सरकारी ईमेल के 135 खातों से उजागर हुई व्यापक सुरक्षा समस्या
नेपाल के nepal.gov.np सरकारी डोमेन के कम से कम 135 ईमेल खातों की पहचान बाहरी डेटा उल्लंघनों में हुई। यह तब सामने आया जब राष्ट्रीय साइबर सुरक्षा केंद्र Have I Been Pwned से जुड़ा। यह सेवा उजागर हुए क्रेडेंशियल पर नजर रखती है। प्रभावित पतों में प्रधानमंत्री कार्यालय और गृह, वित्त तथा विदेश मंत्रालयों से जुड़े खाते शामिल थे।
विषय-सूची
- सरकारी ईमेल के 135 खातों से उजागर हुई व्यापक सुरक्षा समस्या
- ईमेल खातों की खोज से क्या साबित होता है
- नागरिक दस्तावेज और सार्वजनिक पोर्टल अलग-अलग खतरों का सामना कर रहे हैं
- रिपोर्ट किए गए हमलों और सरकारी कार्रवाई की समयरेखा
- इलेक्ट्रॉनिक खरीद प्रक्रिया से सार्वजनिक खर्च की सुरक्षा जुड़ती है
- एक प्रदाता पूरे बाजार को बाधित कर सकता है
- राष्ट्रीय पहचान प्रणाली की क्षमता संबंधी समस्या कई सेवाओं तक फैली
- सरकारी सुरक्षा उपाय बढ़ रहे हैं, लेकिन उनकी सीमाएं हैं
- गोपनीयता के अधिकार का स्पष्ट रूप से पालन जरूरी
- परीक्षण, खरीद और खुलासे पर अगले फैसले जरूरी
- मुख्य बिंदु
यह खुलासा छात्रों और शिक्षकों के दस्तावेज उजागर होने, सरकारी पोर्टलों पर हमलों, इलेक्ट्रॉनिक खरीद प्रक्रिया में हस्तक्षेप और शेयर कारोबार बाधित करने वाली रैनसमवेयर घटना की खबरों के साथ सामने आया है। अक्टूबर 2026 में प्रकाशित विवरण ऐसे डिजिटल प्रशासन की तस्वीर पेश करते हैं, जिसकी सुरक्षा संबंधी विफलताएं निजी गोपनीयता और आवश्यक सेवाओं तक पहुंच, दोनों को प्रभावित कर सकती हैं।
इन घटनाओं में अलग-अलग तरह की समस्याएं शामिल हैं। किसी ईमेल पते का डेटा उल्लंघन में दिखना अपने आप यह साबित नहीं करता कि किसी ने सरकारी नेटवर्क में प्रवेश किया। किसी वेबसाइट का बंद होना यह साबित नहीं करता कि उसके रिकॉर्ड चुरा लिए गए। फिर भी, उजागर क्रेडेंशियल, कमजोर पहुंच नियंत्रण और साझा बुनियादी ढांचे पर निर्भरता मिलकर अधिक संवेदनशील प्रणालियों तक पहुंचने के रास्ते बना सकते हैं।
नेपाल पासपोर्ट, पहचान सत्यापन, कराधान, बैंकिंग और सामाजिक सुरक्षा को डिजिटल सेवाओं से जोड़ रहा है, जबकि नागरिक अब भी कतारों, पहचान पत्र मिलने में देरी और सर्वर उपलब्ध न होने की शिकायत कर रहे हैं। इसलिए मुख्य मुद्दा सिर्फ हैकरों को रोकने से व्यापक है: सरकार को लोगों से मांगी गई जानकारी की सुरक्षा करनी होगी और किसी घटक के विफल होने पर भी सेवाओं को उपयोग योग्य बनाए रखना होगा।
ईमेल खातों की खोज से क्या साबित होता है
राष्ट्रीय साइबर सुरक्षा केंद्र के निदेशक राज कुमार महार्जन के मुताबिक, नेपाल Have I Been Pwned से जुड़ने वाली 47वीं सरकारी इकाई बना। इस जुड़ाव से केंद्र को अन्य जगह हुए डेटा उल्लंघनों में उजागर सरकारी पतों की पहचान करने का तरीका मिलता है; अब उसे केवल अपने नेटवर्क से मिले सबूतों पर निर्भर नहीं रहना पड़ता।
