CERT-In, NCIIPC और जीरो-ट्रस्ट साइबर सुरक्षा

1. साइबर सुरक्षा के दो वैधानिक संस्थान

भारत के सूचना प्रौद्योगिकी अधिनियम, 2000 में 2008 के संशोधन से महत्वपूर्ण साइबर सुरक्षा प्रावधान जुड़े। धारा 70 संरक्षित प्रणालियों/महत्त्वपूर्ण सूचना अवसंरचना का कानूनी संदर्भ देती है; धारा 70क (70A) महत्त्वपूर्ण सूचना अवसंरचना की सुरक्षा के लिए राष्ट्रीय नोडल व्यवस्था से जुड़ी है; धारा 70ख (70B) कंप्यूटर आपातकालीन प्रतिक्रिया दल CERT-In के आधार से संबंधित है।

महत्त्वपूर्ण सूचना अवसंरचना (Critical Information Infrastructure—CII) ऐसी कंप्यूटर प्रणाली/संसाधन व्यवस्था है जिसका अक्षम होना राष्ट्रीय सुरक्षा, अर्थव्यवस्था, लोक स्वास्थ्य अथवा सुरक्षा पर विनाशकारी असर डाल सकता है। उदाहरण में बिजली, वित्त, दूरसंचार, परिवहन, सरकारी और रणनीतिक प्रतिष्ठान आते हैं।

2. CERT-In के 2022 निर्देश: 6 घंटे और 180 दिन

28 अप्रैल 2022 के निर्देशों के अनुसार परिभाषित रिपोर्ट योग्य साइबर घटनाओं की सूचना अधिकृत संस्थाओं को घटना ज्ञात होने अथवा सूचना मिलने के छह घंटे के भीतर देनी है। संबंधित संचार का समय समन्वित रखने के लिए मान्य समय-स्रोत से घड़ी समकालित करनी होती है। आईसीटी प्रणालियों के लॉग एक चलती 180 दिनों की अवधि तक सुरक्षित रखना अपेक्षित है, संबंधित नियमों के अनुसार भारतीय क्षेत्राधिकार में।

यदि पहली सूचना में सारे तथ्य न हों, तो उपलब्ध जानकारी पहले भेजकर अतिरिक्त विवरण बाद में प्रदान किया जा सकता है—यह CERT-In के स्पष्टीकरण का महत्त्वपूर्ण व्यावहारिक पहलू है। सभी इंटरनेट गतिविधियों को मनमाने ढंग से छह घंटे के भीतर रिपोर्ट करना कानून का सही सार नहीं; अधिसूचित श्रेणियाँ और दायरा पढ़ना आवश्यक है।

3. जीरो-ट्रस्ट: 'कंपनी के भीतर है इसलिए भरोसेमंद' धारणा छोड़ना

पारंपरिक सुरक्षा मॉडल नेटवर्क की बाहरी सीमा पर दीवार बनाता और भीतर के उपयोग को अपेक्षाकृत विश्वसनीय मान सकता है। जीरो-ट्रस्ट संरचना स्थान या स्वामित्व के आधार पर स्वतः भरोसा नहीं करती। हर संसाधन तक पहुँच के लिए उपयुक्त पहचान, उपकरण-स्थिति, न्यूनतम अनुमति तथा उपयोग के संदर्भ का सत्यापन जरूरी है। NIST का SP 800-207 इसका व्यापक ढाँचा बताता है।

1. बहु-कारक प्रमाणीकरण से केवल पासवर्ड चोरी होने पर भी जोखिम घटता है।
2. न्यूनतम विशेषाधिकार के तहत उपयोगकर्ता को सिर्फ काम भर की अनुमति दी जाती है।
3. सूक्ष्म-विभाजन से एक प्रणाली में सेंध लगने पर दूसरी प्रणालियों में स्वतः पहुँच कठिन होती है।
4. निरंतर निगरानी से असामान्य सत्र, डेटा निकासी और विक्रेता के जोखिम की पहचान बेहतर होती है।

जीरो-ट्रस्ट कोई एक उत्पाद, सॉफ्टवेयर या 'शत-प्रतिशत अचूक' सुरक्षा विधि नहीं, बल्कि तकनीकी और प्रशासनिक सिद्धांतों का संयोजन है।

4. बाहरी डेटा केंद्र और विक्रेता जोखिम

मान लीजिए कोई ऊर्जा संयंत्र एक बाहरी सेवा कंपनी को सीमित निगरानी अधिकार देता है। यदि उसी विक्रेता की पहचान चोरी हो जाए और पूरे आंतरिक नेटवर्क पर एक समान पहुँच मिली हो, तो अत्यावश्यक प्रणालियाँ भी जोखिम में पड़ सकती हैं। विक्रेता-विशिष्ट पहचान, अलग नेटवर्क, सुरक्षित लॉग, समयबद्ध अनुमति तथा नियमित अनुबंधीय ऑडिट इस जोखिम को घटाते हैं।

इंडस्ट्रियल नियंत्रण प्रणालियों में हमेशा साधारण कार्यालय-सॉफ्टवेयर जैसी सुरक्षा पद्धति नहीं अपनाई जा सकती, क्योंकि उपलब्धता तथा भौतिक-सुरक्षा प्राथमिक होती है। सुरक्षा उपायों का जोखिम-आधारित परीक्षण और सुरक्षित चरणबद्ध परिवर्तन जरूरी है।

5. GS-III में उत्तर की रूपरेखा

महत्त्वपूर्ण अवसंरचना, राष्ट्रीय सुरक्षा और डिजिटल अर्थव्यवस्था के संबंध से भूमिका शुरू करें। इसके बाद NCIIPC—सुरक्षा/संरक्षण और CERT-In—प्रतिक्रिया/समन्वय का अंतर लिखें। तीसरे भाग में आपूर्ति शृंखला और विक्रेता जोखिम, जीरो-ट्रस्ट, अनिवार्य रिपोर्टिंग और विशेषज्ञ प्रशिक्षण की चर्चा करें। निष्कर्ष में स्थायित्व, जवाबदेही, पारदर्शिता तथा निजता के संतुलन की बात करें।