जांच में पाया गया कि सुरक्षा उपाय मुख्यतः कागजों तक सीमित थे
दक्षिण कोरिया की दस वित्तीय कंपनियों को आंतरिक कारोबारी नेटवर्क बाहरी इंटरनेट सेवाओं से जोड़ने की अस्थायी अनुमति दी गई थी। जुलाई के मध्य से सितंबर की शुरुआत तक हुई जांच में पाया गया कि उन्होंने कई अनिवार्य सुरक्षा उपाय लागू नहीं किए थे। कमियों में इंटरनेट से सुलभ सुरक्षा प्रबंधन कंसोल और सुरक्षा प्रमाणन के बिना इस्तेमाल की जा रही क्लाउड सेवा शामिल थी।
विषय-सूची
- जांच में पाया गया कि सुरक्षा उपाय मुख्यतः कागजों तक सीमित थे
- किन कंपनियों की जांच हुई?
- अस्थायी अनुमति के लिए क्या शर्तें थीं
- प्रशासक कंसोल का खुला होना क्यों अहम है
- अलग-अलग साइबर उल्लंघनों के बीच दूसरा दौर रुका
- विस्तार में छोटे संस्थान भी शामिल होते
- कोरिया भौतिक पृथक्करण पर फिर विचार क्यों कर रहा है
- अंतरराष्ट्रीय तुलना नियंत्रित कनेक्शन के पक्ष में
- एक अलग सास छूट में डेटा संबंधी पाबंदियां बरकरार
- मुख्य बिंदु
वित्तीय सुरक्षा संस्थान ने 12 वैकल्पिक सुरक्षा उपायों की समीक्षा की। वित्तीय सेवा आयोग ने 19 जून को कंपनियों को एक साल की छूट दी थी। इसका उद्देश्य उन्हें आंतरिक प्रणालियों की कमजोरियां पहचानने के लिए बाहरी कृत्रिम बुद्धिमत्ता और सुरक्षा सॉफ्टवेयर का उपयोग करने देना था।
संस्थान ने कहा कि आंतरिक और बाहरी नेटवर्क जुड़ने से पहले सभी कमियां दूर कर दी गई थीं। यह फर्क महत्वपूर्ण है: जांच के निष्कर्ष छूट के लिए अपर्याप्त तैयारी दिखाते हैं, लेकिन यह साबित नहीं करते कि कार्यक्रम के तहत अधिकृत कनेक्शन के जरिए हैकर आंतरिक प्रणालियों में घुसे थे।
जांच से जुड़ी सामग्री सोशल डेमोक्रेटिक पार्टी के सांसद हान चांग-मिन ने हासिल की, जो नेशनल असेंबली की राष्ट्रीय नीति समिति के सदस्य हैं। इससे पता चला कि कई सुरक्षा उपाय योजना के स्तर पर ही थे और कंपनियों ने यह सत्यापित नहीं किया था कि उनके नियंत्रण उनके अपने परिचालन परिवेश में काम करते हैं या नहीं।
ये निष्कर्ष ऐसे समय सामने आए जब नियामकों ने छूट के दूसरे दौर को टाल दिया। इस दौर में अधिकतम 15 संस्थानों को चुना जाना था। अधिकारियों ने कहा कि यह स्थगन प्रशासनिक संसाधनों को अलग-अलग साइबर उल्लंघनों और डेटा लीक की नई घटनाओं पर केंद्रित करने की जरूरत के चलते हुआ। उन्होंने यह नहीं कहा कि नेटवर्क पृथक्करण नियमों में ढील देने की नीति खत्म की जा रही है।
किन कंपनियों की जांच हुई?
