জাপান দেশের অভ্যন্তরীণ যোগাযোগেও সাইবার প্রতিরক্ষা নজরদারি সম্প্রসারণের কথা বিবেচনা করছে

পরবর্তী লক্ষ্য দেশের অভ্যন্তরীণ যোগাযোগ

জাপান তার সক্রিয় সাইবার প্রতিরক্ষা আইন সম্প্রসারণের কথা বিবেচনা করছে, যাতে কর্তৃপক্ষ দেশের ভেতরেই সম্পন্ন হওয়া যোগাযোগ বিনিময়ের তথ্য সংগ্রহ করতে পারে। এতে বর্তমান কাঠামোর পরিধি বাড়বে, যা এখন বিদেশের বিভিন্ন স্থানের মধ্যে এবং জাপান ও বিদেশের মধ্যে যোগাযোগের ক্ষেত্রে প্রযোজ্য।

৬ নভেম্বর সাইবার নিরাপত্তাবিষয়ক এক বৈঠকে প্রধানমন্ত্রী সানায়ে তাকাইচি মন্ত্রীদের সাইবার হামলা সম্পর্কে তথ্য সংগ্রহে সরকারের সক্ষমতা জোরদার করতে আইন সংশোধনের বিষয়টি খতিয়ে দেখার নির্দেশ দেন। ক্ষমতাসীন দলগুলো দেশের অভ্যন্তরীণ যোগাযোগও অন্তর্ভুক্ত করার সুপারিশ করেছে এবং সরকার এ প্রস্তাব বিবেচনায় নেওয়ার পরিকল্পনা করছে।

প্রস্তাবটির পাশাপাশি ২০২৬ অর্থবছরের সংরক্ষিত তহবিল থেকে ১০ বিলিয়ন ইয়েন, প্রায় ৬ কোটি ৩০ লাখ ডলারের সহায়তায় একটি জরুরি সাইবার নিরাপত্তা প্যাকেজ নেওয়া হয়েছে। এই প্যাকেজে হুমকি শনাক্তে কৃত্রিম বুদ্ধিমত্তা, হামলার জবাব দিতে বিশেষজ্ঞ দল এবং ক্ষতিগ্রস্ত কোম্পানিগুলোকে সহায়তা অন্তর্ভুক্ত রয়েছে।

সরকারি তথ্য সংগ্রহের পরিধিই মূল প্রশ্ন। জাপানের ভেতরের দুই স্থানের মধ্যে যোগাযোগ বর্তমান সক্রিয় সাইবার প্রতিরক্ষা কাঠামোর যোগাযোগ নজরদারির আওতাভুক্ত নয়। এই সীমা বদলালে যোগাযোগের একটি নতুন শ্রেণি সম্ভাব্য নজরদারির আওতায় আসবে।

ব্যবসা প্রতিষ্ঠানগুলোর জন্য প্রস্তাবিত ব্যবস্থার সঙ্গে বাস্তব কিছু বাধ্যবাধকতাও যুক্ত হচ্ছে। ১৫টি খাতের ২৫৮টি গুরুত্বপূর্ণ অবকাঠামো পরিচালনাকারী প্রতিষ্ঠানের ক্ষেত্রে গুরুত্বপূর্ণ কম্পিউটার সিস্টেমের তথ্য দিতে হবে এবং গুরুতর সাইবার ঘটনার প্রতিবেদন করতে হবে। আর্থিক সেবা, বিমান চলাচল, বিদ্যুৎ, টেলিযোগাযোগ, বন্দর ও ক্রেডিট কার্ড খাত এর মধ্যে রয়েছে।

তাই জাপান একই সঙ্গে কয়েকটি পরিবর্তনের উদ্যোগ নিচ্ছে: আইনি ক্ষমতার পরিধি বাড়ানো, প্রযুক্তিগত সক্ষমতা জোরদার করা এবং অত্যাবশ্যক সেবা পরিচালনাকারী কোম্পানিগুলোর সঙ্গে ঘনিষ্ঠ সহযোগিতা। দেশের অভ্যন্তরীণ যোগাযোগ অন্তর্ভুক্ত করার প্রস্তাবটি এখনো বিবেচনাধীন; সংশোধনী জমা দেওয়া বা পাসের কোনো তারিখ জানানো হয়নি।

