साइबर सुरक्षा और लोक क्षेत्र प्रौद्योगिकी जोखिम

लोक मूल्य में इसका महत्व क्यों है

जब किसी अस्पताल की प्रणालियों को किसी हमलावर द्वारा एन्क्रिप्ट कर दिया जाता है, तो चिकित्सक दवा इतिहास नहीं देख पाते, एम्बुलेंस को मोड़ दिया जाता है, और ऑपरेशन रद्द कर दिए जाते हैं। जब किसी जल उपयोगिता की नियंत्रण प्रणालियाँ भंग की जाती हैं, तो जो लोक मूल्य दांव पर होता है वह कोई सर्वर आउटेज नहीं बल्कि पीने के पानी की सुरक्षा है। जब किसी लाभ एजेंसी के डेटाबेस में सेंध लगाई जाती है, तो सबसे अधिक उजागर लोग अक्सर वे होते हैं जो परिणामों को सहन करने में सबसे कम सक्षम होते हैं: एक विलंबित भुगतान, एक चुराई गई पहचान, एक परिवार जो उस राज्य को यह साबित नहीं कर सकता कि वह कौन है जो उसे सहायता का ऋणी है। कंप्यूटर सुरक्षा, जिसे आमतौर पर साइबर सुरक्षा कहा जाता है, कंप्यूटर प्रणालियों, नेटवर्कों, और डेटा को अनधिकृत पहुँच, व्यवधान, या क्षति से बचाने का अभ्यास है। लोक संस्थाओं में, यह अभ्यास राज्य और उस नागरिक के बीच के मार्ग पर सीधे बैठता है जिसकी वह सेवा करता है।

यही कारण है कि यह विषय साइबर जोखिम को केवल एक तकनीकी प्रश्न के रूप में नहीं बल्कि एक लोक मूल्य प्रश्न के रूप में फ़्रेम करता है। वैधता और समर्थन इस बात पर निर्भर करते हैं कि नागरिक यह विश्वास करें कि जो संस्थाएँ उनका डेटा रखती हैं और उनकी आवश्यक सेवाएँ चलाती हैं उन दोनों को सुरक्षित रखने पर भरोसा किया जा सकता है (देखें विषय 1.2 — रणनीतिक त्रिभुज: वैधता, मूल्य और क्षमता)। एक ही अच्छी तरह प्रचारित उल्लंघन इस विश्वास को उसी तरह स्थायी नुक़सान पहुँचा सकता है जैसे कोई कुप्रबंधित आपातकाल पहुँचाता है, क्योंकि नागरिक संस्थाओं को उतना ही इस आधार पर आँकते हैं कि वे हमले के तहत कैसे व्यवहार करती हैं जितना इस आधार पर कि वे रोज़मर्रा कैसा प्रदर्शन करती हैं (देखें विषय 3.12 — संकट, आपातकाल, और लचीलापन प्रबंधन, जो साइबर घटनाओं को लचीलेपन के व्यापक अनुशासन के भीतर एक श्रेणी मानता है)। साइबर सुरक्षा डेटा शासन से भी अविभाज्य है: कोई संस्था उसकी रक्षा नहीं कर सकती जो उसे नहीं पता कि वह रखती है, और वह अंतरसंचालनीयता और खुलापन जो डेटा से लोक मूल्य बनाते हैं वे भी उस सतह को व्यापक करते हैं जिसका कोई हमलावर शोषण कर सकता है (देखें विषय 5.4 — लोक क्षेत्र डेटा, अंतरसंचालनीयता और खुला डेटा)।

संसाधन समस्या तीव्र और लोक तथा सामाजिक क्षेत्रों के लिए विशिष्ट है। बड़ी राष्ट्रीय एजेंसियों के पास तेज़ी से समर्पित सुरक्षा टीमें और उद्यम बजट होते हैं; किसी छोटे क़स्बे की सेवा करने वाला जल बोर्ड, क्षेत्रीय अस्पताल ट्रस्ट, और घरेलू-हिंसा आश्रय चलाने वाला स्थानीय गैर-लाभकारी संगठन आमतौर पर ऐसा नहीं रखते, भले ही वे ऐसा डेटा रखते हों जिसकी संवेदनशीलता किसी भी बैंक के बराबर या उससे अधिक हो। हमलावर यह जानते हैं। कम-संसाधित लोक निकाय इस विषय में कोई किनारे का मामला नहीं हैं; वे इसके केंद्र के निकट हैं, क्योंकि आज इस जोखिम का सामना करने वाली माध्यिका लोक संस्था कोई राष्ट्रीय मंत्रालय नहीं बल्कि कोई छोटा स्थानीय प्राधिकरण, कोई क्षेत्रीय उपयोगिता, या मुट्ठी भर सूचना-प्रौद्योगिकी स्टाफ़ और कोई सुरक्षा विशेषज्ञ न रखने वाली कोई चैरिटी है।

अंततः, यह एक जीवंत और बिगड़ती हुई समस्या है, कोई काल्पनिक समस्या नहीं। रैनसमवेयर अभियान तेज़ी से स्थानीय सरकारों, अस्पतालों, स्कूलों, और सामाजिक-क्षेत्र संगठनों को ठीक इसलिए लक्षित करते हैं क्योंकि वे संवेदनशील डेटा, आवश्यक सेवाएँ, डाउनटाइम के लिए कम सहनशीलता, और तुलनात्मक रूप से कमज़ोर रक्षा को जोड़ते हैं — ऐसा संयोजन जो उन्हें भुगतान करने की अधिक संभावना और पहले स्थान पर हमले को रोकने की कम संभावना वाला बनाता है। इस श्रेणी के संगठन के लिए साइबर सुरक्षा को एक विशेषज्ञ जोड़ के रूप में मानना, न कि एक शासन-स्तरीय लोक मूल्य प्रतिबद्धता के रूप में, लगभग एक निमंत्रण के समान है।

