CIA triad, threat, vulnerability আর risk — নিরাপত্তার ভাষা

১ · তিন প্রশ্নে নিরাপত্তা — CIA triad

একটি সভার দৃশ্য ভাবুন। কাল্পনিক একটি অনলাইন বাজারের মালিক জিজ্ঞেস করলেন, “আমাদের সিস্টেম কি নিরাপদ?” একজন বললেন, “হ্যাঁ, firewall আছে।” আরেকজন বললেন, “না, hacker তো সব জায়গায়।” দুজনেই কথা বললেন, কিন্তু কেউ প্রশ্নটির উত্তর দিলেন না। কারণ “নিরাপদ” শব্দটি একা কিছু বলে না। নিরাপদ কীসের থেকে? কোন জিনিসটি? কতটা?

এই পর্বে আমরা সেই সাধারণ ভাষাটি শিখব, যা দিয়ে নিরাপত্তার কথা পরিষ্কারভাবে বলা যায়। পর্ব ০১-এ আপনি দেখেছেন আমরা কী রক্ষা করছি আর কেন কাজটি কঠিন। এবার প্রথম ধাপ হলো প্রশ্নটিকে ভেঙে ফেলা।

লক্ষ করুন, ক্ষতি সবসময় শত্রু থেকে আসে না। Hard disk নষ্ট হলে, বন্যায় server ডুবলে বা কর্মীর ভুলে একটি টেবিল মুছে গেলেও CIA ভাঙে। তাই নিরাপত্তার কাজ শুধু hacker ঠেকানো নয়।

রক্ষকের চোখে তিনটি লক্ষ্যের সবচেয়ে বড় পার্থক্য হলো ভাঙলে কীভাবে জানবেন:

২ · এক control এক দিকে সাহায্য, অন্য দিকে খরচ

নতুনরা ভাবেন তিনটি লক্ষ্যই একসঙ্গে সর্বোচ্চ করা যায়। বাস্তবে এদের মধ্যে টানাটানি আছে। লকারের চাবি শুধু একজনের কাছে থাকলে গোপনীয়তা বাড়ে, কিন্তু তিনি হারালে লকার আর খোলে না। নিচের ছবিতে তিনটি টানাটানি দেখুন।

তাহলে কোনটিকে আগে রাখবেন? উত্তর নির্ভর করে কাজের ওপর। হাসপাতালের জরুরি বিভাগে রোগীর রেকর্ড সময়মতো না পেলে জীবন ঝুঁকিতে পড়ে, আর ভুল রক্তের গ্রুপ দেখালে আরও বড় বিপদ। সেখানে availability আর integrity প্রায়ই confidentiality-র সমান বা ওপরে। ব্যাংকের লেনদেনে integrity সবচেয়ে সংবেদনশীল। Password-এর ডেটাবেসে আগে আসে confidentiality. আর একটি পত্রিকার ওয়েবসাইটের লেখা তো গোপনই নয়, সেখানে integrity আর availability মুখ্য।

এবার একটি বাস্তবধর্মী ঘটনা ধাপে ধাপে ভাগ করে দেখি। ঘটনাটি পুরো কাল্পনিক, এর log-ও বানানো। খেয়াল করুন, প্রমাণ আসার সঙ্গে সঙ্গে আপনার সিদ্ধান্ত কীভাবে বদলায়।

09:00 checkout-api ERROR
      order file cannot be read

09:20 file-check orders.db
      hash mismatch, unreadable

10:10 fw-log entry at 08:30
      outbound 2 GB
      to 203.0.113.50

11:00 ir-note transfer had
      customer_export.csv

15:30 restore backup 02:00 ok
      orders 02:00-09:00 missing

incident closed
      C, I and A all affected

৩ · CIA-র বাইরে — authenticity, non-repudiation, accountability

CIA খুব কাজের, কিন্তু সব প্রশ্নের উত্তর দেয় না। ধরুন একটি পেমেন্টের নির্দেশ এলো। তথ্যটি গোপন আছে, বদলায়নি, সময়মতো পৌঁছেছে। তবু প্রশ্ন থাকে: নির্দেশটি কি সত্যিই মালিকের? তিনি পরে অস্বীকার করলে কী হবে? আর এই নির্দেশ অনুমোদন করলেন কে? এখানেই আরও তিনটি ধারণা আসে।