সক্রিয় সাইবার প্রতিরক্ষার আওতা

সক্রিয় সাইবার প্রতিরক্ষা, সংক্ষেপে প্রায়ই ACD নামে পরিচিত, গুরুতর ক্ষতি হওয়ার আগেই সাইবার হামলা শনাক্ত ও প্রতিহত করার লক্ষ্য নিয়ে কাজ করে। কোনো সংস্থা হামলার শিকার হয়েছে তা শনাক্ত করার পর তাকে পুনরুদ্ধারে সহায়তা করার অপেক্ষায় থাকার চেয়ে এর পরিধি বিস্তৃত।

জাপানের কাঠামোতে হুমকির তথ্য সংগ্রহ এবং আইনি শর্ত পূরণ হলে হামলাকারীদের ব্যবহৃত সার্ভারে পুলিশ বা আত্মরক্ষা বাহিনীর প্রবেশ করে ক্ষতিকর প্রোগ্রাম বন্ধ করার সুযোগ রয়েছে। সার্ভার হলো এমন একটি কম্পিউটার, যা অন্য কম্পিউটারকে সেবা বা তথ্য সরবরাহ করে। হামলাকারীরা ভুক্তভোগীর নেটওয়ার্কের ভেতরে থাকা ক্ষতিকর সফটওয়্যারকে নির্দেশ পাঠাতে সার্ভার ব্যবহার করতে পারে।

এ ধরনের প্রোগ্রাম বন্ধ করলে হামলা ব্যাহত হতে পারে। তবে সংশ্লিষ্ট সার্ভার খুঁজে পেতে হামলাটি কীভাবে চলছে এবং কোন সিস্টেম এতে জড়িত, সে সম্পর্কে তথ্য প্রয়োজন। এ কারণেই সরকার হামলা ব্যাহত করার সক্ষমতার পাশাপাশি গোয়েন্দা তথ্য সংগ্রহের ক্ষমতাও পর্যালোচনা করছে।

দেশের অভ্যন্তরীণ যোগাযোগের প্রস্তাবটি কর্তৃপক্ষ কোথা থেকে যোগাযোগের তথ্য সংগ্রহ করতে পারবে, তা নিয়ে। সার্ভারে হস্তক্ষেপের বিধানগুলো হামলায় ব্যবহৃত অবকাঠামোর বিরুদ্ধে কর্তৃপক্ষ কী করতে পারবে, তা নির্ধারণ করে। দুটিই সক্রিয় সাইবার প্রতিরক্ষার অংশ, তবে কাজ আলাদা।

দেশের অভ্যন্তরীণ সীমারেখা কেন গুরুত্বপূর্ণ

বর্তমান কাঠামোতে বিদেশের বিভিন্ন স্থানকে যুক্ত করা যোগাযোগ, জাপানকে অন্য দেশের সঙ্গে যুক্ত করা যোগাযোগ এবং সম্পূর্ণ জাপানের ভেতরে হওয়া যোগাযোগের মধ্যে পার্থক্য রয়েছে। প্রথম দুই শ্রেণি আওতাভুক্ত; তৃতীয়টি এই নজরদারি কাঠামোর বাইরে।

সাইবার হামলায় হামলাকারী ও ভুক্তভোগীর মধ্যে একটি সরাসরি সংযোগের বদলে একাধিক কম্পিউটার জড়িত থাকতে পারে। আক্রান্ত কোনো যন্ত্র নির্দেশনা বা ক্ষতিকর ট্রাফিক অন্যত্র পাঠাতে পারে। তদন্তকারীদের জন্য ওই ট্রাফিক বহনকারী কম্পিউটারগুলোর অবস্থান নির্ধারণ করে কোন আইনি ক্ষমতা প্রয়োগ করা যাবে।