महार्जन ने कहा कि केंद्र प्रभावित विभागों को सूचित करेगा और पासवर्ड बदलना अनिवार्य करेगा। उन्होंने बताया कि निगरानी सेवा से कार्रवाई का तरीका कैसे बदलेगा:
इस पोर्टल के जरिए अब हमारे केंद्र को सटीक जानकारी मिलती है कि कौन-सा ईमेल पता लीक हुआ और वह किस स्रोत से लीक हुआ। इससे हम संबंधित अधिकारियों को तुरंत सचेत कर सकते हैं, तत्काल पासवर्ड रीसेट अनिवार्य कर सकते हैं और आगे होने वाले नुकसान को रोक सकते हैं।
135 के आंकड़े को 135 सरकारी मेलबॉक्स में घुसपैठ की पुष्टि के रूप में नहीं पढ़ना चाहिए। सार्वजनिक खबरों से यह स्पष्ट नहीं होता कि कितने खाते अब भी असुरक्षित थे, उजागर पासवर्ड अब भी मान्य थे या कितने खातों में अतिरिक्त प्रमाणीकरण सुरक्षा मौजूद थी।
साइबर सुरक्षा विशेषज्ञ मोना न्याछ्यों ने चेतावनी दी कि सरकारी खातों से छेड़छाड़ आंतरिक नेटवर्क और गोपनीय संचार को खतरे में डाल सकती है। किसी वास्तविक सरकारी मेलबॉक्स पर नियंत्रण रखने वाला हमलावर फर्जी अनुरोधों को भरोसेमंद भी दिखा सकता है, खासकर तब जब प्राप्तकर्ता उस पते को पहचानते हों।
अलग-अलग विवरणों में बताया गया है कि सूचना चुराने वाले मैलवेयर के जरिए कृषि विकास बैंक से जुड़े क्रेडेंशियल सामने आए। ऐसी चोरी सेवा तक पहुंचने के लिए इस्तेमाल किए गए कंप्यूटर पर हो सकती है; इसके लिए हमलावर को सेवा के केंद्रीय सर्वर में सीधे सेंध लगाने की जरूरत नहीं होती।
नागरिक दस्तावेज और सार्वजनिक पोर्टल अलग-अलग खतरों का सामना कर रहे हैं
खबरों के मुताबिक, विश्वविद्यालय अनुदान आयोग की ऑनलाइन प्रणाली में प्राध्यापकों और छात्रों के नागरिकता दस्तावेज, शैक्षणिक प्रमाणपत्र, बैंक खाते का विवरण और स्थायी लेखा संख्या (पैन) रिकॉर्ड उजागर हुए। बताया गया कि पहुंच नियंत्रण न होने के कारण वेब पते में बदलाव करना ही दस्तावेजों तक पहुंचने के लिए काफी था।
पहुंच नियंत्रण वह जांच है जो तय करती है कि किसी व्यक्ति को कोई खास रिकॉर्ड देखने की अनुमति है या नहीं। सिर्फ इसलिए कोई दस्तावेज सुरक्षित नहीं हो जाता कि उसके पते का अनुमान लगाना मुश्किल है। सर्वर को हर अनुरोध पर अनुमति की पुष्टि करनी चाहिए।
रिपोर्टों में सरकारी क्लाउड पोर्टल के सार्वजनिक एप्लिकेशन प्रोग्रामिंग इंटरफेस तक अनधिकृत पहुंच का भी जिक्र है। इंटरफेस, जिसे आम तौर पर API कहा जाता है, सॉफ्टवेयर प्रणालियों को जानकारी साझा करने या कार्रवाई करने देता है। बताया गया है कि ForceAnon नेटवर्क से जुड़े PSy404 और AnoNagoSt नाम के समूहों ने इस पहुंच का इस्तेमाल संदेश और तस्वीरें पोस्ट करने के लिए किया।
अन्य रिपोर्ट की गई घटनाओं में Midnight Ops Nepal द्वारा जल विज्ञान और मौसम विज्ञान विभाग जैसी प्रणालियों की कमजोरियां उजागर करना और FunkSec के जिम्मे बताए गए मंत्रालयों के प्रशासनिक पैनलों तक पहुंच शामिल है। बजट और नगरपालिका के दस्तावेज कथित तौर पर बिक्री के लिए पेश किए गए।
