Infreemation

Computer Security and The Human Factor Компьютерная безопасность и человеческий фактор

I recently read Я недавно читать The Human Factor Человеческий фактор by engineering professor по инженерно профессор Kim Vincente Ким Vincente . This is an eye-opening book about the importance of “adapting technology to people” instead of “forcing people to adapt to technology.” The field of Human Factor Engineering has apparently been around for awhile, but never has society been in greater need of it: thanks to personal computers and the internet most people I know deal daily with technology which fails to acknowledge human nature. Это открытие глаз-книга о важности "адаптации технологии для людей" вместо "вынуждает людей приспосабливаться к технологии." Поле человеческого фактора инженерии, по-видимому, было вокруг некоторое время, но никогда не было общества в большей степени нуждаются в ее: благодаря персональным компьютерам и Интернету большинство людей, я знаю, дело в день с помощью технологии, который не признают человеческой природы.

Technology for Technology’s Sake Технология по технологии ради

Kim says technology has grown too complex because “technology wizards” tend to design for people like themselves or for the sake of the technology itself, and because there is a culture of reductionism in science which tends to favour design from the bottom up without understanding the emergent properties of the system when all components are connected. Ким говорит, технология выросла слишком сложным, поскольку "технологии волшебников", как правило, дизайн для людей, как себя или для ради самой технологии, а потому что есть культура reductionism в области науки, которые, как правило, за дизайн от "снизу вверх" без понимания новых свойств системы, когда все компоненты соединены. Both of these struck a chords with me: as a scientist I tried to swim against the reductionist tide, and as a network and software engineer I strive daily to consider Оба эти поразило аккордами со мной: как ученый я пытался плыть против reductionist прилива, а также сети и программного обеспечения, инженер я стремиться в день для рассмотрения “layer 8″ "Слой 8" of the от network сеть : the user. : Пользователь.

Systems Analysis Системного анализа

Prioritizing Приоритизация systems analysis системный анализ in a world of cheap (and quite effective) reductionism is not an easy sell. в мире дешевой (и весьма эффективную) reductionism это не просто продавать. It is complicated and costly, requiring careful study, testing and monitoring of interaction and interdependencies. Это сложный и дорогостоящий, требующий тщательного изучения, тестирования и мониторинга взаимодействия и взаимозависимости. Where then are you likely to find such approaches? Где то вы, вероятно, найти такие подходы? Typically when the loss of human life is the consequence of failure. Обычно, когда потеря человеческой жизни является следствием провала. Of particular interest in Kim’s book were his contrasting case studies on aviation and medical industry safety records. Особый интерес в книге Ким были его контрастные тематические исследования по вопросам авиации и медицинской промышленности безопасности полетов.

When Death is on the Line Когда Смерть по линии "

There was apparently a time when taking the plane was not safer than driving. Был момент, очевидно, принимая самолет был не безопаснее, чем за рулем. According to Kim, up until the mid 70s “the FAA was simultaneously responsible for receiving information about near misses, and reprimanding people and organizations when they screwed up.” Obviously a lot of really serious matters did not get reported due to the potential liability involved, and often problems would not be addressed until there was an accident. По словам Кима, вплоть до середины 70s "АВС был одновременно отвечает за получение информации о ближайшем скучает, и reprimanding людей и организаций, когда они резьбовое деятельности." Очевидно, много действительно серьезных вопросов, не сообщалось из-за потенциальной ответственности участвующих , А зачастую и проблем не будет до тех пор, пока имя было случайно. Loss of life in aviation is high profile and can lose you customers quickly. Утрата жизни в авиации является высокий профиль и вы можете потерять клиентов быстро. Obviously this situation was unsustainable for the industry and eventually the FAA collaborated with NASA resulting in the Aviation Safety Reporting System (ASRS) allowing Очевидно, эта ситуация является неустойчивой по отрасли и в конечном итоге АВС сотрудничала с НАСА в результате авиационной безопасности информационная система (ASRS), позволяющий private reporting of incidents частные отчетности об инцидентах . The details are all in the book which I encourage you to read but here is what seems to make the system work: Все подробности в книге, которая Я призываю вас читать, но вот что, как сделать систему работы:
1) voluntary 1) добровольное
2) confidential 2) конфиденциальной
3) non-punitive 3) не карательный
4) independent 4) независимая
It costs $2 million annually, deals with @40,000 incidents, and there has apparently NEVER been a breach of confidentiality of the reports! Она стоит $ 2 млн в год, занимается @ 40000 инцидентов, и там, по-видимому, никогда не нарушает конфиденциальность сообщения! And thanks to ASRS in large part, aviation is much safer than it was in the 70s. И благодаря ASRS в значительной части, авиация намного безопаснее, чем это было в 70s.