मूल अवधारणाएँ

महत्वपूर्ण अवसंरचना उन प्रणालियों और संपत्तियों का समूह है — ऊर्जा, जल, परिवहन, स्वास्थ्य सेवा, वित्त, संचार — जो इतनी आवश्यक हैं कि उनकी अक्षमता या विनाश का सुरक्षा, अर्थव्यवस्था, या लोक विश्वास पर एक दुर्बल करने वाला प्रभाव होगा। महत्वपूर्ण अवसंरचना सुरक्षा वह अनुशासन है जो इन प्रणालियों को भौतिक और डिजिटल दोनों ख़तरों से सुरक्षित करता है; यह यहाँ मायने रखता है क्योंकि लोक-क्षेत्र की सबसे परिणामी साइबर घटनाओं में से कई अमूर्त डेटा पर हमले नहीं बल्कि उस परिचालन प्रौद्योगिकी पर हमले हैं जो भौतिक अवसंरचना को चलाती रहती है, जो उस सूचना प्रौद्योगिकी से अलग है जो रिकॉर्ड रखती है और लेन-देन संसाधित करती है।

एक ख़तरा-पक्षकार कोई भी व्यक्ति, समूह, या राज्य है जो किसी प्रणाली से समझौता करने का प्रयास कर सकता है; लोक क्षेत्र में ये आर्थिक रूप से प्रेरित आपराधिक समूहों से लेकर जासूसी या व्यवधान का पीछा करने वाले राज्य-प्रायोजित पक्षकारों तक फैले हैं, और वही संस्था एक साथ दोनों का सामना बहुत अलग उद्देश्यों के साथ कर सकती है। रैनसमवेयर दुर्भावनापूर्ण सॉफ़्टवेयर है जो किसी संगठन के डेटा या प्रणालियों को एन्क्रिप्ट करता है और उन्हें छोड़ने के लिए भुगतान की माँग करता है; यह लोक निकायों के लिए प्रमुख ख़तरा बन गया है ठीक इसलिए क्योंकि आवश्यक सेवाएँ लंबे समय तक डाउनटाइम सहन नहीं कर सकतीं, जो भुगतान करने का दबाव बढ़ाता है। फ़िशिंग सामाजिक अभियांत्रिकी का एक रूप है जिसमें हमलावर स्टाफ़ को धोखा देकर क्रेडेंशियल उजागर करने या मैलवेयर स्थापित करने के लिए राज़ी करते हैं, आमतौर पर भ्रामक ईमेल के माध्यम से, और यह किसी हमलावर के पहली बार पैर जमाने का सबसे सामान्य तरीक़ा बना हुआ है, क्योंकि यह प्रौद्योगिकी के बजाय लोगों को लक्षित करता है।

एक डेटा उल्लंघन जानकारी की अनधिकृत पहुँच, प्रकटीकरण, या हानि है, चाहे किसी बाहरी हमले के माध्यम से, किसी अंदरूनी व्यक्ति के माध्यम से, या साधारण मानवीय त्रुटि के माध्यम से जैसे इंटरनेट के लिए खुला छोड़ा गया कोई ग़लत-विन्यस्त डेटाबेस। एक आपूर्ति शृंखला हमला किसी संगठन से अप्रत्यक्ष रूप से समझौता करता है, किसी कम सुरक्षित आपूर्तिकर्ता, सॉफ़्टवेयर विक्रेता, या प्रबंधित-सेवा प्रदाता को लक्षित करके जिस पर लक्षित संगठन भरोसा करता है; ये लोक क्षेत्र के लिए विशेष रूप से ख़तरनाक हैं क्योंकि इतने सारे लोक निकाय उन्हीं मुट्ठी भर सॉफ़्टवेयर विक्रेताओं को साझा करते हैं, जिसका अर्थ है कि एक विक्रेता का समझौता एक साथ सैकड़ों संस्थाओं में झरने की तरह फैल सकता है।

साइबर स्वच्छता नियमित अभ्यासों का वह समूह है — सॉफ़्टवेयर को तुरंत पैच करना, मज़बूत प्रमाणीकरण लागू करना, यह सीमित करना कि किसे किस तक पहुँच है, डेटा का बैकअप लेना और उन बैकअप की पुनर्स्थापना का परीक्षण करना — जो बिना किसी विदेशी उपकरण की आवश्यकता के अधिकांश सफल हमलों को रोकते हैं। अधिकांश उल्लंघन नई तकनीकों के बजाय ज्ञात, बिना-पैच कमज़ोरियों या कमज़ोर क्रेडेंशियल का शोषण करते हैं, इसलिए किसी संगठन की वास्तविक साइबर स्वच्छता और उसकी घोषित नीति के बीच का अंतर आमतौर पर उसके जोखिम रजिस्टर में नामित ख़तरों की परिष्कृतता से बेहतर भविष्यवक्ता है।

ज़ीरो ट्रस्ट आर्किटेक्चर एक सुरक्षा डिज़ाइन सिद्धांत है जो मानता है कि किसी भी उपयोगकर्ता या उपकरण पर डिफ़ॉल्ट रूप से भरोसा नहीं किया जाना चाहिए, यहाँ तक कि किसी संगठन के अपने नेटवर्क के भीतर भी नहीं, और पहुँच के लिए हर अनुरोध को सत्यापित किया जाना चाहिए चाहे वह कहीं से भी उत्पन्न हो। यह लोक-क्षेत्र मार्गदर्शन में प्रभावशाली बन गया है क्योंकि यह इस बात से बेहतर मेल खाता है कि आधुनिक सरकारी काम वास्तव में कैसे होता है — स्टाफ़, ठेकेदार, और नागरिक कई उपकरणों और स्थानों से सेवाओं तक पहुँचते हैं — बनिस्बत उस पुराने मॉडल के जो परिधि के भीतर पहले से मौजूद किसी भी चीज़ पर भरोसा करता था।

