শুধু প্রয়োজনীয় ডেটা গ্রহণ
নাম, ঠিকানা, যোগাযোগের তথ্য, মুক্ত লেখা এবং পূর্ণ ডেটাসেট সরানো যায় কি না আমরা আগে যাচাই করি। বড় ডেটার আগে ছোট নাম-পরিচয়হীন নমুনা অগ্রাধিকার পায়।
নিরাপত্তা ও ডেটা ব্যবস্থাপনা
কোন ডেটা, কোন উদ্দেশ্যে, কার দ্বারা, কোন পরিবেশে এবং কতদিন ব্যবহৃত হবে তা আমরা নির্ধারণ করি। গাণিতিক প্রোটোটাইপ থেকে প্রোডাকশন পরিচালনা পর্যন্ত সীমা ও দায়িত্ব আগে সম্মত করা হয় এবং পর্যালোচনাযোগ্য প্রমাণ হিসেবে রাখা হয়।
আমাদের অবস্থান
নিরাপত্তা কোনো পণ্যের নাম বা একক ফিচার দিয়ে নির্ধারিত হয় না। ডেটার ধরন, উদ্দেশ্য, সংগঠন, পরিচালনা এবং সাবপ্রসেসর ঘিরে আমরা নকশা করি, তারপর বাস্তবায়িত পরিসর পর্যালোচনাযোগ্য রাখি।
নাম, ঠিকানা, যোগাযোগের তথ্য, মুক্ত লেখা এবং পূর্ণ ডেটাসেট সরানো যায় কি না আমরা আগে যাচাই করি। বড় ডেটার আগে ছোট নাম-পরিচয়হীন নমুনা অগ্রাধিকার পায়।
ডেটা গ্রহণ বা প্রোডাকশন স্থানান্তরের আগে সংরক্ষণস্থান, দর্শক, বাহ্যিক পরিষেবা, AI ব্যবহার, সংরক্ষণ ও মুছে ফেলা সম্মত করা হয়।
ডেটা প্রবাহ, অ্যাক্সেস অধিকার, সাবপ্রসেসর, ব্যাকআপ, মুছে ফেলা এবং ঘটনা যোগাযোগ যাচাইযোগ্য উপকরণ হিসেবে রাখা হয়।
ডেটা যাত্রা
একই ডেটার জন্য নির্ণয়, প্রোটোটাইপ এবং প্রোডাকশন পরিচালনায় ভিন্ন নিয়ন্ত্রণ প্রয়োজন। কী গ্রহণ করা হয়, কী আগে সিদ্ধান্ত নিতে হয় এবং কী প্রমাণ থাকে তা আমরা আলাদা করি।
গ্রহণ
প্রোটোটাইপ
উন্নয়ন
পরিচালনা
মুছে ফেলা
নিরাপত্তা প্রোফাইল নির্মাতা
এটি প্রথম মিটিংয়ের জন্য নকশা সহায়ক, অডিট বা নিশ্চয়তা নয়। যোগাযোগের তথ্য প্রয়োজন নেই।
ধাপ 01 / ডেটার শ্রেণি
খসড়াটি সবচেয়ে সতর্কভাবে সামলাতে হবে এমন শ্রেণির ভিত্তিতে তৈরি হয়। একাধিক নির্বাচন করা যায়।
ধাপ 02 / সরবরাহের ধাপ
একই ডেটা হলেও স্বল্প যাচাই ও প্রোডাকশন পরিচালনার জন্য ভিন্ন নিয়ন্ত্রণ প্রয়োজন।
ধাপ 03 / বাহ্যিক প্রক্রিয়াকরণ
ক্লাউড, মেইল, মানচিত্র, অ্যানালিটিক্স ও বিজ্ঞপ্তি পরিষেবাকেও একই ডেটা-প্রবাহের ভাবনায় পর্যালোচনা করা হয়।
ধাপ 04 / পরিচালনার প্রয়োজন
একাধিক নির্বাচন করা যায়। অনিশ্চিত বিষয়ও মিটিংয়ের আলোচ্য হিসেবে রাখা হয়।
