سائبر سکیورٹی اور سرکاری شعبے میں ٹیکنالوجی کے خطرات

عوامی قدر میں یہ کیوں اہم ہے

جب ہسپتال کے نظام کو حملہ آور خفیہ کر دیتا ہے تو معالج ادویات کی تاریخ نہیں دیکھ سکتے، ایمبولینسیں موڑ دی جاتی ہیں، اور آپریشن منسوخ ہو جاتے ہیں۔ جب پانی کی افادیت کے کنٹرول نظام سے سمجھوتہ ہو جائے تو داؤ پر لگی عوامی قدر سرور کی بندش نہیں بلکہ پینے کے پانی کی حفاظت ہے۔ جب فوائد کی ایجنسی کا ڈیٹا بیس خلاف ورزی کا شکار ہو تو سب سے زیادہ بے نقاب لوگ اکثر وہ ہوتے ہیں جو نتائج برداشت کرنے کے سب سے کم قابل ہیں: تاخیر سے ادائیگی، چوری شدہ شناخت، وہ خاندان جو اس ریاست کو ثابت نہیں کر سکتا کہ وہ کون ہے جو اس کی معاونت کی مقروض ہے۔ کمپیوٹر کی سلامتی، جسے عام طور پر سائبر سکیورٹی کہا جاتا ہے، کمپیوٹر نظاموں، نیٹ ورکس، اور ڈیٹا کو غیر مجاز رسائی، خلل، یا نقصان سے بچانے کی مشق ہے۔ عوامی اداروں میں وہ مشق ریاست اور اس شہری کے درمیان راستے پر براہِ راست بیٹھتی ہے جس کی وہ خدمت کرتی ہے۔

اسی لیے موضوع سائبر خطرے کو صرف تکنیکی نہیں بلکہ عوامی قدر کا سوال بتاتا ہے۔ جواز اور حمایت اس پر منحصر ہیں کہ شہری یقین کریں کہ جو ادارے ان کا ڈیٹا رکھتے اور ان کی لازمی خدمات چلاتے ہیں ان پر دونوں کو محفوظ رکھنے کے لیے بھروسا کیا جا سکتا ہے (دیکھیں موضوع 1.2 — اسٹریٹجک مثلث: جواز، قدر اور صلاحیت)۔ واحد اچھی طرح مشتہر خلاف ورزی اس اعتماد کو دیرپا نقصان پہنچا سکتی ہے، بالکل اسی طرح جیسے غلط طریقے سے سنبھالی گئی ہنگامی حالت، کیونکہ شہری اداروں کو اتنا ہی اس بنیاد پر پرکھتے ہیں کہ وہ حملے کے تحت کیسے برتاؤ کرتے ہیں جتنا روزمرہ کی کارکردگی پر (دیکھیں موضوع 3.12 — بحران، ہنگامی حالات اور لچک کا انتظام، جو سائبر واقعات کو لچک کے وسیع تر نظم و ضبط کے اندر ایک زمرہ سمجھتا ہے)۔ سائبر سکیورٹی ڈیٹا کی حکمرانی سے بھی الگ نہیں کی جا سکتی: ادارہ اس کی حفاظت نہیں کر سکتا جس کے بارے میں اسے علم نہیں کہ وہ رکھتا ہے، اور باہمی ربط پذیری اور کھلا پن جو ڈیٹا سے عوامی قدر پیدا کرتے ہیں حملہ آور کے استعمال کی سطح کو بھی وسیع کرتے ہیں (دیکھیں موضوع 5.4 — سرکاری شعبے کا ڈیٹا، باہمی ربط پذیری اور کھلا ڈیٹا)۔

وسائل کا مسئلہ عوامی اور سماجی شعبوں کے لیے شدید اور مخصوص ہے۔ بڑی قومی ایجنسیوں کے پاس بڑھتی ہوئی تعداد میں مخصوص سکیورٹی ٹیمیں اور ادارہ جاتی بجٹ ہوتے ہیں؛ چھوٹے قصبے کی خدمت کرنے والے پانی کے بورڈ، علاقائی ہسپتال ٹرسٹ، اور گھریلو تشدد کی پناہ گاہ چلانے والے مقامی غیر منافع بخش ادارے کے پاس عموماً نہیں ہوتے، حالانکہ وہ ایسا ڈیٹا رکھتے ہیں جس کی حساسیت کسی بھی بینک کے برابر یا زیادہ ہے۔ حملہ آور یہ جانتے ہیں۔ کم وسائل والے عوامی ادارے اس موضوع میں حاشیے کا معاملہ نہیں؛ وہ اس کے مرکز کے قریب ہیں، کیونکہ آج اس خطرے کا سامنا کرنے والا اوسط عوامی ادارہ قومی وزارت نہیں بلکہ چھوٹی مقامی اتھارٹی، علاقائی افادیت، یا مٹھی بھر انفارمیشن ٹیکنالوجی عملے والی اور کسی سکیورٹی ماہر کے بغیر خیراتی تنظیم ہے۔

آخر میں، یہ زندہ اور بگڑتا ہوا مسئلہ ہے، فرضی نہیں۔ رینسم ویئر کی مہمیں بڑھتی ہوئی تعداد میں مقامی حکومتوں، ہسپتالوں، اسکولوں، اور سماجی شعبے کی تنظیموں کو ٹھیک اس لیے ہدف بناتی ہیں کہ وہ حساس ڈیٹا، لازمی خدمات، بندش کی کم برداشت، اور نسبتاً کمزور دفاع کو یکجا کرتی ہیں — ایسا مجموعہ جو انہیں ادائیگی کرنے کا زیادہ امکان اور پہلی جگہ حملہ روکنے کا کم امکان بناتا ہے۔ سائبر سکیورٹی کو حکمرانی کی سطح کی عوامی قدر کی وابستگی کے بجائے ماہرانہ اضافی چیز سمجھنا، اس طبقے کے اداروں کے لیے، دعوت دینے کے قریب ہے۔