দেশের ভেতরের যোগাযোগ বিনিময়কে কাঠামোর আওতায় আনলে জাপানের ভেতরের সিস্টেমের মধ্য দিয়ে হামলার গতিপথ অনুসরণের সময় কর্তৃপক্ষ সম্ভাব্যভাবে আরও বিস্তৃত তথ্য পরীক্ষা করতে পারবে। বাস্তবে এর পরিধি নির্ভর করবে সংশোধনীর ভাষা ও তা কার্যকর করার নিয়মের ওপর; এর মধ্যে থাকবে কোন তথ্য অন্তর্ভুক্ত হবে, প্রবেশাধিকারের শর্ত কী হবে এবং সংগৃহীত তথ্য কীভাবে ব্যবস্থাপনা করা হবে।

দেশের অভ্যন্তরীণ যোগাযোগের মধ্যে নিজ দেশে সেবা ব্যবহারকারী ব্যক্তি ও কোম্পানিও রয়েছে। তাই বিস্তৃত ব্যবস্থাটি দৈনন্দিন জীবনে কীভাবে কাজ করবে, তা বোঝার জন্য তথ্য বাছাই, প্রবেশাধিকার, সংরক্ষণ ও তদারকির নিয়ম অত্যন্ত গুরুত্বপূর্ণ হবে।

ব্যবসা প্রতিষ্ঠানে হামলার পর জরুরি প্যাকেজ

ব্যক্তিগত তথ্য ফাঁসের কয়েকটি বড় ঘটনার পর তাকাইচির সভাপতিত্বে অনুষ্ঠিত বৈঠকে তাঁর সরকার জরুরি পদক্ষেপগুলো অনুমোদন করে। GMO Internet Group-কে লক্ষ্য করে চালানো র‍্যানসমওয়্যার হামলার পরের সপ্তাহে তিনি প্যাকেজটি তৈরির নির্দেশ দিয়েছিলেন।

র‍্যানসমওয়্যার হলো এমন ক্ষতিকর সফটওয়্যার, যা সাধারণত অর্থ দাবির পাশাপাশি তথ্য বা কম্পিউটার সিস্টেমকে জিম্মি করে রাখে। ক্ষতিগ্রস্ত ব্যবসা প্রতিষ্ঠানকে অনুপ্রবেশ ঠেকাতে, কোন সিস্টেম নিরাপদ তা নির্ধারণ করতে এবং তথ্য চুরি হয়েছে কি না তা তদন্তের পাশাপাশি সেবা পুনরুদ্ধার করতে হতে পারে।

জরুরি প্যাকেজে চারটি ক্ষেত্র রয়েছে: কৃত্রিম বুদ্ধিমত্তার সাহায্যে নিরাপত্তা উন্নত করা, গোয়েন্দা তথ্য সংগ্রহ জোরদার করা, হামলার বিরুদ্ধে কৌশলগত পদক্ষেপ নেওয়া এবং ভুক্তভোগীদের আরও ভালো সহায়তা দেওয়া। বরাদ্দ করা ১০ বিলিয়ন ইয়েনের একটি অংশ পুলিশি গোয়েন্দা তথ্য সংগ্রহের সক্ষমতা বাড়াতে ব্যবহৃত হবে।

হামলাকারীদের মোকাবিলায় সাইবার নিরাপত্তা বিশেষজ্ঞদের একটি দল গঠনেরও পরিকল্পনা করেছে সরকার। সরকারি ও বেসরকারি খাতের সদস্যদের নিয়ে গঠিত আলাদা একটি সহায়তা দল হামলার শিকার কোম্পানিগুলোকে সহায়তা করবে; আরেকটি ইউনিট সম্ভাব্য হুমকির মুখে থাকা ব্যবসা প্রতিষ্ঠানগুলোকে পরামর্শ দেবে।

