ভূমিকা:
সাইবার অপরাধ একটি সার্বজনীন সমস্যা, যা সংবাদচক্রকে দখল করে নিয়েছে। ব্যক্তিগত নিরাপত্তা হুমকির মুখে, তবে বড় বড় বৈশ্বিক ব্যাংক, কর্পোরেশন ও সরকার আরও বেশি ঝুঁকিতে। সংগঠিত অপরাধী চক্রগুলো এখন স্টার্টআপের মতো পরিচালিত হয়, যেখানে উচ্চপ্রশিক্ষিত প্রকৌশলীরা বারবার নতুন সাইবার আক্রমণ উদ্ভাবন করে। এমন ডেটা সর্বত্র কাজে লাগানোর সুযোগ থাকায় সাইবার নিরাপত্তা অপরিহার্য হয়ে উঠেছে।
সাইবার নিরাপত্তার ডোমেইনগুলো কী কী?
সাইবার নিরাপত্তার ১০টি ডোমেইন নিম্নরূপ।
- অ্যাক্সেস কন্ট্রোল:
তথ্যের গোপনীয়তা, অখণ্ডতা ও প্রাপ্যতা রক্ষায় তথ্যে প্রবেশ নিয়ন্ত্রণ প্রতিষ্ঠানগুলোর জন্য অত্যন্ত গুরুত্বপূর্ণ। প্রবেশ-নিষেধাজ্ঞার মাধ্যমে অননুমোদিত ব্যবহারকারীরা তথ্য উদ্ধার, ব্যবহার বা পরিবর্তন করতে পারে না। একটি প্রতিষ্ঠান যেসব ঝুঁকি, হুমকি ও দুর্বলতার মুখোমুখি হয়, সেগুলোই এই নিয়ন্ত্রণ ব্যবস্থা নির্ধারণ করে।
- টেলিযোগাযোগ ও নেটওয়ার্ক নিরাপত্তা:
যেহেতু এর জন্য যোগাযোগ অবকাঠামো, যোগাযোগের পদ্ধতি, ডেটা পরিবহন ফরম্যাট এবং নেটওয়ার্ক ও সম্প্রচার সুরক্ষায় ব্যবহৃত নিরাপত্তা পদ্ধতি বোঝা দরকার, তাই নেটওয়ার্ক নিরাপত্তা ও টেলিযোগাযোগ CISSP সনদের সবচেয়ে প্রযুক্তিগত বিষয়গুলোর অন্যতম। নেটওয়ার্ক হলো সেই মূল যোগসূত্র যা ভোক্তাদের তথ্যসম্পদের সঙ্গে যুক্ত করে। ফলে ডেটা প্রবাহে বিঘ্ন ও অনুপ্রবেশ এড়াতে এই ডোমেইন নেটওয়ার্কের নকশা ও স্থাপত্য এবং এর উপাদানগুলোর ওপর জোর দেয়।
- তথ্য নিরাপত্তা শাসন ও ঝুঁকি ব্যবস্থাপনা:
সিস্টেম নিরাপত্তা অনুশীলনের ডোমেইন একজন নিরাপত্তা বিশেষজ্ঞের কাজের ভিত্তি। মূল নিরাপত্তা নীতি, পদ্ধতি, নিয়ন্ত্রণ ও সংজ্ঞা সবই এই ডোমেইনে তালিকাভুক্ত। এটি তথ্য নিরাপত্তার বেশ কিছু অপ্রযুক্তিগত দিকের ওপরও জোর দেয়। আইটি নিরাপত্তা শাসন হলো সেই প্রক্রিয়া যার মাধ্যমে একটি প্রতিষ্ঠান তথ্য নিরাপত্তা পরিচালনা ও নিয়ন্ত্রণ করে (ISO 38500 থেকে গৃহীত)। আইটি নিরাপত্তা ব্যবস্থাপনা ও আইটি নিরাপত্তা শাসনের মধ্যে পার্থক্য অত্যন্ত গুরুত্বপূর্ণ। আইটি নিরাপত্তা ব্যবস্থাপনা ঝুঁকি হ্রাসের সিদ্ধান্ত নিয়ে কাজ করে, আর শাসন কেন্দ্রীভূত থাকে কার ক্ষমতা আছে তা নির্ধারণে।[1]
- সফটওয়্যার ডেভেলপমেন্ট নিরাপত্তা:
সফটওয়্যার নকশা আস্থা ডোমেইন পুরো সিস্টেম উন্নয়ন প্রক্রিয়া (SDLC) নিয়ে কাজ করে, ধারণা থেকে প্রয়োজনীয়তা, নকশা, উন্নয়ন, স্থাপনা, পদ্ধতি এবং সেবা থেকে অবসর পর্যন্ত। আস্থা ব্যবস্থার পূর্ণ কার্যকারিতা নিশ্চিত করতে এবং গোপনীয়তা সংক্রান্ত সমস্যা চিহ্নিত করতে তথ্য নিরাপত্তা ও গোপনীয়তা বিশেষজ্ঞদের SDLC-এর সব পর্যায়ে অন্তর্ভুক্ত থাকতে হবে।