بنیادی تصورات

اہم بنیادی ڈھانچہ ان نظاموں اور اثاثوں کا مجموعہ ہے — توانائی، پانی، ٹرانسپورٹ، صحت کی نگہداشت، مالیات، مواصلات — جو اتنے لازمی ہیں کہ ان کی ناکارگی یا تباہی حفاظت، معیشت، یا عوامی اعتماد پر کمزور کر دینے والا اثر ڈالے گی۔ اہم بنیادی ڈھانچے کا تحفظ ان نظاموں کو طبعی اور ڈیجیٹل خطرات سے محفوظ کرنے کا نظم و ضبط ہے؛ یہ یہاں اس لیے اہم ہے کہ عوامی شعبے کے بہت سے سب سے نتیجہ خیز سائبر واقعات مجرد ڈیٹا پر حملے نہیں بلکہ اس عملیاتی ٹیکنالوجی پر حملے ہیں جو طبعی بنیادی ڈھانچہ چلاتی ہے، اس انفارمیشن ٹیکنالوجی سے الگ جو ریکارڈ رکھتی اور لین دین نمٹاتی ہے۔

خطرے کا اداکار کوئی بھی فرد، گروہ، یا ریاست ہے جو نظام سے سمجھوتہ کرنے کی کوشش کر سکتی ہے؛ عوامی شعبے میں یہ مالی طور پر محرک مجرمانہ گروہوں سے لے کر جاسوسی یا خلل کا پیچھا کرنے والے ریاست کے اسپانسر شدہ اداکاروں تک ہیں، اور ایک ہی ادارہ بہت مختلف مقاصد کے ساتھ دونوں کا بیک وقت سامنا کر سکتا ہے۔ رینسم ویئر بدنیت سافٹ ویئر ہے جو ادارے کے ڈیٹا یا نظاموں کو خفیہ کرتا ہے اور ان کی رہائی کے لیے ادائیگی مانگتا ہے؛ یہ عوامی اداروں کے لیے غالب خطرہ ٹھیک اس لیے بن گیا ہے کہ لازمی خدمات طویل بندش برداشت نہیں کر سکتیں، جو ادائیگی کا دباؤ بڑھاتا ہے۔ فشنگ سماجی انجینئرنگ کی شکل ہے جس میں حملہ آور عملے کو اسناد ظاہر کرنے یا میل ویئر انسٹال کرنے پر دھوکہ دیتے ہیں، عموماً دھوکہ دہی والی ای میل کے ذریعے، اور حملہ آور کے پہلی بار قدم جمانے کا سب سے عام طریقہ ہے، کیونکہ یہ ٹیکنالوجی کے بجائے لوگوں کو نشانہ بناتی ہے۔

ڈیٹا کی خلاف ورزی معلومات تک غیر مجاز رسائی، انکشاف، یا نقصان ہے، چاہے بیرونی حملے، اندرونی شخص، یا انٹرنیٹ پر کھلے چھوڑے غلط ترتیب والے ڈیٹا بیس جیسی سادہ انسانی غلطی کے ذریعے۔ سپلائی چین حملہ ادارے سے بالواسطہ سمجھوتہ کرتا ہے، کم محفوظ سپلائر، سافٹ ویئر وینڈر، یا منظم خدمت فراہم کنندہ کو ہدف بنا کر جس پر ہدف ادارہ بھروسا کرتا ہے؛ یہ عوامی شعبے کے لیے خاص طور پر خطرناک ہیں کیونکہ اتنے سارے عوامی ادارے انہی چند سافٹ ویئر وینڈرز کا اشتراک کرتے ہیں، یعنی ایک وینڈر سے سمجھوتہ بیک وقت سینکڑوں اداروں میں پھیل سکتا ہے۔

سائبر حفظان صحت معمول کی مشقوں کا مجموعہ ہے — سافٹ ویئر کو فوراً پیچ کرنا، مضبوط تصدیق نافذ کرنا، یہ محدود کرنا کہ کون کس تک رسائی پا سکتا ہے، ڈیٹا کا بیک اپ لینا اور ان بیک اپس کی بحالی کی آزمائش — جو غیر معمولی اوزاروں کا تقاضا کیے بغیر کامیاب حملوں کی اکثریت کو روکتی ہیں۔ بیشتر خلاف ورزیاں نئی تکنیکوں کے بجائے معلوم، بغیر پیچ کی کمزوریوں یا کمزور اسناد کا استحصال کرتی ہیں، لہٰذا ادارے کی حقیقی سائبر حفظان صحت اور اس کی بیان کردہ پالیسی کے درمیان خلا عموماً اس کے خطرے کا ان خطروں کی نفاست سے بہتر پیش گو ہے جن کا نام وہ اپنے خطرے کے رجسٹر میں لیتا ہے۔

زیرو ٹرسٹ فن تعمیر سکیورٹی ڈیزائن کا اصول ہے جو مانتا ہے کہ کسی صارف یا آلے پر ڈیفالٹ طور پر بھروسا نہیں کرنا چاہیے، ادارے کے اپنے نیٹ ورک کے اندر بھی، اور رسائی کی ہر درخواست کی تصدیق ہونی چاہیے خواہ وہ کہیں سے آئے۔ یہ عوامی شعبے کی رہنمائی میں بااثر ہو گیا ہے کیونکہ یہ پرانے ماڈل سے بہتر بیٹھتا ہے کہ جدید سرکاری کام دراصل کیسے ہوتا ہے — عملہ، ٹھیکیدار، اور شہری بہت سے آلات اور مقامات سے خدمات تک رسائی پا رہے ہیں — پرانا ماڈل جو پہلے ہی دائرے کے اندر کسی بھی چیز پر بھروسا کرتا تھا۔

