Oak Valley Accounting (اوک ویلی اکاؤنٹنگ) کے 40 ملازمین ہیں اور یہ ادارہ کلائنٹس کے ٹیکس گوشواروں (tax returns)، پے رول فائلنگز اور ریفنڈ کے حساب کتاب کا انتظام سنبھالتا ہے۔ چوری شدہ لیپ ٹاپ میں کلائنٹس کے ٹیکس سے متعلق پی ڈی ایف (PDFs) فائلیں موجود ہیں، تبدیل شدہ اسپریڈ شیٹ غلط ریفنڈ ٹوٹل (کل رقم) ظاہر کر رہی ہے، اور فائل سرور کی عدم دستیابی عملے کو وقت پر پے رول فائلنگ جمع کرانے سے روک رہی ہے۔ فرم کو نقصان پہنچانے کے لیے حملہ آور کو ہر سسٹم کو توڑنے کی ضرورت نہیں تھی۔ صرف ایک لیپ ٹاپ، ایک اسپریڈ شیٹ، یا ایک سرور تک رسائی ہی کافی تھی۔ یہ ناکامیاں ہمیں ان تین سیکیورٹی اہداف کی طرف لے جاتی ہیں جنہیں ہم اس کورس کے دوران استعمال کریں گے۔
یہ تین اہداف ہیں: رازداری (Confidentiality)، جو کلائنٹس کے ٹیکس سے متعلق پی ڈی ایف فائلوں کو ان لوگوں کی پہنچ سے دور رکھتی ہے جنہیں انہیں پڑھنے کا اختیار نہیں ہے؛ سالمیت (Integrity)، جو ریفنڈ اسپریڈ شیٹ کو درست رکھتی ہے اور غیر مجاز تبدیلیوں کو روکتی ہے؛ اور دستیابی (Availability)، جو فائل سرور کو اس وقت قابلِ رسائی رکھتی ہے جب عملے کو پے رول ریکارڈز کی ضرورت ہو۔ مجموعی طور پر، رازداری، سالمیت اور دستیابی مل کر CIA ٹرائیڈ (تین رکنی مجموعہ) تشکیل دیتے ہیں۔
چوری شدہ لیپ ٹاپ کا معاملہ رازداری کی ناکامی ہے کیونکہ کوئی غیر مجاز شخص نام، پتے، آمدنی کے ریکارڈ اور ٹیکس کی دستاویزات پڑھ سکتا ہے۔ لیپ ٹاپ پر پاس ورڈ اور ڈیوائس انکرپشن اس طرح کے انکشاف کو روکنے میں مدد کرتے ہیں، جبکہ سائن اِن لاگز اور گمشدہ ڈیوائس کی رپورٹ اوک ویلی کے آئی ٹی ماہر، جارڈن لی (Jordan Lee) کو یہ پتہ لگانے میں مدد دیتی ہیں کہ تحفظ کا نظام ناکام ہو سکتا ہے۔
تبدیل شدہ ریفنڈ اسپریڈ شیٹ سالمیت کی ناکامی ہے کیونکہ عملہ ایسے اعداد و شمار کی بنیاد پر فیصلے کر سکتا ہے جو اب منظور شدہ ریکارڈز سے مطابقت نہیں رکھتے۔ اسپریڈ شیٹ میں ترمیم کرنے والوں کو محدود کرنا تبدیلیوں کو روکنے میں مدد دیتا ہے، اور ورژن ہسٹری یا ریفنڈ ٹوٹل میں غیر متوقع تبدیلیوں کا جائزہ لینا ان کی نشاندہی کرنے میں مدد کرتا ہے۔ اہم فرق یہ ہے کہ ایک دستیاب اسپریڈ شیٹ بھی غیر محفوظ ہو سکتی ہے اگر اس کے اعداد و شمار غلط ہوں۔
آف لائن فائل سرور دستیابی کی ناکامی ہے کیونکہ سیم رویرا (Sam Rivera) پے رول فائلنگ کے لیے درکار کلائنٹ ریکارڈز حاصل نہیں کر سکتا۔ بیک اپ، اضافی اسٹوریج (redundant storage)، اور بحالی کے طریقہ کار رسائی کو بحال کر سکتے ہیں، جبکہ سرور کے ‘اپ ٹائم’ (uptime) الرٹس اور فائل تک رسائی میں ناکامی کے واقعات اس تعطل کو ظاہر کرتے ہیں۔ ایک سسٹم رازداری اور درستگی کا تحفظ کر سکتا ہے لیکن پھر بھی کاروبار کے لیے ناکام ثابت ہو سکتا ہے اگر مجاز عملہ اسے استعمال نہ کر سکے۔
