबंधन साहित्य की एक व्यापक समीक्षा।
2. गुणात्मक एकीकरण (Qualitative Integration): मुख्य सूचना सुरक्षा अधिकारियों (CISOs) के व्यावहारिक अंतर्दृष्टि और अनौपचारिक विशेषज्ञ परामर्शों के साथ सैद्धांतिक अवधारणाओं का क्रॉस-रेफरेंसिंग।
3. मॉडल निर्माण (Model Construction): "व्यावहारिक संगठनात्मक वास्तविकता" के लेंस के माध्यम से अमूर्त मनोवैज्ञानिक अवधारणाओं को फ़िल्टर करके एक कारण प्रवाह मॉडल (causal flow model) बनाना।
4. तुलनात्मक विश्लेषण (Comparative Analysis): पूर्णता सुनिश्चित करने और संगठनात्मक संदर्भ के संबंध में अंतराल की पहचान करने के लिए मौजूदा व्यवहार संबंधी सिद्धांतों के विरुद्ध नए मॉडल का सत्यापन।
5. सादृश्य मैपिंग (Analogy Mapping): एआई सुरक्षा के लिए एक ब्लूप्रिंट प्रस्तावित करने हेतु मानव-केंद्रित मॉडल का विस्तार एजेंटिक एआई सिस्टम तक करना।

3. प्रमुख योगदान: मानव व्यवहार मॉडल (Key Contributions: The Human Behavior Model)

यह शोध पत्र एक बहुआयामी ढांचे का प्रस्ताव करता है (जिसे पेपर के चित्र 1 में दर्शाया गया है) जो मानव साइबर सुरक्षा व्यवहार के चालकों को तीन पैमानों में वर्गीकृत करता है:

• तार्किक प्रवाह (Logical Flow): मौलिक (predetermined) से परिस्थितिजन्य (context-specific) तक।
• क्षेत्र (Scope): व्यक्तिगत (आंतरिक) से पर्यावरणीय (संगठनात्मक) तक।
• दृश्यता (Visibility): छिपे हुए (संज्ञानात्मक/मनोवैज्ञानिक) से दृश्य (अवलोकनीय क्रियाएं) तक।

मॉडल व्यवहार को 13 परस्पर जुड़े कारकों में विभाजित करता है:

A. मौलिक और छिपे हुए कारक (आंतरिक/पूर्व-निर्धारित)

• अभिप्रेरणा (Motivation): आंतरिक (जुड़ाव, मदद करने की भावना) और बाह्य (वित्तीय, भय) चालक।
• जागरूकता और ज्ञान (Awareness & Knowledge): खतरों (भेद्यता/गंभीरता) और जवाबी उपायों (स्व-प्रभावकारिता) की समझ, जिसमें संज्ञानात्मक पूर्वाग्रह (cognitive biases) भी शामिल हैं।
• मानसिकता और दृष्टिकोण (Mindset & Attitude): सुरक्षा भूमिकाओं के प्रति व्यक्तिगत दृष्टिकोण (जुड़ाव बनाम थकान), जो प्रेरणा और ज्ञान द्वारा आकार लेता है।
• कौशल (Skills): हमलों को पहचानने, प्रतिकूल सोच (adversarial thinking) लागू करने और जोखिमों का सहजता से मूल्यांकन करने की क्षमता।

B. मौलिक और पर्यावरणीय कारक (बाहरी/संरचनात्मक)

• भूमिका (Role): औपचारिक जिम्मेदारियां (जैसे, आईटी सुरक्षा कर्मचारी बनाम सुरक्षा चैंपियन)।
• संस्कृति (Culture): संगठनात्मक मानदंड, नेतृत्व का व्यवहार, त्रुटि संस्कृति (error culture), और रोल मॉडल की दृश्यता।
• मानदंड और विनियम (Norms & Regulations): कानून, दिशानिर्देश, और प्रवर्तन की कथित नियंत्रण/घनत्व।

C. परिस्थितिजन्य कारक (गतिशील/तत्काल)

• उपयोगिता (Usability): सुरक्षा उपकरणों का घर्षण (friction) (जैसे, "सुरक्षा डिफ़ॉल्ट के रूप में", चेतावनियों की प्रमुखता/salience)।
• एजेंसी (Agency): एक विशिष्ट स्थिति में कार्य करने की कथित स्वायत्तता और अधिकार।
• स्थिति (Situation): तत्काल संदर्भ (संज्ञानात्मक भार, तनाव, समय का दबाव, तकनीकी वातावरण)।
• स्थिति का आकलन (Assessment of the Situation): उपरोक्त कारकों के आधार पर किसी घटना का सचेत/अचेत मूल्यांकन।
• इरादा (Intention): मानसिकता, संस्कृति और मानदंडों के आधार पर कार्य करने का (या न करने का) निर्णय।
• व्यवहार (Behavior): अंतिम अवलोकनीय क्रिया (सचेत या सहज)।

4. परिणाम और तुलनात्मक विश्लेषण (Results & Comparative Analysis)

प्रस्तावित मॉडल की मजबूती को सत्यापित करने के लिए इसकी तुलना स्थापित सिद्धांतों से की गई:

• संज्ञानात्मक/तर्कसंगत सिद्धांत (Cognitive/Rational Theories): मॉडल थ्योरी ऑफ प्लेन्ड बिहेवियर (TPB), प्रोटेक्शन मोटिवेशन थ्योरी (PMT), टेक्नोलॉजी एक्सेप्टेंस मॉडल (TAM) और डुअल प्रोसेस थ्योरी (सिस्टम 1 बनाम सिस्टम 2) के तत्वों को एकीकृत करता है।
  • विभेद (Differentiation): जबकि TPB जैसे सिद्धांत व्यक्तिगत इरादे पर ध्यान केंद्रित करते हैं, यह मॉडल व्यक्तिगत संज्ञान को आकार देने वाले बाहरी मॉडरेटर्स के रूप में संगठनात्मक संस्कृति, भूमिकाओं और मानदंडों को स्पष्ट रूप से एकीकृत करता है।
• संदर्भगत/प्रक्रिया सिद्धांत (Contextual/Process Theories): यह फॉग बिहेवियर मॉडल (प्रेरणा, क्षमता, ट्रिगर) और OODA लूप (अवलोकन, उन्मुखीकरण, निर्णय, कार्य) के साथ संरेखित है।
  • विभेद: मॉडल उस सामाजिक-तकनीकी जटिलता (sociotechnical complexity) को संबोधित करता है जिसे विशुद्ध रूप से व्यक्तिगत मॉडलों द्वारा छोड़ दिया जाता है, यह दिखाते हुए कि कैसे पर्यावरणीय कारक (जैसे, एक मजबूत सुरक्षा संस्कृति) कम व्यक्तिगत जागरूकता की भरपाई कर सकते हैं।

मुख्य निष्कर्ष: सुरक्षा व्यवहार केवल व्यक्तिगत क्षमता का उत्पाद नहीं है, बल्कि एक कर्मचारी की मनोवैज्ञानिक स्थिति और उसके संगठनात्मक वातावरण के बीच परस्पर क्रिया का परिणाम है।

5. महत्व और एजेंटिक एआई पर अनुप्रयोग (Significance & Application to Agentic AI)

इस शोध पत्र का सबसे महत्वपूर्ण योगदान इस मानव-केंद्रित मॉडल का एजेंटिक एआई सुरक्षा (Agentic AI Security) तक विस्तार करना है।

• सादृश्य (The Analogy): एआई एजेंट, जो प्राकृतिक भाषा के माध्यम से स्वायत्त रूप से कार्य करते हैं, उतने ही असुरक्षित होते हैं जितने कि मनुष्य (जैसे, प्रॉम्प्ट इंजेक्शन के माध्यम से सोशल इंजीनियरिंग के प्रति संवेदनशील)।
• मानव कारकों को एआई घटकों में मैप करना:
  • भूमिका (Role) $\rightarrow$ सिस्टम प्रॉम्प्ट / पर्सोना निर्देश।
  • संगठनात्मक संस्कृति (Organizational Culture) $\rightarrow$ मॉडल अलाइनमेंट (जैसे, RLHF) और इंटर-एजेंट सहयोग।
  • उपयोगिता (Usability) $\rightarrow$ संसाधन सुलभता / कम्प्यूटेशनल घर्षण। (उदाहरण के लिए, एक एआई सुरक्षित लेकिन "घर्षण-भारी" स्रोत के बजाय एक सुलभ, दुर्भावनापूर्ण स्रोत को चुन सकता है, ठीक वैसे ही जैसे मनुष्य जटिल पासवर्ड को दरकिनार करते हैं)।
  • कौशल/ज्ञान अंतराल (Skills/Knowledge Gaps) $\rightarrow$ एआई मतिभ्रम (AI Hallucination)। (जब एआई के पास ज्ञान की कमी होती है लेकिन वह एक "सहायक" निर्देश से प्रेरित होता है, तो वह अनुमान लगाता है, जो मानवीय अनुमान लगाने वाले व्यवहार को दर्शाता है)।
• रणनीतिक मूल्य: यह ढांचा शोधकर्ताओं को एआई एजेंटों में "न्यूनतम प्रतिरोध पथ" (path-of-least-resistance) वाली विफलताओं की भविष्यवाणी करने की अनुमति देता है। यह एआई सुरक्षा को विशुद्ध रूप से तकनीकी चुनौती से बदलकर एक व्यवहार संबंधी चुनौती बनाता है, यह सुझाव देता है कि एआई एजेंटों को सुरक्षित करने के लिए उन्हें उसी तरह से समझना आवश्यक है जैसे हम मानव कर्मचारियों को सुरक्षित करते हैं।

निष्कर्ष (Conclusion)

यह शोध पत्र साइबर सुरक्षा व्यवहार को समझने के लिए एक एकीकृत शब्दावली प्रदान करता है, जो सरल निर्णय लेने वाले मॉडलों से आगे बढ़कर एक समग्र सामाजिक-तकनीकी प्रणाली (sociotechnical system) का दृष्टिकोण प्रस्तुत करता है। मानव व्यवहार चालकों को एआई एजेंट आर्किटेक्चर के साथ मैप करके, यह हेरफेर हमलों (manipulation attacks) के खिलाफ अगली पीढ़ी के स्वायत्त एआई सिस्टम को सुरक्षित करने के लिए एक अभिनव ब्लूप्रिंट प्रदान करता है, और एआई एजेंटों को "डिजिटल कर्मचारियों" के रूप में देखता है जिन्हें समान सांस्कृतिक, भूमिका-आधारित और उपयोगिता-केंद्रित सुरक्षा रणनीतियों की आवश्यकता होती है।