کمپیوٹر سکیورٹی کے واقعے کا انتظام، جسے عام طور پر واقعے کا ردعمل کہا جاتا ہے، سکیورٹی کے واقعے کا پتا لگانے، اسے محدود کرنے، ختم کرنے، اور اس سے بحال ہونے کا منظم عمل ہے، جس کے بعد جائزہ لیا جاتا ہے کہ اسے کس چیز نے ہونے دیا۔ انکشاف کی ذمہ داری متاثرہ افراد، ضابطہ کاروں، یا عوام کو مطلع کرنے کا قانونی یا ضابطہ جاتی فرض ہے جب ذاتی ڈیٹا یا اہم خدمات سے سمجھوتہ ہوا ہو، متعینہ وقت کے اندر اور متعینہ معیار پر، اس منطق پر کہ شہریوں اور نگران اداروں کو جاننے کا حق ہے جب ان کا ڈیٹا یا ان کی لازمی خدمات خطرے میں ڈالی گئی ہوں، اور یہ کہ بروقت انکشاف لوگوں کو اپنی حفاظت کرنے دیتا ہے۔

بہترین طریقے

1. سائبر سکیورٹی کو تفویض شدہ تکنیکی فعل کے بجائے حکمرانی کرنے والے ادارے کی ذمہ داری سمجھیں۔ بورڈز، کونسلوں، اور ایگزیکٹو ٹیموں کو سائبر خطرے پر باقاعدہ، سادہ زبان کی بریفنگ ملنی چاہیے اور اس کے بجٹ کی منظوری براہِ راست دینی چاہیے، اسے وسیع تر انفارمیشن ٹیکنالوجی کی سطر کے اندر طے ہونے کے لیے چھوڑنے کے بجائے جہاں اسے کاٹنا سب سے آسان ہے۔
2. اس سے پہلے کہ حفاظت کا فیصلہ کریں، فہرست بنائیں کہ آپ کے پاس کیا ہے اور اس پر کیا منحصر ہے۔ ادارہ ایسا ڈیٹا یا نظام محفوظ نہیں کر سکتا جس کا اس نے نقشہ نہیں بنایا؛ موجودہ اثاثہ اور ڈیٹا کی فہرست، جو کہیں اور بیان کردہ باہمی ربط پذیری اور ڈیٹا کی حکمرانی کے کام سے متقابل حوالہ ہو (دیکھیں موضوع 5.4 — سرکاری شعبے کا ڈیٹا، باہمی ربط پذیری اور کھلا ڈیٹا)، اس فہرست کے ہر دوسرے طریقے کی پیشگی شرط ہے۔
3. کسی بھی جدید چیز پر خرچ کرنے سے پہلے ہر جگہ بنیادی چیزیں لاگو کریں۔ پیچ کا انتظام، کثیر عنصری تصدیق، آزمائے گئے بیک اپس، اور کم سے کم استحقاق کی رسائی کا کنٹرول حقیقی دنیا کے حملوں کی بھاری اکثریت روکتے ہیں؛ عوامی ادارہ جس کے پاس یہ نہ ہوں اسے خطرے کی انٹیلیجنس کی رکنیتوں یا مخصوص نگرانی کے اوزاروں کو ترجیح نہیں دینی چاہیے۔
4. اپنا مخصوص فریم ورک ایجاد کرنے کے بجائے تسلیم شدہ فریم ورک اپنائیں۔ نیشنل انسٹی ٹیوٹ آف اسٹینڈرڈز اینڈ ٹیکنالوجی کے سائبر سکیورٹی فریم ورک جیسے فریم ورک مشترکہ لغت اور ساخت دیتے ہیں — شناخت، تحفظ، پتا لگانا، ردعمل، بحالی — جسے چھوٹا ادارہ سادہ شکل میں اور بڑا ادارہ مکمل شکل میں اپنا سکتا ہے، بنیادی درجہ بندی کو دوبارہ ایجاد کیے بغیر۔
5. چھوٹے اداروں میں وسائل کو اکٹھا کریں، ہر ایک اکیلے خریدنے کے بجائے۔ مشترکہ سکیورٹی آپریشنز کی خدمت، علاقائی سائبر واقعے کے ردعمل کا پول، یا شعبے بھر کا خریداری کا فریم ورک چھوٹی مقامی اتھارٹیوں یا غیر منافع بخش اداروں کے گروہ کو وہ تحفظ دے سکتا ہے جو ان میں سے کوئی انفرادی طور پر برداشت نہ کر سکے — اس موضوع کے مرکزی کم وسائل کے مسئلے کا واحد سب سے براہِ راست جواب۔
6. واقعے سے پہلے واقعے کے ردعمل کا منصوبہ لکھیں، اور اس کی مشق کریں۔ زندہ حملے کے دوران پہلی بار مسودہ بنایا گیا منصوبہ ایسے لوگوں کا گھبراہٹ میں بری طرح مسودہ بنایا گیا منصوبہ ہے جنہوں نے کبھی آزمایا نہیں کہ وہ واقعی کام کرتا ہے؛ کم از کم سالانہ مشق شدہ منصوبہ افراتفری کے پہلے گھنٹے کو معلوم قدموں کے مشق شدہ سلسلے میں بدلتا ہے (دیکھیں موضوع 3.12 — بحران، ہنگامی حالات اور لچک کا انتظام اس وسیع تر نظم و ضبط کے لیے جس پر یہ مبنی ہے)۔
7. انکشاف اور ادائیگی کی پالیسی واقعے کے دوران نہیں، پیشگی طے کریں۔ آیا ادارہ تاوان کی ادائیگی پر غور کرے گا، یہ فیصلہ کرنے کا اختیار کس کے پاس ہے، اور متاثرہ لوگوں کو کیسے اور کب بتایا جائے گا، یہ بورڈ سے منظور شدہ پالیسی ہونی چاہیے، زندہ بھتہ خوری کے مطالبے کے دباؤ میں بدیہہ فیصلہ نہیں۔
8. نیٹ ورکس کو حصوں میں بانٹیں تاکہ ایک سمجھوتہ ہر سمجھوتہ نہ بن جائے۔ طبعی بنیادی ڈھانچہ کنٹرول کرنے والی عملیاتی ٹیکنالوجی کو عمومی دفتری انفارمیشن ٹیکنالوجی سے الگ رکھنا، اور اعلیٰ حساسیت کے نظاموں کو کم حساسیت والے نظاموں سے الگ کرنا، اس حد کو محدود کرتا ہے جہاں تک ایک کمزور نقطے سے اندر آنے والا گھسنے والا سفر کر سکے۔
9. تیسرے فریق اور سپلائی چین کے خطرے کو اتنی ہی سختی سے برتیں جتنی اندرونی خطرے کو۔ سافٹ ویئر وینڈرز اور منظم خدمت فراہم کنندگان کے ساتھ معاہدوں میں سکیورٹی کی یقین دہانیاں، آڈٹ کے حق کی شقیں، اور واقعے کی اطلاع کی ذمہ داریاں طلب کریں، کیونکہ بڑے عوامی شعبے کے واقعات کا بڑھتا حصہ براہِ راست حملے کے بجائے قابلِ اعتماد سپلائر سے شروع ہوتا ہے۔
10. صرف اوزاروں میں نہیں، لوگوں میں سرمایہ کاری کریں۔ باقاعدہ، حقیقت پسندانہ تربیت — بشمول نقلی فشنگ کی مشقیں — کامیاب سماجی انجینئرنگ کے حملے ناپی جا سکنے والے طور پر کم کرتی ہے، اور چھوٹے ادارے میں ایک یا دو ماہر سکیورٹی عملہ برقرار رکھنا عموماً اضافی سافٹ ویئر لائسنسوں پر مساوی خرچ سے زیادہ قیمتی ہے۔
11. واقعات کی ایمانداری سے رپورٹ کریں اور قریب چوک جانے کو مفت اسباق کے طور پر استعمال کریں۔ وہ ثقافت جو مشتبہ خلاف ورزی رپورٹ کرنے والے عملے کو سزا دیتی ہے ضمانت دیتی ہے کہ اگلی دیر سے یا بالکل رپورٹ نہیں ہوگی؛ جو ادارے سب سے تیز بہتر ہوتے ہیں وہ ہر قریب چوک جانے کو الزام لگانے کی وجہ کے بجائے سیکھنے کے ثبوت کے طور پر برتتے ہیں۔
12. سائبر لچک کو صرف اندرونی پالیسی میں نہیں، خریداری اور گرانٹ کی شرائط میں بنائیں۔ مالی معاونین اور کمیشن دینے والے ادارے ان تنظیموں سے جنہیں وہ فنڈ دیتے یا ٹھیکہ دیتے ہیں سکیورٹی کی مشق کی بنیادی سطح کا تقاضا کر سکتے ہیں، اچھی مشق کی پہنچ چھوٹے ڈیلیوری شراکت داروں تک بڑھاتے ہوئے جن کے پاس ورنہ اس میں سرمایہ کاری کا کوئی بیرونی دباؤ نہ ہوتا (دیکھیں موضوع 3.7 — عوامی خریداری اور کمیشننگ)۔

