সাইবার নিরাপত্তা ও সরকারি খাতের প্রযুক্তি ঝুঁকি

কেন এটি জনমূল্যে গুরুত্বপূর্ণ

যখন একটি হাসপাতালের ব্যবস্থা কোনো আক্রমণকারী এনক্রিপ্ট করে, চিকিৎসকেরা ওষুধের ইতিহাস দেখতে পারেন না, অ্যাম্বুলেন্স অন্যত্র পাঠানো হয়, এবং অস্ত্রোপচার বাতিল হয়। যখন একটি পানি ইউটিলিটির নিয়ন্ত্রণ ব্যবস্থা আপস করা হয়, ঝুঁকিতে থাকা জনমূল্য একটি সার্ভার বিভ্রাট নয়, পানীয় জলের নিরাপত্তা। যখন একটি সুবিধা সংস্থার ডেটাবেস লঙ্ঘিত হয়, সবচেয়ে উন্মুক্ত মানুষেরা প্রায়ই পরিণতি শোষণ করতে সবচেয়ে অক্ষম: একটি বিলম্বিত পরিশোধ, একটি চুরি যাওয়া পরিচয়, একটি পরিবার যা তার সহায়তা পাওনা রাষ্ট্রের কাছে নিজেদের পরিচয় প্রমাণ করতে পারে না। কম্পিউটার নিরাপত্তা, সাধারণত সাইবার নিরাপত্তা বলা হয়, হলো অননুমোদিত প্রবেশাধিকার, ব্যাঘাত বা ক্ষতি থেকে কম্পিউটার ব্যবস্থা, নেটওয়ার্ক ও উপাত্ত রক্ষার চর্চা। সরকারি প্রতিষ্ঠানে, সেই চর্চা রাষ্ট্র ও যে নাগরিককে সে সেবা দেয় তাঁর মধ্যকার পথে সরাসরি বসে।

এ কারণেই এই বিষয় সাইবার ঝুঁকিকে কেবল কারিগরি নয়, একটি জনমূল্য প্রশ্ন হিসেবে কাঠামো দেয়। বৈধতা ও সমর্থন নির্ভর করে নাগরিকেরা বিশ্বাস করেন যে তাঁদের উপাত্ত ধারণকারী ও অপরিহার্য সেবা চালানো প্রতিষ্ঠানগুলোকে উভয়কেই নিরাপদ রাখতে বিশ্বাস করা যায় (দেখুন বিষয় 1.2 — কৌশলগত ত্রিভুজ: বৈধতা, মূল্য ও সক্ষমতা)। একটি একক ব্যাপকভাবে প্রচারিত লঙ্ঘন সেই আস্থার স্থায়ী ক্ষতি করতে পারে, ঠিক একটি খারাপভাবে সামলানো জরুরি অবস্থার মতো, কারণ নাগরিকেরা প্রতিষ্ঠানকে প্রতিদিন তারা কেমন কাজ করে তার মতোই আক্রমণের অধীনে তারা কেমন আচরণ করে তার ভিত্তিতেও বিচার করেন (দেখুন বিষয় 3.12 — সংকট, জরুরি অবস্থা ও স্থিতিস্থাপকতা ব্যবস্থাপনা, যা সাইবার ঘটনাকে স্থিতিস্থাপকতার বিস্তৃততর শৃঙ্খলার একটি শ্রেণি হিসেবে দেখে)। সাইবার নিরাপত্তা উপাত্ত শাসন থেকেও অবিচ্ছেদ্য: একটি প্রতিষ্ঠান যা সে ধারণ করে বলে জানে না তা রক্ষা করতে পারে না, এবং যে আন্তঃপরিচালনযোগ্যতা ও উন্মুক্ততা উপাত্ত থেকে জনমূল্য সৃষ্টি করে তা একজন আক্রমণকারী যে পৃষ্ঠ কাজে লাগাতে পারে তাও প্রশস্ত করে (দেখুন বিষয় 5.4 — সরকারি খাতের উপাত্ত, আন্তঃপরিচালনযোগ্যতা ও উন্মুক্ত উপাত্ত)।

সম্পদ-সমস্যা তীব্র এবং সরকারি ও সামাজিক খাতের জন্য নির্দিষ্ট। বড় জাতীয় সংস্থাগুলোর ক্রমবর্ধমানভাবে নিবেদিত নিরাপত্তা দল ও এন্টারপ্রাইজ বাজেট আছে; একটি ছোট শহর সেবা দেওয়া পানি পর্ষদ, আঞ্চলিক হাসপাতাল ট্রাস্ট এবং একটি পারিবারিক-সহিংসতা আশ্রয় চালানো স্থানীয় অলাভজনক সংস্থার সাধারণত তা নেই, যদিও তারা এমন উপাত্ত ধারণ করে যার সংবেদনশীলতা যেকোনো ব্যাংকের সমান বা তার চেয়ে বেশি। আক্রমণকারীরা তা জানে। কম-সম্পদযুক্ত সরকারি সংস্থা এই বিষয়ে একটি প্রান্তিক ক্ষেত্র নয়; তারা এর কেন্দ্রের কাছাকাছি, কারণ আজ এই ঝুঁকির মুখোমুখি গড় সরকারি প্রতিষ্ঠান একটি জাতীয় মন্ত্রণালয় নয় বরং একটি ছোট স্থানীয় কর্তৃপক্ষ, একটি আঞ্চলিক ইউটিলিটি, বা মুষ্টিমেয় তথ্যপ্রযুক্তি কর্মী নিয়ে এবং কোনো নিরাপত্তা বিশেষজ্ঞ ছাড়াই একটি দাতব্য সংস্থা।

সবশেষে, এটি একটি জীবন্ত এবং খারাপ হতে থাকা সমস্যা, অনুমানমূলক নয়। র‍্যানসমওয়্যার অভিযান ক্রমবর্ধমানভাবে স্থানীয় সরকার, হাসপাতাল, স্কুল ও সামাজিক-খাতের সংগঠনকে লক্ষ্য করে ঠিক কারণ তারা সংবেদনশীল উপাত্ত, অপরিহার্য সেবা, ডাউনটাইমের প্রতি নিম্ন সহনশীলতা এবং তুলনামূলক দুর্বল প্রতিরক্ষা একত্র করে — একটি সংমিশ্রণ যা তাদের অর্থ দেওয়ার সম্ভাবনা বেশি এবং প্রথমেই আক্রমণ ঠেকানোর সম্ভাবনা কম করে। সাইবার নিরাপত্তাকে শাসন-স্তরের জনমূল্য অঙ্গীকারের বদলে একটি বিশেষজ্ঞ সংযোজন হিসেবে দেখা, এই শ্রেণির প্রতিষ্ঠানের জন্য, প্রায় একটি আমন্ত্রণ।

