এআই-সংক্রান্ত ছাড়ের আওতায় নেটওয়ার্ক যুক্ত করার আগে নিরাপত্তা পরীক্ষায় ব্যর্থ ১০ কোরীয় আর্থিক প্রতিষ্ঠান

পরিদর্শনে দেখা গেছে, সুরক্ষাব্যবস্থা মূলত কাগজে-কলমে ছিল

অভ্যন্তরীণ ব্যবসায়িক নেটওয়ার্কের সঙ্গে বাইরের ইন্টারনেট সেবা যুক্ত করার সাময়িক অনুমতি পাওয়া দক্ষিণ কোরিয়ার ১০টি আর্থিক প্রতিষ্ঠান প্রয়োজনীয় অনেক নিরাপত্তাব্যবস্থা কার্যকর করেনি। জুলাইয়ের মাঝামাঝি থেকে সেপ্টেম্বরের শুরুর মধ্যে পরিচালিত পরিদর্শনে এ তথ্য উঠে এসেছে। ঘাটতিগুলোর মধ্যে ছিল ইন্টারনেট থেকে প্রবেশযোগ্য নিরাপত্তা ব্যবস্থাপনা কনসোল এবং নিরাপত্তা সনদহীন একটি ক্লাউড সেবা।

১৯ জুন প্রতিষ্ঠানগুলোকে এক বছরের ব্যতিক্রমী অনুমতি দেওয়ার পর ফাইন্যান্সিয়াল সিকিউরিটি ইনস্টিটিউট ১২টি বিকল্প নিরাপত্তা নিয়ন্ত্রণব্যবস্থা পর্যালোচনা করে। অভ্যন্তরীণ ব্যবস্থার দুর্বলতা শনাক্ত করতে বাইরের কৃত্রিম বুদ্ধিমত্তা (এআই) ও নিরাপত্তা সফটওয়্যার ব্যবহারের সুযোগ দেওয়াই ছিল এই অনুমতির উদ্দেশ্য।

ইনস্টিটিউট জানিয়েছে, অভ্যন্তরীণ ও বাহ্যিক নেটওয়ার্ক যুক্ত করার আগেই সব ঘাটতি সংশোধন করা হয়েছিল। এই পার্থক্যটি গুরুত্বপূর্ণ: পরিদর্শনের ফলাফলে ছাড়ের জন্য প্রস্তুতির ঘাটতি দেখা যায়, তবে কর্মসূচির আওতায় অনুমোদিত সংযোগের মাধ্যমে হ্যাকাররা অভ্যন্তরীণ ব্যবস্থায় প্রবেশ করেছিল, এমনটা প্রমাণিত হয় না।

পরিদর্শনের নথি পেয়েছেন সোশ্যাল ডেমোক্রেটিক পার্টির আইনপ্রণেতা হান চ্যাং-মিন। তিনি ন্যাশনাল অ্যাসেম্বলির ন্যাশনাল পলিসি কমিটির সদস্য। নথিতে দেখা গেছে, অনেক সুরক্ষাব্যবস্থা পরিকল্পনার পর্যায়েই ছিল এবং প্রতিষ্ঠানগুলো নিজেদের পরিচালন পরিবেশে নিয়ন্ত্রণগুলো কার্যকর কি না, তা যাচাই করেনি।

নিয়ন্ত্রকেরা সর্বোচ্চ ১৫টি প্রতিষ্ঠানকে বেছে নেওয়ার পরিকল্পিত দ্বিতীয় দফার ছাড় স্থগিত করার সময় এ তথ্য সামনে আসে। কর্তৃপক্ষ জানিয়েছে, নীতিটি বন্ধ করার ঘোষণা না দিয়ে তারা প্রশাসনিক সম্পদ সাম্প্রতিক পৃথক হ্যাকিং ও তথ্য ফাঁসের ঘটনায় কেন্দ্রীভূত করার প্রয়োজনেই এ সিদ্ধান্ত নিয়েছে।

কোন প্রতিষ্ঠানগুলো পরিদর্শনের আওতায় ছিল?