اپنی ٹیم کے ساتھ بحث کے لیے سوالات

کیا ہم جانتے ہیں کہ ہمارے پاس دراصل کون سا ڈیٹا اور نظام ہے، اور ان میں سے کون سا سمجھوتے کی صورت میں کسی کو نقصان پہنچائے گا؟ بہت سے ادارے اپنے ڈیٹا کی حقیقی وسعت صرف خلاف ورزی کی تفتیش کے دوران دریافت کرتے ہیں، جو اسے سیکھنے کا بدترین ممکن وقت ہے۔ اپنی بڑی خدمات سے گزریں اور ہر ایک کے لیے پوچھیں کہ وہ کس ذاتی یا عملیاتی طور پر حساس ڈیٹا کو چھوتی ہے اور اگر وہ ڈیٹا چوری، تبدیل، یا ناقابلِ دستیاب ہو جائے تو حقیقی شخص کے ساتھ کیا ہوگا۔ اگر ایماندارانہ جواب «ہمیں یقین نہیں» ہے تو وہ غیر یقینی خود نتیجہ ہے، اور اسے بند کرنا آپ کے ایجنڈے کا پہلا نکتہ ہے۔ یہ سوال ان اداروں کے لیے سب سے زیادہ اہم ہے جو حصول، انضمام، یا جمع شدہ پرانے نظاموں سے بڑھے ہیں، جہاں اس کی ادارہ جاتی یادداشت کہ کیا موجود ہے پتلی ہو گئی ہے۔

اگر ہم کل رینسم ویئر کا شکار ہو جائیں تو کیا ہم ادائیگی کیے بغیر بیک اپ سے بحال کر سکتے ہیں؟ بیک اپ کی قدر یہ نہیں کہ وہ موجود ہے بلکہ یہ کہ اسے آزمایا گیا ہے کہ واقعی بحال ہو، کافی جلد، اور اتنے حالیہ ورژن سے جو اہم ہو۔ پوچھیں کہ بیک اپس کی آخری بار حقیقی بحالی کی مشق سے کب آزمائش ہوئی، محض تکمیل کے لاگ سے نہیں، اور مکمل بحالی میں کتنا وقت لگے گا اس کے مقابل کہ آپ کا ادارہ کتنی بندش برداشت کر سکتا ہے۔ اگر وہ اعداد میل نہیں کھاتے تو آپ کے پاس وسائل کا فیصلہ ابھی کرنا ہے، واقعے کے دوران نہیں۔ یہ بحث کرنے کا بھی لمحہ ہے کہ آیا بیک اپس خود اس نیٹ ورک سے الگ ہیں جس تک آپ کے مرکزی نظاموں تک پہنچنے والا حملہ آور بھی پہنچ سکتا ہے۔

تاوان ادا کرنے کا فیصلہ کرنے کا اختیار کس کے پاس ہے، اور کیا ہم نے پوچھے جانے سے پہلے کبھی اس پر بات کی ہے؟ یہ سب سے اعلیٰ داؤ والے فیصلوں میں سے ایک ہے جس کا ایگزیکٹو ٹیم کو سامنا ہو سکتا ہے، اکثر گھنٹوں میں درکار اور اس کے بارے میں نامکمل معلومات کے ساتھ کہ حملہ آور کے پاس دراصل کیا ہے۔ عمل، مجاز افراد، اور اصول پیشگی طے کرنا — چاہے حتمی فیصلہ اب بھی واقعے کی تفصیلات پر منحصر ہو — بھتہ خوری کے دباؤ میں بدیہہ فیصلے کو روکتا ہے۔ بحث کریں کہ آپ کے دائرۂ اختیار کا قانون اور آپ کے مالی معاونین کی شرائط تاوان کی ادائیگی کے بارے میں کیا کہتی ہیں، اور آپ کو کسے مطلع کرنا ہوگا۔

