परिचय:
साइबर अपराध एक सार्वभौमिक समस्या है जिसने समाचार चक्र पर कब्ज़ा कर लिया है। व्यक्तिगत सुरक्षा खतरे में है, लेकिन बड़े वैश्विक बैंक, कंपनियाँ और सरकारें कहीं अधिक खतरे में हैं। संगठित आपराधिक गिरोह अब स्टार्टअप की तरह काम करते हैं, जहाँ उच्च प्रशिक्षित इंजीनियर बार-बार नए साइबर हमले ईजाद करते रहते हैं। हर जगह फ़ायदा उठाने के लिए ऐसे डेटा के मौजूद होने से साइबर सुरक्षा अत्यंत महत्वपूर्ण हो गई है।
साइबर सुरक्षा में डोमेन कौन-से हैं?
साइबर सुरक्षा के 10 डोमेन निम्नलिखित हैं।
- एक्सेस कंट्रोल:
सूचना तक पहुँच को नियंत्रित करना कंपनियों के लिए सूचना की गोपनीयता, अखंडता और उपलब्धता की रक्षा हेतु अत्यंत महत्वपूर्ण है। एक्सेस प्रतिबंध अनधिकृत उपयोगकर्ताओं को सूचना प्राप्त करने, उपयोग करने या संशोधित करने से रोकते हैं। किसी संगठन के सामने जो जोखिम, खतरे और कमज़ोरियाँ होती हैं, वही इन नियंत्रणों को परिभाषित करती हैं।
- दूरसंचार और नेटवर्क सुरक्षा:
क्योंकि इसमें संचार अवसंरचना, संचार के तरीकों, डेटा परिवहन प्रारूपों और नेटवर्क व प्रसारण की रक्षा के लिए अपनाई जाने वाली सुरक्षा प्रक्रियाओं की समझ आवश्यक होती है, इसलिए नेटवर्क सुरक्षा और दूरसंचार CISSP प्रमाणपत्र के सबसे तकनीकी विषयों में से हैं। नेटवर्क वह मुख्य कड़ी है जो उपभोक्ताओं को सूचना संसाधनों से जोड़ती है। परिणामस्वरूप, यह डोमेन डेटा प्रवाह में बाधा और घुसपैठ से बचने के लिए नेटवर्क के डिज़ाइन और आर्किटेक्चर के साथ-साथ उसके घटकों पर ज़ोर देता है।
- सूचना सुरक्षा गवर्नेंस और जोखिम प्रबंधन:
सिस्टम सुरक्षा अभ्यास का डोमेन सुरक्षा विशेषज्ञ के कार्य की नींव है। इस डोमेन में मूल सुरक्षा सिद्धांत, प्रक्रियाएँ, नियंत्रण और परिभाषाएँ सूचीबद्ध हैं। यह सूचना सुरक्षा के कई गैर-तकनीकी पहलुओं पर भी ज़ोर देता है। IT सुरक्षा गवर्नेंस वह प्रक्रिया है जिसके माध्यम से कोई संगठन सूचना सुरक्षा को शासित और विनियमित करता है (ISO 38500 से रूपांतरित)। IT सुरक्षा गवर्नेंस और IT सुरक्षा प्रबंधन के बीच का अंतर महत्वपूर्ण है। IT सुरक्षा प्रबंधन जोखिम न्यूनीकरण निर्णयों से संबंधित है, जबकि गवर्नेंस यह तय करने पर केंद्रित है कि अधिकार किसके पास है।[1]
- सॉफ़्टवेयर डेवलपमेंट सुरक्षा:
सॉफ़्टवेयर डिज़ाइन विश्वसनीयता डोमेन संपूर्ण सिस्टम विकास प्रक्रिया (SDLC) से संबंधित है, जिसमें विचार से लेकर आवश्यकता, डिज़ाइन, सुधार, परिनियोजन, प्रक्रिया और सेवा से हटाए जाने तक सब शामिल है। विश्वास उपायों की पूर्ण प्रभावशीलता सुनिश्चित करने और गोपनीयता संबंधी मुद्दों की पहचान के लिए, सूचना सुरक्षा और गोपनीयता विशेषज्ञों को SDLC के सभी चरणों में शामिल किया जाना चाहिए।