ঘটনার বিভিন্ন পর্যায়ে এসব দলের কাজ আলাদা। হুমকি দেখা দেওয়ার শুরুতেই পরামর্শ ব্যবসা প্রতিষ্ঠানকে পদক্ষেপ নিতে সাহায্য করতে পারে; চলমান হামলার জবাবে বিশেষজ্ঞদের হস্তক্ষেপ সহায়ক হতে পারে; আর পুনরুদ্ধার সহায়তা ক্ষতিগ্রস্ত কোম্পানিকে পরিণতি সামলে উঠতে সাহায্য করতে পারে। কম্পিউটার সিস্টেমের দুর্বলতা শনাক্ত করতেও কৃত্রিম বুদ্ধিমত্তা ব্যবহার করা হবে।

অবকাঠামো পরিচালনাকারীদের নতুন দায়িত্ব

ক্যাবিনেট সচিবালয়ের জাতীয় সাইবার নিরাপত্তা দপ্তর এবং ক্যাবিনেট অফিস ৩০ সেপ্টেম্বর সাইবার প্রতিক্রিয়া আইন বাস্তবায়নের ধাপ ব্যাখ্যা করে নির্দেশিকা প্রকাশ করে। সাংগঠনিক ব্যবস্থা ও গুরুত্বপূর্ণ অবকাঠামো পরিচালনাকারীদের সঙ্গে সহযোগিতা ১ অক্টোবর থেকে শুরু হয়।

এই ব্যবস্থা ১৫টি খাতের ২৫৮টি নির্ধারিত পরিচালনাকারী প্রতিষ্ঠানকে আওতাভুক্ত করে। তাদের সেবা সাইবার নিরাপত্তার সঙ্গে দৈনন্দিন জীবনকে যুক্ত করে: সেবা ব্যাহত হলে লেনদেন, বিদ্যুৎ, যোগাযোগ, পরিবহন বা বন্দরের মাধ্যমে পণ্য চলাচল প্রভাবিত হতে পারে।

আওতাভুক্ত পরিচালনাকারীদের নির্ধারিত গুরুত্বপূর্ণ কম্পিউটার সিস্টেমের তথ্য, পণ্যের নামসহ, নিজ নিজ খাতের দায়িত্বপ্রাপ্ত মন্ত্রীকে জানাতে হবে। বাস্তবায়নের সময়সূচি অনুযায়ী, আগে থেকেই ব্যবহৃত সিস্টেমের তথ্য দেওয়ার শেষ সময় পরবর্তী বছরের মার্চ। নতুন চালু করা সিস্টেমের তথ্য চার মাসের মধ্যে জানাতে হবে।

প্রকাশ্যে আসেনি এমন দুর্বলতার তথ্যের সঙ্গে এসব তালিকা মিলিয়ে দেখার পরিকল্পনা সরকারের রয়েছে। সফটওয়্যার বা যন্ত্রপাতির এমন কোনো দুর্বলতা, যা হামলাকারী কাজে লাগাতে পারে, তাকে দুর্বলতা বলা হয়। কোন পরিচালনাকারী আক্রান্ত পণ্যটি ব্যবহার করছে, তা জানা থাকলে কর্মকর্তারা প্রয়োজনীয় কোম্পানিকে লক্ষ্যভিত্তিক সতর্কবার্তা পাঠাতে পারবেন।

গুরুতর ঘটনার তথ্য সরকারকে জানাতে হবে

১ অক্টোবর থেকে আওতাভুক্ত পরিচালনাকারীদের নির্ধারিত গুরুত্বপূর্ণ কম্পিউটার সিস্টেমে প্রভাব ফেলা গুরুতর সাইবার ঘটনার তথ্য নিজ খাতের দায়িত্বপ্রাপ্ত মন্ত্রী এবং প্রধানমন্ত্রীকে জানাতে হবে। ক্ষতিকর সফটওয়্যার চালানো এবং অনুমতি ছাড়া প্রবেশ এ ধরনের ঘটনার অন্তর্ভুক্ত।

এই বাধ্যবাধকতার ফলে অত্যাবশ্যক সেবাজুড়ে গুরুতর হামলার বিষয়ে সরকার জানতে পারবে। ঘটনার প্রযুক্তিগত বিবরণ পরে অন্যান্য পরিচালনাকারীদের সঙ্গে ভাগ করে নেওয়া যেতে পারে, তবে আক্রান্ত প্রতিষ্ঠানের গোপনীয়তার বিষয়টি বিবেচনায় রাখা হবে, যাতে তারা একই ধরনের তৎপরতা মোকাবিলায় নিজেদের প্রতিরক্ষা জোরদার করতে পারে।