इन दावों का अलग-अलग आकलन जरूरी है। सार्वजनिक इंटरफेस के जरिए सामग्री पोस्ट होना नियंत्रण में विफलता दिखाता है, लेकिन इससे यह साबित नहीं होता कि सरकारी क्लाउड पर मौजूद हर डेटाबेस तक पहुंच बनाई गई थी। बिक्री के लिए पेश किए गए दस्तावेजों की खबरों में भी, जोखिम की पूरी सीमा मापने से पहले उनकी प्रामाणिकता, दायरे और स्रोत की पुष्टि जरूरी है।
रिपोर्ट किए गए हमलों और सरकारी कार्रवाई की समयरेखा
इन विवरणों में एक ही समन्वित हमले के बजाय कई वर्षों की घटनाओं का जिक्र है। यह क्रम यह भी दिखाता है कि एक समर्पित साइबर केंद्र स्थापित होने से व्यवधान खत्म नहीं हुए।
- 1 जनवरी 2024: वितरित सेवा-अस्वीकार (डिस्ट्रिब्यूटेड डिनायल ऑफ सर्विस) हमले से कथित तौर पर सार्वजनिक सेवा की वेबसाइटें और एप्लिकेशन बाधित हुए। इसका असर कई हफ्तों तक रहा।
- 23 जनवरी 2024: मंत्रिमंडल ने राष्ट्रीय साइबर सुरक्षा केंद्र स्थापित करने का फैसला किया। केंद्र उसी वसंत में बाद में परिचालन में आया।
- दिसंबर 2024: गंडकी, लुंबिनी और बागमती प्रांतों के सरकारी पोर्टलों पर हमलों की खबरें आईं।
- फरवरी 2025: खबरों में कोशी प्रांत के 21 सबडोमेन पर हमलों का जिक्र किया गया।
- मार्च 2025: Hello Sarkar शिकायत मंच के डेटाबेस से कथित तौर पर छेड़छाड़ हुई और उसे बिक्री के लिए पेश किया गया।
- अप्रैल 2025: पुलिस रिपोर्ट के लिए जमा किए गए करीब 2 मिलियन नागरिकता रिकॉर्ड नेपाल पुलिस की वेबसाइट से कथित तौर पर चुराए गए और बिक्री के लिए पेश किए गए।
- 13 मई 2026: प्रकाशित सरकारी कार्य-विभाजन नियमावली संशोधनों के तहत प्रमुख तकनीकी निकाय कथित तौर पर प्रधानमंत्री कार्यालय को हस्तांतरित किए गए।
- सितंबर 2026: कथित रैनसमवेयर हमले से 72 शेयर ब्रोकरों की सेवाओं वाली प्रणालियां बाधित हुईं और एक दिन के लिए कारोबार रुक गया।
- अक्टूबर 2026 की शुरुआत: Pathao Nepal ने कथित तौर पर उपयोगकर्ताओं के नाम, ईमेल पते और फोन नंबर लीक होने की बात स्वीकार की।
करीब 2 मिलियन पुलिस रिकॉर्ड की कथित चोरी, बताए गए सबसे बड़े डेटा उजागर होने के मामलों में से एक है। यह संख्या एक रिपोर्ट किया गया दावा है, प्रभावित लोगों की स्वतंत्र रूप से पुष्ट गिनती नहीं। विवरणों में विशिष्ट रिकॉर्ड की सत्यापित संख्या या नुकसान का पूरा सार्वजनिक आकलन नहीं दिया गया है।
इलेक्ट्रॉनिक खरीद प्रक्रिया से सार्वजनिक खर्च की सुरक्षा जुड़ती है
इलेक्ट्रॉनिक सरकारी खरीद प्रणाली, जिसे e-GP कहा जाता है, से कथित छेड़छाड़ का मामला गोपनीय जानकारी के साथ-साथ सार्वजनिक ठेकों की अखंडता से भी जुड़ा है। सार्वजनिक खरीद निगरानी कार्यालय अरबों रुपये के सरकारी कामों की निविदा के लिए इस मंच का संचालन करता है।
खबरों के मुताबिक, जांचकर्ताओं ने पाया कि अनधिकृत उपयोगकर्ता प्रतिस्पर्धियों की गोपनीय बोली रकम देख सकते थे और निविदा जमा करने की समय-सीमा के बाद आंकड़े बदल सकते थे। विवरणों में हैकरों, बिचौलियों और ठेकेदारों के बीच कथित मिलीभगत का जिक्र है, जिसमें क्रिप्टोकरेंसी से भुगतान और एक नकली खरीद वेबसाइट शामिल है।