নকশা খসড়া / অডিট নয়
ন্যূনতম ডেটা, স্বল্প সংরক্ষণ এবং আলাদা যাচাই পরিবেশ দিয়ে শুরু করুন।
এটি নির্বাচিত ইনপুট থেকে তৈরি প্রাথমিক নকশা খসড়া। আইনগত দায়িত্ব, চুক্তির শর্ত, হুমকি, ক্লাউড আর্কিটেকচার এবং পরিচালনা নিশ্চিত করার পরে চূড়ান্ত নিয়ন্ত্রণ নির্ধারিত হয়।
নিয়ন্ত্রণ মডেল
প্রকল্প পর্যালোচনার দৃষ্টিকোণ হিসেবে আমরা NIST Cybersecurity Framework 2.0-এর ছয়টি ফাংশন উল্লেখ করি। এটি কোনো সার্টিফিকেশন বা পূর্ণ কমপ্লায়েন্স দাবি নয়।
মালিক, নীতি, চুক্তি, সাবপ্রসেসর এবং গ্রহণযোগ্য ঝুঁকি স্পষ্ট করুন।
উদাহরণ: দায়িত্বের সারণি, পরিষেবার তালিকাসম্পদ, ডেটা, নির্ভরতা, হুমকি এবং প্রভাব বুঝুন।
উদাহরণ: ডেটা প্রবাহ, সম্পদ নিবন্ধনপ্রমাণীকরণ, ন্যূনতম অধিকার, এনক্রিপশন, সিক্রেট এবং নিরাপদ বাস্তবায়ন নকশা করুন।
উদাহরণ: অনুমতি ম্যাট্রিক্স, বাস্তবায়ন যাচাইপ্রয়োজনীয় লগ, মনিটরিং, সতর্কতা এবং অস্বাভাবিকতার মানদণ্ড নির্ধারণ করুন।
উদাহরণ: মনিটরিং বিষয়, লগ সংরক্ষণট্রায়াজ, সীমাবদ্ধকরণ, তদন্ত, যোগাযোগ এবং পুনরাবৃত্তি প্রতিরোধ প্রস্তুত করুন।
উদাহরণ: যোগাযোগ তালিকা, প্রথম প্রতিক্রিয়ার পদ্ধতিব্যাকআপের অখণ্ডতা, পুনরুদ্ধারের ক্রম, ব্যবসা পুনরারম্ভ এবং পরবর্তী পর্যালোচনা নকশা করুন।
উদাহরণ: পুনরুদ্ধার রানবুক, পরীক্ষার রেকর্ডঅ্যাপ্লিকেশন নিরাপত্তা
নিরাপত্তা প্রয়োজনীয়তা ও যাচাইয়ের বিষয় সাজাতে আমরা OWASP ASVS 5.0-কে রেফারেন্স হিসেবে ব্যবহার করি। গুরুত্ব ও বাজেট অনুযায়ী পর্যালোচনা, স্বয়ংক্রিয় পরীক্ষা, ম্যানুয়াল পরীক্ষা এবং বাহ্যিক পরীক্ষা মিলিয়ে নেওয়া হয়।
প্রোটোটাইপ ও প্রোডাকশন
এই তুলনা প্রকল্পভিত্তিক চূড়ান্ত করার নকশা মানদণ্ড দেখায়; স্থির নিশ্চয়তা নয়।
| পর্যালোচনার বিষয় | P0 গাণিতিক প্রোটোটাইপ | P1 প্রোডাকশন সিস্টেম |
|---|---|---|
| উদ্দেশ্য | বাস্তবায়নযোগ্যতা ও সূচক যাচাই | ধারাবাহিক ব্যবসায়িক প্রক্রিয়াকরণ |
| ডেটার পরিমাণ | ছোট, নাম-পরিচয়হীন, প্রয়োজনীয় ক্ষেত্রকে অগ্রাধিকার | প্রয়োজনীয় পরিচালন পরিসর আনুষ্ঠানিকভাবে নির্ধারণ |
| পরিবেশ | স্বল্পমেয়াদি যাচাই পরিবেশ আলাদা করা | উন্নয়ন, পরীক্ষা ও প্রোডাকশন বিভাজন বিবেচনা |