کیا ہمارے سب سے چھوٹے شراکت دار اور سپلائر ہمارے لیے ہمارے اپنے آپ سے بڑا خطرہ ہیں؟ اچھی طرح محفوظ مرکزی ادارہ پھر بھی کمزور محفوظ سپلائر، ٹھیکیدار، یا ڈیلیوری شراکت دار کے ذریعے سمجھوتے کا شکار ہو سکتا ہے جسے اس کے نظاموں یا ڈیٹا تک جائز رسائی ہو۔ ان تیسرے فریقوں کا نقشہ بنائیں جو آپ کے نظاموں تک پہنچ سکتے یا آپ کا ڈیٹا رکھ سکتے ہیں، اور ایماندار رہیں کہ آپ کو ان کی سکیورٹی کی مشقوں پر دراصل کتنی یقین دہانی ہے بمقابلہ کتنی آپ فرض کرتے ہیں۔ فیصلہ کریں کہ آپ آئندہ ان سے کم از کم کون سا معیار طلب کریں گے، اور اسے محض تحریری یقین دہانی مانگنے کے بجائے کیسے تصدیق کریں گے۔

کیا ہمیں پتا چلے گا کہ ہماری خلاف ورزی ہوئی، اور کتنی جلدی؟ کچھ سب سے نقصان دہ واقعات وہ نہیں جو تیزی سے ہوتے ہیں بلکہ وہ ہیں جو مہینوں غیر دریافت رہتے ہیں، جس دوران حملہ آور نے خاموشی سے کھوج کی، استحقاق بڑھائے، اور ڈیٹا نکالا۔ بحث کریں کہ آج آپ دراصل غیر معمولی سرگرمی کا پتا کیسے لگائیں گے، اسے کون دیکھ رہا ہے، اور آیا وہ نگرانی دفتری اوقات کے باہر چلتی ہے، کیونکہ بہت سے حملے دانستہ رات کو یا چھٹی کے ہفتے کے اختتام پر شروع کیے جاتے ہیں جب ردعمل سب سے سست ہے۔ اگر پتا لگانا مکمل طور پر شہری یا شراکت دار ادارے کے آپ کو بتانے پر منحصر ہے کہ کچھ غلط ہے تو یہ نازک خلا ہے۔

کیا ہمارا بورڈ یا حکمرانی کرنے والا ادارہ اس خطرے کو اتنی اچھی طرح سمجھتا ہے کہ اس پر حکمرانی کر سکے، یا ہم نے خاموشی سے وہ فیصلہ انفارمیشن ٹیکنالوجی کی ٹیم کو ٹھیکے پر دے دیا ہے؟ سائبر خطرے کے فیصلوں میں لاگت، خدمت کے تسلسل، اور شہری کے تحفظ کے درمیان حقیقی سمجھوتے شامل ہیں جو مناسب طور پر حکمرانی کرنے والے ادارے کا کام ہیں، تفویض شدہ تکنیکی معاملہ جسے سر ہلا کر منظور کر دیا جائے نہیں۔ بحث کریں کہ سائبر خطرہ فی الحال آپ کے بورڈ یا کونسل کو کیسے رپورٹ ہوتا ہے، آیا وہ ایسی زبان میں ہے جس پر غیر ماہر واقعی عمل کر سکے، اور آیا اس کا بجٹ کسی دوسرے بڑے خطرے کی طرح سختی سے طے ہوتا ہے۔ اگر آپ کا حکمرانی کرنے والا ادارہ فی الحال آپ کے ادارے کے سب سے اوپر کے تین سائبر خطرے اپنے الفاظ میں نہ سمجھا سکے تو یہی پہلا خلا ہے جو بند کرنا ہے۔

عملی صورت: عوامی قدر کی ایک مثال

ایک درمیانے سائز کی علاقائی ٹرانزٹ اتھارٹی — فرضی، کسی حقیقی ادارے کی رپورٹ کے بجائے نمونے کی مثال — پرانے شیڈولنگ اور ادائیگی کے نظام چلاتی تھی جنہیں جدید بنانے کے بجائے ایک دہائی سے ٹکڑوں میں پیچ کیا گیا تھا۔ اس کی انفارمیشن ٹیکنالوجی کی ٹیم تین افراد کی تھی، ہیلپ ڈیسک کے ٹکٹوں سے لے کر نیٹ ورک سکیورٹی تک سب کی ذمہ دار، اور سائبر سکیورٹی کی بجٹ میں کبھی اپنی سطر نہیں تھی؛ وہ عمومی «نظاموں کی دیکھ بھال» کی مختص رقم کے اندر رہتی تھی جو برسوں سے حقیقی معنوں میں بڑھی نہیں تھی۔

حملہ آور نے مالیاتی افسر کو بھیجی گئی فشنگ ای میل کے ذریعے رسائی حاصل کی، اس سپلائر کے جعلی انوائس کا استعمال کرتے ہوئے جسے اتھارٹی واقعی استعمال کرتی تھی۔ اندر آ کر، حملہ آور نے رینسم ویئر لگانے سے پہلے چھ ہفتے خاموشی سے نیٹ ورک میں گھومتے گزارے جس نے شیڈولنگ کے نظام، کرایہ ادائیگی کے پلیٹ فارم، اور اتھارٹی کے بیک اپس کو خفیہ کر دیا، جو مرکزی نیٹ ورک سے کبھی الگ نہیں کیے گئے تھے۔ بسیں ڈرائیوروں کی اپنے راستوں کی یادداشت پر پہلے دن چلتی رہیں، مگر کرایہ الیکٹرانک طور پر وصول نہیں ہو سکتا تھا، حقیقی وقت کی معلومات کی اسکرینیں تاریک ہو گئیں، اور اتھارٹی کے مالیاتی نظام تنخواہ کے لیے ناقابلِ استعمال تھے۔