মূল ধারণা

সংকটপূর্ণ অবকাঠামো হলো ব্যবস্থা ও সম্পদের সেট — শক্তি, পানি, পরিবহন, স্বাস্থ্যসেবা, অর্থ, যোগাযোগ — এতটা অপরিহার্য যে তাদের অক্ষমতা বা ধ্বংস নিরাপত্তা, অর্থনীতি বা জন-আস্থায় একটি পঙ্গুকারী প্রভাব ফেলবে। সংকটপূর্ণ অবকাঠামো সুরক্ষা হলো এই ব্যবস্থাগুলোকে ভৌত ও ডিজিটাল হুমকির বিরুদ্ধে সুরক্ষিত করার শৃঙ্খলা; এটি এখানে গুরুত্বপূর্ণ কারণ সবচেয়ে পরিণামবাহী সরকারি-খাতের সাইবার ঘটনার অনেকগুলো বিমূর্ত উপাত্তের ওপর আক্রমণ নয়, বরং ভৌত অবকাঠামো চালু রাখা পরিচালনাগত প্রযুক্তির ওপর আক্রমণ, যা রেকর্ড রাখা এবং লেনদেন প্রক্রিয়া করা তথ্যপ্রযুক্তি থেকে ভিন্ন।

একজন হুমকি কর্তা (থ্রেট অ্যাক্টর) হলো যেকোনো ব্যক্তি, গোষ্ঠী বা রাষ্ট্র যে একটি ব্যবস্থা আপস করার চেষ্টা করতে পারে; সরকারি খাতে এগুলো আর্থিকভাবে অনুপ্রাণিত অপরাধী গোষ্ঠী থেকে গুপ্তচরবৃত্তি বা ব্যাঘাত অনুসরণকারী রাষ্ট্র-পৃষ্ঠপোষকতাপ্রাপ্ত কর্তা পর্যন্ত বিস্তৃত, এবং একই প্রতিষ্ঠান একই সময়ে খুব ভিন্ন উদ্দেশ্যের উভয়ের মুখোমুখি হতে পারে। র‍্যানসমওয়্যার হলো ক্ষতিকর সফটওয়্যার যা একটি প্রতিষ্ঠানের উপাত্ত বা ব্যবস্থা এনক্রিপ্ট করে এবং তাদের মুক্তির জন্য অর্থ দাবি করে; এটি সরকারি সংস্থার প্রধান হুমকি হয়ে উঠেছে ঠিক কারণ অপরিহার্য সেবা দীর্ঘস্থায়ী ডাউনটাইম সহ্য করতে পারে না, যা অর্থ দেওয়ার চাপ বাড়ায়। ফিশিং হলো সামাজিক প্রকৌশলের একটি রূপ যেখানে আক্রমণকারীরা কর্মীদের প্রতারিত করে শংসাপত্র প্রকাশ করতে বা ম্যালওয়্যার ইনস্টল করতে, সাধারণত প্রতারণামূলক ইমেইলের মাধ্যমে, এবং একজন আক্রমণকারী প্রথম যে উপায়ে পা রাখে তার মধ্যে সবচেয়ে সাধারণ রয়ে গেছে, কারণ এটি প্রযুক্তি নয়, মানুষকে লক্ষ্য করে।

একটি উপাত্ত লঙ্ঘন হলো তথ্যের অননুমোদিত প্রবেশাধিকার, প্রকাশ বা ক্ষতি, বাইরের আক্রমণ, ভেতরের কেউ, বা ইন্টারনেটে খোলা রেখে যাওয়া একটি ভুল-কনফিগার করা ডেটাবেসের মতো সরল মানবিক ভুলের মাধ্যমে হোক। একটি সরবরাহ শৃঙ্খল আক্রমণ একটি প্রতিষ্ঠানকে পরোক্ষভাবে আপস করে, লক্ষ্য প্রতিষ্ঠান যাকে বিশ্বাস করে এমন একটি কম-নিরাপদ সরবরাহকারী, সফটওয়্যার বিক্রেতা বা পরিচালিত-সেবা প্রদানকারীকে লক্ষ্য করে; এগুলো সরকারি খাতের জন্য বিশেষভাবে বিপজ্জনক কারণ এত সরকারি সংস্থা একই মুষ্টিমেয় সফটওয়্যার বিক্রেতা ভাগ করে, যার অর্থ একটি বিক্রেতা আপস একই সঙ্গে শত শত প্রতিষ্ঠানে ক্যাসকেড করতে পারে।

সাইবার স্বাস্থ্যবিধি (সাইবার হাইজিন) হলো রুটিন চর্চার সেট — সফটওয়্যার দ্রুত প্যাচ করা, শক্তিশালী প্রমাণীকরণ প্রয়োগ, কে কী প্রবেশ করতে পারে সীমিত করা, উপাত্ত ব্যাকআপ করা এবং সেই ব্যাকআপের পুনরুদ্ধার পরীক্ষা করা — যা বিদেশি হাতিয়ার ছাড়াই সফল আক্রমণের বিপুল সংখ্যাগরিষ্ঠ ঠেকায়। বেশির ভাগ লঙ্ঘন নতুন কৌশল নয়, পরিচিত, অ-প্যাচড দুর্বলতা বা দুর্বল শংসাপত্র কাজে লাগায়, তাই একটি প্রতিষ্ঠানের প্রকৃত সাইবার স্বাস্থ্যবিধি এবং তার ঘোষিত নীতির মধ্যকার ব্যবধান সাধারণত তার ঝুঁকি-নিবন্ধনে নামকরা হুমকির পরিশীলনের চেয়ে তার ঝুঁকির একটি ভালো পূর্বাভাসক।

জিরো ট্রাস্ট স্থাপত্য হলো একটি নিরাপত্তা নকশা নীতি যা ধরে যে কোনো ব্যবহারকারী বা ডিভাইসকে ডিফল্টভাবে বিশ্বাস করা উচিত নয়, এমনকি একটি প্রতিষ্ঠানের নিজস্ব নেটওয়ার্কের ভেতরেও, এবং প্রবেশাধিকারের প্রতিটি অনুরোধ এটি যেখান থেকেই আসুক যাচাই করতে হবে। এটি সরকারি-খাতের নির্দেশনায় প্রভাবশালী হয়ে উঠেছে কারণ আধুনিক সরকারি কাজ আসলে যেভাবে ঘটে — কর্মী, ঠিকাদার ও নাগরিকেরা অনেক ডিভাইস ও স্থান থেকে সেবায় প্রবেশ করেন — তার সঙ্গে এটি ইতিমধ্যে সীমানার ভেতরে থাকা যেকোনো কিছু বিশ্বাস করা পুরোনো মডেলের চেয়ে ভালো মেলে।

