CISO کارنر: NIST CSF 2.0 کو فعال کرنا۔ AI ماڈلز Amok چلاتے ہیں۔

CISO کارنر میں خوش آمدید، ڈارک ریڈنگ کے ہفتہ وار مضامین کا ڈائجسٹ جو خاص طور پر سیکیورٹی آپریشنز کے قارئین اور سیکیورٹی لیڈرز کے لیے تیار کیا گیا ہے۔ ہر ہفتے، ہم اپنے نیوز آپریشن، دی ایج، ڈی آر ٹیکنالوجی، ڈی آر گلوبل، اور ہمارے کمنٹری سیکشن سے حاصل کردہ مضامین پیش کریں گے۔ ہم آپ کو سائبرسیکیوریٹی کی حکمت عملیوں کو چلانے کے کام کی حمایت کرنے کے لیے آپ کے لیے متنوع نقطہ نظر لانے کے لیے پرعزم ہیں، تمام شکلوں اور سائز کی تنظیموں کے رہنماؤں کے لیے۔

اس معاملے میں:

NIST سائبرسیکیوریٹی فریم ورک 2.0: شروع کرنے کے 4 مراحل

رابرٹ لیموس کے ذریعہ، تعاون کرنے والے مصنف، ڈارک ریڈنگ

نیشنل انسٹی ٹیوٹ آف اسٹینڈرڈز اینڈ ٹیکنالوجی (NIST) نے ایک جامع سائبرسیکیوریٹی پروگرام بنانے پر کتاب پر نظر ثانی کی ہے جس کا مقصد ہر سائز کی تنظیموں کو زیادہ محفوظ بنانے میں مدد کرنا ہے۔ تبدیلیوں کو عمل میں لانا کہاں سے شروع کرنا ہے۔

اس ہفتے جاری ہونے والے NIST کے سائبرسیکیوریٹی فریم ورک (CSF) کے تازہ ترین ورژن کو فعال کرنے کا مطلب سائبر سیکیورٹی پروگراموں میں اہم تبدیلیاں ہوسکتی ہیں۔

مثال کے طور پر، سائبرسیکیوریٹی کی زیادہ سے زیادہ ایگزیکٹو اور بورڈ کی نگرانی کو شامل کرنے کے لیے ایک بالکل نیا "گورن" فنکشن ہے، اور یہ پھیلتا ہے۔ اہم صنعتوں کے لیے حفاظت کے بہترین طریقے. مجموعی طور پر، سائبرسیکیوریٹی ٹیموں کو ان کے لیے اپنا کام ختم کرنا پڑے گا، اور انہیں موجودہ جائزوں، شناخت شدہ خلا، اور تدارک کی سرگرمیوں پر کڑی نظر ڈالنی ہوگی تاکہ فریم ورک کی تبدیلیوں کے اثرات کا تعین کیا جا سکے۔

خوش قسمتی سے، NIST سائبرسیکیوریٹی فریم ورک کے تازہ ترین ورژن کو چلانے کے لیے ہماری تجاویز آگے بڑھنے میں مدد کر سکتی ہیں۔ ان میں NIST کے تمام وسائل کا استعمال شامل ہے (CSF صرف ایک دستاویز نہیں ہے بلکہ وسائل کا مجموعہ ہے جسے کمپنیاں اپنے مخصوص ماحول اور ضروریات کے لیے فریم ورک کو لاگو کرنے کے لیے استعمال کر سکتی ہیں)؛ "گورنمنٹ" فنکشن پر بات کرنے کے لیے سی سویٹ کے ساتھ بیٹھنا؛ سپلائی چین سیکورٹی میں لپیٹ؛ اور اس بات کی تصدیق کرتے ہوئے کہ مشاورتی خدمات اور سائبرسیکیوریٹی پوزیشن مینجمنٹ پروڈکٹس کا دوبارہ جائزہ لیا گیا ہے اور تازہ ترین CSF کو سپورٹ کرنے کے لیے اپ ڈیٹ کیا گیا ہے۔