ایگزیکٹو ٹیم کو تاوان کے فیصلے کا سامنا پہلے سے طے شدہ پالیسی کے بغیر ہوا: کسی نے پیشگی فیصلہ نہیں کیا تھا کہ ادائیگی کی منظوری کا اختیار کس کے پاس ہے، قانونی پوزیشن کیا ہے، یا سواروں کو کیا بتائیں گے۔ بیک اپ سے بحالی کوئی آپشن نہیں تھی، کیونکہ بیک اپس باقی سب کے ساتھ خفیہ ہو گئے تھے۔ نو دن کی خلل، جزوی خدمت کی بحالی، اور ایسی ادائیگی کے بعد جسے اتھارٹی کے بورڈ نے بعد میں اس وقت دستیاب کم سے کم بری صورت قرار دیا، اتھارٹی نے آزاد جائزہ کمیشن کیا۔

جائزے کے نتائج بے رونق اور اس نمونے سے مکمل مطابقت رکھتے تھے جو یہ موضوع بیان کرتا ہے: مالیاتی نظاموں پر کثیر عنصری تصدیق نہیں، دفتری نظاموں اور ادائیگی کے بنیادی ڈھانچے کے درمیان نیٹ ورک کی تقسیم نہیں، دو سال سے زیادہ میں بیک اپ کی آزمودہ بحالی نہیں، اور واقعے سے پہلے سائبر خطرے میں بورڈ کی سطح کی کوئی بصیرت نہیں۔ اتھارٹی کا ردعمل اتنا ہی بے رونق تھا — بنیادی چیزیں ٹھیک کرنے کا مرحلہ وار منصوبہ، دو پڑوسی ٹرانزٹ اتھارٹیوں کے ساتھ مشترکہ سکیورٹی نگرانی کا انتظام تاکہ ماہرانہ احاطے کی لاگت بانٹی جا سکے جو ان میں سے کوئی اکیلا برداشت نہ کر سکتا تھا، اور سائبر خطرے پر بورڈ کے ایجنڈے کا مستقل نکتہ۔ بڑے انفارمیشن ٹیکنالوجی پروگرام کے معیار سے اس میں سے کچھ مہنگا نہیں تھا؛ سب برسوں چھوڑا گیا تھا کیونکہ کبھی کسی کا واضح تفویض شدہ کام نہیں تھا کہ اس پر اصرار کرے۔

چار شعبہ جاتی زاویے

مقامی حکومت

مقامی اتھارٹیاں تکلیف دہ تقاطع پر بیٹھتی ہیں: وہ انتہائی حساس ڈیٹا رکھتی ہیں — سماجی نگہداشت کے ریکارڈ، رہائش اور فوائد کی معلومات، انتخابی رجسٹر — اور ایسی خدمات چلاتی ہیں جن کے بغیر شہری آسانی سے نہیں چل سکتے، مگر ان کے پاس عموماً حکومت کے کسی بھی درجے کے سب سے چھوٹے سکیورٹی بجٹ اور سب سے کم ماہر عملہ ہوتا ہے۔ بڑی قومی وزارت اندرونی سکیورٹی آپریشنز سینٹر بنا سکتی ہے؛ چھوٹی ضلعی کونسل عموماً نہیں بنا سکتی، جو مشترکہ خدمات، علاقائی پولنگ، اور قومی معاونت کے پروگراموں کو اختیاری اضافے کے بجائے مناسب تحفظ کا عملی راستہ بناتا ہے۔ مقامی منتخب عہدیدار بھی اکثر حکومت کے کسی بھی درجے کے مقابلے میں تکنیکی خطرے کی بریفنگ پر سوال اٹھانے کے لیے کم ترین طور پر لیس ہوتے ہیں، جو اس سطح پر منتخب اراکین کو سادہ زبان کی رپورٹنگ کو الگ حکمرانی کا چیلنج بناتا ہے۔

قومی حکومت

قومی حکومتوں کے پاس عموماً مخصوص سائبر سکیورٹی ایجنسیاں اور قومی فریم ورک بنانے کے وسائل ہوتے ہیں — برطانیہ کا نیشنل سائبر سکیورٹی سینٹر (برطانیہ) یا امریکہ کی سائبر سکیورٹی اینڈ انفراسٹرکچر سکیورٹی ایجنسی جیسے ادارے معیار طے کرنے، ردعمل کو ہم آہنگ کرنے، اور اپنے دائرۂ اختیار میں کم وسائل والے عوامی اداروں کی معاونت کے لیے موجود ہیں۔ قومی سطح کا مخصوص چیلنج بنیادی حفظان صحت سے کم اور ریاست کے اسپانسر شدہ اور انتہائی قابل خطرے کے اداکاروں، شعبوں اور نجی آپریٹرز میں اہم قومی بنیادی ڈھانچے کے باہمی انحصار، اور انتساب اور ردعمل کے سفارتی اور قانونی پہلوؤں سے زیادہ ہے، جو مقامی یا تنظیمی سطح پر شاذ و نادر نظر آتے ہیں۔