কম্পিউটার নিরাপত্তা ঘটনা ব্যবস্থাপনা, সাধারণত ঘটনা সাড়া বলা হয়, হলো একটি নিরাপত্তা ঘটনা শনাক্ত, সীমাবদ্ধ, নির্মূল এবং তা থেকে পুনরুদ্ধার করার সংগঠিত প্রক্রিয়া, এবং তারপর কী এটি ঘটতে দিয়েছিল তার একটি পর্যালোচনা। একটি প্রকাশ বাধ্যবাধকতা হলো ব্যক্তিগত উপাত্ত বা সংকটপূর্ণ সেবা আপস হলে প্রভাবিত ব্যক্তি, নিয়ন্ত্রক বা জনগণকে একটি নির্দিষ্ট সময়ের মধ্যে এবং একটি নির্দিষ্ট মানে অবহিত করার আইনি বা নিয়ন্ত্রক কর্তব্য, এই যুক্তিতে যে নাগরিক ও তত্ত্বাবধান সংস্থার জানার অধিকার আছে যখন তাঁদের উপাত্ত বা অপরিহার্য সেবা ঝুঁকিতে ফেলা হয়েছে, এবং সময়মতো প্রকাশ মানুষকে নিজেদের রক্ষা করতে দেয়।

সেরা অনুশীলন

1. সাইবার নিরাপত্তাকে একটি অর্পিত কারিগরি কার্য নয়, একটি শাসন-সংস্থার দায়িত্ব হিসেবে দেখুন। পর্ষদ, পরিষদ ও নির্বাহী দলগুলোর সাইবার ঝুঁকি সম্পর্কে নিয়মিত, সরল-ভাষার ব্রিফিং পাওয়া এবং এর বাজেট সরাসরি অনুমোদন করা উচিত, একটি বিস্তৃততর তথ্যপ্রযুক্তি লাইন আইটেমের ভেতরে আলোচনার জন্য ছেড়ে না দিয়ে যেখানে এটি কাটা সবচেয়ে সহজ।
2. কীভাবে রক্ষা করবেন স্থির করার আগে আপনি কী ধারণ করেন এবং কী এর ওপর নির্ভর করে তার তালিকা করুন। একটি প্রতিষ্ঠান যে উপাত্ত বা ব্যবস্থা ম্যাপ করেনি তা নিরাপদ করতে পারে না; অন্যত্র ঢাকা আন্তঃপরিচালনযোগ্যতা ও উপাত্ত-শাসন কাজের বিপরীতে ক্রস-রেফারেন্স করা একটি বর্তমান সম্পদ ও উপাত্ত তালিকা এই তালিকার প্রতিটি অন্য চর্চার পূর্বশর্ত (দেখুন বিষয় 5.4 — সরকারি খাতের উপাত্ত, আন্তঃপরিচালনযোগ্যতা ও উন্মুক্ত উপাত্ত)।
3. কিছু উন্নত খরচের আগে সর্বত্র মৌলিক বিষয়গুলো প্রয়োগ করুন। প্যাচ ব্যবস্থাপনা, বহু-উপাদান প্রমাণীকরণ, পরীক্ষিত ব্যাকআপ এবং ন্যূনতম-সুবিধা প্রবেশাধিকার নিয়ন্ত্রণ বাস্তব-জগতের আক্রমণের বিপুল সংখ্যাগরিষ্ঠ ঠেকায়; এগুলো স্থানে না থাকা একটি সরকারি সংস্থার হুমকি-গোয়েন্দা সাবস্ক্রিপশন বা বিশেষভাবে নির্মিত পর্যবেক্ষণ হাতিয়ারকে অগ্রাধিকার দেওয়া উচিত নয়।
4. একটি বিশেষভাবে নির্মিত কাঠামো উদ্ভাবনের বদলে একটি স্বীকৃত কাঠামো গ্রহণ করুন। National Institute of Standards and Technology-এর Cybersecurity Framework-এর মতো কাঠামো একটি ভাগাভাগি করা শব্দভাণ্ডার এবং একটি কাঠামো দেয় — শনাক্ত, সুরক্ষা, সনাক্ত, সাড়া, পুনরুদ্ধার — যা একটি ছোট প্রতিষ্ঠান সরলীকৃত আকারে এবং একটি বড় প্রতিষ্ঠান পূর্ণরূপে গ্রহণ করতে পারে, মৌলিক শ্রেণিবিন্যাস পুনরাবিষ্কার না করে।
5. প্রত্যেকে একা কেনার বদলে ছোট প্রতিষ্ঠান জুড়ে সম্পদ একত্র করুন। একটি ভাগাভাগি করা নিরাপত্তা অপারেশন সেবা, একটি আঞ্চলিক সাইবার-ঘটনা সাড়া পুল, বা একটি খাত-ব্যাপী ক্রয় কাঠামো ছোট স্থানীয় কর্তৃপক্ষ বা অলাভজনক সংস্থার একটি গোষ্ঠীকে এমন সুরক্ষা দিতে পারে যা তাদের কেউ স্বতন্ত্রভাবে সামর্থ্য রাখে না — এই বিষয় যে কম-সম্পদ সমস্যা কেন্দ্র করে তার সবচেয়ে প্রত্যক্ষ উত্তর।
6. ঘটনার আগে ঘটনা সাড়া পরিকল্পনা লিখুন, এবং তা মহড়া দিন। একটি লাইভ আক্রমণের সময় প্রথমবার খসড়া করা পরিকল্পনা খারাপভাবে খসড়া করা পরিকল্পনা, আতঙ্কের মধ্যে, এমন মানুষের দ্বারা যারা কখনও পরীক্ষা করেননি এটি আসলে কাজ করে কি না; অন্তত বার্ষিকভাবে অনুশীলিত একটি পরিকল্পনা একটি বিশৃঙ্খল প্রথম ঘণ্টাকে পরিচিত ধাপের একটি মহড়া-করা ক্রমে পরিণত করে (এই কাজ যে বিস্তৃততর শৃঙ্খলার ওপর আঁকে তার জন্য দেখুন বিষয় 3.12 — সংকট, জরুরি অবস্থা ও স্থিতিস্থাপকতা ব্যবস্থাপনা)।
7. প্রকাশ ও অর্থ-পরিশোধ নীতি ঘটনার সময় নয়, আগেই স্থির করুন। প্রতিষ্ঠান একটি মুক্তিপণ দেওয়ার কথা বিবেচনা করবে কি না, সেই সিদ্ধান্ত নেওয়ার কর্তৃত্ব কার, এবং প্রভাবিত মানুষকে কীভাবে ও কখন বলা হবে তা একটি লাইভ চাঁদাবাজি দাবির চাপে অস্থায়ীভাবে নেওয়া সিদ্ধান্ত নয়, পর্ষদ-অনুমোদিত নীতি হওয়া উচিত।
8. নেটওয়ার্ক বিভক্ত করুন যাতে একটি আপস প্রতিটি আপস হয়ে না ওঠে। ভৌত অবকাঠামো নিয়ন্ত্রণকারী পরিচালনাগত প্রযুক্তিকে সাধারণ অফিস তথ্যপ্রযুক্তি থেকে আলাদা রাখা, এবং উচ্চ-সংবেদনশীলতার ব্যবস্থাকে নিম্ন-সংবেদনশীলতারগুলো থেকে আলাদা করা, একটি দুর্বল বিন্দুর মধ্য দিয়ে ঢোকা অনুপ্রবেশকারী কত দূর যেতে পারে তা সীমিত করে।
9. তৃতীয়-পক্ষ ও সরবরাহ শৃঙ্খল ঝুঁকি অভ্যন্তরীণ ঝুঁকির মতোই কঠোরভাবে পরিচালনা করুন। সফটওয়্যার বিক্রেতা ও পরিচালিত-সেবা প্রদানকারীর সঙ্গে চুক্তিতে নিরাপত্তা নিশ্চয়তা, নিরীক্ষা-অধিকার ধারা এবং ঘটনা-বিজ্ঞপ্তি বাধ্যবাধকতা দাবি করুন, কারণ বড় সরকারি-খাতের ঘটনার ক্রমবর্ধমান অংশ একটি সরাসরি আক্রমণের বদলে একটি বিশ্বস্ত সরবরাহকারী থেকে উদ্ভূত হয়।
10. কেবল হাতিয়ারে নয়, মানুষে বিনিয়োগ করুন। নিয়মিত, বাস্তবসম্মত প্রশিক্ষণ — সিমুলেটেড ফিশিং অনুশীলনসহ — সফল সামাজিক-প্রকৌশল আক্রমণ পরিমাপযোগ্যভাবে কমায়, এবং একটি ছোট প্রতিষ্ঠানে এমনকি একজন বা দুজন দক্ষ নিরাপত্তা কর্মী ধরে রাখা সাধারণত অতিরিক্ত সফটওয়্যার লাইসেন্সে সমান ব্যয়ের চেয়ে বেশি মূল্যবান।
11. সততার সঙ্গে ঘটনা প্রতিবেদন করুন এবং প্রায়-ঘটনাকে বিনামূল্যের শিক্ষা হিসেবে ব্যবহার করুন। যে সংস্কৃতি একটি সন্দেহজনক লঙ্ঘন প্রতিবেদনকারী কর্মীদের শাস্তি দেয় তা নিশ্চিত করে পরেরটি দেরিতে বা আদৌ প্রতিবেদিত হয় না; যে প্রতিষ্ঠান সবচেয়ে দ্রুত উন্নত হয় তারা প্রতিটি প্রায়-ঘটনাকে দোষ বরাদ্দের কারণের বদলে শেখার প্রমাণ হিসেবে দেখে।
12. কেবল অভ্যন্তরীণ নীতি নয়, ক্রয় ও অনুদান শর্তে সাইবার স্থিতিস্থাপকতা গড়ুন। অর্থদাতা ও কমিশনিং সংস্থাগুলো তাদের অর্থায়ন বা চুক্তিবদ্ধ সংগঠনগুলো থেকে নিরাপত্তা চর্চার একটি ভিত্তি-স্তর দাবি করতে পারে, ছোট সরবরাহ অংশীদারদের কাছে ভালো চর্চার পৌঁছানো প্রসারিত করে যাদের অন্যথায় এতে বিনিয়োগের কোনো বাইরের চাপ থাকত না (দেখুন বিষয় 3.7 — সরকারি ক্রয় ও কমিশনিং)।