পরিকল্পিত তথ্য বিনিময় পরিষদে প্রায় ১০০টি প্রতিষ্ঠান থাকার কথা, যার বেশির ভাগই গুরুত্বপূর্ণ অবকাঠামো পরিচালনাকারী। সরকারি হুমকিসংক্রান্ত তথ্যের সঙ্গে কার্যক্রম পরিচালনাকারী সিস্টেম সুরক্ষার দায়িত্বে থাকা কোম্পানিগুলোর সংযোগ ঘটানোই এর উদ্দেশ্য।

সরকারের পদ্ধতিতে দুই ধরনের তথ্য একত্র করা হয়েছে: কোনো পরিচালনাকারী কী পণ্য ব্যবহার করে এবং কী ধরনের হুমকি শনাক্ত হচ্ছে। পণ্যের তালিকা থেকে বোঝা যাবে কাকে সতর্কবার্তা দিতে হবে, আর ঘটনার তথ্য ব্যাখ্যা করবে ওই পরিচালনাকারীর নিজস্ব সিস্টেমে কী খুঁজতে হবে।

সংবেদনশীল সতর্কবার্তা কীভাবে ভাগ করা হবে

সরকারি হুমকিসংক্রান্ত তথ্যে এমন বিবরণ থাকতে পারে, যা গোয়েন্দা তথ্যের উৎস প্রকাশ করে দিতে পারে বা নির্দিষ্ট কোনো কোম্পানিকে শনাক্ত করতে পারে। পরিচালনাকারীদের মধ্যে বিতরণের আগে কর্মকর্তারা গোপনীয় বিবরণ সরিয়ে ফেলা বা পরিচয় শনাক্তকারী তথ্য বেনামি করার পরিকল্পনা করছেন। এই প্রক্রিয়াকে তথ্য পরিশোধন বলা হয়।

কার্যকর সতর্কবার্তায় হামলার প্রযুক্তিগত লক্ষণ রাখা যেতে পারে, তবে কর্তৃপক্ষ কীভাবে সেগুলো পেয়েছে, সেই বিবরণ বাদ দেওয়া হয়। সংবেদনশীল তথ্য সুরক্ষিত রেখে ব্যবসা প্রতিষ্ঠানগুলোকে দ্রুত কাজে লাগানোর উপযোগী তথ্য পৌঁছে দেওয়াই এর লক্ষ্য।

আরও সংবেদনশীল তথ্য গোপনীয় তথ্য, নির্দিষ্ট কোম্পানি বা ‘ট্রাস্টেড গ্রুপ’ নামে পরিচিত সীমিত পরিসরের গোষ্ঠীকে যুক্ত করা ব্যবস্থার মাধ্যমে ভাগ করা হবে। কতটা বিস্তৃতভাবে তথ্য বিতরণ করা যাবে, তার ভিত্তিতে এসব ব্যবস্থায় আলাদা চ্যানেল থাকবে।

পরিচালনাকারীদের জন্য এর বাস্তব মূল্য হলো, কাজে লাগানোর মতো যথেষ্ট সুনির্দিষ্ট সতর্কবার্তা পাওয়া। পণ্যের নাম, প্রযুক্তিগত সূচক এবং কোম্পানির সিস্টেম সম্পর্কে তথ্য সাধারণ সতর্কবার্তাকে নির্দিষ্ট পরীক্ষা বা মেরামতের নির্দেশনায় রূপ দিতে পারে।

বাস্তবায়নে কয়েকটি পৃথক ধাপ

জাপানের আইনি পরিবর্তন, সাংগঠনিক প্রস্তুতি ও প্রযুক্তিগত কার্যক্রমের সময়সূচি এক নয়। আইনের কিছু অংশ অক্টোবরে কার্যকর হয়েছে, আর বাস্তবায়ন সূচি অনুযায়ী যোগাযোগের তথ্য কার্যক্রমে ব্যবহারের সময় পরবর্তী বছরের শরৎকাল বা তার পরের কোনো সময়।

