Development and Validation of the Organizational Cybersecurity Perception Scale: A Protection Motivation Theory Instrument Contextualized by NIST CSF 2.0
यह अध्ययन संगठनात्मक साइबर सुरक्षा धारणा पैमाने (PMT-OCPS) को विकसित और मनोवैज्ञानिक रूप से मान्य करता है, जो कि प्रोटेक्शन मोटिवेशन थ्योरी पर आधारित और NIST CSF 2.0 द्वारा प्रासंगिक बनाया गया एक 27-आइटम, छह-कारक वाला उपकरण है, जो सुदृढ़ सांख्यिकीय और ज्ञात-समूहों के विश्लेषण के माध्यम से संगठनात्मक साइबर सुरक्षा खतरों और क्षमताओं के कर्मचारियों के संज्ञानात्मक मूल्यांकन को प्रभावी ढंग से मापता है।
मूल पेपर CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
डिजिटल दुनिया की कल्पना एक विशाल, हलचल भरे शहर के रूप में करें जहाँ हर इमारत एक कंपनी है, हर सड़क एक डेटा केबल है, और हर नागरिक एक कर्मचारी है। इस शहर में, "साइबर खतरों" नामक अदृश्य राक्षस लगातार अंदर घुसने, खजाने चुराने या अराजकता फैलाने की कोशिश कर रहे हैं। लंबे समय तक, शहर योजनाकारों (तकनीकी विशेषज्ञों) ने सोचा कि शहर को सुरक्षित रखने का एकमात्र तरीका मजबूत दीवारें बनाना, बेहतर ताले लगाना और अधिक गार्ड तैनात करना है। लेकिन उन्हें एक महत्वपूर्ण बात समझ में आई: सबसे मजबूत किला भी तब गिर जाता है जब उसके अंदर रहने वाले लोगों को यह विश्वास नहीं होता कि दीवारें असली हैं, या यदि उन्हें लगता है कि गार्ड बेकार हैं, या यदि उन्हें लगता है कि नियम बहुत कष्टदायक हैं।
यहीं पर प्रोटेक्शन मोटिवेशन थ्योरी (Protection Motivation Theory) नामक एक प्रसिद्ध विचार आता है। इसे एक मानसिक चेकलिस्ट के रूप में सोचें जिसे हमारा मस्तिष्क खतरे का सामना करते समय चलाता है। पहले, हम पूछते हैं, "अगर ऐसा हुआ तो कितना बुरा होगा?" (थ्रेट अप्रेजल/खतरे का आकलन)। फिर, हम पूछते हैं, "क्या मैं इसे रोक सकता हूँ? क्या कोई योजना है? क्या यह बहुत अधिक काम है?" (कोपिंग अप्रेजल/सामना करने का आकलन)। यदि दूसरे भाग का उत्तर "हाँ, मैं इसे संभाल सकता हूँ" है, तो हम कार्य करने के लिए प्रेरित महसूस करते हैं। हालाँकि, अधिकांश अध्येशनों ने केवल इस बात पर ध्यान दिया है कि व्यक्तिगत रूप से लोग अपने पासवर्ड या लिंक पर क्लिक करने के बारे में कैसा महसूस करते हैं। उन्होंने वास्तव में यह नहीं पूछा: "एक कर्मचारी के रूप में, मैं पूरे कंपनी की इन राक्षसों से लड़ने की क्षमता के बारे में कैसा महसूस करता हूँ?"