আপনার দলের সঙ্গে আলোচনার প্রশ্ন

আমরা কি জানি আমরা আসলে কোন উপাত্ত ও ব্যবস্থা ধারণ করি, এবং এর কোনটি আপস হলে কাউকে আঘাত করবে? অনেক প্রতিষ্ঠান কেবল একটি লঙ্ঘন তদন্তের সময় তাদের উপাত্ত ধারণের প্রকৃত পরিসর আবিষ্কার করে, যা এটি শেখার সবচেয়ে খারাপ সম্ভাব্য সময়। আপনার প্রধান সেবাগুলো ধরে এগোন এবং প্রতিটির জন্য জিজ্ঞেস করুন এটি কোন ব্যক্তিগত বা পরিচালনাগতভাবে সংবেদনশীল উপাত্ত স্পর্শ করে এবং সেই উপাত্ত চুরি, পরিবর্তিত বা অনুপলব্ধ হলে একজন প্রকৃত মানুষের কী হবে। সৎ উত্তর যদি "আমরা নিশ্চিত নই" হয়, সেই অনিশ্চয়তাই ফলাফল, এবং তা বন্ধ করাই আপনার এজেন্ডার প্রথম আইটেম। এই প্রশ্ন সবচেয়ে গুরুত্বপূর্ণ সেই প্রতিষ্ঠানগুলোর জন্য যারা অধিগ্রহণ, একীকরণ বা জমা হওয়া উত্তরাধিকার ব্যবস্থার মাধ্যমে বেড়েছে, যেখানে কী আছে তার প্রাতিষ্ঠানিক স্মৃতি পাতলা হয়ে গেছে।

আগামীকাল আমরা র‍্যানসমওয়্যারে আক্রান্ত হলে, আমরা কি অর্থ না দিয়ে ব্যাকআপ থেকে পুনরুদ্ধার করতে পারতাম? একটি ব্যাকআপের মূল্য এটি আছে তা নয়, বরং এটি যথেষ্ট দ্রুত, গুরুত্বপূর্ণ হওয়ার মতো যথেষ্ট সাম্প্রতিক সংস্করণ থেকে আসলে পুনরুদ্ধার করতে পরীক্ষিত। জিজ্ঞেস করুন ব্যাকআপ শেষবার কখন একটি প্রকৃত পুনরুদ্ধার অনুশীলনের সঙ্গে পরীক্ষা করা হয়েছিল, কেবল একটি সম্পন্নকরণ লগ নয়, এবং আপনার প্রতিষ্ঠান কত দীর্ঘ বিভ্রাট সহ্য করতে পারে তার বিপরীতে একটি পূর্ণ পুনরুদ্ধারে কত সময় লাগবে। সেই সংখ্যাগুলো না মিললে, আপনার একটি সম্পদ সিদ্ধান্ত এখন নিতে হবে, একটি ঘটনার সময় নয়। এটিই আলোচনা করারও মুহূর্ত ব্যাকআপগুলো নিজে সেই নেটওয়ার্ক থেকে বিচ্ছিন্ন কি না যা আপনার প্রধান ব্যবস্থায় পৌঁছানো একজন আক্রমণকারীও পৌঁছাতে পারে।