नेपाल पुलिस के केंद्रीय जांच ब्यूरो ने कथित तौर पर एक पूर्व मंत्री, निर्माण क्षेत्र के कारोबारी और तकनीकी कर्मचारियों समेत 20 से अधिक लोगों को गिरफ्तार किया और अदालत में मामले दायर किए। गिरफ्तारी और आरोप दोषसिद्धि नहीं होते। खबरों में ऐसे अंतिम अदालती फैसलों का जिक्र नहीं है जिनसे हर आरोपी की जिम्मेदारी स्थापित हो।
सुरक्षा चिंताओं के कारण इलेक्ट्रॉनिक बोली प्रक्रिया निलंबित कर जरूरी खरीद के लिए सीलबंद कागजी बोलियों पर लौटने की खबर है। विवरणों में बहाली की कोई पुष्ट तारीख नहीं दी गई।
दस्तावेज लीक से इसका अंतर अहम है। जब कोई व्यक्ति ऐसी बोली देखता है जिसे देखने का उसे अधिकार नहीं, तो गोपनीयता भंग होती है। जब कोई बोली में ही बदलाव करता है, तो अखंडता भंग होती है। इनमें से कोई भी सुरक्षा विफल होने पर खरीद को अधिक पारदर्शी बनाने के लिए तैयार डिजिटल प्रणाली, चुनिंदा बोलीदाताओं को छिपा हुआ लाभ देने का जरिया बन सकती है।
एक प्रदाता पूरे बाजार को बाधित कर सकता है
सितंबर 2026 में रैनसमवेयर की एक कथित घटना ने 72 ब्रोकरेज कंपनियों के ट्रेडिंग प्रबंधन सिस्टम को होस्ट करने वाले निजी डेटा केंद्र को निशाना बनाया। खबरों के मुताबिक, नेपाल स्टॉक एक्सचेंज में पूरे एक दिन कारोबार नहीं हो सका। मूल विवरण में यह भी कहा गया है कि प्रभावित केंद्र में सरकारी जानकारी होस्ट की जा रही थी।
रैनसमवेयर आम तौर पर प्रणालियों या डेटा तक पहुंच रोकता है, अक्सर फाइलों को एन्क्रिप्ट करके, और भुगतान की मांग करता है। खबरों से हमले का तकनीकी तरीका, जानकारी चोरी होने की स्थिति या फिरौती दिए जाने की पुष्टि नहीं होती।
अधिक स्पष्ट रूप से बताया गया असर परिचालन पर पड़ा: एक होस्टिंग प्रदाता की सेवा बाधित होने से दर्जनों ब्रोकर प्रभावित हुए और निवेशक कारोबार नहीं कर सके। यह निर्भरता का जोखिम है, जिसमें कई संगठन एक ही आपूर्तिकर्ता या बुनियादी ढांचे पर निर्भर होते हैं।
Pathao Nepal से जुड़ा खुलासा निजी क्षेत्र में एक अलग तरह के जोखिम को दिखाता है। अक्टूबर 2026 की शुरुआत में नाम, ईमेल पते और फोन नंबर लीक होने की खबर आई। रिपोर्टों में हजारों प्रभावित उपयोगकर्ताओं का जिक्र है, लेकिन सत्यापित कुल संख्या नहीं दी गई।
पहले की खबरों में Vianet और Foodmandu से जुड़ी ग्राहक जानकारी लीक होने, बैंक के एटीएम सिस्टम पर हमलों और NIC Asia Bank के SWIFT सिस्टम पर एक नाकाम हमले का भी जिक्र है। इन घटनाओं का दायरा और नतीजे अलग-अलग हैं, लेकिन वे दिखाती हैं कि सुरक्षा की चुनौती सरकारी वेबसाइटों तक सीमित नहीं है; यह संचार, खरीदारी, परिवहन और वित्त के लिए इस्तेमाल होने वाली सेवाओं तक फैली है।
राष्ट्रीय पहचान प्रणाली की क्षमता संबंधी समस्या कई सेवाओं तक फैली