| অ্যাক্সেস | নির্ধারিত ব্যক্তিতে সীমিত | ভূমিকা অনুমতি, প্রমাণীকরণ, পর্যালোচনা |
| বাহ্যিক AI | অপ্রয়োজনীয় ডেটা না পাঠানো নকশা থেকে শুরু | উদ্দেশ্য, লক্ষ্য, চুক্তি, সেটিং ও লগে সম্মতি |
| সংরক্ষণ | আগে শেষ তারিখ নির্ধারণ | উদ্দেশ্য, আইন, পরিচালনা ও ব্যাকআপ বিবেচনা |
| মুছে ফেলা | সরবরাহের পর মুছে ফেলা বা চালু ব্যবহার নিশ্চিত | অ্যাকাউন্ট সমাপ্তি, চুক্তির শেষ, আইনগত সংরক্ষণ ও ব্যাকআপ নকশা |
| পুনরুদ্ধার | পুনরায় তৈরি করা যায় কি না মূল্যায়ন | পুনরুদ্ধারের লক্ষ্য ও ব্যাকআপ পরীক্ষা নির্ধারণ |
ভাগ করা দায়িত্ব
ক্লাউড ব্যবহার করলেই সবকিছু স্বয়ংক্রিয়ভাবে নিরাপদ হয় না, এবং একজন ডেভেলপার একা সব ঝুঁকি সামলাতে পারে না। আমরা গ্রাহক, Finite Field এবং ব্যবহৃত পরিষেবার ভূমিকা আলাদা করি।
চুক্তির পরিসরের মধ্যে আমরা সিস্টেম নিয়ন্ত্রণ এবং উন্নয়নকালীন ডেটা ব্যবস্থাপনা সামলাই।
আইনসম্মত ডেটা ব্যবহার, ব্যবহারকারী ও এন্ডপয়েন্ট পরিচালনা এবং অভ্যন্তরীণ নিয়ম গ্রাহকের গুরুত্বপূর্ণ দায়িত্ব হিসেবেই থাকে।
ভৌত সুবিধা, প্ল্যাটফর্ম পরিষেবা এবং ম্যানেজড-সার্ভিসের পরিসর প্রতিটি পরিষেবা চুক্তি ও শেয়ার্ড রেসপনসিবিলিটি মডেল অনুযায়ী চলে।
AI ও তৃতীয় পক্ষ
ডেটা জেনারেটিভ AI, মানচিত্র, মেইল, অ্যানালিটিক্স, বিজ্ঞপ্তি, পেমেন্ট বা অন্য পরিষেবায় গেলে উদ্দেশ্য ও পরিসর ডেটা প্রবাহে অন্তর্ভুক্ত করা হয়।
ব্যবসায়িক ডেটা বাহ্যিক AI-তে পাঠাবেন না। সাধারণ অ্যালগরিদম, স্থানীয় প্রক্রিয়াকরণ বা স্থির নাম-পরিচয়হীন ডেটা ব্যবহার করুন।
প্রথমে বিবেচনার বিকল্পপরিচয়চিহ্ন সরানোর পর শুধু সম্মত ক্ষেত্রগুলো সম্মত পরিষেবায় পাঠান। স্থানান্তর নথিবদ্ধ করা যায় কি না যাচাই করুন।
নাম-পরিচয়হীনকরণ ও ন্যূনতমকরণ প্রয়োজনপরিষেবার শর্ত, সংরক্ষণ, অঞ্চল, পুনর্ব্যবহারের শর্ত এবং অনুমতি নিশ্চিত করে লক্ষ্য ডেটা নথিবদ্ধ করুন।
স্বতন্ত্র ঝুঁকি বিচার প্রয়োজনবাহ্যিক পরিষেবা যাচাই
ঘটনা প্রতিক্রিয়া
প্রোডাকশন পরিচালনার আগে ইভেন্টের পরিসর, যোগাযোগ ব্যক্তি, প্রথম নোটিশ, সীমাবদ্ধকরণ, পুনরুদ্ধার এবং প্রতিরোধের দায়িত্ব নির্ধারণ করুন।