প্রথম দলে ছিল চারটি ব্যাংক, তিনটি সিকিউরিটিজ কোম্পানি, দুটি বিমা প্রতিষ্ঠান এবং একটি কার্ড কোম্পানি। ব্যাংকগুলো হলো শিনহান ব্যাংক, হানা ব্যাংক, উরি ব্যাংক ও কাকাওব্যাংক। সিকিউরিটিজ প্রতিষ্ঠানগুলো হলো কেবি সিকিউরিটিজ, এনএইচ ইনভেস্টমেন্ট অ্যান্ড সিকিউরিটিজ এবং মিরায়ে অ্যাসেট সিকিউরিটিজ। দলটির অন্য প্রতিষ্ঠানগুলো হলো স্যামসাং ফায়ার অ্যান্ড মেরিন ইনস্যুরেন্স, হানহওয়া লাইফ এবং হুন্দাই কার্ড।

ছাড়ের জন্য প্রয়োজনীয় বিকল্প নিয়ন্ত্রণব্যবস্থা যাচাইয়ে এই ১০টি প্রতিষ্ঠানকেই পরিদর্শন করা হয়। কোন প্রতিষ্ঠানের কী ঘাটতি ছিল, কিংবা কোন নিয়ন্ত্রণব্যবস্থাগুলো ব্যর্থ হয়েছিল—ইনস্টিটিউট তা প্রকাশ করেনি। তাদের যুক্তি, এ ধরনের তথ্য হামলাকারীদের লক্ষ্যবস্তু শনাক্ত করতে সহায়তা করতে পারে।

তাই কিছু প্রশাসনিক কনসোল বাইরের ইন্টারনেট থেকে প্রবেশযোগ্য ছিল—এমন তথ্য কোনো নির্দিষ্ট প্রতিষ্ঠানের নামে বলা যায় না। নিরাপত্তা সনদহীন ক্লাউড সেবার ক্ষেত্রেও একই কথা প্রযোজ্য। পরিদর্শিত প্রতিষ্ঠানের তালিকা পর্যালোচনার পরিধি চিহ্নিত করে, নির্দিষ্ট দুর্বলতার জন্য কারা দায়ী তা নয়।

ইনস্টিটিউট জানিয়েছে, তারা ফাইন্যান্সিয়াল সার্ভিসেস কমিশনের কাছে ফলাফল তুলে ধরেছে এবং নেটওয়ার্ক সংযোগ চালুর আগে সংশোধন সম্পন্ন হয়েছে বলে নিশ্চিত করেছে। পরিদর্শনের বিবরণে এসব নির্দিষ্ট ঘাটতির কারণে কোনো গ্রাহকের ক্ষতি, সফল অনুপ্রবেশ বা তথ্য ফাঁসের কথা শনাক্ত করা হয়নি।

সাময়িক অনুমতিতে কী শর্ত ছিল

আর্থিক প্রতিষ্ঠানগুলোকে সাধারণত তাদের ডেটা সেন্টারের অভ্যন্তরীণ ব্যবসায়িক ব্যবস্থা ও তথ্য প্রক্রিয়াকরণ ব্যবস্থা থেকে ইন্টারনেটসহ বাইরের যোগাযোগ নেটওয়ার্ক আলাদা রাখতে হয়। ১৯ জুনের পদক্ষেপে নির্দিষ্ট একটি উদ্দেশ্যে সাময়িকভাবে এই সীমা শিথিল করা হয়: অভ্যন্তরীণ ব্যবস্থার দুর্বলতা যাচাইয়ে বাইরের এআই ও নিরাপত্তা সফটওয়্যার-এজ-এ-সার্ভিস (সাস) ব্যবহার।

সফটওয়্যার-এজ-এ-সার্ভিস বা সাস হলো এমন সফটওয়্যার, যা কোনো প্রতিষ্ঠানের নিজস্ব ব্যবস্থায় পুরোপুরি ইনস্টল ও পরিচালনার বদলে সেবা-দাতার অনলাইন অবকাঠামোর মাধ্যমে ব্যবহার করা হয়। অভ্যন্তরীণ প্রযুক্তি পরিদর্শনে এ ধরনের সফটওয়্যার ব্যবহার করতে হলে নেটওয়ার্ক বিচ্ছিন্নতার নিয়মে সাধারণত নিষিদ্ধ এমন একটি সীমা নিয়ন্ত্রিতভাবে অতিক্রম করে সংযোগ স্থাপনের প্রয়োজন হতে পারে।

তাই ব্যতিক্রমী অনুমতিটি শর্তসাপেক্ষ ছিল। প্রতিষ্ঠানগুলোকে ১২টি বিকল্প নিয়ন্ত্রণব্যবস্থা প্রতিষ্ঠা ও কার্যকর করতে হতো। এর মধ্যে এআই বা সাস সেবা-সংক্রান্ত নিরাপত্তা ঘটনা ও সেবাবিঘ্ন মোকাবিলার পদ্ধতিও ছিল। এসব সেবার মধ্যে অপ্রয়োজনীয় তথ্য আদান-প্রদান বা প্রক্রিয়াকরণও তাদের ঠেকাতে হতো।