আমরা একটি মুক্তিপণ দেব কি না তা স্থির করার কর্তৃত্ব কার, এবং আমাদের জিজ্ঞেস করার আগে কি আমরা কখনও তা আলোচনা করেছি? এটি একটি নির্বাহী দলের মুখোমুখি হতে পারা সর্বোচ্চ-বাজির সিদ্ধান্তের একটি, প্রায়ই ঘণ্টার মধ্যে এবং আক্রমণকারীর কাছে আসলে কী আছে সে সম্পর্কে অসম্পূর্ণ তথ্যসহ প্রয়োজনীয়। প্রক্রিয়া, অনুমোদনকারী ব্যক্তি এবং নীতিগুলো আগে স্থির করা — চূড়ান্ত সিদ্ধান্ত যদি এখনও ঘটনার নির্দিষ্ট বিষয়ের ওপর নির্ভর করে — চাঁদাবাজি চাপের মধ্যে একটি অস্থায়ী সিদ্ধান্ত রোধ করে। আলোচনা করুন আপনার এখতিয়ারের আইন এবং আপনার অর্থদাতাদের শর্ত মুক্তিপণ পরিশোধ সম্পর্কে কী বলে, এবং আপনাকে কাকে অবহিত করতে হবে।

আমাদের ক্ষুদ্রতম অংশীদার ও সরবরাহকারীরা কি আমাদের নিজেদের চেয়ে আমাদের জন্য বড় ঝুঁকি? একটি ভালো-সুরক্ষিত কেন্দ্রীয় প্রতিষ্ঠানও এর ব্যবস্থা বা উপাত্তে বৈধ প্রবেশাধিকারসহ একটি দুর্বলভাবে সুরক্ষিত সরবরাহকারী, ঠিকাদার বা সরবরাহ অংশীদারের মাধ্যমে আপস হতে পারে। আপনার ব্যবস্থায় পৌঁছাতে বা আপনার উপাত্ত ধারণ করতে পারে এমন তৃতীয় পক্ষ ম্যাপ করুন, এবং তাদের নিরাপত্তা চর্চার ওপর আপনার আসলে কতটা নিশ্চয়তা আছে বনাম আপনি কতটা নিশ্চয়তা ধরে নেন তা নিয়ে সৎ থাকুন। স্থির করুন ভবিষ্যতে তাদের কাছ থেকে কোন ন্যূনতম মান দাবি করবেন, এবং কেবল একটি লিখিত নিশ্চয়তা চাওয়ার বদলে কীভাবে তা যাচাই করবেন।

আমরা কি জানতাম আমরা লঙ্ঘিত হয়েছি, এবং কত দ্রুত? সবচেয়ে ক্ষতিকর কিছু ঘটনা দ্রুত ঘটা নয়, বরং মাসের পর মাস অনাবিষ্কৃত থাকা, যে সময় একজন আক্রমণকারী নীরবে অন্বেষণ করেছে, সুবিধা বাড়িয়েছে এবং উপাত্ত বের করে নিয়েছে। আলোচনা করুন আজ আপনি আসলে অস্বাভাবিক কার্যকলাপ কীভাবে সনাক্ত করতেন, কে তা দেখছে, এবং সেই পর্যবেক্ষণ অফিস সময়ের বাইরেও চলে কি না, কারণ অনেক আক্রমণ ইচ্ছাকৃতভাবে রাতে বা ছুটির সপ্তাহান্তে শুরু করা হয় যখন সাড়া সবচেয়ে ধীর। সনাক্তকরণ যদি সম্পূর্ণরূপে একজন নাগরিক বা অংশীদার সংগঠন আপনাকে কিছু ভুল বলার ওপর নির্ভর করে, সেটি একটি সংকটপূর্ণ ব্যবধান।

আমাদের পর্ষদ বা শাসন-সংস্থা কি এই ঝুঁকি শাসন করার মতো যথেষ্ট বোঝে, নাকি আমরা নীরবে সেই বিচার তথ্যপ্রযুক্তি দলকে আউটসোর্স করেছি? সাইবার ঝুঁকি সিদ্ধান্ত ব্যয়, সেবা ধারাবাহিকতা এবং নাগরিক সুরক্ষার মধ্যে প্রকৃত বিনিময় জড়িত করে যা যথাযথভাবে শাসন-সংস্থার ব্যাপার, একটি অর্পিত কারিগরি বিষয় নয় যা মাথা নেড়ে পাস করা হবে। আলোচনা করুন সাইবার ঝুঁকি বর্তমানে আপনার পর্ষদ বা পরিষদকে কীভাবে প্রতিবেদিত হয়, এটি একজন অ-বিশেষজ্ঞ আসলে কাজ করতে পারেন এমন ভাষায় কি না, এবং এর বাজেট অন্য যেকোনো প্রধান ঝুঁকির সমান কঠোরতায় স্থির হয় কি না। আপনার শাসন-সংস্থা বর্তমানে আপনার প্রতিষ্ঠানের শীর্ষ তিনটি সাইবার ঝুঁকি নিজস্ব ভাষায় ব্যাখ্যা করতে না পারলে, সেটিই প্রথম বন্ধ করার ব্যবধান।

বাস্তবে: একটি জনমূল্যের উদাহরণ

একটি মাঝারি আকারের আঞ্চলিক পরিবহন কর্তৃপক্ষ — কাল্পনিক, একটি প্যাটার্নের দৃষ্টান্ত, কোনো প্রকৃত প্রতিষ্ঠানের প্রতিবেদন নয় — এক দশক ধরে আধুনিকীকরণের বদলে টুকরো টুকরো প্যাচ করা বার্ধক্যগ্রস্ত সময়সূচি ও পরিশোধ ব্যবস্থা চালাত। এর তথ্যপ্রযুক্তি দল ছিল তিনজন, হেল্প-ডেস্ক টিকিট থেকে নেটওয়ার্ক নিরাপত্তা পর্যন্ত সবকিছুর জন্য দায়ী, এবং সাইবার নিরাপত্তার কখনও বাজেটে নিজস্ব লাইন ছিল না; এটি একটি সাধারণ "ব্যবস্থা রক্ষণাবেক্ষণ" বরাদ্দের ভেতরে থাকত যা বছরের পর বছর প্রকৃত অর্থে বাড়েনি।

একজন আক্রমণকারী একজন অর্থ কর্মকর্তাকে পাঠানো একটি ফিশিং ইমেইলের মাধ্যমে প্রবেশাধিকার পেল, কর্তৃপক্ষ প্রকৃতপক্ষে ব্যবহার করত এমন একটি সরবরাহকারীর ছদ্মবেশী চালান ব্যবহার করে। ভেতরে ঢুকে, আক্রমণকারী র‍্যানসমওয়্যার মোতায়েনের আগে ছয় সপ্তাহ নীরবে নেটওয়ার্কের মধ্য দিয়ে সরল, যা সময়সূচি ব্যবস্থা, ভাড়া পরিশোধ প্ল্যাটফর্ম এবং কর্তৃপক্ষের ব্যাকআপ এনক্রিপ্ট করল, যা কখনও প্রধান নেটওয়ার্ক থেকে বিচ্ছিন্ন করা হয়নি। প্রথম দিন চালকদের নিজস্ব রুটের স্মৃতিতে বাস চলল, কিন্তু ভাড়া ইলেকট্রনিকভাবে সংগ্রহ করা গেল না, বাস্তব-সময় তথ্য পর্দা অন্ধকার হলো, এবং কর্তৃপক্ষের অর্থ ব্যবস্থা বেতনের জন্য অব্যবহারযোগ্য হলো।