মনিটরিং, ব্যবহারকারীর যোগাযোগ বা পরিষেবা নোটিশ থেকে ইভেন্ট শনাক্ত করুন।
ছড়িয়ে পড়া কমান এবং প্রয়োজনীয় প্রমাণ সংরক্ষণ করুন।
প্রভাবিত ডেটা, কারণ, প্রভাব এবং রিপোর্টের প্রয়োজন নিশ্চিত করুন।
আইন, চুক্তি এবং পরিস্থিতির ভিত্তিতে সংশ্লিষ্টদের যোগাযোগ করুন।
নিরাপত্তা নিশ্চিত হওয়ার পর পুনরুদ্ধার করুন এবং প্রতিরোধ প্রয়োগ করুন।
প্রমাণ প্যাক
গুরুত্ব ও চুক্তির পরিসর অনুযায়ী এই উপকরণগুলো তৈরি বা হালনাগাদ করা যায়। সবই মানসম্মত সরবরাহযোগ্য নয়, তাই প্রাক্কলনের সময় প্রয়োজনীয়গুলো বেছে নেওয়া হয়।
ক্ষেত্র, উদ্দেশ্য, সংবেদনশীলতা, অবস্থান, মালিক।
ডাউনলোড CSV / 02উৎস, গন্তব্য, উদ্দেশ্য, পদ্ধতি, সাবপ্রসেসর।
ডাউনলোড CSV / 03ভূমিকা, পরিবেশ, অপারেশন, অনুমোদন, পর্যালোচনা।
ডাউনলোড CSV / 04পরিষেবা, উদ্দেশ্য, ডেটা, অবস্থান, চুক্তি।
ডাউনলোড CSV / 05কারণ, সময়সীমা, মুছে ফেলার পদ্ধতি, প্রমাণ, ব্যতিক্রম।
ডাউনলোড CSV / 06ইভেন্ট শ্রেণি, প্রধান যোগাযোগ, বিকল্প যোগাযোগ, সিদ্ধান্তের মালিক।
ডাউনলোড CSV / 07লক্ষ্য, পুনরুদ্ধার পয়েন্ট, সময়, ফল, সমস্যা।
ডাউনলোড CSV / 08নকশা, বাস্তবায়ন, পরীক্ষা, পরিচালনা, শেষের ব্যবস্থা।
ডাউনলোড CSV / 09উদ্দেশ্য, পাঠানো ক্ষেত্র, সংরক্ষণ, অনুমোদন, থামানোর পদ্ধতি।
ডাউনলোডবাস্তব কার্যপদ্ধতি ও প্রকল্পের পরিসর নিশ্চিত করার পর আমরা গ্রাহকের নিরাপত্তা প্রশ্নপত্রের উত্তর দিই। এখনও বাস্তবায়িত নয় এমন বিষয় আলাদা করে বলা হয়, বিকল্প নিয়ন্ত্রণও আলাদা করা হয়।
রেফারেন্স
কোনো প্রকল্পে নিয়ন্ত্রণ বেছে নেওয়ার সময় আমরা আইন, সরকারি নির্দেশিকা এবং উন্মুক্ত মানকে রেফারেন্স হিসেবে ব্যবহার করি। এগুলো উল্লেখ করা সার্টিফিকেশন বা পূর্ণ কমপ্লায়েন্স দাবি করার থেকে আলাদা।
নিরাপত্তা ব্যবস্থাপনা ব্যবস্থা, ব্যবস্থাপনার নিয়ম, সাংগঠনিক, মানবিক, ভৌত ও প্রযুক্তিগত ব্যবস্থা এবং বাহ্যিক পরিবেশ যাচাইয়ের ভিত্তি হিসেবে ব্যবহার করা হয়।
সরকারি উৎস খুলুনঝুঁকি ও পরিচালন ঘাটতির সাধারণ ভাষা হিসেবে ছয়টি ফাংশন ব্যবহার করা হয়।
সরকারি উৎস খুলুনওয়েব ও অ্যাপ্লিকেশন নিরাপত্তা প্রয়োজনীয়তা এবং যাচাইয়ের বিষয় সাজানোর সময় রেফারেন্স হিসেবে ব্যবহার করা হয়।