पहले समूह में चार बैंक, तीन प्रतिभूति कंपनियां, दो बीमा कंपनियां और एक कार्ड कंपनी शामिल थीं। बैंक थे शिनहान बैंक, हाना बैंक, वूरी बैंक और काकाओबैंक। प्रतिभूति कंपनियां थीं केबी सिक्योरिटीज, एनएच इन्वेस्टमेंट & सिक्योरिटीज और मिराए एसेट सिक्योरिटीज। सैमसंग फायर & मरीन इंश्योरेंस, हानव्हा लाइफ और हुंडई कार्ड ने इस समूह को पूरा किया।
इन सभी दस कंपनियों के लिए छूट के तहत जरूरी वैकल्पिक उपायों की जांच की गई। संस्थान ने यह नहीं बताया कि किस कंपनी में कौन-सी कमी मिली या किन नियंत्रणों में विफलता रही। उसका कहना था कि ऐसी जानकारी से हमलावरों को लक्ष्य पहचानने में मदद मिल सकती है।
इसलिए यह निष्कर्ष कि कुछ प्रशासक कंसोल बाहरी इंटरनेट से सुलभ थे, किसी नामित भागीदार कंपनी से नहीं जोड़ा जा सकता। यही बात बिना प्रमाणन वाली क्लाउड सेवा पर भी लागू होती है। जांच की गई कंपनियों की सूची समीक्षा का दायरा बताती है, हर खास कमजोरी की जिम्मेदारी नहीं।
संस्थान ने वित्तीय सेवा आयोग को अपने निष्कर्ष सौंपे और कहा कि नेटवर्क कनेक्शन आगे बढ़ने से पहले उसने कमियों को दूर किए जाने की पुष्टि की। जांच के विवरण में इन खास कमियों के कारण ग्राहक को हुए किसी नुकसान, सफल घुसपैठ या डेटा लीक की पहचान नहीं की गई।
अस्थायी अनुमति के लिए क्या शर्तें थीं
वित्तीय कंपनियों को आम तौर पर अपने डेटा केंद्रों में आंतरिक कारोबारी प्रणालियों और सूचना प्रसंस्करण प्रणालियों को इंटरनेट समेत बाहरी संचार नेटवर्क से अलग रखना होता है। 19 जून के उपाय ने एक खास उद्देश्य के लिए इस सीमा में अस्थायी ढील दी: आंतरिक प्रणालियों की कमजोरियां जांचने के लिए बाहरी एआई और सेवा के रूप में सुरक्षा सॉफ्टवेयर का इस्तेमाल।
सेवा के रूप में सॉफ्टवेयर, या सास, ऐसा सॉफ्टवेयर है जिसे कंपनी की अपनी प्रणालियों में पूरी तरह स्थापित और संचालित करने के बजाय सेवा प्रदाता के ऑनलाइन बुनियादी ढांचे के जरिए इस्तेमाल किया जाता है। आंतरिक तकनीक की जांच में इसका उपयोग करने के लिए ऐसी सीमा के पार नियंत्रित कनेक्शन की जरूरत पड़ सकती है, जिसे नेटवर्क पृथक्करण नियम अन्यथा प्रतिबंधित करते हैं।
इसलिए यह छूट शर्तों के अधीन थी। कंपनियों को 12 वैकल्पिक नियंत्रण स्थापित करके लागू करने थे। इनमें एआई या सास सेवाओं से जुड़ी सुरक्षा घटनाओं और सेवा बाधित होने पर कार्रवाई की प्रक्रियाएं शामिल थीं। उन्हें इन सेवाओं के भीतर डेटा को अनावश्यक रूप से साझा या संसाधित होने से भी रोकना था।
इन शर्तों में सिर्फ सुरक्षित कनेक्शन बनाने की क्षमता शामिल नहीं थी। उनमें यह भी था कि बाहरी सेवा प्रदाता की सेवा बंद होने पर क्या होगा और बाहरी सेवा किसी कंपनी के सुरक्षा संचालन का हिस्सा बनने के बाद जानकारी को कैसे संभाला जाएगा। लिखित प्रतिक्रिया योजना से योजना-संबंधी शर्त पूरी हो सकती थी, लेकिन इससे यह साबित नहीं होता कि कर्मचारी, प्रणालियां और पहुंच संबंधी पाबंदियां उसे लागू करने के लिए तैयार थीं।