একটি বাস্তব ভুল দেখুন। পুরো অফিস একটিই admin account ব্যবহার করলে log-এ লেখা থাকবে “admin তথ্য মুছেছে”। পাঁচজনের মধ্যে কে মুছলেন, তা জানার উপায় নেই। এখানে accountability নেই, যদিও password খুব শক্ত হতে পারে। সমাধান হলো প্রত্যেকের আলাদা account.

৪ · Asset থেকে residual risk — শব্দগুলোর আসল পার্থক্য

নিরাপত্তার আলোচনায় সবচেয়ে বেশি গোলমাল হয় এই শব্দগুলো নিয়ে। “Hacker একটি বড় risk”, “এই bug-টা threat”, এমন কথা প্রায়ই শোনা যায়, আর এগুলো ঠিক নয়। একটি বাড়ির উদাহরণে সব শব্দ একসঙ্গে বসিয়ে দেখি।

তিনটি পার্থক্য মনে রাখলে প্রায় সব গোলমাল মিটে যায়। Vulnerability আপনার ভেতরের জিনিস, তাই সেটি বদলাতে পারেন। Threat সাধারণত বাইরের জিনিস, সেটি প্রায়ই আপনার হাতে নেই, যেমন বন্যা বা অপরাধী দল। আর risk দুটির মিলন: threat না থাকলে দুর্বলতা থেকে ঝুঁকি কম, দুর্বলতা না থাকলে threat ক্ষতি করতে পারে না। ভাঙা গ্রিল জনমানবহীন দ্বীপের বাড়িতে যত ঝুঁকির, ভিড়ের শহরে তার চেয়ে অনেক বেশি।

এবার একটি asset ধরে পুরো শিকলটি হাঁটি। Likelihood আর impact-এর ১ থেকে ৫ স্কোর ধরে নেওয়া, হিসাবের জন্য পরের অংশে নিয়ম দেখবেন।

৫ · Risk = likelihood × impact — matrix আর তার সীমা

সব ঝুঁকি একসঙ্গে সামলানো যায় না, কারণ সময় আর টাকা সীমিত। তাই একটি সহজ প্রশ্ন দিয়ে সাজানো হয়: ঘটার সম্ভাবনা কত, আর ঘটলে ক্ষতি কত?

রিকশায় চড়ার তুলনাটি ভাবুন। হালকা ধাক্কা প্রায়ই লাগে, ক্ষতি সামান্য। বড় দুর্ঘটনা কম ঘটে, কিন্তু ক্ষতি ভয়াবহ। মানুষ দুটিকে আলাদাভাবে সামলায়। Qualitative পদ্ধতিতে সংখ্যার বদলে “কম, মাঝারি, বেশি” ধরনের স্তর ব্যবহার করা হয়, আর সেগুলো বসানো হয় একটি risk matrix-এ। নিচের ৫ × ৫ matrix-এর স্তরের সীমাগুলো এই পর্বের জন্য ধরে নেওয়া। প্রতিটি প্রতিষ্ঠান নিজের সীমা ঠিক করে।

নিচের কোডে একটি কাল্পনিক risk register-কে এই নিয়মে সাজানো হয়েছে। স্কোরগুলো বদলে নিজেই চালিয়ে দেখুন।