ব্যক্তিগত মোবাইল ডিভাইসের ব্যাপক ব্যবহার এবং দুর্বল মোবাইল অ্যাপের বিস্তৃত পরিসর কর্মক্ষেত্রে সংবেদনশীল ও ব্যবসা-সংক্রান্ত তথ্য প্রকাশের ঝুঁকি বাড়ায়। ডিজিটাল ফোনে ব্যক্তিগত উপাদান সংরক্ষিত থাকলে এমন ঘটতে পারে। সাইবার আক্রমণ প্রায়ই সফটওয়্যার ও অপারেটিং সিস্টেমের ত্রুটির সুযোগ নেয়। সে কারণেই সফটওয়্যার নিয়মিত হালনাগাদ ও প্যাচ করা আবশ্যক।
- ক্রিপ্টোগ্রাফি:
ক্রিপ্টোগ্রাফি ক্ষেত্রটি প্রেরিত তথ্যের (অর্থাৎ ট্রানজিটে থাকা ডেটা) পাশাপাশি সংরক্ষিত তথ্যের (অর্থাৎ বিশ্রামে থাকা ডেটা) অখণ্ডতা, গোপনীয়তা ও বৈধতা নিশ্চিত করতে তথ্য লুকানোর কৌশল নিয়ে কাজ করে। ক্রিপ্টোগ্রাফি নিশ্চিত করে যে উভয় ধরনের ডেটা কেবল যথাযথ, অনুমোদিত ব্যক্তিই পড়তে পারেন। সাধারণ ভাষায় একে প্রায়ই এনক্রিপশন বলা হয়। সাধারণ টেক্সটকে দুর্বোধ্য সাইফার টেক্সটে রূপান্তর করার প্রক্রিয়াকে এনক্রিপশন বলে।
- নিরাপত্তা স্থাপত্য ও নকশা:
ডেটা প্রযুক্তি অবকাঠামোর প্রতিটি উপাদানের (যেমন সার্ভার, কর্মস্থল, স্টোরেজ এরিয়া নেটওয়ার্ক, সুইচ, রাউটার, ফায়ারওয়াল, ক্লাউড কম্পিউটিং বা ভার্চুয়ালাইজেশন) নিজস্ব দুর্বলতার সেট আছে।
যেকোনো ধরনের সিস্টেম প্ল্যাটফর্মের জন্য নিরাপত্তা নকশা অপরিহার্য, যাতে বহু স্তরে প্রয়োগযোগ্য নিরাপত্তা নীতি আরোপ করা যায়। প্রতিষ্ঠানের নকশা নির্ভর করে এটি নিচের প্রতিটি বিষয় কীভাবে সামলাবে তার ওপর:
- অনুমোদিত ও নিষিদ্ধ সেবা এবং পদ্ধতি
- দুর্বলতা বিশ্লেষণ
- প্যাচ ব্যবস্থাপনা
- ফার্মওয়্যার বা সফটওয়্যার আপগ্রেড
- অপারেশন নিরাপত্তা:
নিরাপত্তা স্থপতি বা প্রকৌশলী নিরাপত্তা মান ও নীতি তৈরিতে সহায়তা করলেও, অপারেশনাল নিরাপত্তা হলো নিরাপত্তা ঘটনা প্রতিরোধে সুরক্ষা ও নিয়ন্ত্রণ ব্যবস্থা স্থাপন, রক্ষণাবেক্ষণ ও পর্যবেক্ষণের দৈনন্দিন কাজ।
- ব্যবসায়িক ধারাবাহিকতা ও দুর্যোগ পুনরুদ্ধার পরিকল্পনা:
কোনো দুর্যোগ বা সেবা বিঘ্নের ক্ষেত্রে কার্যক্রম সুরক্ষিত রাখা ও চালিয়ে যাওয়ার কৌশল থাকতে হবে। এই বিষয়ে পরিকল্পনার যে দুটি রূপ তুলে ধরা হয়েছে তা হলো ব্যবসায়িক ধারাবাহিকতা পরিকল্পনা এবং দুর্যোগ পুনরুদ্ধার পরিকল্পনা। প্রকৃতিতে বেশ কাছাকাছি হলেও ধারণা দুটির মধ্যে কিছু পার্থক্য আছে।
- আইন, বিধিমালা, তদন্ত ও কমপ্লায়েন্স:
তথ্য নিরাপত্তা বিশেষজ্ঞদের দেশীয় ও আন্তর্জাতিক আইন, বিধিমালা এবং শিল্প মান সম্পর্কে অবগত থাকতে হয়। এর মধ্যে রয়েছে সাইবার অপরাধ এবং কম্পিউটার অপরাধ তদন্তের নির্দিষ্ট চ্যালেঞ্জ, যেমন প্রমাণ সংগ্রহের ফরেনসিক প্রক্রিয়া এবং প্রমাণ নিয়ন্ত্রণ, স্থান ও সংরক্ষণের আইনি বিধান।