مزید پڑھیں: NIST سائبرسیکیوریٹی فریم ورک 2.0: شروع کرنے کے 4 مراحل

متعلقہ: امریکی حکومت نے سافٹ ویئر سیکیورٹی میں کردار کو بڑھایا

ایپل، سگنل ڈیبیو کوانٹم ریزسٹنٹ انکرپشن، لیکن چیلنجز لوم

بذریعہ جئے وجین، تعاون کرنے والے مصنف، ڈارک ریڈنگ

iMessage کو محفوظ بنانے کے لیے Apple کا PQ3 اور Signal کا PQXH یہ ظاہر کرتا ہے کہ ادارے کس طرح ایک ایسے مستقبل کے لیے تیاری کر رہے ہیں جس میں انکرپشن پروٹوکول کو کریک کرنے کے لیے تیزی سے مشکل ہونا چاہیے۔

جیسا کہ کوانٹم کمپیوٹرز پختہ ہو جاتے ہیں اور مخالفین کو انتہائی محفوظ موجودہ خفیہ کاری پروٹوکول کو کھولنے کا ایک معمولی سا آسان طریقہ فراہم کرتے ہیں، تنظیموں کو مواصلات اور ڈیٹا کی حفاظت کے لیے اب آگے بڑھنے کی ضرورت ہے۔

اس مقصد کے لیے، ایپل کا نیا PQ3 پوسٹ کوانٹم کرپٹوگرافک (PQC) iMessage کمیونیکیشنز کو محفوظ بنانے کے لیے پروٹوکول، اور اسی طرح کا ایک انکرپشن پروٹوکول جو سگنل نے پچھلے سال متعارف کرایا تھا جسے PQXDH کہا جاتا ہے، کوانٹم مزاحم ہیں، یعنی وہ - نظریاتی طور پر، کم از کم - کوانٹم کے حملوں کا مقابلہ کر سکتے ہیں۔ کمپیوٹر ان کو توڑنے کی کوشش کر رہے ہیں۔

لیکن تنظیموں، PQC جیسی چیزوں کی طرف تبدیلی طویل، پیچیدہ اور ممکنہ طور پر تکلیف دہ ہوگی۔ عوامی کلیدی بنیادی ڈھانچے پر بہت زیادہ انحصار کرنے والے موجودہ میکانزم کو کوانٹم مزاحم الگورتھم کو مربوط کرنے کے لیے دوبارہ تشخیص اور موافقت کی ضرورت ہوگی۔ اور پوسٹ کوانٹم انکرپشن کی طرف ہجرت انٹرپرائز IT، ٹیکنالوجی، اور سیکورٹی ٹیموں کے لیے انتظامی چیلنجوں کا ایک نیا سیٹ متعارف کرایا ہے جو کہ پچھلے ہجرت کے متوازی ہے، جیسے TLS1.2 سے 1.3 اور ipv4 سے v6، دونوں میں کئی دہائیاں لگ چکی ہیں۔

مزید پڑھیں: ایپل، سگنل ڈیبیو کوانٹم ریزسٹنٹ انکرپشن، لیکن چیلنجز لوم

متعلقہ: کوانٹم کمپیوٹنگ کرنے سے پہلے کمزور خفیہ نگاری کو کریک کرنا

It's 10 pm کیا آپ جانتے ہیں کہ آج رات آپ کے AI ماڈلز کہاں ہیں؟

بذریعہ ایریکا چکوسکی، تعاون کرنے والی مصنف، ڈارک ریڈنگ

AI ماڈل کی مرئیت اور سیکیورٹی کی کمی سٹیرائڈز پر سافٹ ویئر سپلائی چین سیکیورٹی کا مسئلہ رکھتی ہے۔

اگر آپ کو لگتا ہے کہ سافٹ ویئر سپلائی چین سیکیورٹی کا مسئلہ آج کافی مشکل ہے، تو اس پر قابو پالیں۔ AI کے استعمال میں دھماکہ خیز نمو ان سپلائی چین کے مسائل کو آنے والے سالوں میں تیزی سے مشکل تر بنا دے گی۔

AI/مشین لرننگ ماڈلز AI سسٹم کی پیٹرن کو پہچاننے، پیشین گوئیاں کرنے، فیصلے کرنے، کارروائیوں کو متحرک کرنے یا مواد تخلیق کرنے کی بنیاد فراہم کرتے ہیں۔ لیکن سچ یہ ہے کہ زیادہ تر تنظیمیں یہ بھی نہیں جانتی ہیں کہ حاصل کرنا کیسے شروع کیا جائے۔ ایمبیڈڈ تمام AI ماڈلز میں مرئیت ان کے سافٹ ویئر میں.