राष्ट्रीय पहचान प्रणाली यह दिखाती है कि किसी सेवा में पुष्टि किए गए साइबर हमले के बिना भी खराबी आ सकती है। रिपोर्टों के मुताबिक, बायोमेट्रिक प्रणाली के करीब 20 मिलियन रिकॉर्ड की क्षमता तक पहुंचने पर तकनीकी दबाव के कारण प्रमाणीकरण कई हफ्तों तक बाधित रहा।
खबरों के मुताबिक, पासपोर्ट, कर, परिवहन और बैंकिंग सेवाओं समेत 16 से अधिक निकायों में व्यवधान आया। यह आंकड़ा प्रणाली की बताई गई क्षमता पर दबाव को दर्शाता है, बायोमेट्रिक जानकारी उजागर होने से प्रभावित लोगों की सत्यापित संख्या को नहीं।
फ्रांसीसी आपूर्तिकर्ता की कंपनी पहचान के बारे में विवरणों में अंतर है। मूल विवरण में Idemia से IN Groupe में बदलाव का जिक्र है, जबकि दूसरे विवरण में IDEMIA को वर्तमान नाम बताया गया है। यहां अनुबंध और सहायता की सटीक व्यवस्था स्थापित नहीं है। परिचालन संबंधी समस्या एक ही है: कई सेवाएं एक प्रमाणीकरण मंच पर निर्भर थीं और उसके अनुपलब्ध होने पर प्रभावित हुईं।
साझा पहचान सेवा से बार-बार की जांच और कागजी कार्रवाई कम हो सकती है। लेकिन अगर वह सेवा जवाब देना बंद कर दे और एजेंसियां किसी सुरक्षित वैकल्पिक तरीके से काम न चला सकें, तो वही सेवा विफलता का एकल बिंदु बन जाती है। इसलिए क्षमता नियोजन, सेवा बहाली की व्यवस्था और आपूर्तिकर्ताओं की स्पष्ट जिम्मेदारियां, घुसपैठ से सुरक्षा जितनी ही अहम हैं।
गोपनीयता पर पड़ने वाले असर का भी उतनी ही सावधानी से आकलन जरूरी है। उंगलियों के निशान बायोमेट्रिक पहचानकर्ता हैं; नागरिकता संख्या और जन्मतिथि पहचान संबंधी जानकारी हैं, बायोमेट्रिक्स नहीं। पासवर्ड के विपरीत, उंगलियों के निशान बदले नहीं जा सकते। इन विवरणों के उजागर होने से पहचान की नकल और लक्षित धोखाधड़ी के स्थायी अवसर पैदा हो सकते हैं।
सरकारी सुरक्षा उपाय बढ़ रहे हैं, लेकिन उनकी सीमाएं हैं
खबरों के मुताबिक, राष्ट्रीय साइबर सुरक्षा केंद्र ने ईमेल उल्लंघन की रिपोर्ट से पहले के चार महीनों में करीब 40 सरकारी प्रणालियों का ऑडिट किया। केंद्र CTM360 का भी इस्तेमाल करता है, जो अंतरराष्ट्रीय दूरसंचार संघ द्वारा दिया गया निगरानी उपकरण है और सरकारी जानकारी से जुड़े अवैध लेन-देन पर नजर रखता है।
नई खरीदी गई सुरक्षा सूचना और घटना प्रबंधन (Security Information and Event Management) प्रणाली सरकारी नेटवर्क में गतिविधि लॉग एकत्र और उनका विश्लेषण करती है। ऐसे उपकरण संदिग्ध गतिविधियों की पहचान में कर्मचारियों की मदद करते हैं, लेकिन उनका महत्व इस बात पर निर्भर करता है कि किस चीज की निगरानी हो रही है और टीमें अलर्ट की जांच कितनी जल्दी करती हैं।
नेपाली विवरण में सूचना प्रौद्योगिकी और इलेक्ट्रॉनिक शासन कार्यालय के सूचना अधिकारी बताए गए प्रकाश द्वाड़ी ने कहा कि होस्ट किए गए सरकारी पोर्टलों पर एक साथ 7,000 से 8,000 हमले के प्रयास हो सकते हैं। उनके अनुमान में 10 से 20 प्रतिशत प्रयास छात्रों या बच्चों की बुनियादी जांच से जुड़े हैं। रिपोर्ट में माप की अवधि या गिनती का तरीका नहीं बताया गया है।