// Toy risk register for a fictional online bazaar.
// L = likelihood, I = impact, both assumed on a 1-5 scale.
const risks = [
  { name: 'Customer data leak',    L: 3, I: 5 },
  { name: 'Staff phishing',        L: 4, I: 3 },
  { name: 'Site down in Eid sale', L: 3, I: 4 },
  { name: 'Office laptop stolen',  L: 3, I: 2 },
  { name: 'Data centre flood',     L: 1, I: 5 },
  { name: 'Spam on contact form',  L: 5, I: 1 },
];

function band(score) {
  if (score >= 16) return 'Critical';
  if (score >= 10) return 'High';
  if (score >= 5) return 'Medium';
  return 'Low';
}

const scored = risks
  .map(r => ({ ...r, score: r.L * r.I, band: band(r.L * r.I) }))
  .sort((a, b) => b.score - a.score);

for (const r of scored) {
  console.log(`${String(r.score).padStart(2)}  ${r.band.padEnd(8)} ` +
              `L=${r.L} I=${r.I}  ${r.name}`);
}

const tie = scored.filter(r => r.score === 5).map(r => r.name);
console.log('Same score, very different risks: ' + tie.join(' / '));

এই সূত্রের সীমা

• স্কোরগুলো ক্রম, পরিমাপ নয়: ৪ মানে ২-এর দ্বিগুণ ঝুঁকি নয়। “মাঝারি × বেশি” গণিতের দিক থেকে অর্থহীন, গুণ শুধু সাজানোর একটি সুবিধা।
• একই স্কোর, ভিন্ন ঝুঁকি: উপরের কোডেই আপনি দেখলেন। স্কোর দেখে ঘটনার চরিত্র বোঝা যায় না।
• মানুষের পক্ষপাত: সাম্প্রতিক খবরে যা দেখেছি তাকে বেশি সম্ভাব্য মনে হয়। একই ঝুঁকিতে দুজন দুই স্কোর দিতে পারেন।
• ঝুঁকিগুলো আলাদা নয়: একটি ঘটনা আরেকটিকে ডেকে আনতে পারে। আলাদা ঘরে থাকা দুটি Medium একসঙ্গে হলে বড় ক্ষতি হতে পারে।
• সময় বাদ পড়ে: আজকের Low কাল High হতে পারে, যখন দুর্বলতার খবর প্রকাশ হয়।

Tony Cox তাঁর “What's Wrong with Risk Matrices?” (Risk Analysis, ২০০৮) প্রবন্ধে দেখান, matrix ভিন্ন ঝুঁকিকে একই ঘরে ফেলতে পারে, কখনো ছোট ঝুঁকিকে বড়টির চেয়ে ওপরের স্তরও দিতে পারে। তবু matrix টিকে আছে, কারণ এটি দ্রুত, সবাই বোঝেন, আর আলোচনা শুরু করায়। একে সিদ্ধান্তের শেষ কথা নয়, শুরুর হাতিয়ার ভাবুন।

৬ · টাকার অঙ্কে ঝুঁকি — SLE, ARO আর ALE

“High” বলে ব্যবস্থাপককে বাজেট চাইলে তিনি জিজ্ঞেস করবেন, “কত টাকার ঝুঁকি?” Quantitative পদ্ধতি এই প্রশ্নের উত্তর দেওয়ার চেষ্টা করে। বছরের পর বছর ধরে ব্যবহৃত সবচেয়ে সহজ রূপটি হলো ALE.

নিচের সব সংখ্যা উদাহরণের জন্য ধরে নেওয়া, কোনো বাস্তব প্রতিষ্ঠান বা বাজারদর নয়। গ্রাহকের database-এর AV ধরা হলো ৫০ লাখ টাকা। Control-এর সিদ্ধান্তটি এক ধাপ করে দেখুন।

1AV  = 50000002EF  = 0.43SLE = AV * EF4ARO = 0.55ALE_before = SLE * ARO6ALE_after  = SLE * 0.17reduced = ALE_before - ALE_after8net = reduced - 300000

একাধিক control-এর মধ্যে বাছাই করতে চাইলে হিসাবটি কোডে তুলনা করা সহজ। ROSI (Return on Security Investment) মানে নিট লাভকে খরচের শতাংশ হিসেবে দেখানো।