प्रशासक कंसोल का खुला होना क्यों अहम है
जांच में यह आम कमी सामने आई कि कंपनियों ने वास्तविक परिचालन परिवेश में नियंत्रणों के काम करने की पुष्टि नहीं की थी। कुछ कंपनियों ने सुरक्षा प्रबंधन प्रणालियां भी इंटरनेट से सुलभ छोड़ रखी थीं। इन्हें प्रबंधन कंसोल कहा जाता है और इनका इस्तेमाल सुरक्षा उपकरणों के प्रशासन के लिए होता है, इसलिए इन तक पहुंच पर पाबंदियां खास तौर पर महत्वपूर्ण हैं।
इंटरनेट से सुलभ होने का मतलब अपने आप यह साबित नहीं करता कि किसी हमलावर ने प्रमाणीकरण को दरकिनार किया या नियंत्रण हासिल कर लिया। हालांकि, इससे एक संवेदनशील प्रशासनिक इंटरफेस तक पहुंचने का बाहरी रास्ता जरूर बनता है। जांच के खुलासों में प्रमाणीकरण की व्यवस्था, कितने समय तक कंसोल खुले रहे या कितने संस्थान प्रभावित हुए, यह नहीं बताया गया।
सूनचुनह्यांग विश्वविद्यालय के सूचना सुरक्षा विभाग के प्रोफेसर येओम ह्युंग-योल ने चेतावनी दी कि सुधार पूरा होने से पहले सुरक्षा उपाय शायद पूरी तरह काम नहीं कर रहे थे। उन्होंने सुरक्षा प्रबंधन प्रणालियों तक पहुंच को खास तौर पर गंभीर कमी बताया:
सुरक्षा प्रशासक प्रणाली तक बाहरी पहुंच को सीमित न करना बहुत गंभीर मामला है।
संस्थान के विवरण के मुताबिक, अधिकृत कनेक्शन से पहले कमियां दूर कर दी गई थीं। इससे आंतरिक नेटवर्क के वास्तविक जोखिम के बारे में निकाले जा सकने वाले निष्कर्ष सीमित होते हैं, लेकिन अनुपालन की एक बड़ी चिंता बनी रहती है: छूट को उचित ठहराने के लिए जिन नियंत्रणों की जरूरत थी, वे जांच के समय पूरी तरह लागू नहीं थे।
अलग-अलग साइबर उल्लंघनों के बीच दूसरा दौर रुका
वित्तीय सेवा आयोग ने अगले समूह के संस्थानों का चयन 7 अक्टूबर को करने की योजना बनाई थी। चयन टाले जाने की खबर 6 अक्टूबर को आई। अधिकारियों ने हाल में हुई हैकिंग और डेटा लीक की घटनाओं पर संसाधन केंद्रित करने तथा कार्यक्रम का विस्तार करने से पहले स्थिति पर नजर रखने की जरूरत बताई।
27 सितंबर से केबी कूकमिन बैंक, शिनहान बैंक, हाना बैंक, बीएनके बुसान बैंक, येगाराम सेविंग्स बैंक, वेलकम सेविंग्स बैंक और हुंडई कैपिटल समेत कई संस्थानों में घटनाओं की खबरें आई थीं। इन खबरों से यह साबित नहीं होता कि घटनाएं नेटवर्क पृथक्करण की अस्थायी छूटों के कारण हुईं।
शिनहान बैंक और हाना बैंक जांच किए गए समूह में भी हैं और उन संस्थानों की सूची में भी शामिल हैं जहां घटनाओं की खबर आई। यह समानता कारणात्मक संबंध का सबूत नहीं है। जब तक आगे के निष्कर्ष दोनों को न जोड़ें, सुरक्षा समीक्षा और व्यापक डेटा उल्लंघन पर कार्रवाई को अलग-अलग समझना चाहिए।
मुख्य तारीखों से अनुमति, जांच और विस्तार टाले जाने का क्रम सामने आता है:
- 19 जून: आयोग ने दस कंपनियों को बाहरी एआई और सुरक्षा सास इस्तेमाल करने के लिए अस्थायी छूट दी।
- जुलाई के मध्य से सितंबर की शुरुआत तक: वित्तीय सुरक्षा संस्थान ने कंपनियों की जांच की और नेटवर्क कनेक्शन आगे बढ़ने से पहले कमियां दूर करने को कहा।