कंप्यूटर सुरक्षा घटना प्रबंधन, जिसे आमतौर पर घटना प्रतिक्रिया कहा जाता है, किसी सुरक्षा घटना का पता लगाने, उसे नियंत्रित करने, उसे समाप्त करने, और उससे उबरने की संगठित प्रक्रिया है, इसके बाद यह समीक्षा होती है कि इसे होने देने वाला क्या था। एक प्रकटीकरण बाध्यता एक क़ानूनी या नियामक कर्तव्य है कि जब व्यक्तिगत डेटा या महत्वपूर्ण सेवाओं से समझौता किया गया हो तो प्रभावित व्यक्तियों, नियामकों, या जनता को एक निर्दिष्ट समय के भीतर और एक निर्दिष्ट मानक तक सूचित किया जाए, इस तर्क पर कि नागरिकों और निगरानी निकायों को यह जानने का अधिकार है कि उनका डेटा या उनकी आवश्यक सेवाएँ कब जोखिम में डाली गई थीं, और यह कि समय पर प्रकटीकरण लोगों को स्वयं की रक्षा करने देता है।

श्रेष्ठ व्यवहार

1. साइबर सुरक्षा को एक शासी-निकाय ज़िम्मेदारी मानें, न कि एक प्रत्यायोजित तकनीकी कार्य। बोर्ड, परिषदें, और कार्यकारी टीमों को साइबर जोखिम पर नियमित, सरल-भाषा में जानकारी मिलनी चाहिए और इसके लिए बजट सीधे स्वीकृत करना चाहिए, इसे किसी व्यापक सूचना-प्रौद्योगिकी मद के भीतर बातचीत के लिए छोड़ने के बजाय जहाँ यह काटने के लिए सबसे आसान चीज़ हो।
2. यह तय करने से पहले कि उसकी रक्षा कैसे की जाए, यह सूची बनाएँ कि आप क्या रखते हैं और उस पर क्या निर्भर करता है। कोई संगठन ऐसे डेटा या प्रणालियों की सुरक्षा नहीं कर सकता जिसका उसने मानचित्रण नहीं किया; कहीं और कवर किए गए अंतरसंचालनीयता और डेटा-शासन कार्य के विरुद्ध क्रॉस-रेफ़रेंस किया गया एक वर्तमान संपत्ति और डेटा सूची (देखें विषय 5.4 — लोक क्षेत्र डेटा, अंतरसंचालनीयता और खुला डेटा) इस सूची के हर अन्य अभ्यास के लिए पूर्व-शर्त है।
3. किसी भी उन्नत चीज़ पर ख़र्च करने से पहले हर जगह मूल बातें लागू करें। पैच प्रबंधन, बहु-कारक प्रमाणीकरण, परखे गए बैकअप, और न्यूनतम-विशेषाधिकार पहुँच नियंत्रण वास्तविक-दुनिया के हमलों के भारी बहुमत को रोकते हैं; इनके बिना कोई लोक निकाय ख़तरा-ख़ुफ़िया सदस्यताओं या विशेष निगरानी उपकरणों को प्राथमिकता नहीं देना चाहिए।
4. कोई विशेष ढाँचा गढ़ने के बजाय किसी मान्यता-प्राप्त ढाँचे को अपनाएँ। राष्ट्रीय मानक और प्रौद्योगिकी संस्थान के साइबर सुरक्षा ढाँचे जैसे ढाँचे एक साझा शब्दावली और एक संरचना देते हैं — पहचानें, सुरक्षा करें, पता लगाएँ, प्रतिक्रिया दें, पुनर्प्राप्त करें — जिसे कोई छोटा संगठन सरलीकृत रूप में और कोई बड़ा संगठन पूर्ण रूप में अपना सकता है, बिना मूल वर्गीकरण को फिर से आविष्कृत किए।
5. हर एक अलग-अलग ख़रीदने के बजाय छोटे संगठनों में संसाधन जमा करें। एक साझा सुरक्षा संचालन सेवा, एक क्षेत्रीय साइबर-घटना प्रतिक्रिया पूल, या एक क्षेत्र-व्यापी ख़रीद ढाँचा छोटे स्थानीय प्राधिकरणों या गैर-लाभकारी संगठनों के एक समूह को ऐसी सुरक्षा दे सकता है जिसे कोई भी व्यक्तिगत रूप से वहन नहीं कर सकता — इस विषय के केंद्र में स्थित कम-संसाधन समस्या का सबसे प्रत्यक्ष उत्तर।
6. घटना प्रतिक्रिया योजना घटना से पहले लिखें, और उसका अभ्यास करें। एक ऐसी योजना जो पहली बार किसी जीवंत हमले के दौरान तैयार की जाती है, दहशत में, ऐसे लोगों द्वारा जिन्होंने कभी नहीं परखा कि यह वास्तव में काम करती है या नहीं, बुरी तरह तैयार की गई योजना है; कम से कम वार्षिक रूप से अभ्यासित योजना अराजक पहले घंटे को ज्ञात कदमों के अभ्यासित क्रम में बदल देती है (जिस व्यापक अनुशासन पर यह आधारित है उसके लिए देखें विषय 3.12 — संकट, आपातकाल, और लचीलापन प्रबंधन)।
7. प्रकटीकरण और भुगतान नीति पहले से तय करें, घटना के दौरान नहीं। क्या संगठन फिरौती चुकाने पर विचार करेगा, वह निर्णय लेने का अधिकार किसके पास है, और प्रभावित लोगों को कैसे और कब बताया जाएगा — यह बोर्ड-स्वीकृत नीति होनी चाहिए, न कि किसी जीवंत उगाही माँग के दबाव में लिया गया तात्कालिक निर्णय।
8. नेटवर्कों को विभाजित करें ताकि एक समझौता हर समझौता न बन जाए। भौतिक अवसंरचना को नियंत्रित करने वाली परिचालन प्रौद्योगिकी को सामान्य कार्यालय सूचना-प्रौद्योगिकी से अलग रखना, और उच्च-संवेदनशीलता प्रणालियों को निम्न-संवेदनशीलता प्रणालियों से अलग रखना, यह सीमित करता है कि कोई घुसपैठिया जो एक कमज़ोर बिंदु से अंदर आता है वह कितनी दूर तक यात्रा कर सकता है।
9. तीसरे-पक्ष और आपूर्ति शृंखला जोखिम को आंतरिक जोखिम जितनी ही कठोरता से प्रबंधित करें। सॉफ़्टवेयर विक्रेताओं और प्रबंधित-सेवा प्रदाताओं के साथ अनुबंधों में सुरक्षा आश्वासन, लेखा-परीक्षा-अधिकार खंड, और घटना-सूचना बाध्यताओं की माँग करें, क्योंकि बड़ी लोक-क्षेत्र घटनाओं का बढ़ता हिस्सा किसी प्रत्यक्ष हमले के बजाय किसी विश्वसनीय आपूर्तिकर्ता से उत्पन्न होता है।
10. केवल उपकरणों में नहीं, लोगों में निवेश करें। नियमित, यथार्थवादी प्रशिक्षण — जिसमें नक़ली फ़िशिंग अभ्यास शामिल हैं — मापने-योग्य रूप से सफल सामाजिक-अभियांत्रिकी हमलों को कम करता है, और किसी छोटे संगठन में एक या दो कुशल सुरक्षा स्टाफ़ को बनाए रखना आमतौर पर अतिरिक्त सॉफ़्टवेयर लाइसेंस पर समकक्ष ख़र्च से अधिक मूल्यवान होता है।
11. घटनाओं की ईमानदारी से रिपोर्ट करें और निकट-चूक को मुफ़्त सबक के रूप में उपयोग करें। एक ऐसी संस्कृति जो संदिग्ध उल्लंघन की रिपोर्ट करने के लिए स्टाफ़ को दंडित करती है वह गारंटी देती है कि अगले की रिपोर्ट देर से होगी या बिल्कुल नहीं होगी; जो संगठन सबसे तेज़ी से सुधरते हैं वे वे हैं जो हर निकट-चूक को दोष सौंपने के कारण के बजाय सीखने के प्रमाण के रूप में मानते हैं।
12. साइबर लचीलेपन को ख़रीद और अनुदान शर्तों में बनाएँ, केवल आंतरिक नीति में नहीं। वित्तपोषक और नियुक्तिकर्ता निकाय उन संगठनों से सुरक्षा अभ्यास का एक आधार-स्तर की माँग कर सकते हैं जिन्हें वे वित्तपोषित करते हैं या अनुबंधित करते हैं, अच्छे अभ्यास की पहुँच को छोटे डिलीवरी साझेदारों तक विस्तारित करते हुए जिनके पास अन्यथा इसमें निवेश करने के लिए कोई बाहरी दबाव नहीं होगा (देखें विषय 3.7 — लोक ख़रीद और अधिदेशन)।