سماجی شعبہ اور غیر منافع بخش ادارے

غیر منافع بخش ادارے اور NGOs اکثر کسی بھی شعبے کا سب سے حساس ڈیٹا رکھتے ہیں — صحت کے ریکارڈ، تشدد یا ظلم سے بچنے والوں کے ریکارڈ، پناہ گزین اور پناہ کے کیس ورک — جبکہ اس کتاب میں کسی بھی ادارے کی قسم کے سب سے پتلے سکیورٹی بجٹ پر کام کرتے ہیں، کیونکہ مالی معاونین شاذ و نادر سکیورٹی کے لیے رقم مخصوص کرتے ہیں اور گرانٹ کی شرائط شاذ و نادر اس کا تقاضا کرتی ہیں۔ بہت سی سماجی شعبے کی تنظیمیں رضاکاروں اور عملے کے بلند ردوبدل پر بھی منحصر ہیں، جو مستحکم، پیشہ ور عملے والے ادارے کے مقابلے میں مستقل سکیورٹی کی تربیت اور رسائی کے کنٹرول کو برقرار رکھنا مشکل بناتا ہے؛ سکیورٹی کا واقعہ چھوٹی خیراتی تنظیم کے لیے وجودی ہو سکتا ہے جس طرح یہ شاذ و نادر سرکاری محکمے کے لیے ہوتا ہے، کیونکہ ساکھ کا نقصان اور عطیہ دہندگان کے اعتماد کا خاتمہ ادارے کو مکمل طور پر ختم کر سکتا ہے (دیکھیں موضوع 3.8 — سماجی شعبے اور غیر منافع بخش اداروں کا انتظام)۔

کثیر فریقی اور بین الاقوامی ادارے

کثیر فریقی اور بین الاقوامی ادارے مختلف انکشاف کے قوانین، اہم بنیادی ڈھانچے کی مختلف تعریفوں، اور قومی سائبر صلاحیت کی مختلف سطحوں والے دائرۂ اختیار میں کام کرتے ہیں، جو ہم آہنگی کو خود الگ مسئلہ بناتا ہے: بین الاقوامی ادارے کے اپنے نظام اچھی طرح محفوظ ہو سکتے ہیں جبکہ اس کی قومی رکن ایجنسیاں بے حد مختلف ہوں، اور اقتصادی تعاون و ترقی کی تنظیم یا سائبر سکیورٹی کے لیے یورپی یونین کی ایجنسی جیسا ادارہ عملیاتی کردار کے ساتھ اتنا ہی معیار طے کرنے اور صلاحیت سازی کا کردار ادا کرتا ہے۔ کثیر فریقی زاویہ وہ بھی ہے جہاں سرحد پار واقعے کا ردعمل اور معلومات کے اشتراک کے انتظامات سب سے زیادہ اہم ہیں، کیونکہ ایک ملک کے بنیادی ڈھانچے میں شروع ہونے والا حملہ گھنٹوں میں دوسرے میں پھیل سکتا ہے، اس سے تیز جتنا زیادہ تر بین الاقوامی ہم آہنگی کے میکانزم حرکت کرنے کے لیے بنے ہیں۔

ناکامی کے عام طریقے

آپریشنل مادے کے بغیر سکیورٹی کا تھیٹر۔ ادارہ متاثر کن نظر آنے والی پالیسی دستاویز، تعمیل کا سرٹیفکیٹ، یا ایک مہنگا آلہ اپناتا ہے، اور خانے پر نشان لگا سمجھتا ہے، جبکہ بنیادی حفظان صحت — پیچ لگانا، کثیر عنصری تصدیق، آزمائے گئے بیک اپس — غیر مستقل رہتی ہے۔ اس میں سکیورٹی کے بجائے سکیورٹی کے ظاہر پر حقیقی رقم لگتی ہے، اور یہ اکثر صرف واقعے کے بعد معلوم ہوتا ہے کہ پالیسی اور مشق کے درمیان خلا نے اسے تھیٹر ثابت کیا۔

بے مالک خطرہ۔ سائبر سکیورٹی کو کسی اور کا کام سمجھا جاتا ہے — انفارمیشن ٹیکنالوجی کی ٹیم، وینڈر، یا ضابطہ کار کا — اور حکمرانی کرنے والے ادارے کی سطح پر کوئی واحد جوابدہ مالک موجود نہیں۔ یہ ایسا خطرہ پیدا کرتا ہے جس پر ہر جگہ بحث ہوتی ہے اور کہیں فیصلہ نہیں ہوتا، اور یہ ٹھیک وہ نمونہ ہے جو اداروں کو اپنے ہی خطرے کے بارے میں بنیادی سوالات کا جواب دینے سے قاصر چھوڑتا ہے جب پوچھا جائے۔

پہلے واقعے کی غیر موجودگی سے جواز دی گئی کم سرمایہ کاری۔ چونکہ اچھی طرح چلایا گیا سکیورٹی پروگرام کامیاب ہونے پر کوئی نظر آنے والا واقعہ پیدا نہیں کرتا، اسے تنگ بجٹ کے دور میں نظر آنے والے نتیجے والی چیز کے حق میں بجٹ سے کاٹنا آسان ہے، اور اب تک خلاف ورزی کی غیر موجودگی کو مناسب تحفظ کے ثبوت کے طور پر لیا جاتا ہے، بجائے اس ثبوت کے کہ اسے ابھی آزمایا نہیں گیا۔ یہ اسی بجٹ کی منطق کی عکاسی کرتا ہے جو زیادہ وسیع طور پر لچک کی سرمایہ کاری کو کمزور کرتی ہے (دیکھیں موضوع 3.12 — بحران، ہنگامی حالات اور لچک کا انتظام)۔

پرانے نظام جو اپنی قابلِ معاونت عمر کے بعد چلتے رہے۔ عوامی ادارے اکثر وینڈر کے سکیورٹی پیچ جاری کرنا بند کرنے کے بعد بھی سافٹ ویئر یا ہارڈ ویئر چلاتے رہتے ہیں، کیونکہ تبدیلی مہنگی، خلل انگیز، یا سیاسی طور پر غیر مقبول ہے، اور نظام «ابھی بھی کام کرتا ہے»۔ بغیر پیچ کا، غیر معاون نظام پرانے نظام کی تکلیف نہیں؛ یہ کھلا دروازہ ہے جس سے گزرنا حملہ آور کے لیے بلا قیمت ہے۔

الزام پہلے والی واقعے کی ثقافت۔ جب مشتبہ خلاف ورزی یا غلطی رپورٹ کرنے والے عملے کو معاونت کے بجائے سزا دی جاتی ہے تو مستقبل کے واقعات دیر سے، کم کر کے، یا بالکل رپورٹ نہیں کیے جاتے، اور ادارہ وہ ابتدائی انتباہی اشارہ کھو دیتا ہے جو بروقت رپورٹنگ دیتی ہے۔ یہ ناکامی اس فہرست کی ہر دوسری ناکامی کو مرکب کرتی ہے، کیونکہ اوپر کی کوئی اصلاح کام نہیں کرتی اگر ادارہ اپنے مسائل کو ایمانداری سے نہ دیکھ سکے۔