بوٹ کرنے کے لیے، ماڈلز اور ان کے آس پاس کا انفراسٹرکچر دوسرے سافٹ ویئر اجزاء سے مختلف طریقے سے بنایا گیا ہے اور روایتی سیکیورٹی اور سافٹ ویئر ٹولنگ کو اسکین کرنے یا یہ سمجھنے کے لیے نہیں بنایا گیا ہے کہ AI ماڈلز کیسے کام کرتے ہیں یا ان میں خامیاں کیسے ہیں۔

"ایک ماڈل، ڈیزائن کے لحاظ سے، کوڈ کا ایک خود ساختہ ٹکڑا ہے۔ پروٹیکٹ اے آئی کے شریک بانی، دریان دہگنپیشے کہتے ہیں کہ اس کے پاس ایک خاص مقدار میں ایجنسی ہے۔ "اگر میں نے آپ کو بتایا کہ آپ کے پورے انفراسٹرکچر میں ایسے اثاثے ہیں جو آپ دیکھ نہیں سکتے، آپ شناخت نہیں کر سکتے، آپ نہیں جانتے کہ ان میں کیا ہے، آپ کو نہیں معلوم کہ کوڈ کیا ہے، اور وہ خود عمل کرتے ہیں۔ اور باہر کی کالیں، جو مشتبہ طور پر اجازت وائرس کی طرح لگتی ہیں، ہے نا؟"

مزید پڑھیں: رات کے 10 بجے ہیں کیا آپ جانتے ہیں کہ آج رات آپ کے AI ماڈلز کہاں ہیں؟

متعلقہ: 100 بدنیتی پر مبنی کوڈ ایگزیکیوشن ماڈلز سے چھلنی ہیگنگ فیس اے آئی پلیٹ فارم

تنظیموں کو خلاف ورزیوں کا انکشاف کرنے میں ناکامی پر SEC کے بڑے جرمانے کا سامنا ہے۔

رابرٹ لیموس کے ذریعہ، تعاون کرنے والے مصنف

نافذ کرنے والا ڈراؤنا خواب کیا ہو سکتا ہے، ممکنہ طور پر لاکھوں ڈالر کے جرمانے، شہرت کو نقصان پہنچانے والے، شیئر ہولڈر کے مقدمے، اور دیگر جرمانے ان کمپنیوں کے منتظر ہیں جو SEC کے ڈیٹا کی خلاف ورزی کے انکشاف کے نئے قوانین کی تعمیل کرنے میں ناکام رہتی ہیں۔

کمپنیوں اور ان کے CISOs کو امریکی سیکیورٹیز اینڈ ایکسچینج کمیشن (SEC) کی جانب سے لاکھوں سے لے کر لاکھوں ڈالر تک کے جرمانے اور دیگر جرمانے کا سامنا کرنا پڑ سکتا ہے، اگر وہ اپنی سائبر سیکیورٹی اور ڈیٹا کی خلاف ورزی کے انکشاف کے عمل کو پورا کرنے کے لیے حاصل نہیں کرتے ہیں۔ نئے قوانین کے ساتھ جو اب نافذ ہو چکے ہیں۔

SEC کے ریگز کے دانت ہیں: کمیشن ایک مستقل حکم امتناعی دے سکتا ہے جس میں مدعا علیہ کو مقدمے کے مرکز میں طرز عمل کو روکنے کا حکم دیا جا سکتا ہے، ناجائز منافع کی ادائیگی کا حکم دیا جا سکتا ہے، یا بڑھتے ہوئے جرمانے کے تین درجات کو نافذ کیا جا سکتا ہے جس کے نتیجے میں فلکیاتی جرمانے ہو سکتے ہیں۔ .