अपनी टीम के साथ चर्चा करने योग्य प्रश्न

क्या हमें पता है कि हम वास्तव में कौन-सा डेटा और कौन-सी प्रणालियाँ रखते हैं, और उनमें से किसके समझौता होने पर किसी को नुक़सान होगा? कई संगठन अपने डेटा होल्डिंग की वास्तविक सीमा केवल किसी उल्लंघन जाँच के दौरान ही खोजते हैं, जो इसे सीखने का सबसे बुरा संभव समय है। अपनी प्रमुख सेवाओं के माध्यम से चलें और हर एक के लिए पूछें कि वह कौन-सा व्यक्तिगत या परिचालनात्मक रूप से संवेदनशील डेटा छूती है और यदि वह डेटा चुराया जाए, बदला जाए, या अनुपलब्ध बनाया जाए तो किसी वास्तविक व्यक्ति का क्या होगा। यदि ईमानदार उत्तर 'हमें यक़ीन नहीं है' है, तो वह अनिश्चितता स्वयं ही निष्कर्ष है, और उसे बंद करना आपके एजेंडे की पहली मद है। यह प्रश्न उन संगठनों के लिए सबसे अधिक मायने रखता है जो अधिग्रहण, विलय, या संचित विरासत प्रणालियों के माध्यम से बढ़े हैं, जहाँ यह संस्थागत स्मृति कि क्या मौजूद है पतली हो चुकी है।

यदि हम कल रैनसमवेयर से टकराएँ, तो क्या हम बिना भुगतान किए बैकअप से पुनर्स्थापना कर सकते हैं? बैकअप का मूल्य यह नहीं है कि वह मौजूद है बल्कि यह है कि उसे वास्तव में पुनर्स्थापित करने के लिए पर्याप्त तेज़ी से, पर्याप्त हाल के संस्करण से परखा गया है। पूछें कि बैकअप को आख़िरी बार एक वास्तविक पुनर्स्थापना अभ्यास से कब परखा गया था, न कि केवल एक पूर्णता लॉग से, और एक पूर्ण पुनर्स्थापना में कितना समय लगेगा बनिस्बत इसके कि आपका संगठन कितनी देर तक आउटेज सहन कर सकता है। यदि वे संख्याएँ मेल नहीं खातीं, तो आपको अभी एक संसाधन निर्णय लेना है, किसी घटना के दौरान नहीं। यह चर्चा करने का भी क्षण है कि क्या बैकअप स्वयं उस नेटवर्क से अलग हैं जिस तक कोई हमलावर जो आपकी मुख्य प्रणालियों तक पहुँचता है वह भी पहुँच सकता है।

यह तय करने का अधिकार किसके पास है कि हम फिरौती चुकाएँगे या नहीं, और क्या हमने इसे पूछे जाने से पहले कभी चर्चा की है? यह किसी कार्यकारी टीम के सामने आने वाले सबसे उच्च-दांव वाले निर्णयों में से एक है, जो अक्सर घंटों के भीतर आवश्यक होता है और हमलावर के पास वास्तव में क्या है इसकी अधूरी जानकारी के साथ। प्रक्रिया, अधिकृत व्यक्तियों, और सिद्धांतों को पहले से तय करना — भले ही अंतिम निर्णय अभी भी घटना के विशिष्ट विवरणों पर निर्भर हो — उगाही के दबाव में लिए गए तात्कालिक निर्णय को रोकता है। चर्चा करें कि आपके क्षेत्राधिकार का कानून और आपके वित्तपोषकों की शर्तें फिरौती भुगतान के बारे में क्या कहती हैं, और आपको किसे सूचित करने की आवश्यकता होगी।