यहाँ NIST साइबर सुरक्षा फ्रेमवर्क (NIST Cybersecurity Framework) आता है, जो एक विशाल, आधिकारिक ब्लूप्रिंट की तरह है कि एक शहर को अपनी सुरक्षा कैसे प्रबंधित करनी चाहिए। यह आपको यह नहीं बताता कि आपको क्या महसूस करना चाहिए, बल्कि यह उन छह कार्यों की सूची देता है जिन्हें एक शहर को करने की आवश्यकता है: गवर्न (नियम बनाना), आइडेंटिफाई (कमजोरियों को पहचानना), प्रोटेक्ट (दीवारें बनाना), डिटेक्ट (घुसपैठियों का पता लगाना), रिस्पोंड (पलटवार करना), और रिकवर (गड़बड़ी को ठीक करना)। मुख्य प्रश्न जो इस शोध टीम ने हल करना चाहा था वह था: क्या हम एक ऐसा उपकरण बना सकते हैं जो सटीक रूप से माप सके कि कर्मचारी अपने शहर की सुरक्षा को कैसे देखते हैं, जिसमें प्रोटेक्शन मोटिवेशन थ्योरी की मानसिक चेकलिस्ट का उपयोग करते हुए NIST ब्लूप्रिंट के विशिष्ट कार्यों को भरा गया हो?
बड़ा विचार: कंपनियों के लिए एक नया "सुरक्षा रडार"
तुर्की के शोधकर्ताओं की एक टीम ने एक नया उपकरण बनाने का निर्णय लिया, जिसे वे ऑर्गेनाइजेशनल साइबरसिक्योरिटी परसेप्शन स्केल (PMT-OCPS) कहते हैं। आप इस स्केल को एक "सुरक्षा रडार" के रूप में देख सकते हैं जिसे कंपनियाँ अपने कर्मचारियों के दिमाग को स्कैन करने के लिए उपयोग कर सकती हैं। यह पूछने के बजाय कि, "क्या आप अपना पासवर्ड बदलना जानते हैं?" (जो कि एक तकनीकी परीक्षण है), यह रडार पूछता है, "क्या आपको विश्वास है कि आपकी कंपनी की सुरक्षा टीम वास्तव में हैकर्स को रोकने में अच्छी है?" और "क्या आपको लगता है कि सुरक्षा नियम पालन करने में बहुत कष्टदायक हैं?"
शोधकर्ताओं ने 46 प्रश्नों के एक विशाल ढेर से शुरुआत की। उन्होंने विशेषज्ञों के एक पैनल—मनोवैज्ञानिकों, साइबर सुरक्षा पेशेवरों और भाषा के जादूगरों—को उनकी समीक्षा करने के लिए कहा। विशेषज्ञों ने कहा, "ये अच्छे हैं, लेकिन आइए इन्हें अधिक स्पष्ट बनाएं और अनावश्यक बातों को हटा दें।" कुछ सुधारों और 47 लोगों के साथ एक छोटे परीक्षण के बाद, उन्होंने सूची को 29 प्रश्नों तक कम कर दिया, और फिर अंततः 27 प्रश्नों वाले एक सटीक "सुरक्षा रडार" में बदल दिया।
जो उन्होंने पाया: सुरक्षित महसूस करने के छह स्तंभ
जब उन्होंने इस नए रडार का परीक्षण दो बड़े समूहों (पहले परीक्षण के लिए 519 लोग, और परिणामों की पुष्टि के लिए 400 अलग लोग) पर किया, तो उन्होंने पाया कि कर्मचारियों के मन में सुरक्षा के प्रति केवल एक बड़ी भावना नहीं होती है। इसके बजाय, उनका मस्तिष्क इस भावना को छह विशिष्ट स्तंभों में विभाजित करता है। यह एक अंतरिक्ष यान पर छह अलग-अलग सेंसर होने जैसा है, जिनमें से प्रत्येक एक अलग सिस्टम की जाँच करता है:
- परसीव्ड सेवेरिटी (Perceived Severity): "राक्षस कितना डरावना है?" यह मापता है कि कर्मचारी कंपनी के लिए साइबर हमले को कितना बुरा मानते हैं (जैसे, पैसा खोना, मुकदमा झेलना, या प्रतिष्ठा खराब होना)।
- परसीव्ड वल्नरेबिलिटी (Perceived Vulnerability): "राक्षस हमारे पास आने की कितनी संभावना रखता है?" यह इस बारे में है कि कर्मचारी अपनी कंपनी के डिजिटल सिस्टम को हमलों के प्रति कितना असुरक्षित महसूस करते हैं।
- प्रिवेंटिव एफिकेसी (Preventive Efficacy): "क्या ढाल काम करती है?" यह मापता है कि क्या कर्मचारी विश्वास करते हैं कि कंपनी के निवारक उपाय (जैसे सॉफ्टवेयर अपडेट, प्रशिक्षण और ताले) हमलों को शुरू होने से रोकने में वास्तव में प्रभावी हैं।
- इंटरवेंशन कैपेबिलिटी (Intervention Capability): "क्या हम मुकाबला कर सकते हैं?" यह एक बिल्कुल नई खोज है! शोधकर्ताओं ने पाया कि कर्मचारी हमले को "रोकने" और हमले से "लड़ने" के बीच अंतर करते हैं। यह स्तंभ मापता है कि क्या कर्मचारी कंपनी की हमले का पता लगाने (डिटेक्ट), उस पर त्वरित प्रतिक्रिया देने (रिस्पोंड) और नुकसान के बाद स्थिति को संभालने (रिकवर) की क्षमता पर भरोसा करते हैं।
- सेल्फ-एफिकेसी (Self-Efficacy): "क्या मैं मदद कर सकता हूँ?" यह कंपनी के बारे में नहीं है; यह कर्मचारी के बारे में है। क्या वे फिशिंग ईमेल या समस्या की रिपोर्ट करने में सक्षम महसूस करते हैं?
- रिस्पॉन्स कॉस्ट (Response Cost): "क्या यह बहुत परेशानी भरा है?" यह मापता है कि कर्मचारी सुरक्षा नियमों को कितना कष्टदायक या बोझिल पाते हैं। यदि नियम एक भारी बैकपैक की तरह महसूस होते हैं, तो यह स्कोर बढ़ जाता है, और लोग उनका पालन करने की कम संभावना रखते हैं।
"अहा!" क्षण: रोकथाम बनाम हस्तक्षेप
इस अध्ययन का सबसे रोमांचक हिस्सा यह है कि मूल सिद्धांत के "रिस्पॉन्स एफिकेसी" वाले हिस्से के साथ क्या हुआ। पुराने दिनों में, वैज्ञानिक सोचते थे कि "रिस्पॉन्स एफिकेसी" केवल एक बड़ा बर्तन था: "क्या सुरक्षा उपाय काम करते हैं?" लेकिन इस अध्ययन ने दिखाया कि एक कंपनी में, वह बर्तन वास्तव में दो अलग-अलग बर्तनों में विभाजित हो जाता है: प्रिवेंशन (रोकथाम) (दरवाजे पर ही बुरे लोगों को रोकना) और इंटरवेंशन (हस्तक्षेप) (यदि वे अंदर आ जाएं तो स्थिति को संभालना)।
शोधकर्ता सुझाव देते हैं कि कर्मचारी इतने समझदार हैं कि वे जानते हैं कि दरवाजे पर एक बेहतरीन ताला होना (रोकथाम) और आग लगने पर एक बेहतरीन आपातकालीन टीम का तैयार होना (हस्तक्षेप) अलग-अलग बातें हैं। यह विभाजन महत्वपूर्ण है क्योंकि एक कंपनी एक में उत्कृष्ट हो सकती है लेकिन दूसरे में बहुत खराब, और यह नया रडार अंतर को पहचान सकता है।
रडार कितना अच्छा है?