নির্বাহী দল কোনো পূর্ব-সম্মত নীতি ছাড়াই মুক্তিপণ সিদ্ধান্তের মুখোমুখি হলো: কেউ আগে স্থির করেনি পরিশোধ অনুমোদনের কর্তৃত্ব কার, আইনি অবস্থান কী, বা যাত্রীদের কী বলা হবে। ব্যাকআপ থেকে পুনরুদ্ধার একটি বিকল্প ছিল না, কারণ ব্যাকআপ বাকি সবকিছুর সঙ্গে এনক্রিপ্ট হয়েছিল। নয় দিনের ব্যাঘাত, আংশিক সেবা পুনরুদ্ধার এবং একটি পরিশোধের পর, যা কর্তৃপক্ষের পর্ষদ পরে সেই সময়ে উপলব্ধ সবচেয়ে কম-খারাপ বিকল্প হিসেবে বর্ণনা করেছিল, কর্তৃপক্ষ একটি স্বাধীন পর্যালোচনা কমিশন করল।

পর্যালোচনার ফল ছিল আকর্ষণহীন এবং এই বিষয় যে প্যাটার্ন বর্ণনা করে তার সঙ্গে সম্পূর্ণ সংগত: অর্থ ব্যবস্থায় কোনো বহু-উপাদান প্রমাণীকরণ নেই, অফিস ব্যবস্থা ও পরিশোধ অবকাঠামোর মধ্যে কোনো নেটওয়ার্ক বিভাজন নেই, দুই বছরেরও বেশি সময়ে কোনো পরীক্ষিত ব্যাকআপ পুনরুদ্ধার নেই, এবং ঘটনার আগে সাইবার ঝুঁকিতে পর্ষদ-স্তরের কোনো দৃশ্যমানতা আদৌ নেই। কর্তৃপক্ষের সাড়াও সমান আকর্ষণহীন ছিল — মৌলিক বিষয় ঠিক করার একটি পর্যায়ক্রমিক পরিকল্পনা, দুটি প্রতিবেশী পরিবহন কর্তৃপক্ষের সঙ্গে একটি ভাগাভাগি করা নিরাপত্তা-পর্যবেক্ষণ ব্যবস্থা বিশেষজ্ঞ কভারেজের ব্যয় ভাগ করতে যা তাদের কেউ একা সামর্থ্য রাখত না, এবং সাইবার ঝুঁকির ওপর একটি স্থায়ী পর্ষদ এজেন্ডা আইটেম। একটি প্রধান তথ্যপ্রযুক্তি কর্মসূচির মাপে এর কিছুই ব্যয়বহুল ছিল না; সবকিছু বছরের পর বছর বাদ পড়েছিল কারণ এতে জোর দেওয়া কখনও কারও স্পষ্টভাবে বরাদ্দ কাজ ছিল না।

চারটি খাতভিত্তিক দৃষ্টিকোণ

স্থানীয় সরকার

স্থানীয় কর্তৃপক্ষ একটি অস্বস্তিকর ছেদবিন্দুতে বসে: তারা অত্যন্ত সংবেদনশীল উপাত্ত ধারণ করে — সামাজিক যত্ন রেকর্ড, আবাসন ও সুবিধা তথ্য, নির্বাচকতালিকা — এবং এমন সেবা চালায় যা নাগরিকেরা সহজে ছাড়া চলতে পারেন না, কিন্তু তাদের সাধারণত সরকারের যেকোনো স্তরের ক্ষুদ্রতম নিরাপত্তা বাজেট এবং সবচেয়ে কম বিশেষজ্ঞ কর্মী। একটি বড় জাতীয় মন্ত্রণালয় একটি অভ্যন্তরীণ নিরাপত্তা অপারেশন কেন্দ্র গড়তে পারে; একটি ছোট জেলা পরিষদ সাধারণত পারে না, যা ভাগাভাগি করা সেবা, আঞ্চলিক পুলিং এবং জাতীয় সহায়তা কর্মসূচিকে একটি ঐচ্ছিক সংযোজনের বদলে পর্যাপ্ত সুরক্ষার ব্যবহারিক পথ করে। স্থানীয় নির্বাচিত কর্মকর্তারাও প্রায়ই সরকারের যেকোনো স্তরের মধ্যে একটি কারিগরি ঝুঁকি ব্রিফিং যাচাই করতে সবচেয়ে কম সজ্জিত, যা এই স্তরে নির্বাচিত সদস্যদের কাছে সরল-ভাষার প্রতিবেদনকে একটি স্বতন্ত্র শাসন চ্যালেঞ্জ করে।

জাতীয় সরকার

জাতীয় সরকারের সাধারণত নিবেদিত সাইবার নিরাপত্তা সংস্থা ও জাতীয় কাঠামো গড়ার সম্পদ আছে — যুক্তরাজ্যের ন্যাশনাল সাইবার সিকিউরিটি সেন্টার (যুক্তরাজ্য) বা যুক্তরাষ্ট্রের সাইবার নিরাপত্তা ও অবকাঠামো নিরাপত্তা সংস্থা-এর মতো সংস্থা মান স্থির করতে, সাড়া সমন্বয় করতে এবং তাদের এখতিয়ারের কম-সম্পদযুক্ত সরকারি সংস্থাকে সহায়তা করতে বিদ্যমান। বিশেষ জাতীয়-স্তরের চ্যালেঞ্জ মৌলিক স্বাস্থ্যবিধি নিয়ে কম, এবং রাষ্ট্র-পৃষ্ঠপোষকতাপ্রাপ্ত ও অত্যন্ত সক্ষম হুমকি কর্তা, খাত ও বেসরকারি পরিচালক জুড়ে সংকটপূর্ণ জাতীয় অবকাঠামোর পারস্পরিক নির্ভরতা, এবং আরোপ ও সাড়ার কূটনৈতিক ও আইনি মাত্রা নিয়ে বেশি, যা স্থানীয় বা সাংগঠনিক স্তরে খুব কমই দেখা দেয়।