क्या हमारे सबसे छोटे साझेदार और आपूर्तिकर्ता हमारे लिए हमसे भी बड़ा जोखिम हैं? एक अच्छी तरह सुरक्षित केंद्रीय संगठन फिर भी किसी ख़राब तरीक़े से सुरक्षित आपूर्तिकर्ता, ठेकेदार, या डिलीवरी साझेदार के माध्यम से समझौता हो सकता है जिसकी उसकी प्रणालियों या डेटा तक वैध पहुँच है। उन तीसरे पक्षों का मानचित्रण करें जो आपकी प्रणालियों तक पहुँच सकते हैं या आपका डेटा रखते हैं, और ईमानदार रहें कि उनकी सुरक्षा प्रथाओं पर आपके पास वास्तव में कितना आश्वासन है बनिस्बत इसके कि आप कितना मान लेते हैं। तय करें कि आगे चलकर आप उनसे कौन-सा न्यूनतम मानक माँगेंगे, और आप इसे कैसे सत्यापित करेंगे बनिस्बत केवल एक लिखित आश्वासन माँगने के।

क्या हमें पता चलेगा कि हमारे साथ उल्लंघन हुआ है, और कितनी जल्दी? कुछ सबसे नुक़सानदेह घटनाएँ वे नहीं हैं जो तेज़ी से होती हैं बल्कि वे हैं जो महीनों तक अनदेखी रहती हैं, जिस दौरान कोई हमलावर चुपचाप अन्वेषण करता है, विशेषाधिकार बढ़ाता है, और डेटा बाहर निकालता है। चर्चा करें कि आप आज असामान्य गतिविधि का पता वास्तव में कैसे लगाएँगे, इसकी निगरानी कौन कर रहा है, और क्या वह निगरानी कार्यालय समय के बाहर चलती है, क्योंकि कई हमले जानबूझकर रात में या किसी छुट्टी के सप्ताहांत में शुरू किए जाते हैं जब प्रतिक्रिया सबसे धीमी होती है। यदि पहचान पूरी तरह किसी नागरिक या साझेदार संगठन के आपको यह बताने पर निर्भर करती है कि कुछ ग़लत है, तो वह एक महत्वपूर्ण अंतराल है।

क्या हमारा बोर्ड या शासी निकाय इस जोखिम को शासित करने के लिए पर्याप्त रूप से समझता है, या क्या हमने चुपचाप उस निर्णय को सूचना-प्रौद्योगिकी टीम को आउटसोर्स कर दिया है? साइबर जोखिम निर्णयों में लागत, सेवा निरंतरता, और नागरिक सुरक्षा के बीच वास्तविक व्यापार-बंद शामिल हैं जो उचित रूप से शासी निकाय का व्यवसाय हैं, न कि कोई प्रत्यायोजित तकनीकी मामला जिसे बस सिर हिलाकर पास कर दिया जाए। चर्चा करें कि साइबर जोखिम वर्तमान में आपके बोर्ड या परिषद को कैसे रिपोर्ट किया जाता है, क्या यह ऐसी भाषा में है जिस पर कोई ग़ैर-विशेषज्ञ वास्तव में कार्रवाई कर सके, और क्या इसका बजट किसी अन्य प्रमुख जोखिम जितनी ही कठोरता से तय किया जाता है। यदि आपका शासी निकाय वर्तमान में अपने संगठन के शीर्ष तीन साइबर जोखिमों को अपने ही शब्दों में नहीं समझा सकता, तो वह पहले बंद करने वाला अंतराल है।

व्यवहार में: एक लोक मूल्य उदाहरण

एक मध्यम-आकार का क्षेत्रीय पारगमन प्राधिकरण — काल्पनिक, किसी वास्तविक संगठन की रिपोर्ट के बजाय एक पैटर्न का उदाहरण — बूढ़ी शेड्यूलिंग और भुगतान प्रणालियाँ चलाता था जिन्हें आधुनिकीकृत करने के बजाय एक दशक से टुकड़ों में पैच किया गया था। इसकी सूचना-प्रौद्योगिकी टीम तीन लोगों की थी, जो हेल्प-डेस्क टिकटों से लेकर नेटवर्क सुरक्षा तक हर चीज़ के लिए ज़िम्मेदार थी, और साइबर सुरक्षा की बजट में कभी अपनी लाइन नहीं रही थी; यह एक सामान्य 'प्रणाली रखरखाव' आवंटन के भीतर रहती थी जो वर्षों से वास्तविक रूप में नहीं बढ़ा था।

एक हमलावर ने एक वित्त अधिकारी को भेजे गए फ़िशिंग ईमेल के माध्यम से पहुँच प्राप्त की, जो एक ऐसे आपूर्तिकर्ता से नक़ली चालान का उपयोग कर रहा था जिसे प्राधिकरण वास्तव में उपयोग करता था। एक बार अंदर, हमलावर ने रैनसमवेयर तैनात करने से पहले छह सप्ताह चुपचाप नेटवर्क में घूमते हुए बिताए जिसने शेड्यूलिंग प्रणाली, किराया भुगतान प्लेटफ़ॉर्म, और प्राधिकरण के बैकअप को एन्क्रिप्ट कर दिया, जो मुख्य नेटवर्क से कभी अलग नहीं किए गए थे। बसें पहले दिन ड्राइवरों की अपने मार्गों की याददाश्त पर चलती रहीं, लेकिन किराया इलेक्ट्रॉनिक रूप से एकत्र नहीं किया जा सका, वास्तविक-समय की जानकारी वाली स्क्रीनें बंद हो गईं, और प्राधिकरण की वित्त प्रणालियाँ वेतन-प्रबंधन के लिए अनुपयोगी हो गईं।