शोधकर्ता बहुत सावधान थे। उन्होंने केवल अनुमान नहीं लगाया; उन्होंने गणना की।
- विश्वसनीयता (Reliability): रडार सुसंगत है। यदि आप आज परीक्षण लेते हैं और तीन सप्ताह बाद फिर से लेते हैं, तो आपको लगभग समान स्कोर मिलता है (स्थिरता स्कोर .882)।
- सटीकता (Accuracy): उनके द्वारा पाए गए छह स्तंभ वास्तविक और विशिष्ट हैं। डेटा ने दिखाया कि "प्रिवेंशन" और "इंटरवेंशन" वास्तव में दो अलग-अलग भावनाएं हैं, न कि केवल एक ही चीज़ का दोहराव।
- वास्तविक दुनिया की जाँच: उन्होंने रडार का परीक्षण दो अलग-अलग समूहों पर किया: खेल संस्थान के कर्मचारी और विश्वविद्यालय के कर्मचारी। उन्होंने पाया कि जिन लोगों ने साइबर सुरक्षा प्रशिक्षण लिया था, वे अधिक आत्मविश्वासी (उच्च सेल्फ-एफिकेसी) महसूस करते थे और उन्हें सुरक्षा नियम कम कष्टदायक (कम रिस्पॉन्स कॉस्ट) लगे। जिन लोगों को अपनी कंपनी में एक विशिष्ट "साइबर सुरक्षा इकाई" के बारे में पता था, उन्हें लगा कि उनकी कंपनी मुकाबला करने में बेहतर है (उच्च इंटरवेंशन कैपेबिलिटी)। यह साबित करता है कि रडार वास्तव में लोगों के महसूस करने के वास्तविक अंतरों को पकड़ लेता है।
इसका क्या अर्थ है (और क्या नहीं है)
यह नया स्केल संगठनों के लिए एक शक्तिशाली उपकरण है। यह आपको यह नहीं बताता कि कंप्यूटर में वायरस है या नहीं; यह बताता है कि लोग सुरक्षित और सक्षम महसूस करते हैं या नहीं। यदि कोई कंपनी इस रडार का उपयोग करती है और पाती है कि उनकी "इंटरवेंशन कैपेबिलिटी" का स्कोर कम है, तो उन्हें पता चल जाता है कि उन्हें अपने कर्मचारियों को यह दिखाना होगा कि उनकी आपातकालीन प्रतिक्रिया टीम कितनी अच्छी तरह काम करती है। यदि "रिस्पॉन्स कॉस्ट" का स्कोर अधिक है, तो उन्हें पता चल जाता है कि उनके सुरक्षा नियम बहुत जटिल हैं और उन्हें सरल बनाने की आवश्यकता है।
हालाँकि, शोधकर्ता अपनी सीमाओं के प्रति ईमानदार हैं। यह अध्ययन तुर्की में किया गया था, मुख्य रूप से सार्वजनिक क्षेत्र के श्रमिकों के साथ, इसलिए हमें निश्चित रूप से नहीं पता कि क्या यह रडार न्यूयॉर्क के एक बैंक या टोक्यो के एक कारखाने में बिल्कुल उसी तरह काम करेगा। साथ भी, इस अध्ययन में केवल लोगों से उनकी भावनाओं के बारे में पूछा गया; इसमें उन्हें यह देखते हुए नहीं देखा गया कि क्या वे वास्तव में नियमों का पालन करते हैं। लेकिन, यह दृढ़ता से सुझाव देता है कि उनकी कंपनी की सुरक्षा के बारे में कर्मचारी क्या सोचते हैं, वह उस पहेली का एक बहुत बड़ा हिस्सा है जिसे हम अब तक भूलते आए हैं।
संक्षेप में, इस शोध पत्र ने कंपनियों को साइबर सुरक्षा के मानवीय पक्ष को समझने में मदद करने के लिए एक नया, छह-भाग वाला दिशा-सूचक यंत्र बनाया है। यह दिखाता है कि डिजिटल शहर को सुरक्षित रखने के लिए, आपको मजबूत दीवारें बनानी होंगी, लेकिन आपको यह भी सुनिश्चित करना होगा कि नागरिक उन दीवारों पर विश्वास करें, आपातकालीन टीम पर भरोसा करें, और उन्हें सुरक्षा नियमों को ढोना बहुत भारी न लगे।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।