সামাজিক খাত ও অলাভজনক

অলাভজনক ও বেসরকারি সংস্থা প্রায়ই যেকোনো খাতের সবচেয়ে সংবেদনশীল কিছু উপাত্ত ধারণ করে — স্বাস্থ্য রেকর্ড, সহিংসতা বা নিপীড়ন থেকে বেঁচে থাকাদের রেকর্ড, শরণার্থী ও আশ্রয় কেসওয়ার্ক — এই বইয়ের যেকোনো সংস্থা ধরনের সবচেয়ে পাতলা নিরাপত্তা বাজেটে কাজ করে, কারণ অর্থদাতারা খুব কমই নিরাপত্তার জন্য অর্থ নির্দিষ্ট করে এবং অনুদান শর্ত খুব কমই এটি দাবি করে। অনেক সামাজিক-খাতের সংগঠন স্বেচ্ছাসেবক ও উচ্চ কর্মী টার্নওভারের ওপরও নির্ভর করে, যা একটি স্থিতিশীল, পেশাদার কর্মীযুক্ত প্রতিষ্ঠানের চেয়ে সংগত নিরাপত্তা প্রশিক্ষণ ও প্রবেশাধিকার নিয়ন্ত্রণ টিকিয়ে রাখা কঠিনতর করে; একটি নিরাপত্তা ঘটনা একটি ছোট দাতব্য সংস্থার জন্য এমনভাবে অস্তিত্বগত হতে পারে যা একটি সরকারি বিভাগের জন্য খুব কমই হয়, কারণ সুনামগত ক্ষতি এবং দাতার আস্থা হারানো প্রতিষ্ঠানকে সম্পূর্ণ শেষ করতে পারে (দেখুন বিষয় 3.8 — সামাজিক খাত ও অলাভজনক প্রতিষ্ঠান ব্যবস্থাপনা)।

বহুপাক্ষিক ও আন্তর্জাতিক

বহুপাক্ষিক ও আন্তর্জাতিক সংস্থা ভিন্ন প্রকাশ আইন, সংকটপূর্ণ অবকাঠামোর ভিন্ন সংজ্ঞা এবং জাতীয় সাইবার সামর্থ্যের ভিন্ন স্তরসহ এখতিয়ার জুড়ে কাজ করে, যা সমন্বয়কেই একটি স্বতন্ত্র সমস্যা করে: একটি আন্তর্জাতিক সংস্থার নিজস্ব ব্যবস্থা ভালোভাবে সুরক্ষিত হতে পারে যখন এর জাতীয় সদস্য সংস্থাগুলো ব্যাপকভাবে ভিন্ন, এবং Organisation for Economic Co-operation and Development বা European Union Agency for Cybersecurity-এর মতো একটি সংস্থা একটি পরিচালনাগত ভূমিকার মতোই একটি মান-নির্ধারণ ও সামর্থ্য-নির্মাণ ভূমিকা পালন করে। বহুপাক্ষিক দৃষ্টিকোণ সেই জায়গাও যেখানে আন্তঃসীমান্ত ঘটনা সাড়া এবং তথ্য-ভাগাভাগি ব্যবস্থা সবচেয়ে বেশি গুরুত্বপূর্ণ, কারণ এক দেশের অবকাঠামোয় শুরু হওয়া একটি আক্রমণ ঘণ্টার মধ্যে অন্যটিতে ক্যাসকেড করতে পারে, বেশির ভাগ আন্তর্জাতিক সমন্বয় ব্যবস্থা যত দ্রুত নড়তে গড়া তার চেয়েও দ্রুত।

সাধারণ ব্যর্থতার ধরন

পরিচালনাগত সারবস্তু ছাড়া নিরাপত্তার নাটক। একটি প্রতিষ্ঠান একটি চমৎকার-দেখানো নীতি নথি, একটি সম্মতি শংসাপত্র বা একটি একক ব্যয়বহুল হাতিয়ার গ্রহণ করে, এবং বাক্স টিক হয়েছে ধরে নেয়, যখন মৌলিক স্বাস্থ্যবিধি — প্যাচিং, বহু-উপাদান প্রমাণীকরণ, পরীক্ষিত ব্যাকআপ — অসংগত থাকে। এটি নিরাপত্তার জন্য নয়, নিরাপত্তার চেহারার জন্য প্রকৃত অর্থ ব্যয় করে, এবং এটি প্রায়ই কেবল একটি ঘটনা নীতি ও চর্চার ব্যবধান প্রকাশ করার পর নাটক ছিল বলে আবিষ্কৃত হয়।

মালিকবিহীন ঝুঁকি। সাইবার নিরাপত্তা অন্য কারও কাজ বলে ধরা হয় — তথ্যপ্রযুক্তি দলের, একটি বিক্রেতার, একটি নিয়ন্ত্রকের — এবং শাসন-সংস্থা স্তরে কোনো একক দায়বদ্ধ মালিক নেই। এটি এমন একটি ঝুঁকি তৈরি করে যা সর্বত্র আলোচিত এবং কোথাও সিদ্ধান্ত হয় না, এবং এটিই সেই প্যাটার্ন যা প্রতিষ্ঠানগুলোকে জিজ্ঞেস করা হলে তাদের নিজস্ব এক্সপোজার সম্পর্কে মৌলিক প্রশ্নের উত্তর দিতে অক্ষম রাখে।

পূর্ববর্তী ঘটনার অনুপস্থিতি দ্বারা যথার্থ করা কম বিনিয়োগ। কারণ একটি ভালো-চালিত নিরাপত্তা কর্মসূচি সফল হলে কোনো দৃশ্যমান ঘটনা তৈরি করে না, একটি আঁটসাঁট বাজেট দফায় দৃশ্যমান আউটপুটসহ কিছুর পক্ষে এটি কাটা সহজ, এবং এখন পর্যন্ত লঙ্ঘনের অনুপস্থিতি পর্যাপ্ত সুরক্ষার প্রমাণ হিসেবে ভুল বোঝা হয়, এটি এখনও পরীক্ষিত হয়নি তার প্রমাণ হিসেবে নয়। এটি একই বাজেট-যুক্তির প্রতিফলন যা আরও বিস্তৃতভাবে স্থিতিস্থাপকতা বিনিয়োগ ক্ষুণ্ণ করে (দেখুন বিষয় 3.12 — সংকট, জরুরি অবস্থা ও স্থিতিস্থাপকতা ব্যবস্থাপনা)।

সমর্থনযোগ্য জীবন ছাড়িয়ে চালু রাখা উত্তরাধিকার ব্যবস্থা। সরকারি সংস্থা প্রায়ই একটি বিক্রেতা এর জন্য নিরাপত্তা প্যাচ জারি বন্ধ করার অনেক পরেও সফটওয়্যার বা হার্ডওয়্যার চালায়, কারণ প্রতিস্থাপন ব্যয়বহুল, বিঘ্নকর বা রাজনৈতিকভাবে অজনপ্রিয়, এবং ব্যবস্থাটি "এখনও কাজ করে"। একটি অ-প্যাচড, অসমর্থিত ব্যবস্থা একটি উত্তরাধিকার অসুবিধা নয়; এটি একটি খোলা দরজা যার মধ্য দিয়ে হাঁটতে একজন আক্রমণকারীর কিছুই খরচ হয় না।