कार्यकारी टीम ने बिना किसी पूर्व-सहमत नीति के फिरौती निर्णय का सामना किया: किसी ने भी पहले से तय नहीं किया था कि भुगतान को स्वीकृत करने का अधिकार किसके पास है, क़ानूनी स्थिति क्या थी, या वे सवारों को क्या बताएँगे। बैकअप से पुनर्स्थापना कोई विकल्प नहीं था, क्योंकि बैकअप बाक़ी सब कुछ के साथ एन्क्रिप्ट किए गए थे। नौ दिनों के व्यवधान, आंशिक सेवा पुनर्स्थापना, और एक ऐसे भुगतान के बाद जिसे प्राधिकरण के बोर्ड ने बाद में उस समय उपलब्ध सबसे-कम-बुरा विकल्प बताया, प्राधिकरण ने एक स्वतंत्र समीक्षा नियुक्त की।

समीक्षा के निष्कर्ष अनाकर्षक थे और इस विषय द्वारा वर्णित पैटर्न के साथ पूरी तरह सुसंगत थे: वित्त प्रणालियों पर कोई बहु-कारक प्रमाणीकरण नहीं, कार्यालय प्रणालियों और भुगतान अवसंरचना के बीच कोई नेटवर्क विभाजन नहीं, दो वर्ष से अधिक समय में कोई परखी गई बैकअप पुनर्स्थापना नहीं, और घटना से पहले साइबर जोखिम में बोर्ड-स्तरीय दृश्यता बिल्कुल नहीं। प्राधिकरण की प्रतिक्रिया समान रूप से अनाकर्षक थी — मूल बातें ठीक करने के लिए एक चरणबद्ध योजना, दो पड़ोसी पारगमन प्राधिकरणों के साथ एक साझा सुरक्षा-निगरानी व्यवस्था जो विशेषज्ञ कवरेज की लागत को विभाजित करती है जिसे उनमें से कोई भी अकेले वहन नहीं कर सकता था, और साइबर जोखिम पर एक स्थायी बोर्ड एजेंडा मद। इनमें से कोई भी किसी बड़े सूचना-प्रौद्योगिकी कार्यक्रम के मानकों से महँगा नहीं था; इन सबको वर्षों तक इसलिए छोड़ दिया गया था क्योंकि इस पर ज़ोर देना कभी स्पष्ट रूप से किसी का सौंपा गया काम नहीं रहा था।

चार क्षेत्रीय दृष्टिकोण

स्थानीय सरकार

स्थानीय प्राधिकरण एक असुविधाजनक चौराहे पर बैठते हैं: वे अत्यधिक संवेदनशील डेटा रखते हैं — सामाजिक देखभाल रिकॉर्ड, आवास और लाभ जानकारी, चुनावी रजिस्टर — और ऐसी सेवाएँ चलाते हैं जिनके बिना नागरिक आसानी से नहीं रह सकते, लेकिन उनके पास आमतौर पर सरकार के किसी भी स्तर का सबसे छोटा सुरक्षा बजट और सबसे कम विशेषज्ञ स्टाफ़ होता है। कोई बड़ा राष्ट्रीय मंत्रालय एक आंतरिक सुरक्षा संचालन केंद्र बना सकता है; कोई छोटी ज़िला परिषद आमतौर पर नहीं बना सकती, जो साझा सेवाओं, क्षेत्रीय पूलिंग, और राष्ट्रीय समर्थन कार्यक्रमों को एक वैकल्पिक अतिरिक्त के बजाय पर्याप्त सुरक्षा तक पहुँचने का व्यावहारिक मार्ग बनाता है। स्थानीय निर्वाचित अधिकारी भी अक्सर सरकार के किसी भी स्तर की तुलना में किसी तकनीकी जोखिम ब्रीफ़िंग से सवाल-जवाब करने के लिए सबसे कम सुसज्जित होते हैं, जो निर्वाचित सदस्यों को सरल-भाषा रिपोर्टिंग को इस स्तर पर एक विशिष्ट शासन चुनौती बनाता है।

राष्ट्रीय सरकार

राष्ट्रीय सरकारों के पास आमतौर पर समर्पित साइबर सुरक्षा एजेंसियाँ और राष्ट्रीय ढाँचे बनाने के संसाधन होते हैं — यूनाइटेड किंगडम के राष्ट्रीय साइबर सुरक्षा केंद्र (यूनाइटेड किंगडम) या संयुक्त राज्य की साइबर सुरक्षा और अवसंरचना सुरक्षा एजेंसी जैसी संस्थाएँ मानक तय करने, प्रतिक्रिया समन्वयित करने, और अपने क्षेत्राधिकार में कम-संसाधित लोक निकायों का समर्थन करने के लिए मौजूद हैं। विशिष्ट राष्ट्रीय-स्तरीय चुनौती मूल स्वच्छता के बारे में कम और राज्य-प्रायोजित तथा अत्यधिक सक्षम ख़तरा-पक्षकारों, क्षेत्रों और निजी संचालकों में महत्वपूर्ण राष्ट्रीय अवसंरचना की अंतर-निर्भरता, और आरोपण तथा प्रतिक्रिया के राजनयिक और क़ानूनी आयामों के बारे में अधिक है, जो शायद ही कभी स्थानीय या संगठनात्मक स्तर पर दिखाई देते हैं।

सामाजिक क्षेत्र और गैर-लाभकारी संगठन

गैर-लाभकारी संगठन और एनजीओ अक्सर किसी भी क्षेत्र के कुछ सबसे संवेदनशील डेटा रखते हैं — स्वास्थ्य रिकॉर्ड, हिंसा या उत्पीड़न के उत्तरजीवियों के रिकॉर्ड, शरणार्थी और शरण केसवर्क — जबकि इस पुस्तक में किसी भी संगठन प्रकार के सबसे पतले सुरक्षा बजट पर काम कर रहे होते हैं, क्योंकि वित्तपोषक शायद ही कभी सुरक्षा के लिए धन आरक्षित करते हैं और अनुदान शर्तें शायद ही कभी इसकी माँग करती हैं। कई सामाजिक-क्षेत्र संगठन स्वयंसेवकों और उच्च स्टाफ़ टर्नओवर पर भी निर्भर करते हैं, जो लगातार सुरक्षा प्रशिक्षण और पहुँच नियंत्रण को किसी स्थिर, पेशेवर रूप से स्टाफ़-युक्त संगठन की तुलना में बनाए रखना कठिन बनाता है; कोई सुरक्षा घटना किसी छोटी चैरिटी के लिए अस्तित्वगत हो सकती है जिस तरह यह शायद ही कभी किसी सरकारी विभाग के लिए होती है, क्योंकि प्रतिष्ठा को नुक़सान और दानदाता विश्वास की हानि संगठन को पूरी तरह समाप्त कर सकती है (देखें विषय 3.8 — सामाजिक क्षेत्र और गैर-लाभकारी प्रबंधन)।