সরকারি উৎস খুলুনশুধু এই পৃষ্ঠা থেকে নিম্নলিখিত দাবি বোঝায় না।
ISO/IEC 27001 সার্টিফিকেশনPrivacyMark সার্টিফিকেশনপূর্ণ NIST CSF কমপ্লায়েন্সOWASP ASVS সার্টিফিকেশনঘটনা ঘটবে না এমন নিশ্চয়তাপ্রতিটি প্রকল্পে একই নিয়ন্ত্রণপ্রশ্নোত্তর
নীতিগতভাবে আমরা আগে দেখি যাচাইয়ের জন্য ন্যূনতম, নাম-পরিচয়হীন বা ছদ্মনামযুক্ত নমুনা ব্যবহার করা যায় কি না। বাস্তব ডেটা প্রয়োজন হলে পরিসর, সংরক্ষণ, দর্শক এবং মুছে ফেলার সময় আগে সম্মত করা হয়।
বাহ্যিক AI ব্যবহার, পাঠানো ডেটা, উদ্দেশ্য এবং সংরক্ষণ প্রতিটি প্রকল্পে আলাদা করে নির্ধারিত হয়। বাহ্যিক AI-তে কোনো ব্যবসায়িক ডেটা না পাঠানোর কনফিগারেশনও বেছে নেওয়া যায়।
ব্যবহৃত ক্লাউড বা বাহ্যিক পরিষেবার সক্ষমতার মধ্যে অবস্থান-সংক্রান্ত প্রয়োজন যাচাই করি। সীমান্ত-পেরোনো স্থানান্তর গুরুত্বপূর্ণ হলে পরিষেবা ও ডেটা প্রবাহ স্পষ্ট করা হয়।
চুক্তি, পরিচালন মডেল এবং রক্ষণাবেক্ষণের পরিসর অনুযায়ী মালিকানা, সংরক্ষণ, অ্যাক্সেস, ব্যাকআপ এবং মুছে ফেলার দায়িত্ব স্পষ্ট করা হয়।
এই পৃষ্ঠা নির্দিষ্ট কোনো সার্টিফিকেশন দাবি করে না। নিয়ন্ত্রণ ও পর্যালোচনার উপকরণ প্রকল্পভিত্তিক নির্ধারিত হয়, এবং প্রয়োজন হলে গ্রাহক চেক শিটের উত্তর দেওয়া যায়।
প্রোডাকশন পরিচালনার আগে যোগাযোগ ব্যক্তি, ইভেন্টের পরিসর, প্রথম নোটিশের পদ্ধতি এবং আপডেটের ঘনত্ব নির্ধারণ করা হয়। বাস্তব নোটিশ আইন, চুক্তি এবং ঘটনার বিবরণের ভিত্তিতে হয়।
প্রয়োজনীয়তা, আইনগত শর্ত, অ্যাক্সেসের পরিসর, সংরক্ষণ, লগ, মুছে ফেলা এবং সাবপ্রসেসর যাচাই করতে হয়। আরও কঠোর নকশা দরকার এবং বাস্তবায়নযোগ্যতা প্রকল্পভিত্তিক নির্ধারিত হয়।
লক্ষ্য ও প্রয়োজনীয় স্তর অনুযায়ী নকশা পর্যালোচনা, স্বয়ংক্রিয় পরীক্ষা, ম্যানুয়াল পরীক্ষা এবং বাহ্যিক বিশেষজ্ঞ একসঙ্গে ব্যবহার করা যায়। পরিসর ও সরবরাহযোগ্য ফল প্রাক্কলনের সময় নির্দিষ্ট করা হয়।
পরবর্তী ধাপ
সম্পূর্ণ ওয়ার্কবুক পাঠানোর আগে কলামের নাম বা নাম-পরিচয়হীন নমুনা দিয়ে শুরু করা যায়। প্রয়োজনীয় নিয়ন্ত্রণ ও উন্নয়নের পরিসর আমরা একসঙ্গে সাজাব।