দোষ-প্রথম ঘটনা সংস্কৃতি। যখন একটি সন্দেহজনক লঙ্ঘন বা ভুল প্রতিবেদনকারী কর্মীরা সমর্থিত হওয়ার বদলে শাস্তি পান, ভবিষ্যৎ ঘটনা দেরিতে প্রতিবেদিত হয়, ছোট করে দেখানো হয়, বা আদৌ প্রতিবেদিত হয় না, এবং প্রতিষ্ঠান সময়োচিত প্রতিবেদন যে আগাম-সতর্কতা সংকেত দেয় তা হারায়। এই ব্যর্থতার ধরন এই তালিকার প্রতিটি অন্যটিকে বাড়ায়, কারণ উপরের সংশোধনের কোনোটিই কাজ করে না যদি প্রতিষ্ঠান নিজস্ব সমস্যা সততার সঙ্গে দেখতে না পারে।

পরিপক্বতা মডেল

চেকলিস্ট

• শাসন-সংস্থা স্তরে একজন নামকরা ব্যক্তি বা কমিটি সাইবার ঝুঁকির মালিক এবং সরল ভাষায় নিয়মিত তা প্রতিবেদন করে।
• প্রতিষ্ঠান কোন উপাত্ত ও ব্যবস্থা ধারণ করে, এবং কোনগুলো একটি সেবার জন্য সবচেয়ে সংবেদনশীল বা সবচেয়ে সংকটপূর্ণ, তার একটি বর্তমান তালিকা আছে।
• সংবেদনশীল উপাত্ত ধারণকারী বা সংকটপূর্ণ সেবা নিয়ন্ত্রণকারী সব ব্যবস্থায় বহু-উপাদান প্রমাণীকরণ প্রয়োগ করা হয়।
• ব্যাকআপ নিয়মিত নেওয়া হয়, প্রধান নেটওয়ার্ক থেকে বিচ্ছিন্নভাবে সংরক্ষিত, এবং পুনরুদ্ধার গত বারো মাসের মধ্যে পরীক্ষিত।
• সফটওয়্যার ও ব্যবস্থা একটি সংজ্ঞায়িত সময়সূচিতে প্যাচ করা হয়, এবং যেকোনো ব্যবস্থা যা আর প্যাচ করা যায় না তার প্রতিস্থাপন বা বিচ্ছিন্ন করার একটি নথিবদ্ধ পরিকল্পনা আছে।
• একটি লিখিত ঘটনা সাড়া পরিকল্পনা আছে, মূল সিদ্ধান্ত নেওয়ার কর্তৃত্ব কার তা নাম দেয়, এবং গত বছরে একটি বাস্তবসম্মত অনুশীলনের মাধ্যমে মহড়া দেওয়া হয়েছে।
• মুক্তিপণ পরিশোধ এবং প্রভাবিত মানুষ, নিয়ন্ত্রক ও জনগণকে কীভাবে ও কখন অবহিত করা হবে সে সম্পর্কে একটি পর্ষদ-অনুমোদিত নীতি আছে।
• সফটওয়্যার বিক্রেতা ও পরিচালিত-সেবা প্রদানকারীর সঙ্গে চুক্তিতে নিরাপত্তা নিশ্চয়তা ও ঘটনা-বিজ্ঞপ্তি বাধ্যবাধকতা অন্তর্ভুক্ত।
• কর্মীরা সিমুলেটেড ফিশিং অনুশীলনসহ নিয়মিত, বাস্তবসম্মত নিরাপত্তা প্রশিক্ষণ পান।
• একটি সন্দেহজনক ঘটনা বা প্রায়-ঘটনা প্রতিবেদন করা দোষের কারণ নয়, মূল্যবান তথ্য হিসেবে দেখা হয়।
• অনুরূপ আকার ও বাজেটের সহকর্মী প্রতিষ্ঠানের সঙ্গে ভাগাভাগি করা বা পুল করা নিরাপত্তা ব্যবস্থা অন্বেষণ করা হয়েছে।
• সাইবার ঝুঁকি প্রতিষ্ঠানের বিস্তৃততর সংকট ও স্থিতিস্থাপকতা পরিকল্পনায় স্পষ্টভাবে অন্তর্ভুক্ত, একটি পৃথক, বিচ্ছিন্ন পরিকল্পনা হিসেবে নয়।

মূল উৎস

এই বিষয় সাইবার নিরাপত্তা চর্চা সংগঠিত করার নেতৃস্থানীয় কাঠামোবদ্ধ কাঠামো হিসেবে National Institute of Standards and Technology-এর Cybersecurity Framework; ইউরোপীয় ইউনিয়ন জুড়ে সাইবার নিরাপত্তার একটি সাধারণ স্তর অর্জনে European Union Agency for Cybersecurity-এর প্রকাশিত লক্ষ্য ও নির্দেশনা; Organisation for Economic Co-operation and Development-এর ডিজিটাল নিরাপত্তা নীতি কাজ, যা ডিজিটাল নিরাপত্তাকে বিশুদ্ধভাবে কারিগরি নয়, একটি অর্থনৈতিক ও সামাজিক ঝুঁকি-ব্যবস্থাপনা বিষয় হিসেবে কাঠামো দেয়; এবং যুক্তরাজ্যের National Cyber Security Center ও যুক্তরাষ্ট্রের Cybersecurity and Infrastructure Security Agency-র মতো জাতীয় সাইবার নিরাপত্তা সংস্থা দ্বারা প্রকাশিত পরিচালনাগত নির্দেশনার ওপর আঁকে, যার উভয়ই বিশেষভাবে কম-সম্পদযুক্ত সরকারি সংস্থার লক্ষ্যে বিনামূল্যের নির্দেশনা দেয়।

তথ্যসূত্র

1. Computer security — Wikipedia — https://en.wikipedia.org/wiki/Computer_security
2. Critical infrastructure — Wikipedia — https://en.wikipedia.org/wiki/Critical_infrastructure
3. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
4. Phishing — Wikipedia — https://en.wikipedia.org/wiki/Phishing
5. Data breach — Wikipedia — https://en.wikipedia.org/wiki/Data_breach
6. Supply chain attack — Wikipedia — https://en.wikipedia.org/wiki/Supply_chain_attack
7. Zero trust architecture — Wikipedia — https://en.wikipedia.org/wiki/Zero_trust_architecture
8. Computer security incident management — Wikipedia — https://en.wikipedia.org/wiki/Computer_security_incident_management
9. National Cyber Security Center (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Cybersecurity and Infrastructure Security Agency — Wikipedia — https://en.wikipedia.org/wiki/Cybersecurity_and_Infrastructure_Security_Agency
11. Cybersecurity Framework — National Institute of Standards and Technology — https://www.nist.gov/cyberframework
12. Who we are — European Union Agency for Cybersecurity (ENISA) — https://www.enisa.europa.eu/about-enisa/who-we-are
13. Digital security — Organisation for Economic Co-operation and Development (OECD) — https://www.oecd.org/en/topics/digital-security.html
14. What we do at the NCSC — National Cyber Security Center (United Kingdom) — https://www.ncsc.gov.uk/section/about-ncsc/what-we-do
15. About CISA — Cybersecurity and Infrastructure Security Agency (United States) — https://www.cisa.gov/about