শর্তগুলো শুধু নিরাপদে সংযোগ স্থাপনের বিষয়েই সীমিত ছিল না। বাইরের সেবা-দাতার সেবা বন্ধ হয়ে গেলে কী হবে এবং কোনো বহিরাগত সেবা প্রতিষ্ঠানের নিরাপত্তা কার্যক্রমের অংশ হওয়ার পর তথ্য কীভাবে ব্যবহৃত হবে, তাও এর আওতায় ছিল। লিখিত সাড়াদান পরিকল্পনা তৈরি করে পরিকল্পনার শর্ত পূরণ করা সম্ভব, কিন্তু তা দিয়ে প্রমাণ হয় না যে কর্মী, ব্যবস্থা ও প্রবেশাধিকার-সংক্রান্ত বিধিনিষেধ বাস্তবে তা কার্যকর করার জন্য প্রস্তুত।

ইন্টারনেট থেকে প্রশাসনিক কনসোলে প্রবেশযোগ্যতা কেন উদ্বেগের

যেসব পরিবেশে নিয়ন্ত্রণব্যবস্থাগুলো বাস্তবে কাজ করার কথা, সেসব পরিবেশে সেগুলো যাচাই না করার প্রবণতা পরিদর্শনে ধরা পড়ে। কিছু প্রতিষ্ঠান নিরাপত্তা প্রশাসনব্যবস্থা—যা ম্যানেজমেন্ট কনসোল নামে পরিচিত—ইন্টারনেট থেকে প্রবেশযোগ্য রেখেছিল। নিরাপত্তা সরঞ্জাম পরিচালনায় এসব ইন্টারফেস ব্যবহৃত হয়, তাই সেগুলোতে প্রবেশাধিকার সীমিত রাখা বিশেষভাবে গুরুত্বপূর্ণ।

ইন্টারনেট থেকে প্রবেশযোগ্য হলেই প্রমাণ হয় না যে কোনো হামলাকারী প্রমাণীকরণব্যবস্থা এড়িয়ে গেছে বা নিয়ন্ত্রণ নিয়েছে। তবে এর ফলে সংবেদনশীল প্রশাসনিক ইন্টারফেসে বাইরে থেকে প্রবেশের একটি পথ তৈরি হয়। পরিদর্শনের প্রকাশিত তথ্যে প্রমাণীকরণ ব্যবস্থা, কতক্ষণ ইন্টারফেসটি উন্মুক্ত ছিল কিংবা কতটি প্রতিষ্ঠান এতে প্রভাবিত হয়েছে—এসব উল্লেখ করা হয়নি।

সুনচুনহিয়াং বিশ্ববিদ্যালয়ের তথ্যনিরাপত্তা বিভাগের অধ্যাপক ইয়ম হিউং-ইওল সতর্ক করে বলেছেন, সংশোধনের কাজ শেষ হওয়ার আগে সুরক্ষাব্যবস্থাগুলো পুরোপুরি কার্যকর নাও হয়ে থাকতে পারে। তিনি নিরাপত্তা ব্যবস্থাপনা সিস্টেমে প্রবেশাধিকারের বিষয়টিকে বিশেষভাবে গুরুতর ঘাটতি বলে উল্লেখ করেছেন:

নিরাপত্তা প্রশাসনব্যবস্থায় বাইরের প্রবেশাধিকার সীমিত করতে ব্যর্থ হওয়া অত্যন্ত গুরুতর বিষয়।

ইনস্টিটিউটের বিবরণ অনুযায়ী, অনুমোদিত সংযোগ চালুর আগেই ঘাটতি সংশোধন করা হয়েছিল। ফলে অভ্যন্তরীণ নেটওয়ার্ক বাস্তবে কতটা ঝুঁকির মুখে পড়েছিল, সে বিষয়ে সিদ্ধান্তে পৌঁছানোর সুযোগ সীমিত। তবে বড় ধরনের নিয়ম-পরিপালন উদ্বেগ থেকেই যায়: ছাড়ের যৌক্তিকতা প্রতিষ্ঠার জন্য যেসব নিয়ন্ত্রণব্যবস্থা দরকার ছিল, পরিদর্শনের সময় সেগুলো পুরোপুরি কার্যকর করা হয়নি।