پختگی کا نمونہ

فہرستِ جانچ

• حکمرانی کرنے والے ادارے کی سطح پر نام زد فرد یا کمیٹی سائبر خطرے کی مالک ہے اور سادہ زبان میں باقاعدگی سے اس پر رپورٹ کرتی ہے۔
• موجودہ فہرست موجود ہے کہ ادارے کے پاس کون سا ڈیٹا اور نظام ہے، اور کون سا سب سے حساس یا خدمت کے لیے سب سے اہم ہے۔
• کثیر عنصری تصدیق ان تمام نظاموں پر نافذ ہے جو حساس ڈیٹا رکھتے یا اہم خدمات کنٹرول کرتے ہیں۔
• بیک اپس باقاعدگی سے لیے جاتے ہیں، مرکزی نیٹ ورک سے الگ ذخیرہ ہوتے ہیں، اور بحالی کی آزمائش پچھلے بارہ ماہ میں ہوئی ہے۔
• سافٹ ویئر اور نظام متعینہ شیڈول پر پیچ ہوتے ہیں، اور کوئی بھی نظام جو مزید پیچ نہیں ہو سکتا اسے بدلنے یا الگ کرنے کا دستاویزی منصوبہ ہے۔
• تحریری واقعے کے ردعمل کا منصوبہ موجود ہے، کلیدی فیصلوں کا اختیار رکھنے والے کا نام لیتا ہے، اور پچھلے سال حقیقت پسندانہ مشق سے مشق ہو چکا ہے۔
• تاوان کی ادائیگی پر اور اس پر کہ متاثرہ لوگوں، ضابطہ کاروں، اور عوام کو کیسے اور کب مطلع کیا جائے گا، بورڈ سے منظور شدہ پالیسی موجود ہے۔
• سافٹ ویئر وینڈرز اور منظم خدمت فراہم کنندگان کے ساتھ معاہدوں میں سکیورٹی کی یقین دہانیاں اور واقعے کی اطلاع کی ذمہ داریاں شامل ہیں۔
• عملے کو باقاعدہ، حقیقت پسندانہ سکیورٹی کی تربیت ملتی ہے، بشمول نقلی فشنگ کی مشقیں۔
• مشتبہ واقعے یا قریب چوک جانے کی رپورٹ کو الزام کی بنیاد کے بجائے قیمتی معلومات سمجھا جاتا ہے۔
• ملتے جلتے سائز اور بجٹ کے ہم پلہ اداروں کے ساتھ مشترکہ یا اکٹھے سکیورٹی انتظامات کو کھوجا گیا ہے۔
• سائبر خطرہ ادارے کی وسیع تر بحران اور لچک کی منصوبہ بندی میں صریحاً شامل ہے، الگ، منقطع منصوبے کے طور پر نہیں۔

بنیادی ماخذ

یہ موضوع نیشنل انسٹی ٹیوٹ آف اسٹینڈرڈز اینڈ ٹیکنالوجی کے سائبر سکیورٹی فریم ورک پر مبنی ہے بطور سائبر سکیورٹی کی مشق کو منظم کرنے کے سرکردہ ساختہ فریم ورک؛ سائبر سکیورٹی کے لیے یورپی یونین کی ایجنسی کے شائع شدہ مشن اور یورپی یونین بھر میں سائبر سکیورٹی کی مشترکہ سطح حاصل کرنے پر رہنمائی پر؛ اقتصادی تعاون و ترقی کی تنظیم کے ڈیجیٹل سکیورٹی کی پالیسی کے کام پر، جو ڈیجیٹل سکیورٹی کو خالص تکنیکی کے بجائے معاشی اور سماجی خطرے کے انتظام کا مسئلہ بتاتا ہے؛ اور قومی سائبر سکیورٹی ایجنسیوں جیسے برطانیہ کے نیشنل سائبر سکیورٹی سینٹر اور امریکہ کی سائبر سکیورٹی اینڈ انفراسٹرکچر سکیورٹی ایجنسی کی شائع کردہ عملیاتی رہنمائی پر، جو دونوں خاص طور پر کم وسائل والے عوامی اداروں کے لیے مفت رہنمائی فراہم کرتی ہیں۔

حوالہ جات

1. Computer security — Wikipedia — https://en.wikipedia.org/wiki/Computer_security
2. Critical infrastructure — Wikipedia — https://en.wikipedia.org/wiki/Critical_infrastructure
3. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
4. Phishing — Wikipedia — https://en.wikipedia.org/wiki/Phishing
5. Data breach — Wikipedia — https://en.wikipedia.org/wiki/Data_breach
6. Supply chain attack — Wikipedia — https://en.wikipedia.org/wiki/Supply_chain_attack
7. Zero trust architecture — Wikipedia — https://en.wikipedia.org/wiki/Zero_trust_architecture
8. Computer security incident management — Wikipedia — https://en.wikipedia.org/wiki/Computer_security_incident_management
9. National Cyber Security Center (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Cybersecurity and Infrastructure Security Agency — Wikipedia — https://en.wikipedia.org/wiki/Cybersecurity_and_Infrastructure_Security_Agency
11. Cybersecurity Framework — National Institute of Standards and Technology — https://www.nist.gov/cyberframework
12. Who we are — European Union Agency for Cybersecurity (ENISA) — https://www.enisa.europa.eu/about-enisa/who-we-are
13. Digital security — Organisation for Economic Co-operation and Development (OECD) — https://www.oecd.org/en/topics/digital-security.html
14. What we do at the NCSC — National Cyber Security Center (United Kingdom) — https://www.ncsc.gov.uk/section/about-ncsc/what-we-do
15. About CISA — Cybersecurity and Infrastructure Security Agency (United States) — https://www.cisa.gov/about