Achieving Security: Goals, Policy, Mechanisms and Assuranceگەیشتن بە ئاسایش: ئامانج، سیاسەت، میکانیزم و دڵنیابوونەوە لە ئاسایش

Every organisation wants to be safe, but “safe” is a wish, not a plan. A hospital, a bank and a small shop have different things to protect and different amounts of money to spend. The lecture gives four questions that turn the wish into a plan:

هەموو ڕێکخراوێک دەیەوێت سەلامەت بێت، بەڵام «سەلامەت» ئاواتێکە نەک پلان. نەخۆشخانەیەک، بانکێک و دوکانێکی بچووک شتی جیاوازیان هەیە بۆ پاراستن و بڕی پارەی جیاوازیشیان هەیە بۆ خەرجکردن. وانەکە چوار پرسیار دەدات کە ئاواتەکە دەکەن بە پلان:

The lecture calls the four MAPO: Mechanism, Assurance, Policy, Organisational goals. The word is only a memory aid. When you plan, you work through the ideas in the order of the list above: goals first, then policy, then mechanisms, then assurance.

وانەکە ناوی ئەم چوارە دەنێت MAPO: Mechanism، Assurance، Policy و Organisational goals. وشەکە تەنها یارمەتییەکە بۆ لەبیرکردن. کاتێک پلان دادەنێیت، بەپێی ڕیزبەندیی لیستەکەی سەرەوە کار دەکەیت: سەرەتا ئامانج، پاشان سیاسەت، دواتر میکانیزم و لە کۆتاییدا دڵنیابوونەوە لە ئاسایش.

Security costs money and time, and it makes some work slower. So it must be justified by what the organisation exists to do. A hospital exists to treat patients, a bank to keep money and trust, a university to teach and keep records. Protection is worth paying for because an attack would stop that work.

ئاسایش پارە و کاتی پێویستە و هەندێک کاریش خاوتر دەکات. بۆیە دەبێت بە ئەو کارە پاساو بدرێت کە ڕێکخراوەکە بۆی دروست بووە. نەخۆشخانە بۆ چارەسەرکردنی نەخۆشە، بانک بۆ پاراستنی پارە و متمانەیە و زانکۆ بۆ وانەوتنەوە و هەڵگرتنی تۆمارەکانە. پاراستن شایەنی پارەکەیەتی چونکە هێرشێک (Attack) ئەو کارە دەوەستێنێت.

So the first question is not technical. Managers and IT staff answer it together: What would hurt us most? What must keep running?

کەواتە پرسیاری یەکەم تەکنیکی نییە. بەڕێوەبەران و کارمەندانی IT پێکەوە وەڵامی دەدەنەوە: چی زۆرترین زیانمان پێدەگەیەنێت؟ چی دەبێت هەر کار بکات؟

Every organisation already has a general policy: its goals, its budget, the duties of its staff and the laws it follows. The IT security policy, which the lecture calls the computerised information system policy, is one part inside it.

هەموو ڕێکخراوێک خۆی سیاسەتێکی گشتیی هەیە: ئامانجەکانی، بودجەکەی، ئەرکی کارمەندەکانی و ئەو یاسایانەی پەیڕەویان دەکات. سیاسەتی ئاسایش، کە وانەکە پێی دەڵێت سیاسەتی سیستەمی زانیاریی (Information system) کۆمپیوتەری، بەشێکە لە ناو ئەودا.

Fitting means that the security rules support the goals around them. Imagine a rule that stops doctors from opening any record during an emergency until a manager approves it. It protects confidentiality, but it fights the hospital's main goal, so it is a bad rule.

جێبوونەوە واتە یاساکانی ئاسایش پاڵپشتی ئەو ئامانجانە دەکەن کە دەوریان داون. یاسایەک بهێنە بەرچاوت کە لە کاتی فریاکەوتندا ڕێگە نادات پزیشک هیچ تۆمارێک بکاتەوە تا بەڕێوەبەرێک ڕەزامەندی نەدات. بەنهێنی مانەوە (Confidentiality) دەپارێزێت، بەڵام دژی ئامانجی سەرەکیی نەخۆشخانەکە دەوەستێت، بۆیە یاسایەکی خراپە.

A policy says what needs protecting. It names the assets (data, systems, people, buildings), the threats the organisation may face, and the priorities, so that effort goes where it matters most.