व्यक्तिगत मोबाइल उपकरणों के व्यापक उपयोग और कमज़ोर मोबाइल ऐप्स की विस्तृत श्रृंखला से कार्यस्थल में संवेदनशील और व्यवसाय-संबंधी जानकारी के उजागर होने का खतरा बढ़ जाता है। ऐसा तब हो सकता है जब व्यक्तिगत सामग्री डिजिटल फ़ोन में सहेजी गई हो। साइबर हमले अक्सर सॉफ़्टवेयर और ऑपरेटिंग सिस्टम की खामियों का फ़ायदा उठाते हैं। इसीलिए सॉफ़्टवेयर को नियमित रूप से अपडेट और पैच किया जाना चाहिए।
- क्रिप्टोग्राफ़ी:
क्रिप्टोग्राफ़ी क्षेत्र भेजे जा रहे डेटा (यानी ट्रांज़िट में डेटा) और रखे गए डेटा (यानी रेस्ट में डेटा) की अखंडता, गोपनीयता और वैधता को सुरक्षित करने के लिए जानकारी को छिपाने की तकनीकों से संबंधित है। क्रिप्टोग्राफ़ी यह सुनिश्चित करती है कि दोनों प्रकार के डेटा को केवल उचित, अधिकृत व्यक्ति ही पढ़ सके। आम बोलचाल में इसे अक्सर एन्क्रिप्शन कहा जाता है। सामान्य टेक्स्ट को समझ से परे सिफ़र टेक्स्ट में बदलना एन्क्रिप्शन कहलाता है।
- सिक्योरिटी आर्किटेक्चर और डिज़ाइन:
डेटा टेक्नोलॉजी इन्फ्रास्ट्रक्चर के हर घटक (जैसे सर्वर, वर्कस्टेशन, स्टोरेज एरिया नेटवर्क, स्विच, राउटर, फ़ायरवॉल, क्लाउड कंप्यूटिंग या वर्चुअलाइज़ेशन) की अपनी कमज़ोरियाँ होती हैं।
किसी भी प्रकार के सिस्टम प्लेटफ़ॉर्म के लिए, सुरक्षा नीतियों को लागू करने हेतु सुरक्षा डिज़ाइन अपरिहार्य है, जिन्हें कई स्तरों पर लागू किया जा सकता है। संस्था का डिज़ाइन इस पर आधारित होता है कि वह निम्नलिखित में से प्रत्येक को कैसे प्रबंधित करेगी:
- अनुमत और निषिद्ध सेवाएँ और प्रक्रियाएँ
- वल्नरेबिलिटी विश्लेषण
- पैच प्रशासन
- फ़र्मवेयर या सॉफ़्टवेयर के अपग्रेड
- ऑपरेशन्स सिक्योरिटी:
हालाँकि सिक्योरिटी आर्किटेक्ट या इंजीनियर सुरक्षा मानकों और नीतियों के विकास में सहायता करते हैं, ऑपरेशनल सुरक्षा सुरक्षा घटनाओं को रोकने के लिए सुरक्षा उपायों और नियंत्रणों को स्थापित करने, बनाए रखने और निगरानी करने की रोज़मर्रा की गतिविधि है।
- बिज़नेस कंटीन्युटी और डिज़ास्टर रिकवरी प्लानिंग:
किसी आपदा या सेवा बाधित होने की स्थिति में, संचालन की रक्षा करने और उसे जारी रखने की रणनीतियाँ पहले से मौजूद होनी चाहिए। इस विषय में योजना के दो रूपों पर ज़ोर दिया गया है: बिज़नेस कंटीन्युटी प्लानिंग और डिज़ास्टर रिकवरी शेड्यूलिंग। प्रकृति में काफ़ी समान होने के बावजूद इन अवधारणाओं में कुछ अंतर हैं।
- कानूनी, विनियम, जाँच और अनुपालन:
सूचना सुरक्षा विशेषज्ञों को घरेलू और अंतरराष्ट्रीय कानूनों, विनियमों और उद्योग मानकों से परिचित होना चाहिए। इसमें साइबर अपराध और कंप्यूटर अपराधों की जाँच से जुड़ी विशिष्ट चुनौतियाँ शामिल हैं, जैसे पुष्टि जुटाने की फ़ोरेंसिक प्रक्रियाएँ और साक्ष्य नियंत्रण, स्थान और संरक्षण के लिए कानूनी नियम।
इस डोमेन में उल्लंघन की सूचना देने की प्रक्रियाएँ भी शामिल हैं। स्वास्थ्य सेवा कंपनियों और उनके व्यावसायिक सहयोगियों के लिए HIPAA गोपनीयता विनियम और HITECH उल्लंघन रिपोर्टिंग आवश्यकताओं के तहत PHI के उल्लंघन के बाद जिन कदमों की निगरानी की जानी चाहिए, उन्हें संघीय प्रशासन ने सटीक रूप से निर्दिष्ट किया है।
- भौतिक (पर्यावरणीय) सुरक्षा:
खतरनाक जोखिम आकलनों के दौरान भौतिक और पर्यावरणीय खतरों या संवेदनशीलताओं का पता चला होगा। इसमें अन्य बातों के अलावा आपदा परिदृश्य, सेवा विफलताएँ, नियमित आपदाएँ और तोड़फोड़ शामिल हैं।
भौतिक सुरक्षा में ताले, रक्षक, निगरानी मॉनिटर, घुसपैठ डिटेक्टर और सायरन शामिल हैं। इसमें उचित कंप्यूटर उपकरण प्रबंधन भी शामिल है, जैसे रखरखाव और रजिस्टर प्रणाली, प्रतिधारण और भंडारण, और निपटान के लिए एक प्रोटोकॉल।[1]
निष्कर्ष:
तेज़ गति वाली, निरंतर बदलती डिजिटल दुनिया के सबसे अहम हिस्सों में से एक साइबर सुरक्षा है। इसके खतरों को नज़रअंदाज़ करना कठिन है, इसलिए उनसे बचाव करना सीखना और दूसरों को सिखाना बहुत ज़रूरी है।
- The 10 Security Domains (Updated 2013) - Retired. यहाँ उपलब्ध: https://library.ahima.org/PB/SecurityDomains#.YeuKVP5BzIV.
साइबर सुरक्षा के मुख्य डोमेन एक नज़र में
| डोमेन | यह किसकी रक्षा करता है | नियंत्रण का उदाहरण |
|---|---|---|
| नेटवर्क सुरक्षा | ट्रैफ़िक और डिवाइस | फ़ायरवॉल, VPN, सेगमेंटेशन |
| एप्लिकेशन सुरक्षा | सॉफ़्टवेयर और API | कोड समीक्षा, टेस्टिंग, पैचिंग |
| सूचना सुरक्षा | डेटा की गोपनीयता और अखंडता | एन्क्रिप्शन, एक्सेस कंट्रोल |
| क्लाउड सुरक्षा | क्लाउड अकाउंट और वर्कलोड | IAM, सुरक्षित कॉन्फ़िगरेशन |
| पहचान और एक्सेस प्रबंधन | कौन क्या कर सकता है | MFA, न्यूनतम विशेषाधिकार |
| एंडपॉइंट सुरक्षा | लैपटॉप, फ़ोन, सर्वर | एंटीवायरस, डिवाइस प्रबंधन |
| ऑपरेशनल सुरक्षा और इंसीडेंट रिस्पांस | खतरों का रोज़मर्रा का प्रबंधन | बैकअप, प्लेबुक, निगरानी |
| गवर्नेंस, जोखिम और अनुपालन | नीतियाँ और कानूनी कर्तव्य | ऑडिट, जोखिम रजिस्टर |
संबंधित पठन: सूचना सुरक्षा, एप्लिकेशन सुरक्षा और नेटवर्क इन्फ्रास्ट्रक्चर सुरक्षा।
त्वरित उत्तर
छोटे व्यवसाय को किस साइबर सुरक्षा डोमेन से शुरुआत करनी चाहिए?
पहचान से शुरुआत करें (मज़बूत पासवर्ड और मल्टी-फ़ैक्टर ऑथेंटिकेशन), बैकअप और एंडपॉइंट सुरक्षा के साथ। ये सबसे आम हमलों को रोकते हैं।