পৃথক হ্যাকিংয়ের ঘটনায় দ্বিতীয় দফা স্থগিত

ফাইন্যান্সিয়াল সার্ভিসেস কমিশন ৭ অক্টোবর পরবর্তী দফার প্রতিষ্ঠান বাছাইয়ের পরিকল্পনা করেছিল। ৬ অক্টোবর স্থগিতের খবর প্রকাশিত হয়। কর্তৃপক্ষ জানায়, সাম্প্রতিক হ্যাকিং ও তথ্য ফাঁসের ঘটনায় সম্পদ কেন্দ্রীভূত করা এবং কর্মসূচি সম্প্রসারণের আগে পরিস্থিতির অগ্রগতি পর্যবেক্ষণ করা প্রয়োজন।

২৭ সেপ্টেম্বর থেকে কেবি কুকমিন ব্যাংক, শিনহান ব্যাংক, হানা ব্যাংক, বিএনকে বুসান ব্যাংক, ইয়েগারাম সেভিংস ব্যাংক, ওয়েলকাম সেভিংস ব্যাংক এবং হুন্দাই ক্যাপিটালসহ বিভিন্ন প্রতিষ্ঠানে ঘটনার খবর পাওয়া গেছে। এসব ঘটনা সাময়িক নেটওয়ার্ক বিচ্ছিন্নতা-সংক্রান্ত ছাড়ের কারণে ঘটেছে, এমন প্রমাণ ওই প্রতিবেদনগুলোতে নেই।

শিনহান ব্যাংক ও হানা ব্যাংক পরিদর্শিত প্রতিষ্ঠানের তালিকায় এবং যেসব প্রতিষ্ঠানে ঘটনার খবর পাওয়া গেছে, সেই তালিকাতেও আছে। দুই তালিকায় নাম থাকা কোনো কার্যকারণ সম্পর্কের প্রমাণ নয়। নতুন কোনো তথ্য এ দুটির যোগসূত্র না দেখানো পর্যন্ত নিরাপত্তা পর্যালোচনা ও বৃহত্তর পরিসরের হ্যাকিং-প্রতিক্রিয়াকে আলাদা করে দেখতে হবে।

অনুমতি, পরিদর্শন ও সম্প্রসারণ স্থগিতের ধারাবাহিকতা কয়েকটি তারিখে স্পষ্ট:

• ১৯ জুন: এআই ও নিরাপত্তা সাস ব্যবহারের জন্য ১০টি প্রতিষ্ঠানকে সাময়িক ব্যতিক্রমী অনুমতি দেয় কমিশন।
• জুলাইয়ের মাঝামাঝি থেকে সেপ্টেম্বরের শুরুর মধ্যে: ফাইন্যান্সিয়াল সিকিউরিটি ইনস্টিটিউট প্রতিষ্ঠানগুলো পরিদর্শন করে এবং নেটওয়ার্ক সংযোগের আগে সংশোধন বাধ্যতামূলক করে।
• ১৪ সেপ্টেম্বর: পরিকল্পিত দ্বিতীয় দফার আবেদন জমা দেওয়ার সময়সীমা শেষ হওয়ার কথা ছিল।
• ২৭ সেপ্টেম্বর থেকে: আর্থিক খাতে একাধিক হ্যাকিং ও তথ্য ফাঁসের খবর প্রকাশিত হয়।
• ৬ অক্টোবর: ৭ অক্টোবরের বাছাই স্থগিতের খবর প্রকাশিত হয়।

কর্তৃপক্ষ জানিয়েছে, পর্যাপ্ত সাড়াদান সক্ষমতাসম্পন্ন প্রতিষ্ঠানের জন্য নিয়ম শিথিলের বিষয়ে তাদের অবস্থান বদলায়নি। বাছাইয়ের নতুন কোনো তারিখ জানানো হয়নি।

সম্প্রসারণে ছোট প্রতিষ্ঠানগুলোরও সুযোগ মিলত

পরিকল্পিত দ্বিতীয় দফায় যোগ্যতার পরিধি বড় আর্থিক প্রতিষ্ঠান ছাড়িয়ে ব্যাংকিং খাতের বাইরের আরও প্রতিষ্ঠান এবং ইলেকট্রনিক আর্থিক সেবা-দাতাদের পর্যন্ত বাড়ানোর কথা ছিল। ফাইন্যান্সিয়াল সুপারভাইজরি সার্ভিস ও ফাইন্যান্সিয়াল সিকিউরিটি ইনস্টিটিউটের অংশগ্রহণে কমিশনের ফ্রন্টিয়ার এআই সিচুয়েশন রেসপন্স টাস্কফোর্সের পঞ্চম বৈঠকের পর বিস্তারিত পদক্ষেপ চূড়ান্ত করা হয়।