द्वाड़ी ने यह भी कहा कि जब कर्मचारी प्रणालियों की सुरक्षित रक्षा नहीं कर पाते, तो कभी-कभी उन्हें नेटवर्क से काट देते हैं। इसलिए सर्वर का बंद होना सुरक्षा के लिए उठाया गया कदम भी हो सकता है, न कि इस बात का सबूत कि हमलावरों ने नियंत्रण हासिल कर लिया है। दोनों ही स्थितियों में नागरिक सेवाओं से वंचित होते हैं, इसलिए सटीक सेवा सूचनाएं और बहाली की प्रक्रिया जरूरी हैं।
महार्जन ने 90 प्रतिशत से अधिक साइबर घटनाओं के लिए मानवीय व्यवहार और सोशल इंजीनियरिंग को जिम्मेदार बताया। यह उनका आकलन है, दस्तावेजित राष्ट्रीय सांख्यिकीय निष्कर्ष नहीं। उन्होंने यह चेतावनी भी दी कि कृत्रिम बुद्धिमत्ता की मदद से तेजी से एप्लिकेशन बनाने पर डेवलपर एन्क्रिप्शन और सुरक्षा की कमजोरियों से अनजान रह सकते हैं।
खबरों के मुताबिक, फिशिंग संदेशों में अतिरिक्त पुलिस महानिरीक्षक मनोज कुमार केसी, प्रधानमंत्री कार्यालय और अन्य पुलिस अधिकारियों का रूप धरा गया। इन संदेशों में प्राप्तकर्ताओं पर जवाब देने या जानकारी उजागर करने का दबाव बनाने के लिए अभियोजन की धमकी दी गई। ये उदाहरण दिखाते हैं कि डर और आधिकारिक पद का इस्तेमाल धोखाधड़ी के औजार के रूप में किया जा सकता है।
गोपनीयता के अधिकार का स्पष्ट रूप से पालन जरूरी
नेपाल के संविधान का अनुच्छेद 28 गोपनीयता की रक्षा करता है। निजता ऐन, 2075 (2018) सार्वजनिक निकायों के पास मौजूद निजी जानकारी से जुड़े दायित्व भी तय करता है। मूल विवरण और उसके साथ दिए गए विश्लेषण में धारा 29 के तहत तीन साल तक की जेल, धारा 31 के तहत मुआवजे और धारा 32 के तहत विभागीय कार्रवाई का जिक्र है।
इन प्रावधानों से यह साबित नहीं होता कि हर तकनीकी विफलता आपराधिक अपराध या मुआवजे की शर्तें पूरी करती है। जिम्मेदारी का निर्धारण संबंधित आचरण, लागू कानूनी प्रावधानों और सबूतों के आधार पर होना चाहिए। चर्चा में शामिल घटनाओं से जुड़े दंड या मुआवजे का सार्वजनिक विवरण खबरों में बहुत कम है।
प्रशासनिक जिम्मेदारी भी बदल रही है। 13 मई 2026 को प्रकाशित संशोधनों के तहत साइबर सुरक्षा केंद्र, डेटा प्रबंधन केंद्र और सूचना प्रौद्योगिकी विभाग को कथित तौर पर प्रधानमंत्री कार्यालय के अधीन किया गया। 27 मार्च 2026 को मंजूर मंत्रिमंडल के एजेंडे में तीन महीने के भीतर सूचना प्रौद्योगिकी और ई-गवर्नेंस कार्यालय बनाने की बात थी, लेकिन विवरण प्रकाशित होने तक संगठनात्मक सर्वेक्षण कथित तौर पर अधूरे थे।
नई संरचना और रिपोर्टिंग व्यवस्था अब भी तय नहीं थी। संस्थानों को स्थानांतरित करने भर से यह स्पष्ट नहीं होता कि प्रभावित नागरिकों को सूचना कौन देगा, प्रभावित सेवा बहाल करने की मंजूरी कौन देगा या यह कौन जांचेगा कि आपूर्तिकर्ता ने सुरक्षा खामी ठीक की है।
परीक्षण, खरीद और खुलासे पर अगले फैसले जरूरी