سیاسەت دەڵێت چی دەبێت بپارێزرێت. ناوی سامانەکان (دراوە (Data)، سیستەم، خەڵک، بینا) و هەڕەشەکانی (Threat) سەر ڕێکخراوەکە دەهێنێت و ئەولەوییەکان دیاری دەکات، بۆ ئەوەی هەوڵەکان بچنە ئەو شوێنەی زۆرترین گرنگیی هەیە.

A policy speaks in rules about people and data, not in product names. “Only staff treating a patient may open that patient's record” is policy. “Install firewall model X” is not: that is a mechanism.

سیاسەت بە یاسا لەبارەی خەڵک و دراوە قسە دەکات، نەک بە ناوی بەرهەم. «تەنها ئەو کارمەندانەی نەخۆشێک چارەسەر دەکەن دەتوانن تۆمارەکەی بکەنەوە» سیاسەتە. «ئاگرەدیوارێکی (Firewall) جۆری X دابمەزرێنە» سیاسەت نییە: ئەوە میکانیزمە.

Mechanisms are the tools, technologies and procedures that carry out the policy: firewalls, encryption, access control, backups, locks and guards, and written procedures such as “how to give a new employee an account”. Security people also call them countermeasures or controls.

میکانیزمەکان ئەو ئامراز، تەکنەلۆجیا و ڕێکارانەن کە سیاسەتەکە جێبەجێ دەکەن: ئاگرەدیوارەکان، شفرەکردن، کۆنترۆڵی دەستڕاگەیشتن (Access control)، باکئەپەکان، قفڵ و پاسەوان، هەروەها ڕێکاری نووسراو وەک «چۆن هەژمارێکی بەکارهێنەر (User account) بۆ کارمەندێکی نوێ دروست بکەین». خەڵکی بواری ئاسایش پێیان دەڵێن ڕێوشوێنەکانی بەرگری یان کۆنترۆڵەکان.

The lecture sorts mechanisms by what they do against an attack, in three groups:

وانەکە میکانیزمەکان بەپێی ئەو کارەی بەرامبەر هێرش دەیکەن دەکات بە سێ کۆمەڵ:

Tolerance needs a word of explanation. In security it means that a system can keep working when an attack or an internal fault goes wrong, or can be brought back quickly. In everyday English, to tolerate means to put up with something hard, like carrying on with someone who has wronged you; the root meaning is to bear, to endure. A tolerant system “bears” the damage and keeps serving. Today this ability is usually called cyber resilience. For hardware faults, see fault tolerance.

بەرگەگرتن (Tolerance) ڕوونکردنەوەی دەوێت. لە ئاسایشدا واتای ئەوەیە کە سیستەمێک بتوانێت کار بکات کاتێک هێرشێک یان کێشەیەکی ناوەکی شتێک تێک دەدات، یان بەخێرایی بگەڕێنرێتەوە. لە ئینگلیزیی ڕۆژانەدا tolerate واتە بەرگەی شتێکی قورس بگریت، وەک ئەوەی لەگەڵ کەسێک بەردەوام بیت کە هەڵەی بەرامبەرت کردووە؛ واتای ڕیشەیی وشەکە «هەڵگرتن و تەحەمولکردن»ـە. سیستەمێکی بەرگەگر زیانەکە «هەڵدەگرێت» و هەر خزمەت دەکات. ئەمڕۆ ئەم توانایە زۆرتر پێی دەوترێت خۆڕاگریی سایبەری (Cyber resilience). بۆ تێکچوونی ڕەقەواڵە، سەیری بەرگەگرتنی تێکچوون بکە.

A second list in the lecture splits the same idea into six methods. Watch them appear one by one, first in a shop at night and then on a computer.

لیستێکی تری وانەکە هەمان بیرۆکە دەکات بە شەش ڕێگا. سەیر بکە چۆن یەک لە دوای یەک دەردەکەون، سەرەتا لە دوکانێکدا بە شەو و پاشان لەسەر کۆمپیوتەر.

To deflect is to bend the attacker's path away from what matters. The owner's notes describe it like this: once the defender knows that an attacker is inside the system, the defender keeps the attacker busy with attractive things that are far from the system's real weak points.

چەماندن واتە ڕێگای هێرشبەر لەو شتەی گرنگە لابدەیت. تێبینییەکانی خاوەنی کۆرسەکە ئاوا باسی دەکەن: کاتێک بەرگریکار دەزانێت هێرشبەر هاتووەتە ناو سیستەمەکەوە، هێرشبەرەکە بە شتی سەرنجڕاکێش سەرقاڵ دەکات کە دوورن لە خاڵە لاوازەکانی (Vulnerability) ڕاستەقینەی سیستەمەکە.