যোগ্য আবেদনকারীর সংখ্যা ৪৯টি থেকে বেড়ে ৭৫টি হওয়ার কথা ছিল; অর্থাৎ ২৬টি বা প্রায় ৫৩ শতাংশ বৃদ্ধি। সুযোগের সংখ্যা ১০ থেকে বেড়ে সর্বোচ্চ ১৫টি হওয়ার কথা ছিল, যা ৫০ শতাংশ বৃদ্ধি। এ পরিসংখ্যান যোগ্যতা ও পরিকল্পিত বাছাই সক্ষমতা বোঝায়, বাস্তবে কতটি আবেদন জমা পড়েছিল তা নয়।

আর্থিক প্রতিষ্ঠানের ক্ষেত্রে ন্যূনতম সম্পদের শর্ত ১০ ট্রিলিয়ন ওন থেকে কমিয়ে ২ ট্রিলিয়ন ওন করার কথা ছিল। স্থায়ী কর্মীর সংখ্যার সীমা ১,০০০ থেকে কমিয়ে ৩০০ করার পরিকল্পনা ছিল। ইলেকট্রনিক আর্থিক সেবা-দাতাদের বার্ষিক ইলেকট্রনিক আর্থিক লেনদেনের পরিমাণ অন্তত ২ ট্রিলিয়ন ওন এবং সংশ্লিষ্ট আয় মোট আয়ের ১০ শতাংশের বেশি হতে হতো।

উভয় শ্রেণির প্রতিষ্ঠানেই প্রধান তথ্যনিরাপত্তা কর্মকর্তা একই সঙ্গে অন্য কোনো তথ্যপ্রযুক্তি-সংক্রান্ত দায়িত্ব পালন করতে পারতেন না। বিকল্প নিয়ন্ত্রণব্যবস্থা চালুর পর নির্বাচিত প্রতিষ্ঠানগুলো নেটওয়ার্ক বিচ্ছিন্নতার নিয়ম থেকে এক বছরের জন্য প্রয়োগ-অব্যাহতির চিঠি পাওয়ার কথা ছিল।

পরিদর্শনের ফলাফল দেখায়, এই সম্প্রসারণের ক্ষেত্রে বাস্তবায়ন সক্ষমতা গুরুত্বপূর্ণ। আকারের সীমা কমলে আরও প্রতিষ্ঠানের অংশগ্রহণের সুযোগ তৈরি হয়, কিন্তু তাতে কার্যকর সুরক্ষাব্যবস্থা দেখানোর প্রয়োজন কমে না। পরীক্ষার অগ্রগতি ও চাহিদার ভিত্তিতে আরও দফা এবং স্থায়ী কাঠামো বিবেচনার পরিকল্পনাও নিয়ন্ত্রকদের ছিল; স্থগিতের সিদ্ধান্তে সেসব বিষয়ে চূড়ান্ত কিছু হয়নি।

কেন কোরিয়া ভৌত বিচ্ছিন্নতা পুনর্বিবেচনা করছে

কোরিয়া ক্যাপিটাল মার্কেট ইনস্টিটিউটের ২৪-২৬ নম্বর নেটওয়ার্ক বিচ্ছিন্নতা প্রতিবেদনে নীতিগত এই টানাপোড়েনের বিবরণ রয়েছে। গবেষক হোয়াং সে-উনের লেখা প্রতিবেদনটি প্রকাশিত হয় ২২ নভেম্বর ২০২৪। এতে নিরাপত্তার সুবিধা ও পরিচালন ব্যয়ের পাশাপাশি ক্লাউড সফটওয়্যার ও জেনারেটিভ এআইয়ের ক্রমবর্ধমান ব্যবহার পর্যালোচনা করা হয়েছে।

প্রতিবেদনটি নীতির সূচনা চিহ্নিত করেছে ২০১৩ সালের ২০ মার্চের ব্যাংকিং খাতে সেবাবিঘ্ন থেকে। তখন অ্যান্টিভাইরাস হালনাগাদের সার্ভারের মাধ্যমে প্যাচের ছদ্মবেশে ক্ষতিকর কোড ছড়িয়ে পড়ে। এতে বলা হয়েছে, কর্তৃপক্ষ ২০১৩ সালের জুলাইয়ে সমন্বিত আর্থিক নিরাপত্তাব্যবস্থা ঘোষণা করে এবং ২০১৫ সালে বিধিমালায় নেটওয়ার্ক বিচ্ছিন্নতা আনুষ্ঠানিকভাবে প্রতিষ্ঠিত হয়।