সরকারের বাস্তবায়ন পরিকল্পনা ও পরবর্তী ঘোষণায় উল্লেখ করা প্রধান ধাপগুলো হলো:

• ৩০ সেপ্টেম্বর: জাতীয় সাইবার নিরাপত্তা দপ্তর ও ক্যাবিনেট অফিস বাস্তবায়ন নির্দেশিকা প্রকাশ করে।
• ১ অক্টোবর: নির্ধারিত অবকাঠামো পরিচালনাকারীদের সঙ্গে সাংগঠনিক ব্যবস্থা ও সহযোগিতা শুরু হয়; এর মধ্যে গুরুতর ঘটনা জানানোর বাধ্যবাধকতাও রয়েছে।
• ৬ নভেম্বর: সক্রিয় সাইবার প্রতিরক্ষায় তথ্য সংগ্রহ জোরদার করতে আইন সংশোধনের বিষয়টি খতিয়ে দেখার নির্দেশ দেন তাকাইচি।
• পরবর্তী বছরের মার্চ: বাস্তবায়ন সূচি অনুযায়ী, আগে থেকে ব্যবহৃত নির্ধারিত কম্পিউটার সিস্টেমের তথ্য জানাতে হবে।
• নতুন চালুর চার মাসের মধ্যে: পরিচালনাকারীদের নতুন চালু করা নির্ধারিত সিস্টেমের তথ্য জানাতে হবে।
• পরবর্তী বছরের শরৎকাল বা তার পর: যোগাযোগের তথ্য কার্যক্রমে ব্যবহার শুরু করার সময় নির্ধারণ করা হয়েছে।

ধাপে ধাপে বাস্তবায়নের অর্থ হলো, যোগাযোগের তথ্য সংগ্রহের সব উপাদান কার্যকর হওয়ার আগেই কোম্পানিগুলোকে তথ্য দেওয়া ও প্রস্তুতির শর্ত পূরণ করতে হবে। দেশের অভ্যন্তরীণ যোগাযোগ অন্তর্ভুক্ত করার প্রস্তাব বাস্তবায়নে এই প্রক্রিয়ার পাশাপাশি আরও একটি আইনি পরিবর্তন প্রয়োজন হবে।

মূল কথা

• জাপান সম্পূর্ণ দেশের ভেতরে হওয়া যোগাযোগকে সক্রিয় সাইবার প্রতিরক্ষার তথ্য সংগ্রহ কাঠামোয় অন্তর্ভুক্ত করার কথা বিবেচনা করছে।
• ক্ষমতাসীন দলের সুপারিশের পর ৬ নভেম্বর মন্ত্রীদের আইন সংশোধনের বিষয়টি খতিয়ে দেখার নির্দেশ দেন তাকাইচি।
• সাইবার নিরাপত্তা পদক্ষেপের জন্য ২০২৬ অর্থবছরের সংরক্ষিত তহবিল থেকে ১০ বিলিয়ন ইয়েন বরাদ্দ করা হয়েছে; এর মধ্যে পুলিশের গোয়েন্দা তথ্য সংগ্রহের সক্ষমতা জোরদার করাও রয়েছে।
• বিশেষজ্ঞ প্রতিক্রিয়া দল, ব্যবসা প্রতিষ্ঠানকে সহায়তা এবং কৃত্রিম বুদ্ধিমত্তা এই প্যাকেজের অংশ।
• অবকাঠামো বাস্তবায়ন পরিকল্পনায় ১৫টি খাতের ২৫৮টি পরিচালনাকারী রয়েছে; তাদের সিস্টেমের তালিকা জমা এবং গুরুতর ঘটনার প্রতিবেদন করতে হবে।
• যোগাযোগের তথ্য ব্যবহারের সময়সূচি প্রাথমিক সাংগঠনিক ও প্রতিবেদনসংক্রান্ত ব্যবস্থার চেয়ে পরে।