// ALE calculator. All money values are assumed, in taka per year.
const risk = { AV: 5000000, EF: 0.4, ARO: 0.5 };   // customer database

const ale = r => r.AV * r.EF * r.ARO;
const before = ale(risk);
console.log(`SLE = ${risk.AV * risk.EF}, ALE before = ${before}`);
const row = (name, ...cols) => console.log(name.padEnd(18) +
  cols.map((c, i) => String(c).padStart([8, 10, 9, 9, 8][i])).join(''));
row('control', 'cost', 'ALE-after', 'reduced', 'net', 'ROSI');

const controls = [
  { name: 'A: MFA + patching',  cost: 300000,  ARO: 0.1 },
  { name: 'B: DB encryption',   cost: 150000,  EF: 0.2 },
  { name: 'A + B together',     cost: 450000,  ARO: 0.1, EF: 0.2 },
  { name: 'C: premium suite',   cost: 1000000, ARO: 0.05 },
];

for (const c of controls) {
  const after = ale({ ...risk, ...c });
  const reduced = before - after;
  const net = reduced - c.cost;
  const rosi = (net / c.cost * 100).toFixed(1) + '%';
  row(c.name, c.cost, after, reduced, net, rosi);
}

ALE-এর সীমা — গড় সংখ্যা যা লুকিয়ে রাখে

ALE হলো একটি প্রত্যাশিত মান, অর্থাৎ বহু বছরের গড়। প্রথম সমস্যা হলো অনিশ্চয়তা। উপরের A control-এ আসল ARO 0.5 না হয়ে 0.2 হলে (আর control একই অনুপাতে, 0.04-এ নামালে) কমানো ঝুঁকি হয় 3,20,000 টাকা, আর নিট লাভ মাত্র 20,000 টাকা। ARO অনুমানে সামান্য বদলেই সিদ্ধান্ত প্রায় উল্টে যেতে পারে। সংখ্যাটি নিখুঁত দেখায় বলে নিখুঁত নয়।

দ্বিতীয় সমস্যা আরও গভীর। ধরুন দুটি ঝুঁকির ALE একই, ১০ লাখ টাকা। একটি বছরে দশবার ঘটে, প্রতিবার এক লাখ। অন্যটি একশো বছরে একবার ঘটে, ক্ষতি ১০ কোটি। প্রতিষ্ঠানের জরুরি তহবিল ধরা হলো ৫০ লাখ। নিচের কোড ১০,০০০ কাল্পনিক বছর চালিয়ে দেখায়। Random সংখ্যার seed বাঁধা, তাই প্রতিবার একই ফল আসে।

// Two toy risks with the SAME ALE, simulated with a seeded PRNG.
function mulberry32(a) {
  return () => {
    a = (a + 0x6D2B79F5) | 0;
    let t = Math.imul(a ^ (a >>> 15), 1 | a);
    t = (t + Math.imul(t ^ (t >>> 7), 61 | t)) ^ t;
    return ((t ^ (t >>> 14)) >>> 0) / 4294967296;
  };
}
const rand = mulberry32(2026);

function poisson(rate) {               // number of events in one year
  const limit = Math.exp(-rate);
  let k = 0, p = 1;
  do { k++; p *= rand(); } while (p > limit);
  return k - 1;
}

function simulate(name, sle, aro) {
  const YEARS = 10000, RESERVE = 5000000;
  let total = 0, worst = 0, zero = 0, ruin = 0;
  for (let y = 0; y < YEARS; y++) {
    const loss = poisson(aro) * sle;
    total += loss;
    worst = Math.max(worst, loss);
    if (loss === 0) zero++;
    if (loss > RESERVE) ruin++;
  }
  console.log(`${name}: ALE formula=${sle * aro}, average=${Math.round(total / YEARS)}`);
  console.log(`  worst year=${worst}, no-loss years=${zero}, ` +
              `years above reserve=${ruin}`);
}

simulate('Small frequent', 100000, 10);
simulate('Rare disaster ', 100000000, 0.01);