ডিজিটাল অর্থায়নের ব্যাপকতা এই প্রতিক্রিয়ার কারণ বুঝতে সাহায্য করে। প্রতিবেদন অনুযায়ী, ২০১৩ সালেই সব আর্থিক লেনদেনের ৮৭.৭ শতাংশ ছিল ইলেকট্রনিক লেনদেন। ইন্টারনেট ও মোবাইল ব্যাংকিংয়ে দৈনিক গড় লেনদেনের পরিমাণ ছিল ৩৩ ট্রিলিয়ন ওনের বেশি।

ভৌত বিচ্ছিন্নতায় আলাদা যন্ত্রপাতি বা অবকাঠামো ব্যবহার করে ইন্টারনেট কার্যক্রমকে অভ্যন্তরীণ কাজ থেকে পৃথক রাখা হয়। যৌক্তিক বিচ্ছিন্নতায় ভার্চুয়ালাইজেশনের মতো প্রযুক্তি ব্যবহার করে একই ভৌত অবকাঠামোয় পৃথক পরিবেশ বজায় রাখা হয়। নেটওয়ার্ক সেগমেন্টেশনে ব্যবস্থাগুলোকে বিভিন্ন জোনে ভাগ করে সেগুলোর মধ্যে ট্র্যাফিক নিয়ন্ত্রণ করা হয়; এতে সব সংযোগ নিষিদ্ধ করা জরুরি নয়।

হোয়াংয়ের প্রতিবেদনে বাস্তব একটি দ্বন্দ্বের কথা বলা হয়েছে: জেনারেটিভ এআইসহ আধুনিক সফটওয়্যারের বড় অংশ বাইরের ক্লাউড সেবার মাধ্যমে সরবরাহ করা হয়, অথচ গুরুত্বপূর্ণ আর্থিক তথ্য সংরক্ষিত থাকে সুরক্ষিত অভ্যন্তরীণ নেটওয়ার্কে। কঠোর বিচ্ছিন্নতা গবেষণা, সফটওয়্যার উন্নয়ন ও সাবস্ক্রিপশনভিত্তিক সফটওয়্যারের দৈনন্দিন ব্যবহার বাধাগ্রস্ত করতে পারে, যদিও এসব সরঞ্জাম ব্যয় কমাতে বা কাজের প্রক্রিয়া উন্নত করতে সক্ষম।

আন্তর্জাতিক তুলনায় নিয়ন্ত্রিত সংযোগের পক্ষে মত

কোরিয়া ক্যাপিটাল মার্কেট ইনস্টিটিউটের প্রতিবেদনে যুক্তরাষ্ট্র, ইউরোপ ও অস্ট্রেলিয়ার নীতির তুলনা করা হয়েছে। মূল পার্থক্য হলো, ভৌত সংযোগ বিচ্ছিন্ন রাখার নির্দেশ দেওয়া হবে, নাকি প্রতিষ্ঠানগুলোকে নিরাপত্তা ব্যবস্থা বেছে নেওয়ার সুযোগ দিয়ে তথ্য সুরক্ষার দায় তাদের ওপর রাখা হবে।

যুক্তরাষ্ট্রের ক্ষেত্রে প্রতিবেদনে ফেডারেল ফাইন্যান্সিয়াল ইনস্টিটিউশনস এক্সামিনেশন কাউন্সিলের তথ্যনিরাপত্তা নির্দেশিকা পর্যালোচনা করা হয়েছে। এতে বিশ্বস্ত ও অবিশ্বস্ত নেটওয়ার্ক জোন, সেসব জোনের মধ্যবর্তী নিয়ন্ত্রণ, নেটওয়ার্ক ও তথ্যপ্রবাহের সঠিক চিত্র এবং বহুস্তরীয় বিধিনিষেধের কথা বলা হয়েছে। প্রতিবেদনের মতে, এই পদ্ধতিতে সবার জন্য একটি নির্দিষ্ট ভৌত বিচ্ছিন্নতা-পদ্ধতি বাধ্যতামূলক করা হয় না।

ইউরোপের ক্ষেত্রে প্রতিবেদনে জেনারেল ডেটা প্রোটেকশন রেগুলেশন, দ্বিতীয় পেমেন্ট সার্ভিসেস ডিরেক্টিভ এবং ইউরোপীয় ব্যাংকিং কর্তৃপক্ষের নির্দেশিকা পর্যালোচনা করা হয়েছে। সেখানে বর্ণিত নির্দেশিকায় ব্যবস্থাপনা পর্যায়ের দায়বদ্ধতা, বাইরের প্রযুক্তি-সেবা-দাতাদের ওপর নিয়ন্ত্রণ, সীমিত প্রবেশাধিকার এবং নিয়মিত পর্যবেক্ষণ ও প্রবেশাধিকার নিয়ন্ত্রণ পরীক্ষা করার কথা বলা হয়েছে।