کے لیے شاید سب سے زیادہ تشویشناک CISOs وہ ذاتی ذمہ داری ہے جس کا انہیں اب سامنا ہے۔ کاروباری کارروائیوں کے بہت سے شعبوں کے لیے جن کے لیے تاریخی طور پر ان کی ذمہ داری نہیں تھی۔ صرف نصف CISOs (54%) SEC کے حکم کی تعمیل کرنے کی اپنی اہلیت پر پراعتماد ہیں۔

یہ سب سی آئی ایس او کے کردار اور کاروبار کے لیے اضافی اخراجات کے بارے میں وسیع تر غور و فکر کا باعث بن رہے ہیں۔

مزید پڑھیں: تنظیموں کو خلاف ورزیوں کا انکشاف کرنے میں ناکامی پر SEC کے بڑے جرمانے کا سامنا ہے۔

متعلقہ: بڑھتی ہوئی قانونی دھمکیوں کے بارے میں کمپنیوں اور CISOs کو کیا جاننا چاہیے۔

بایومیٹرکس ریگولیشن گرم ہو جاتا ہے، پورٹڈنگ کمپلائنس سر درد

بذریعہ ڈیوڈ سٹروم، تعاون کرنے والے مصنف، ڈارک ریڈنگ

بایومیٹرکس کو ریگولیٹ کرنے والے پرائیویسی قوانین کی بڑھتی ہوئی جھاڑی کا مقصد بادل کی بڑھتی ہوئی خلاف ورزیوں اور AI سے تخلیق کردہ ڈیپ فیکس کے درمیان صارفین کی حفاظت کرنا ہے۔ لیکن بائیو میٹرک ڈیٹا کو ہینڈل کرنے والے کاروباروں کے لیے، تعمیل میں رہنا کام سے کہیں زیادہ آسان ہے۔

بائیو میٹرک پرائیویسی کے خدشات بڑھنے کی بدولت گرم ہو رہے ہیں۔ مصنوعی ذہانت (AI) پر مبنی گہری جعلی دھمکیاں، کاروباروں کی طرف سے بائیو میٹرک کا بڑھتا ہوا استعمال، متوقع نئے ریاستی سطح کی رازداری سے متعلق قانون سازی، اور اس ہفتے صدر بائیڈن کی طرف سے جاری کردہ ایک نیا ایگزیکٹو آرڈر جس میں بائیو میٹرک رازداری کے تحفظات شامل ہیں۔

اس کا مطلب یہ ہے کہ بائیو میٹرک مواد کو ٹریک کرنے اور استعمال کرنے کے لیے مناسب انفراسٹرکچر بنانے کے لیے کاروباری اداروں کو زیادہ آگے نظر آنے اور خطرات کا اندازہ لگانے اور ان کو سمجھنے کی ضرورت ہے۔ اور قومی سطح پر کاروبار کرنے والوں کو ضابطے کے پیچ ورک کی تعمیل کے لیے اپنے ڈیٹا کے تحفظ کے طریقہ کار کا آڈٹ کرنا ہوگا، بشمول یہ سمجھنا کہ وہ کس طرح صارفین کی رضامندی حاصل کرتے ہیں یا صارفین کو اس طرح کے ڈیٹا کے استعمال کو محدود کرنے کی اجازت دیتے ہیں اور اس بات کو یقینی بناتے ہیں کہ وہ ضوابط میں موجود مختلف باریکیوں سے میل کھاتے ہیں۔

مزید پڑھیں: بایومیٹرکس ریگولیشن گرم ہو جاتا ہے، پورٹڈنگ کمپلائنس سر درد

متعلقہ: اپنے استعمال کے کیس کے لیے بہترین بایومیٹرکس توثیق کا انتخاب کریں۔

DR گلوبل: 'غلط' ایرانی ہیکنگ گروپ نے اسرائیلی، متحدہ عرب امارات کی ایرو اسپیس اور دفاعی فرموں کو پھنسایا