बहुपक्षीय और अंतर्राष्ट्रीय

बहुपक्षीय और अंतर्राष्ट्रीय निकाय अलग-अलग प्रकटीकरण क़ानूनों, महत्वपूर्ण अवसंरचना की अलग-अलग परिभाषाओं, और राष्ट्रीय साइबर क्षमता के अलग-अलग स्तरों वाले क्षेत्राधिकारों में संचालित होते हैं, जो समन्वय को स्वयं एक विशिष्ट समस्या बनाता है: किसी अंतर्राष्ट्रीय निकाय की अपनी प्रणालियाँ अच्छी तरह सुरक्षित हो सकती हैं जबकि उसकी राष्ट्रीय सदस्य एजेंसियाँ भारी रूप से भिन्न होती हैं, और आर्थिक सहयोग और विकास संगठन या यूरोपीय संघ साइबर सुरक्षा एजेंसी जैसी कोई संस्था किसी परिचालनात्मक भूमिका जितनी ही एक मानक-निर्धारण और क्षमता-निर्माण भूमिका निभाती है। बहुपक्षीय दृष्टिकोण वह भी है जहाँ सीमा-पार घटना प्रतिक्रिया और सूचना-साझाकरण व्यवस्थाएँ सबसे अधिक मायने रखती हैं, क्योंकि एक हमला जो किसी एक देश की अवसंरचना में शुरू होता है वह घंटों के भीतर दूसरे की अवसंरचना में झरने की तरह फैल सकता है, जितनी तेज़ी से अधिकांश अंतर्राष्ट्रीय समन्वय तंत्र चलने के लिए बनाए गए हैं उससे कहीं अधिक तेज़।

सामान्य विफलता पैटर्न

बिना परिचालनात्मक सार के सुरक्षा नाटकबाज़ी। कोई संगठन एक प्रभावशाली दिखने वाला नीति दस्तावेज़, एक अनुपालन प्रमाणपत्र, या एक महँगा उपकरण अपनाता है, और बॉक्स को टिक किया हुआ मानता है, जबकि मूल स्वच्छता — पैचिंग, बहु-कारक प्रमाणीकरण, परखे गए बैकअप — असंगत बनी रहती है। इसकी वास्तविक लागत सुरक्षा के स्वयं के बजाय सुरक्षा के आभास के लिए चुकाई जाती है, और यह अक्सर तभी नाटकबाज़ी के रूप में पहचानी जाती है जब कोई घटना नीति और अभ्यास के बीच के अंतराल को उजागर करती है।

बिना स्वामी का जोखिम। साइबर सुरक्षा को किसी और का काम माना जाता है — सूचना-प्रौद्योगिकी टीम का, किसी विक्रेता का, किसी नियामक का — और शासी-निकाय स्तर पर कोई एकल जवाबदेह स्वामी मौजूद नहीं होता। यह ऐसा जोखिम उत्पन्न करता है जिस पर हर जगह चर्चा होती है और कहीं भी निर्णय नहीं लिया जाता, और यह ठीक वही पैटर्न है जो संगठनों को पूछे जाने पर अपने ही एक्सपोज़र के बारे में बुनियादी सवालों का उत्तर देने में असमर्थ छोड़ता है।

किसी पिछली घटना की अनुपस्थिति द्वारा उचित ठहराया गया कम-निवेश। क्योंकि एक अच्छी तरह चलाया गया सुरक्षा कार्यक्रम सफल होने पर कोई दृश्यमान घटना उत्पन्न नहीं करता, इसे किसी दृश्यमान आउटपुट वाली चीज़ के पक्ष में एक तंग बजट दौर में निधि से वंचित करना आसान है, और अब तक किसी उल्लंघन की अनुपस्थिति को पर्याप्त सुरक्षा के प्रमाण के रूप में ग़लत समझा जाता है बनिस्बत ऐसे प्रमाण के जिसे अभी तक परखा नहीं गया है। यह उसी बजटीय तर्क को प्रतिबिंबित करता है जो व्यापक रूप से लचीलापन निवेश को कमज़ोर करता है (देखें विषय 3.12 — संकट, आपातकाल, और लचीलापन प्रबंधन)।

अपने समर्थन-योग्य जीवनकाल से आगे चलाई जा रही विरासत प्रणालियाँ। लोक निकाय अक्सर सॉफ़्टवेयर या हार्डवेयर को इसके लिए किसी विक्रेता के सुरक्षा पैच जारी करना बंद करने के बहुत बाद तक चलाते हैं, क्योंकि प्रतिस्थापन महँगा, विघटनकारी, या राजनीतिक रूप से अलोकप्रिय है, और प्रणाली 'अभी भी काम करती है।' कोई बिना-पैच, असमर्थित प्रणाली कोई विरासत असुविधा नहीं है; यह एक खुला दरवाज़ा है जिससे गुज़रने में किसी हमलावर को कुछ भी ख़र्च नहीं करना पड़ता।

दोष-पहले घटना संस्कृति। जब कोई संदिग्ध उल्लंघन या ग़लती रिपोर्ट करने वाले स्टाफ़ को समर्थन देने के बजाय अनुशासित किया जाता है, तो भविष्य की घटनाओं की रिपोर्ट देर से, कम करके, या बिल्कुल नहीं की जाती, और संगठन उस प्रारंभिक-चेतावनी संकेत को खो देता है जो समय पर रिपोर्टिंग प्रदान करती है। यह विफलता पैटर्न इस सूची में हर दूसरे को बढ़ा देता है, क्योंकि ऊपर दिए गए किसी भी समाधान का काम नहीं होता यदि संगठन अपनी ही समस्याओं को ईमानदारी से नहीं देख सकता।