অস্ট্রেলিয়ার তুলনায় অস্ট্রেলিয়ান প্রুডেনশিয়াল রেগুলেশন অথরিটির নির্দেশিকা এবং অস্ট্রেলিয়ান সাইবার সিকিউরিটি সেন্টারের পরামর্শ ব্যবহার করা হয়েছে। এসব পদ্ধতিতে সেগমেন্টেশনকে একাধিক নিরাপত্তা সরঞ্জামের একটি হিসেবে দেখা হয়। হামলাকারী বাইরের সীমা পেরিয়ে গেলেই পুরো অভ্যন্তরীণ নেটওয়ার্ককে সমানভাবে বিশ্বস্ত ভাবার বিরুদ্ধে সতর্ক করা হয়।

প্রতিবেদনে আরও বলা হয়েছে, ২০২২ সালে জরিপে অংশ নেওয়া ৮২ শতাংশ ব্যাংক তাদের প্রধান মেইনফ্রেমের অন্তত অর্ধেক ক্লাউডে সরিয়ে নিয়েছিল বা সরানোর পরিকল্পনা করেছিল। ২০২৩ সালের পৃথক এক জরিপে দেখা গেছে, বৈশ্বিক আর্থিক প্রতিষ্ঠানের ৬৬ শতাংশ প্রবৃদ্ধি ও উদ্ভাবনের জন্য ক্লাউডে স্থানান্তরের উদ্যোগ নিয়েছিল। এগুলো ভিন্ন জরিপের পরিমাপ; এক বছর থেকে আরেক বছরে ব্যবহার কমেছে—এমন প্রবণতা নয়।

তুলনাটি কোরিয়ার পরিদর্শনের জন্য একটি সুনির্দিষ্ট শিক্ষা দেয়: নেটওয়ার্ক নকশায় বেশি স্বাধীনতা পেতে হলে প্রবেশাধিকার সীমাবদ্ধতা ও পরীক্ষা বাস্তবে কার্যকর হতে হবে। প্রতিবেদনে ধীরে ধীরে সংস্কার, তথ্যের মানসম্মত শ্রেণিবিন্যাস, ঘটনায় দায়বদ্ধতা জোরদার, নিরাপত্তায় বিনিয়োগ এবং সংশোধনমূলক ব্যবস্থা-সহ নিয়মিত তদারকি পরিদর্শনের সুপারিশ করা হয়েছে।

পৃথক সাস ছাড়ে তথ্য-সংক্রান্ত বিধিনিষেধ বহাল

একটি পৃথক শিথিলকরণ ব্যবস্থায় আর্থিক প্রতিষ্ঠান ও ইলেকট্রনিক আর্থিক সেবা-দাতারা আর্থিক নিয়ন্ত্রক স্যান্ডবক্সে প্রবেশ না করেই নির্দিষ্ট কিছু প্রশাসনিক সাস সরঞ্জাম ব্যবহার করতে পারে। এ ব্যবস্থাকে পরিদর্শিত ১০টি প্রতিষ্ঠানকে দেওয়া এআই নিরাপত্তা পরীক্ষার সাময়িক ছাড়ের সঙ্গে গুলিয়ে ফেলা উচিত নয়।

এই ছাড়ের আওতায় রয়েছে ক্লাউড কম্পিউটিংয়ের উন্নয়ন ও ব্যবহারকারীর সুরক্ষা আইন বাস্তবায়ন বিধিমালায় নির্দিষ্ট সাস সেবা। এটি ইলেকট্রনিক আর্থিক লেনদেন আইন ও সংশ্লিষ্ট তদারকি বিধিমালার নেটওয়ার্ক বিচ্ছিন্নতার শর্তের সঙ্গে সম্পর্কিত।

ব্যক্তিগত শনাক্তকরণ তথ্য বা ব্যক্তিগত ঋণ-সংক্রান্ত তথ্য ব্যবহার করা হয়—এমন কার্যক্রম এর আওতার বাইরে। ছদ্মনামযুক্ত ব্যক্তিগত তথ্য ব্যবহার করে সাস পরিচালনা করতে হলে এখনও স্যান্ডবক্সের অনুমোদন প্রয়োজন। ছদ্মনামকরণে শনাক্তকারী তথ্যের বদলে অন্য তথ্য বসানো হয়, কিন্তু তাতে তথ্যটি আবশ্যিকভাবে পরিচয়হীন হয়ে যায় না।