Example: a company puts a fake “Salaries 2026” file server on its network. No real employee ever needs it, so any login there is almost certainly an attacker. The honeypot wastes the attacker's time (deflect) and raises an alarm (detect).

نموونە: کۆمپانیایەک ڕاژەکارێکی فایلی ساختەی «مووچەکانی ⁦2026⁩» لەسەر ڕایەڵەکەی (Network) دادەنێت. هیچ کارمەندێکی ڕاستەقینە هەرگیز پێویستی پێی نییە، بۆیە هەر چوونەژوورەوەیەک لەوێ نزیکەی بە دڵنیاییەوە هێرشبەرە. تەڵەی هەنگوینەکە کاتی هێرشبەر بە فیڕۆ دەدات (چەماندن) و ئاگادار دەکاتەوە (دۆزینەوە).

Having mechanisms is not enough: you must know that they work. Assurance means evaluating the protection with regular testing, audits and assessments, so that you can trust it to give the level of safety you expected.

هەبوونی میکانیزم بەس نییە: دەبێت بزانیت کە کار دەکەن. دڵنیابوونەوە لە ئاسایش واتە هەڵسەنگاندنی پاراستنەکە بە تاقیکردنەوە، پشکنین و هەڵسەنگاندنی بەردەوام، بۆ ئەوەی بتوانیت متمانە بکەیت کە ئەو ئاستە سەلامەتییە دەدات کە چاوەڕێت دەکرد.

Assurance closes the loop. What the tests find becomes a new policy rule or a better mechanism: the dashed arrow in the MAPO picture.

دڵنیابوونەوە لە ئاسایش بازنەکە دادەخات. ئەوەی تاقیکردنەوەکان دەیدۆزنەوە دەبێت بە یاسایەکی نوێی سیاسەت یان میکانیزمێکی باشتر: تیرە خاڵخاڵەکەی وێنەی MAPO.

The lecture's six methods fit these types roughly: prevent → preventive, deter → deterrent, detect → detective, recover → corrective. Deflecting is done with deception tools such as honeypots, which teams use mainly to spot attackers early. Tolerating is designed into the system (spare servers, RAID, more than one network link) rather than added as one control.

شەش ڕێگاکەی وانەکە بە نزیکی لەگەڵ ئەم جۆرانە یەک دەگرنەوە: ڕێگرتن ← ڕێگر، ترساندن ← ترسێنەر، دۆزینەوە ← دۆزەرەوە، گەڕاندنەوە ← ڕاستکەرەوە. چەماندن بە ئامرازی فریودان وەک تەڵەکانی هەنگوین دەکرێت، کە تیمەکان زۆرتر بۆ ناسینەوەی زووی هێرشبەرەکان بەکاریان دەهێنن. بەرگەگرتن لە دیزاینی سیستەمەکەدا دادەنرێت (ڕاژەکاری یەدەگ، RAID، زیاتر لە یەک هێڵی ڕایەڵە) نەک وەک یەک کۆنترۆڵ زیاد بکرێت.

One control carries both labels. A camera is a physical, detective control, and its visible sign adds a deterrent. A security policy is a managerial, directive control.

یەک کۆنترۆڵ هەردوو ناونیشانەکە هەڵدەگرێت. کامێرا کۆنترۆڵێکی فیزیکی و دۆزەرەوەیە و نیشانە دیارەکەی ترسێنەریش زیاد دەکات. سیاسەتی ئاسایش کۆنترۆڵێکی بەڕێوەبردن و ئاراستەکەرە.

NIST’s Cybersecurity Framework 2.0 (February 2024) sorts all security work into six functions, which you met in What is cybersecurity?. They are a fuller, modern version of the lecture’s lists:

NIST CSF ⁦2.0⁩ (شوباتی ⁦2024⁩) هەموو کارێکی ئاسایش لە شەش ئەرکی سەرەکیدا ڕێک دەخات، کە لە ئاسایشی سایبەر چییە؟دا ناسیتن. ئەمانە شێوەیەکی تەواوتر و نوێی لیستەکانی وانەکەن:

How risk management runs through the six functions is in the next chapter: Security planning and risk assessment.

ئەوەی بەڕێوەبردنی مەترسی (Risk management) چۆن بە ناو شەش ئەرکەکەدا تێدەپەڕێت لە بەشی داهاتوودایە: پلاندانانی ئاسایش و هەڵسەنگاندنی مەترسی.