৭ · Risk treatment — চারটি সিদ্ধান্ত

ঝুঁকি মাপার পর ঠিক করতে হয় তা নিয়ে কী করবেন। এই সিদ্ধান্তকে বলে risk treatment. রাজধানীর একটি দোকানের মালিকের কথা ভাবুন, যিনি আগুনের ঝুঁকি নিয়ে ভাবছেন।

বাস্তবে একটি ঝুঁকিতে একাধিক পথ একসঙ্গে নেওয়া হয়। Risk register-এ প্রতিটির সিদ্ধান্ত লেখা থাকে। প্রতিষ্ঠান কতটা ঝুঁকি মানতে রাজি, তাকে বলে risk appetite, যা ঠিক করেন শীর্ষ ব্যবস্থাপনা, কোনো একা প্রকৌশলী নন।

৮ · Control-এর ধরন — কী কাজ করে, আর কোন রূপে

Control-কে দুইভাবে ভাগ করা হয়। প্রথম ভাগটি হলো কাজ অনুযায়ী, অর্থাৎ ঘটনার কোন সময়ে সে কী করে। দ্বিতীয় ভাগটি রূপ অনুযায়ী, অর্থাৎ সেটি কাগজের নিয়ম, যন্ত্র, না শারীরিক কিছু। মহল্লার পাহারা দিয়ে ভাবুন: “CCTV চালু আছে” সাইনবোর্ড ভয় দেখায়, গেটের তালা ঠেকায়, CCTV ধরে, আর ভাঙা তালা বদলানো ক্ষতি সারায়।

প্রতিটি control-কে তিনটি প্রশ্ন করুন: সে কী ঠেকায়, কী ঠেকায় না, আর ব্যর্থ হলে আপনি কীভাবে জানবেন?

একটি control একাধিক ঘরে পড়তে পারে। Log-এর কথা জানা থাকলে কর্মী অন্যায় থেকে বিরত থাকেন, আবার সেই log ঘটনাও ধরে। আর কেবল একধরনের control যথেষ্ট নয়। শুধু preventive থাকলে একবার বাধা পার হলে আপনি অন্ধ। তাই ভালো নকশায় প্রতিটি বড় ঝুঁকিতে ঠেকানো, ধরা আর সারানো, তিনটিই থাকে। পর্ব ০৩-এ এই চিন্তাই defense in depth নামে আসবে।

৯ · AI-এর যুগে risk-এর হিসাব

AI খুব সুন্দর risk register লিখে দিতে পারে, আর সেটিই বিপদ। ঝুঁকির মূল্যায়ন দাঁড়িয়ে থাকে আপনার প্রতিষ্ঠানের তথ্যের ওপর, যা AI জানে না। সে যুক্তিসংগত দেখতে সংখ্যা বানাবে, কিন্তু সেগুলো কারও মাপা নয়।

AI-এর দেওয়া মূল্যায়ন হাতে পেলে

• প্রতিটি সংখ্যার উৎস জানি, অথবা স্পষ্টভাবে “অনুমান” লিখে রেখেছি
• উল্লেখ করা CVE, standard বা ধারা মূল উৎসে খুলে পড়েছি
• prompt-এ কোনো secret, ব্যক্তিগত তথ্য বা গ্রাহকের ডেটা দিইনি
• ALE বা স্কোর নিজে আবার হিসাব করে মিলিয়েছি
• AI-এর দেওয়া পরিবর্তন diff দেখে বুঝে, নিজের ল্যাবে পরীক্ষা করেছি
• মানুষের ওপর প্রভাব ফেলে এমন সিদ্ধান্ত একজন মানুষ নিয়েছেন, ঝুঁকিটি একজন owner মেনে নিয়েছেন