मूल विश्लेषण में सॉफ्टवेयर की खरीद की शुरुआत से ही सुरक्षा संबंधी दायित्व तय करने का प्रस्ताव है। इनमें एन्क्रिप्शन, लगातार अपडेट, रखरखाव और गुणवत्ता तथा लागत पर आधारित चयन शामिल हैं, ताकि सॉफ्टवेयर को डिलीवरी के साथ पूरी हो जाने वाली खरीद न माना जाए। ये प्रस्ताव हैं, सरकार की पुष्ट नई अनिवार्यताएं नहीं।
विश्लेषण में नागरिकों के लिए सेवाएं शुरू करने से पहले अनिवार्य भेद्यता आकलन और पेनेट्रेशन परीक्षण की भी वकालत की गई है। इन परीक्षणों से कमजोरियों की पहचान होती है और नियंत्रित तरीके से घुसपैठ का प्रयास किया जाता है। परीक्षण पूरा करना और उसकी कमियों को ठीक करना अलग बातें हैं: सेवा शुरू करने का भरोसेमंद फैसला तभी होगा जब इस बात का सबूत हो कि गंभीर खामियां ठीक की गईं और दोबारा जांची गईं।
साइबर सुरक्षा विशेषज्ञ नरेश लामगड़े का कहना है कि विकास के दौरान अक्सर सुरक्षा को नजरअंदाज किया जाता है और निजी शोधकर्ताओं को कमजोरियों की सूचना देने से हतोत्साहित किया जाता है। स्पष्ट प्रक्रिया वाला रिपोर्टिंग चैनल खोजी गई कमजोरियों को ठीक करने में मदद करेगा, ताकि शोधकर्ताओं को किसी एजेंसी से संपर्क करने में अनिश्चितता न रहे।
अन्य प्रस्तावित उपायों में सरकारी ईमेल और प्रशासनिक खातों के लिए अतिरिक्त प्रमाणीकरण, डेटा केंद्रों के नियमित ऑडिट, उल्लंघनों के बाद प्रभावित नागरिकों को सूचना देना और स्वतंत्र डेटा संरक्षण नियामक शामिल हैं। खबरों में इन उपायों को अपनाने की कोई पुष्ट तारीख नहीं दी गई है।
तत्काल जवाब की जरूरत वाले सवाल स्पष्ट हैं: उजागर खातों में से कितने सुरक्षित किए गए हैं, कथित रूप से चुराए गए डेटासेट की पुष्टि हुई है या नहीं, इलेक्ट्रॉनिक बोली प्रक्रिया कब फिर शुरू होगी और पहचान सेवाओं को क्षमता संबंधी एक और व्यवधान से कैसे बचाया जाएगा। सार्वजनिक जवाबों से ऑनलाइन सेवाओं की संख्या के बजाय नतीजों के आधार पर बहाली का आकलन करना संभव होगा।
मुख्य बिंदु
- Nepal के Have I Been Pwned से जुड़ने के बाद बाहरी डेटा उल्लंघनों में कम से कम 135 सरकारी ईमेल खातों की पहचान हुई।
- रिपोर्ट किए गए खुलासों में विश्वविद्यालय के दस्तावेज और पुलिस रिपोर्ट से जुड़े करीब 2 मिलियन नागरिकता रिकॉर्ड शामिल हैं; बाद की संख्या की पुष्टि नहीं हुई है।
- इलेक्ट्रॉनिक खरीद मामले में 20 से अधिक लोगों को कथित तौर पर गिरफ्तार किया गया; अदालत के अंतिम फैसलों की जानकारी नहीं दी गई है।
- सितंबर 2026 में रैनसमवेयर की कथित घटना से 72 ब्रोकरेज कंपनियों की प्रणालियां बाधित हुईं और एक दिन के लिए शेयर कारोबार रुक गया।
- राष्ट्रीय पहचान प्रणाली की क्षमता संबंधी समस्याओं से 16 से अधिक निकायों का प्रमाणीकरण कथित तौर पर कई हफ्तों तक बाधित रहा।
- सुरक्षा निगरानी और परीक्षण का दायरा बढ़ा है, लेकिन उल्लंघन की सूचना, जिम्मेदारी और बहाली की कई तारीखें अब भी अनिश्चित हैं।