رابرٹ لیموس کے ذریعہ، تعاون کرنے والے مصنف، ڈارک ریڈنگ

UNC1549، عرف Smoke Sandstorm اور Tortoiseshell، ہر ہدف شدہ تنظیم کے لیے اپنی مرضی کے مطابق سائبر حملے کی مہم کے پیچھے مجرم معلوم ہوتا ہے۔

ایرانی خطرہ گروپ UNC1549 - جسے Smoke Sandstorm اور Tortoiseshell بھی کہا جاتا ہے - ایرو اسپیس اور اسرائیل میں دفاعی کمپنیاں، متحدہ عرب امارات، اور مشرق وسطیٰ کے دیگر ممالک۔

گوگل کلاؤڈ مینڈینٹ کے پرنسپل تجزیہ کار جوناتھن لیتھری کا کہنا ہے کہ خاص طور پر، موزوں روزگار پر مرکوز سپیئر فشنگ اور کمانڈ اینڈ کنٹرول کے لیے کلاؤڈ انفراسٹرکچر کے استعمال کے درمیان، حملے کا پتہ لگانا مشکل ہو سکتا ہے۔

"سب سے زیادہ قابل ذکر حصہ یہ ہے کہ یہ خطرہ دریافت کرنے اور ٹریک کرنے کے لئے کتنا فریب ہو سکتا ہے - ان کے پاس واضح طور پر اہم وسائل تک رسائی ہے اور وہ اپنے ہدف کو منتخب کرنے میں منتخب ہیں،" وہ کہتے ہیں۔ "ممکنہ طور پر اس اداکار کی طرف سے مزید سرگرمیاں ہیں جو ابھی تک دریافت نہیں ہوئی ہیں، اور اس کے بارے میں بھی کم معلومات ہیں کہ جب وہ کسی ہدف سے سمجھوتہ کر لیتے ہیں تو وہ کیسے کام کرتے ہیں۔"

مزید پڑھیں: 'غلط' ایرانی ہیکنگ گروپ نے اسرائیلی، متحدہ عرب امارات کی ایرو اسپیس اور دفاعی فرموں کو پھنسایا

متعلقہ: چین نے صنعتی نیٹ ورکس کے لیے نیا سائبر دفاعی منصوبہ شروع کیا۔

MITER نے مائیکرو پروسیسر سیکیورٹی بگز کے لیے 4 بالکل نئے CWEs کو رول آؤٹ کیا۔

بذریعہ جئے وجین، تعاون کرنے والے مصنف، ڈارک ریڈنگ

مقصد یہ ہے کہ سیمی کنڈکٹر اسپیس میں چپ ڈیزائنرز اور سیکیورٹی پریکٹیشنرز کو میلٹ ڈاؤن اور اسپیکٹر جیسی بڑی مائکرو پروسیسر کی خامیوں کی بہتر تفہیم فراہم کی جائے۔

سی پی یو وسائل کو نشانہ بنانے والے سائڈ چینل کارناموں کی بڑھتی ہوئی تعداد کے ساتھ، MITRE کی قیادت میں کامن ویکنیس اینومریشن (CWE) پروگرام نے اپنے عام سافٹ ویئر اور ہارڈ ویئر کے خطرے کی اقسام کی فہرست میں مائیکرو پروسیسر سے متعلق چار نئی کمزوریاں شامل کیں۔

CWEs Intel، AMD، Arm، Riscure، اور Cycuity کے درمیان باہمی تعاون کا نتیجہ ہیں اور سیمی کنڈکٹر اسپیس میں پروسیسر ڈیزائنرز اور سیکیورٹی پریکٹیشنرز کو جدید مائیکرو پروسیسر آرکیٹیکچرز میں کمزوریوں پر بات کرنے کے لیے ایک مشترکہ زبان فراہم کرتے ہیں۔

چار نئے CWEs CWE-1420، CWE-1421، CWE-1422، اور CWE-1423 ہیں۔

CWE-1420 عارضی یا قیاس آرائی پر عملدرآمد کے دوران حساس معلومات کی نمائش کا خدشہ ہے - ہارڈویئر آپٹیمائزیشن فنکشن کے ساتھ منسلک میل ٹاؤن اور سپیکٹر - اور تین دیگر CWEs کے "والدین" ہیں۔

