सूचना सुरक्षा नीति
सुरक्षा नीति एक छोटा लिखित दस्तावेज़ है जो बताता है कि संगठन अपनी सूचना को कैसे बचाता है। सबसे बड़ा अधिकारी इसे मंज़ूर करता है ताकि सब इसे गंभीरता से लें।
- मूल नीति: बड़े लक्ष्य, जैसे "ग्राहकों का डेटा सुरक्षित रखना"।
- मानक और नियम: साफ़ ब्यौरा, जैसे "पासवर्ड कम से कम 12 अक्षर का हो"।
- कार्य-विधि (procedure): क्या करना है, जैसे खोया फ़ोन कैसे बताएँ।
नीति सरल भाषा में लिखी हो, सबको बताई जाए और हालात बदलने पर नई की जाए।
जोखिम नियंत्रण: खोजो, अंक दो, उपचार करो
जोखिम वह बुरी घटना है जो किसी कीमती चीज़ (संपत्ति) के साथ हो सकती है। इसे सँभालने के चार कदम हैं।
- संपत्तियाँ (डेटा, कंप्यूटर, लोग) और उन पर खतरे खोजो।
- हर जोखिम को अंक दो: जोखिम = संभावना x नुकसान। दोनों को 1 (छोटा) से 5 (बड़ा) अंक दो और गुणा करो।
- बड़े जोखिमों का पहले उपचार करो।
- बाद में फिर जाँचो, क्योंकि हालात बदलते हैं।
जोखिम के उपचार के चार तरीके:
- घटाना: संभावना या नुकसान कम करना (ताले, अपडेट, प्रशिक्षण)।
- बाँटना (transfer): खर्च किसी और पर डालना (बीमा, क्लाउड कंपनी)।
- टालना: जोखिम वाला काम बंद करना (कार्ड नंबर रखना ही बंद)।
- स्वीकारना: अंक बहुत छोटा हो या उपचार का खर्च नुकसान से ज़्यादा हो तो बस नज़र रखो।
उपचार के बाद जो बचता है उसे शेष जोखिम (residual risk) कहते हैं।
व्यवसाय निरंतरता
अच्छी सुरक्षा भी फ़ेल हो सकती है: आग, बाढ़, बिजली जाना, रैनसमवेयर। व्यवसाय निरंतरता का मतलब है कि ऐसा होने पर ज़रूरी काम चलता रहे या जल्दी फिर शुरू हो जाए।
- व्यवसाय निरंतरता योजना (BCP): लिखित योजना, जिसमें कौन क्या करेगा और सेवाएँ किस क्रम में शुरू होंगी यह लिखा हो।
- बैकअप और दूसरी जगह: दूसरी जगह पर दूसरा सर्वर या कॉपी।
- बहाली का समय: सेवा कितनी देर बंद रह सकती है। अस्पताल में कुछ मिनट, स्कूल की वेबसाइट पर शायद एक दिन।
- अभ्यास: ड्रिल करो ताकि योजना सच में काम करे।
खराबी के बाद तकनीक को ठीक करना आपदा पुनर्प्राप्ति (disaster recovery) कहलाता है। यह व्यवसाय निरंतरता का एक हिस्सा है।
PDCA चक्र
सुरक्षा प्रबंधन कभी खत्म नहीं होता। यह दोहराता है: योजना (Plan) (नीति लिखो, जोखिम खोजो), करो (Do) (उपाय लगाओ), जाँचो (Check) (परखो और समीक्षा करो), सुधारो (Act)। चक्र के हर चक्कर से व्यवस्था मज़बूत होती है।
खुद करके देखो
3D में (आख़िरी चरण): संभावना 5 और नुकसान 5 रखो। "संभावना घटाओ" तीन बार दबाओ। अंक कितना आया? अब "बीमा" दबाओ। शुरू में कौन-सा बटन अंक ज़्यादा घटाता है?
घर पर: अपने फ़ोन के तीन जोखिम लिखो (गिरना, चोरी, हैक)। हर एक को संभावना और नुकसान के 1 से 5 अंक दो, गुणा करो और तय करो कि पहले किसका उपचार करोगे।
मुख्य सूत्र और परिभाषाएँ
- जोखिम अंक = संभावना x नुकसान (दोनों 1 से 5, इसलिए अंक 1 से 25)।
- उपचार के विकल्प: घटाना, बाँटना, टालना, स्वीकारना।
- शेष जोखिम = उपचार के बाद बचा जोखिम।
- PDCA: योजना, करो, जाँचो, सुधारो।
- व्यवसाय निरंतरता = काम चालू रखना; आपदा पुनर्प्राप्ति = तकनीक की मरम्मत।
हल किए गए उदाहरण
1. एक जोखिम में संभावना 3 और नुकसान 5 है। अंक निकालो।
अंक = 3 x 5 = 15। यह ज़्यादा (लाल) है और जल्दी उपचार चाहिए।
2. जोखिम A में संभावना 5, नुकसान 1 है। जोखिम B में संभावना 2, नुकसान 4 है। कौन बड़ा है?
A = 5 x 1 = 5। B = 2 x 4 = 8। A की संभावना ज़्यादा है, फिर भी B बड़ा है।
3. दुकानदार दुकान में आग के खिलाफ़ बीमा लेता है। यह कौन-सा उपचार है?
बाँटना (transfer)। पैसे का नुकसान बीमा कंपनी उठाती है।
4. एक जोखिम में संभावना 4, नुकसान 4 है। प्रशिक्षण से संभावना 2 हो गई। पुराना अंक, नया अंक और कमी बताओ।
पुराना = 16। नया = 2 x 4 = 8। अंक 8 घटा, यानी लाल से पीला हो गया।
आम गलतियाँ
- नीति को सिर्फ़ फ़ाइल समझना। कोई पढ़े या माने नहीं तो वह बेकार है।
- सिर्फ़ संभावना या सिर्फ़ नुकसान देखना। दोनों चाहिए।
- छोटे जोखिमों को हमेशा के लिए भूल जाना। हालात बदलते हैं, फिर जाँचो।
- बैकअप को ही निरंतरता मान लेना। योजना, लोग और दोबारा शुरू करने की जगह भी चाहिए।