এই ডোমেইনে লঙ্ঘনের বিজ্ঞপ্তি প্রদানের প্রক্রিয়াও রয়েছে। স্বাস্থ্যসেবা প্রতিষ্ঠান ও তাদের ব্যবসায়িক সহযোগীদের জন্য HIPAA গোপনীয়তা বিধি এবং HITECH লঙ্ঘন প্রতিবেদনের শর্তের অধীনে PHI লঙ্ঘনের পর যেসব পদক্ষেপ পর্যবেক্ষণ করতে হবে, ফেডারেল প্রশাসন তা সুনির্দিষ্টভাবে উল্লেখ করেছে।
- ভৌত (পরিবেশগত) নিরাপত্তা:
বিপজ্জনক ঝুঁকি মূল্যায়নের সময় ভৌত ও পরিবেশগত হুমকি বা দুর্বলতা শনাক্ত হয়ে থাকতে পারে। এর মধ্যে অন্যান্য বিষয়ের পাশাপাশি রয়েছে দুর্যোগের পরিস্থিতি, সেবা বিঘ্ন, নিয়মিত দুর্যোগ এবং নাশকতা।
ভৌত নিরাপত্তার মধ্যে রয়েছে তালা, প্রহরী, নজরদারি মনিটরিং, অনুপ্রবেশ শনাক্তকারী এবং সাইরেন। এর মধ্যে আরও আছে কম্পিউটার সরঞ্জামের যথাযথ ব্যবস্থাপনা, যেমন রক্ষণাবেক্ষণ ও রেজিস্টার ব্যবস্থা, সংরক্ষণ ও মজুদ এবং নিষ্পত্তির প্রোটোকল।[1]
উপসংহার:
দ্রুতগতির, প্রতিনিয়ত পরিবর্তনশীল ডিজিটাল বিশ্বের অন্যতম গুরুত্বপূর্ণ অংশ হলো সাইবার নিরাপত্তা। এর হুমকি উপেক্ষা করা কঠিন, তাই এগুলো থেকে কীভাবে সুরক্ষিত থাকতে হয় তা শেখা এবং অন্যদের শেখানো অত্যন্ত জরুরি।
- The 10 Security Domains (Updated 2013) - Retired. এখানে পাওয়া যাবে: https://library.ahima.org/PB/SecurityDomains#.YeuKVP5BzIV.
এক নজরে প্রধান সাইবার নিরাপত্তা ডোমেইন
| ডোমেইন | এটি কী সুরক্ষা দেয় | নিয়ন্ত্রণের উদাহরণ |
|---|---|---|
| নেটওয়ার্ক নিরাপত্তা | ট্রাফিক ও ডিভাইস | ফায়ারওয়াল, VPN, সেগমেন্টেশন |
| অ্যাপ্লিকেশন নিরাপত্তা | সফটওয়্যার ও API | কোড রিভিউ, টেস্টিং, প্যাচিং |
| তথ্য নিরাপত্তা | ডেটার গোপনীয়তা ও অখণ্ডতা | এনক্রিপশন, অ্যাক্সেস কন্ট্রোল |
| ক্লাউড নিরাপত্তা | ক্লাউড অ্যাকাউন্ট ও ওয়ার্কলোড | IAM, নিরাপদ কনফিগারেশন |
| আইডেন্টিটি ও অ্যাক্সেস ম্যানেজমেন্ট | কে কী করতে পারে | MFA, ন্যূনতম বিশেষাধিকার |
| এন্ডপয়েন্ট নিরাপত্তা | ল্যাপটপ, ফোন, সার্ভার | অ্যান্টিভাইরাস, ডিভাইস ব্যবস্থাপনা |
| অপারেশনাল নিরাপত্তা ও ঘটনা মোকাবিলা | হুমকির দৈনন্দিন মোকাবিলা | ব্যাকআপ, প্লেবুক, মনিটরিং |
| গভর্ন্যান্স, ঝুঁকি ও কমপ্লায়েন্স | নীতিমালা ও আইনি দায়িত্ব | অডিট, ঝুঁকি রেজিস্টার |
সংশ্লিষ্ট পাঠ: তথ্য নিরাপত্তা, অ্যাপ্লিকেশন নিরাপত্তা এবং নেটওয়ার্ক অবকাঠামো নিরাপত্তা।
দ্রুত উত্তর
একটি ছোট ব্যবসার কোন সাইবার নিরাপত্তা ডোমেইন দিয়ে শুরু করা উচিত?
শুরু করুন আইডেন্টিটি দিয়ে (শক্তিশালী পাসওয়ার্ড ও মাল্টি-ফ্যাক্টর অথেনটিকেশন), ব্যাকআপ এবং এন্ডপয়েন্ট সুরক্ষা। এগুলো সবচেয়ে সাধারণ আক্রমণ ঠেকায়।