परिपक्वता मॉडल

जाँच-सूची

• शासी-निकाय स्तर पर कोई नामित व्यक्ति या समिति साइबर जोखिम की स्वामी है और नियमित रूप से, सरल भाषा में, उस पर रिपोर्ट करती है।
• संगठन कौन-सा डेटा और कौन-सी प्रणालियाँ रखता है, और उनमें से कौन-सी सबसे संवेदनशील या किसी सेवा के लिए सबसे महत्वपूर्ण हैं, इसकी एक वर्तमान सूची मौजूद है।
• संवेदनशील डेटा रखने वाली या महत्वपूर्ण सेवाओं को नियंत्रित करने वाली सभी प्रणालियों पर बहु-कारक प्रमाणीकरण लागू है।
• बैकअप नियमित रूप से लिए जाते हैं, मुख्य नेटवर्क से अलग संग्रहीत होते हैं, और पिछले बारह महीनों में पुनर्स्थापना परखी जा चुकी है।
• सॉफ़्टवेयर और प्रणालियों को एक परिभाषित समय-सारणी पर पैच किया जाता है, और जिस किसी प्रणाली को अब और पैच नहीं किया जा सकता उसके लिए उसे बदलने या अलग करने की एक दस्तावेज़ीकृत योजना है।
• एक लिखित घटना प्रतिक्रिया योजना मौजूद है, यह नाम देती है कि प्रमुख निर्णय लेने का अधिकार किसके पास है, और पिछले वर्ष में एक यथार्थवादी अभ्यास के माध्यम से अभ्यासित की गई है।
• फिरौती भुगतान पर और प्रभावित लोगों, नियामकों, और जनता को कैसे और कब सूचित किया जाएगा इस पर एक बोर्ड-स्वीकृत नीति मौजूद है।
• सॉफ़्टवेयर विक्रेताओं और प्रबंधित-सेवा प्रदाताओं के साथ अनुबंधों में सुरक्षा आश्वासन और घटना-सूचना बाध्यताएँ शामिल हैं।
• स्टाफ़ को नक़ली फ़िशिंग अभ्यास सहित नियमित, यथार्थवादी सुरक्षा प्रशिक्षण मिलता है।
• किसी संदिग्ध घटना या निकट-चूक की रिपोर्ट करने को मूल्यवान जानकारी माना जाता है, दोष का आधार नहीं।
• समान आकार और बजट के सहकर्मी संगठनों के साथ साझा या पूल की गई सुरक्षा व्यवस्थाओं का पता लगाया गया है।
• साइबर जोखिम संगठन की व्यापक संकट और लचीलापन योजना में स्पष्ट रूप से दिखाई देता है, न कि एक अलग, असंबद्ध योजना के रूप में।

मुख्य स्रोत

यह विषय साइबर सुरक्षा अभ्यास को संगठित करने के अग्रणी संरचित ढाँचे के रूप में राष्ट्रीय मानक और प्रौद्योगिकी संस्थान के साइबर सुरक्षा ढाँचे पर आधारित है; यूरोपीय संघ भर में साइबर सुरक्षा के एक सामान्य स्तर को प्राप्त करने पर यूरोपीय संघ साइबर सुरक्षा एजेंसी के प्रकाशित मिशन और मार्गदर्शन पर; आर्थिक सहयोग और विकास संगठन के डिजिटल सुरक्षा नीति कार्य पर, जो डिजिटल सुरक्षा को विशुद्ध रूप से तकनीकी के बजाय एक आर्थिक और सामाजिक जोखिम-प्रबंधन मुद्दे के रूप में फ़्रेम करता है; और यूनाइटेड किंगडम के राष्ट्रीय साइबर सुरक्षा केंद्र और संयुक्त राज्य की साइबर सुरक्षा और अवसंरचना सुरक्षा एजेंसी जैसी राष्ट्रीय साइबर सुरक्षा एजेंसियों द्वारा प्रकाशित परिचालनात्मक मार्गदर्शन पर, जो दोनों विशेष रूप से कम-संसाधित लोक निकायों को लक्षित मुफ़्त मार्गदर्शन प्रदान करती हैं।

संदर्भ

1. Computer security — Wikipedia — https://en.wikipedia.org/wiki/Computer_security
2. Critical infrastructure — Wikipedia — https://en.wikipedia.org/wiki/Critical_infrastructure
3. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
4. Phishing — Wikipedia — https://en.wikipedia.org/wiki/Phishing
5. Data breach — Wikipedia — https://en.wikipedia.org/wiki/Data_breach
6. Supply chain attack — Wikipedia — https://en.wikipedia.org/wiki/Supply_chain_attack
7. Zero trust architecture — Wikipedia — https://en.wikipedia.org/wiki/Zero_trust_architecture
8. Computer security incident management — Wikipedia — https://en.wikipedia.org/wiki/Computer_security_incident_management
9. National Cyber Security Centre (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Cybersecurity and Infrastructure Security Agency — Wikipedia — https://en.wikipedia.org/wiki/Cybersecurity_and_Infrastructure_Security_Agency
11. Cybersecurity Framework — National Institute of Standards and Technology — https://www.nist.gov/cyberframework
12. Who we are — European Union Agency for Cybersecurity (ENISA) — https://www.enisa.europa.eu/about-enisa/who-we-are
13. Digital security — Organisation for Economic Co-operation and Development (OECD) — https://www.oecd.org/en/topics/digital-security.html
14. What we do at the NCSC — National Cyber Security Centre (United Kingdom) — https://www.ncsc.gov.uk/section/about-ncsc/what-we-do
15. About CISA — Cybersecurity and Infrastructure Security Agency (United States) — https://www.cisa.gov/about