…Culture Matters Вопросы культуры…

Kim also studies US hospitals where 44,000-98,000 people die yearly from preventable causes. Ким также исследование больниц США, где 44000-98000 человек ежегодно умирают от предотвратимых причин. This horrific situation doesn’t seem to get attention proportional to this statistic and does not seem to be improving fast. Это ужасное положение, как представляется, не получают внимания, пропорциональной эта статистика и не улучшается быстро. Taking responsibility for one’s actions is central to the culture of medecine and you would think this would be a recipe for excellence. Принимая ответственность за свои действия, занимает центральное место в культуре medecine, и вы бы думаю, что это будет путь к совершенству. Yet fear of reprimand, job loss, loss of reputation, and the highly litigious US medical environment are incentives against reporting incidents and accidents. Но страх выговор, потеря работы, потеря репутации, и высоко litigious США медицинской среде являются стимулы в отношении отчетности инцидентов и аварий. Conspiracies of imperfect technology, ridiculously long shifts, and these more complex social issues act as an “invisible hand” that guides the system to generate more mistakes. Заговоров несовершенных технологий, смехотворно долго смены, и эти более сложные социальные вопросы, выступать в качестве "невидимой руки", который помогает системе генерировать больше ошибок. Kim argues valiantly that the medical system stands to gain a lot from human factor engineering and provides some excellent examples. Ким утверждает, что доблестно медицинской системы выиграет много от человеческого фактора инженерии и предоставляет несколько прекрасных примеров.

Have a Safe Compute! Имеющими Safe вычислений!

It seems like everyone can benefit from reading what Kim has to say and applying it to their fields. Кажется, каждый мог воспользоваться чтении, что Ким сказать и применяя его на своих полях. I certainly want to try. Я, конечно, захотите попробовать. I want to follow up on a conversation I had with Я хочу следить за разговор я провел с Adam Адам .

Embracing internet use is a cost of entry, albeit quite low at first glance, to doing business in today’s world. Поддерживая пользования Интернетом является стоимость въезда, хотя и довольно низкой, на первый взгляд, для ведения бизнеса в современном мире. The true cost of computing on the internet is probably quite high if the risks are properly accounted for however this is a difficult task, you would know if you ever tried to get a security budget approved! Реальная стоимость вычислений на основе Интернета, вероятно, довольно высока, если риски надлежащим образом учитываются Однако это трудная задача, вы должны знать, если вы когда-нибудь пытались получить бюджет, утвержденный в безопасности! Adam assures me this is an unsolved problem because many or most computer security incidents go unreported (if anyone has any estimates please let me know and I will link to them here) leading to a lack of data with which to assess risk. Адам заверяет меня это является нерешенной проблемой, потому что многие или большинство компьютерных инцидентов в плане безопасности, остаются незарегистрированными (если кто-либо имеет каких-либо оценок пожалуйста, дайте мне знать и я, есть ссылка на них здесь), ведущих к отсутствие данных, с которыми для оценки риска.

This reminded me of the problems Kim discussed in aviation and medecine, since the major reason we don’t know more about security breaches is that there are penalties for disclosure: Это напоминает мне о проблемах Ким обсуждаться в авиации и medecine, поскольку основная причина мы не знаем больше о нарушениях безопасности, заключается в том, что есть наказание за разглашение:
-security staff may face reprimand or loss of job and reputation - сотрудники службы безопасности может столкнуться выговор или потеря работы и репутация
-an organization won’t risk publishing forensic analysis of incursions and results of security audits for obvious reasons - организация не будет риска публикации судебно-медицинской экспертизы от вторжений и результаты проверок безопасности, по понятным причинам
-companies don’t want to admit the financial damages caused by security breaches to their shareholders and show weakness to the market - компании не хотят признать, финансовый ущерб, причиненный в результате нарушения безопасности для своих акционеров и показать слабость на рынке

Can a CSRS help us design more secure products? Может CSRS помочь нам в разработке более безопасных продуктов?

Would it be possible to have an effective “Computer Security Reporting System”? Будет ли возможность для эффективного "Компьютерная безопасность информационная система"? Would a non-profit organization, properly funded, be able to collect accurate data and produce meaningful reports and recommendations for industry architects and CIOs alike? Будет ли некоммерческие организации, должным образом финансироваться, иметь возможность собрать точные данные и производить значимых докладов и рекомендаций для промышленности архитекторов и CIOs, так? Could they protect the identities of participants and the information that belongs to them? Могут ли они защищают личность участников и информацию о том, что принадлежит им? Would we be able to generate key cost information from this data that would serve to educate while helping build better products and security budgets? Будут ли мы быть способны генерировать ключ стоимость информацию из этих данных, который будет служить для просвещения одновременно помогая строить лучшие продукты и безопасности бюджеты? Has this already been done and does it meet the aforementioned key criteria? Имеет это уже было сделано, и это отвечают вышеупомянутым основным критерием? I found something Я обнаружил нечто here здесь , but government related agencies don’t seem to meet the “independent” criterion. , Однако правительство к ним учреждения, как представляется, не отвечают "независимых" критерий.

Perhaps it is not feasible to have a CSRS: Возможно, это не реально иметь CSRS:
1) too many players and technologies involved 1) слишком много игроков и технологии
2) security, while expensive, is not usually “life and death” 2) обеспечение безопасности, в то время как дорогостоящие, как правило, не "между жизнью и смертью"
3) too big a problem - too expensive to be cost effective 3) слишком большая проблема - слишком дорого быть рентабельным

I’m not a security insider so I will “ask the audience” on this one. Я не безопасности инсайдерской так что я "прошу аудиторию" на это. I know you’re out there! Я знаю, вы там!