আবেদনগুলো ফাইন্যান্সিয়াল সিকিউরিটি ইনস্টিটিউটের যাচাইয়ের মধ্য দিয়ে যেতে হয়। প্রতিষ্ঠানগুলোকে প্রবেশাধিকার-সংক্রান্ত যন্ত্রের জন্য নিরাপত্তা নিয়ন্ত্রণ বজায় রাখতে হয় এবং প্রতি ছয় মাসে নিয়ম-পরিপালন নিয়ন্ত্রণ পর্যালোচনা করে ফলাফল প্রধান তথ্যনিরাপত্তা কর্মকর্তাদের জানাতে হয়। আর্থিক প্রযুক্তির নিরাপত্তা, সাসের ঝুঁকি এবং তা মোকাবিলার ব্যবস্থা ব্যাখ্যা করে ইনস্টিটিউট একটি পুস্তিকাও প্রকাশ করেছে।

দুটি ব্যবস্থা একসঙ্গে দেখলে বোঝা যায়, নিয়ন্ত্রক শিথিলতা শর্তসাপেক্ষ, অবাধ নয়। সাময়িক পরীক্ষার কর্মসূচিতে সংযোগের আগে বিকল্প নিয়ন্ত্রণব্যবস্থা চালু করতে হয়; প্রশাসনিক সাস ব্যবস্থায় তথ্যের ওপর বিধিনিষেধ, আগাম যাচাই এবং নিয়মিত পর্যালোচনা বহাল থাকে।

এখনও যেসব বিষয় অমীমাংসিত, তার মধ্যে রয়েছে কোন প্রতিষ্ঠানে কোন ঘাটতি পাওয়া গিয়েছিল, দুর্বলতাগুলো কীভাবে তৈরি হয়েছিল এবং স্থগিত বাছাই কবে আবার শুরু হবে। সংযোগ চালুর আগেই সংশোধন করা হয়েছিল—ইনস্টিটিউটের এই নিশ্চিতকরণই ঘটনার পরিধি সম্পর্কে সবচেয়ে জোরালো সীমারেখা। বৃহত্তর পরীক্ষা হলো, পরিদর্শনের পরও প্রতিষ্ঠানগুলো কার্যকর নিয়ন্ত্রণব্যবস্থা বজায় রাখতে পারে কি না; নাকি পরিদর্শকদের তাগাদা না পাওয়া পর্যন্ত কেবল পরিকল্পনাই তৈরি করে।

মূল বিষয়গুলো

• এআই ও নিরাপত্তা সাস পরীক্ষা করতে ১৯ জুন ১০টি আর্থিক প্রতিষ্ঠান সাময়িক নেটওয়ার্ক বিচ্ছিন্নতা-সংক্রান্ত ছাড় পায়।
• জুলাইয়ের মাঝামাঝি থেকে সেপ্টেম্বরের শুরুর মধ্যে পরিদর্শনে দেখা যায়, প্রয়োজনীয় অনেক সুরক্ষাব্যবস্থা তখনও পরিকল্পনার পর্যায়ে ছিল।
• কিছু নিরাপত্তা ব্যবস্থাপনা কনসোল ইন্টারনেট থেকে প্রবেশযোগ্য ছিল এবং একটি ক্লাউড সেবার নিরাপত্তা সনদ ছিল না।
• ফাইন্যান্সিয়াল সিকিউরিটি ইনস্টিটিউট জানায়, অভ্যন্তরীণ ও বাহ্যিক নেটওয়ার্ক সংযুক্ত হওয়ার আগেই সব ঘাটতি সংশোধন করা হয়েছিল।
• পৃথক হ্যাকিং ও তথ্য ফাঁসের মধ্যে ৭ অক্টোবর সর্বোচ্চ ১৫টি প্রতিষ্ঠান বাছাইয়ের পরিকল্পনা স্থগিত করা হয়।
• পরিকল্পিত সম্প্রসারণে যোগ্য আবেদনকারীর সংখ্যা ৪৯ থেকে বেড়ে ৭৫টি হওয়ার কথা ছিল।
• প্রশাসনিক সাস ব্যবহারের পৃথক ছাড়ে ব্যক্তিগত তথ্যের ওপর বিধিনিষেধ, ইনস্টিটিউটের যাচাই এবং প্রতি ছয় মাসে নিরাপত্তা পর্যালোচনার শর্ত বহাল রয়েছে।