CWE-1421 کا تعلق عارضی عمل کے دوران مشترکہ مائیکرو آرکیٹیکچرل ڈھانچے میں حساس معلومات کے لیک سے ہے۔ CWE-1422 عارضی عملدرآمد کے دوران غلط ڈیٹا فارورڈنگ سے منسلک ڈیٹا لیکس کو ایڈریس کرتا ہے۔ CWE-1423 مائیکرو پروسیسر کے اندر ایک مخصوص اندرونی حالت سے منسلک ڈیٹا کی نمائش کو دیکھتا ہے۔

مزید پڑھیں: MITER نے مائیکرو پروسیسر سیکیورٹی بگز کے لیے 4 بالکل نئے CWEs کو رول آؤٹ کیا۔

متعلقہ: MITER رول آؤٹ سپلائی چین سیکیورٹی پروٹو ٹائپ

ریاستی رازداری کے قوانین اور ابھرتا ہوا AI چیلنج کو تبدیل کرنا

جیسن ایڈنگر، سینئر سیکیورٹی کنسلٹنٹ، ڈیٹا پرائیویسی، گائیڈ پوائنٹ سیکیورٹی کی تبصرہ

اب وقت آگیا ہے کہ کمپنیاں یہ دیکھیں کہ وہ کس چیز پر کارروائی کر رہی ہیں، انہیں کس قسم کا خطرہ ہے، اور وہ اس خطرے کو کیسے کم کرنے کا ارادہ رکھتی ہیں۔

امریکہ کی آٹھ ریاستوں نے 2023 میں ڈیٹا پرائیویسی کا قانون پاس کیا، اور 2024 میں، چار میں قوانین لاگو ہوں گے، اس لیے کمپنیوں کو بیٹھ کر اس ڈیٹا کو گہرائی سے دیکھنا ہوگا جو وہ پروسیس کر رہے ہیں، انہیں کس قسم کا خطرہ ہے، اس کا انتظام کیسے کیا جائے۔ خطرہ، اور اس خطرے کو کم کرنے کے ان کے منصوبے جن کی انہوں نے نشاندہی کی ہے۔ AI کو اپنانا اسے مزید مشکل بنا دے گا۔

چونکہ کاروبار ان تمام نئے ضوابط کی تعمیل کرنے کے لیے ایک حکمت عملی تیار کرتے ہیں جو وہاں موجود ہیں، یہ بات قابل غور ہے کہ اگرچہ یہ قوانین بہت سے معاملات میں موافق ہیں، وہ ریاست کی مخصوص باریکیوں کو بھی ظاہر کرتے ہیں۔

کمپنیوں کو بہت سے دیکھنے کی توقع کرنی چاہئے۔ ڈیٹا پرائیویسی کے ابھرتے ہوئے رجحانات اس سال، بشمول:

مزید پڑھیں: ریاستی رازداری کے قوانین اور ابھرتا ہوا AI چیلنج کو تبدیل کرنا

متعلقہ: پرائیویسی رینسم ویئر کو سب سے اوپر انشورنس تشویش کے طور پر ہرا دیتی ہے۔

• SEO سے چلنے والا مواد اور PR کی تقسیم۔ آج ہی بڑھا دیں۔
• پلیٹو ڈیٹا ڈاٹ نیٹ ورک ورٹیکل جنریٹو اے آئی۔ اپنے آپ کو بااختیار بنائیں۔ یہاں تک رسائی حاصل کریں۔
• پلیٹوآئ اسٹریم۔ ویب 3 انٹیلی جنس۔ علم میں اضافہ۔ یہاں تک رسائی حاصل کریں۔
• پلیٹو ای ایس جی۔ کاربن، کلین ٹیک، توانائی ، ماحولیات، شمسی، ویسٹ مینجمنٹ یہاں تک رسائی حاصل کریں۔
• پلیٹو ہیلتھ۔ بائیوٹیک اینڈ کلینیکل ٹرائلز انٹیلی جنس۔ یہاں تک رسائی حاصل کریں۔
• ماخذ: https://www.darkreading.com/ics-ot-security/ciso-corner-operationalizing-nist-csf-ai-models-run-amok