کوئی کنٹرول (حفاظتی اقدام) ایک ہدف کو بہتر بنا سکتا ہے جبکہ دوسرے پر دباؤ ڈال سکتا ہے۔ ہر فائل کی تبدیلی سے پہلے اضافی منظوری کا تقاضا سالمیت کا تحفظ کرتا ہے، لیکن منظوری کا عمل فوری کام میں تاخیر اور دستیابی میں کمی کا باعث بن سکتا ہے۔ تجزیہ کار کو پہلے یہ بتانا چاہیے کہ کون سا CIA ہدف خطرے میں ہے، پھر ایک ایسا کنٹرول اور اشارہ (signal) منتخب کرنا چاہیے جو یہ ظاہر کر سکے کہ آیا کنٹرول ناکام ہوا یا نہیں۔ ذیل میں دیا گیا موازنہ ہر ہدف کا تعلق اوک ویلی کے سسٹمز سے جوڑتا ہے۔
یہ جدول ظاہر کرتا ہے کہ CIA (رازداری، سالمیت، اور دستیابی) سے متعلق ہر مسئلے کے لیے ایک حفاظتی اقدام اور ایسے شواہد موجود ہیں جن کی نگرانی ایک تجزیہ کار کر سکتا ہے۔ سیکیورٹی کے کام کا مطلب صرف حملہ آور کو روکنا نہیں ہے۔ سیکیورٹی کے کام میں لیپ ٹاپ کا غائب ہونا، ریکارڈ میں تبدیلی، یا سروس کی عدم دستیابی کا اتنی جلدی پتہ لگانا بھی شامل ہے کہ بروقت ردعمل دیا جا سکے۔
امتحان کا اصول رازداری (Confidentiality) غیر مجاز افشاء کو روکتی ہے، سالمیت (Integrity) غیر مجاز تبدیلی کو روکتی ہے، اور دستیابی (Availability) ضرورت پڑنے پر مجاز رسائی کو برقرار رکھتی ہے۔
چونکہ CIA کا اطلاق مجموعی طور پر فرم کے بجائے مخصوص اثاثوں پر ہوتا ہے، اس لیے ہمیں ایک ایسے مشترکہ نقشے کی ضرورت ہے جو یہ دکھائے کہ Oak Valley معلومات کو کہاں محفوظ کرتی اور منتقل کرتی ہے۔ مایا پٹیل (مینجنگ پارٹنر) اور سیم دفتر کے وائی فائی پر ونڈوز 11 والے لیپ ٹاپ استعمال کرتے ہیں۔ ان کے لیپ ٹاپ Microsoft 365 ای میل کے ذریعے کلائنٹ کے پیغامات بھیجتے اور وصول کرتے ہیں، آن-پریمیسس (دفتر میں موجود) فائل سرور پر کلائنٹ کے ٹیکس سے متعلق PDFs تک رسائی حاصل کرتے ہیں، اور اکاؤنٹنگ ریکارڈز کے لیے QuickBooks Online میں سائن ان کرتے ہیں۔
حساس ڈیٹا کئی مقامات پر موجود ہوتا ہے۔ فائل سرور میں کلائنٹ کے ٹیکس سے متعلق PDFs اور مشترکہ اسپریڈ شیٹس (spreadsheets) ہوتی ہیں۔ Microsoft 365 میل باکسز میں ٹیکس کی منسلک دستاویزات اور ادائیگی کی ہدایات ہو سکتی ہیں۔ QuickBooks Online میں مالیاتی ریکارڈز ہوتے ہیں، اور لیپ ٹاپ پر ڈاؤن لوڈ کردہ فائلیں عارضی طور پر محفوظ ہو سکتی ہیں۔ جارڈن (Jordan) کے چھوٹے ایڈمنسٹریٹر اکاؤنٹ کی حدود اہم ہیں کیونکہ وسیع سسٹم رسائی والا اکاؤنٹ بیک وقت ان میں سے کئی مقامات کو متاثر کر سکتا ہے۔
ڈیٹا ان راستوں سے گزرتا ہے جنہیں بعد میں خطرات نشانہ بنا سکتے ہیں۔ انٹرنیٹ سے Microsoft 365 کے ذریعے ایک فشنگ (phishing) ای میل موصول ہوتی ہے، عملے کا کوئی رکن اسے لیپ ٹاپ پر کھولتا ہے، اور پھر اسناد (credentials) یا فائلیں کسی دوسرے سسٹم تک پہنچ سکتی ہیں۔ فائل تک رسائی لیپ ٹاپس اور فائل سرور کے درمیان منتقل ہوتی ہے۔ QuickBooks تک رسائی لیپ ٹاپ سے انٹرنیٹ کے ذریعے آن لائن سروس تک جاتی ہے۔ یہ خاکہ بعد میں کیے جانے والے تجزیے کے لیے ان سسٹمز اور حدود کو متعین کرتا ہے۔