- 14 सितंबर: दूसरे दौर के लिए आवेदन बंद होने की निर्धारित तारीख।
- 27 सितंबर से: वित्तीय क्षेत्र में साइबर उल्लंघनों और डेटा लीक की एक श्रृंखला की खबरें आईं।
- 6 अक्टूबर: 7 अक्टूबर को होने वाला चयन टाले जाने की खबर आई।
अधिकारियों ने कहा कि इस देरी से पर्याप्त प्रतिक्रिया क्षमता वाली कंपनियों के लिए नियमों में ढील देने के उनके रुख में बदलाव नहीं हुआ। चयन की कोई नई तारीख नहीं दी गई।
विस्तार में छोटे संस्थान भी शामिल होते
दूसरे दौर की योजना में पात्रता सबसे बड़ी वित्तीय कंपनियों से बढ़ाकर बैंकिंग के बाहर के अधिक संस्थानों और इलेक्ट्रॉनिक वित्तीय सेवा प्रदाताओं तक पहुंचाने की थी। वित्तीय पर्यवेक्षण सेवा और वित्तीय सुरक्षा संस्थान की भागीदारी वाले आयोग के फ्रंटियर एआई स्थिति प्रतिक्रिया कार्यबल की पांचवीं बैठक के बाद इसके विस्तृत उपायों की पुष्टि की गई थी।
पात्र आवेदक कंपनियों की संख्या 49 से बढ़ाकर 75 करने की योजना थी, यानी 26 कंपनियों या करीब 53% की वृद्धि। उपलब्ध स्थान दस से बढ़ाकर अधिकतम 15 किए जाने थे, यानी 50% की बढ़ोतरी। ये आंकड़े पात्रता और चयन की नियोजित क्षमता बताते हैं, वास्तव में मिले आवेदनों की संख्या नहीं।
वित्तीय कंपनियों के लिए न्यूनतम संपत्ति की सीमा 10 ट्रिलियन वॉन से घटाकर 2 ट्रिलियन वॉन और कर्मचारियों की सीमा 1,000 से घटाकर 300 स्थायी कर्मचारी करने का प्रस्ताव था। इलेक्ट्रॉनिक वित्तीय सेवा प्रदाताओं के लिए वार्षिक इलेक्ट्रॉनिक वित्तीय लेनदेन कम से कम 2 ट्रिलियन वॉन और संबंधित राजस्व कुल राजस्व के 10% से अधिक होना जरूरी था।
दोनों श्रेणियों में मुख्य सूचना सुरक्षा अधिकारी के साथ सूचना प्रौद्योगिकी का कोई दूसरा पद नहीं होना चाहिए था। चयनित कंपनियों को वैकल्पिक नियंत्रण लागू करने के बाद नेटवर्क पृथक्करण नियमों के प्रवर्तन से एक साल की छूट का पत्र दिया जाना था।
जांच के निष्कर्ष दिखाते हैं कि विस्तार के लिए लागू करने की क्षमता अहम होगी। पात्रता की सीमा घटने से अधिक कंपनियां भाग ले सकती हैं, लेकिन काम करते सुरक्षा उपाय साबित करने की जरूरत खत्म नहीं होती। नियामकों ने परीक्षण की प्रगति और मांग के आधार पर आगे के दौर और स्थायी व्यवस्था पर विचार करने की भी योजना बनाई थी; स्थगन से इन फैसलों का निपटारा नहीं हुआ।
कोरिया भौतिक पृथक्करण पर फिर विचार क्यों कर रहा है
नीति से जुड़ा यह तनाव कोरिया कैपिटल मार्केट इंस्टीट्यूट की नेटवर्क पृथक्करण रिपोर्ट, अंक रिपोर्ट 24-26 में दर्ज है। शोधकर्ता ह्वांग से-उन की यह रिपोर्ट 22 नवंबर 2024 को प्रकाशित हुई थी। इसमें कोरिया की व्यवस्था के सुरक्षा लाभों और परिचालन लागतों के साथ-साथ क्लाउड सॉफ्टवेयर और जनरेटिव एआई के बढ़ते इस्तेमाल का अध्ययन किया गया है।
रिपोर्ट इस नीति की शुरुआत 20 मार्च 2013 को बैंकिंग सेवाओं में आए व्यवधानों से जोड़ती है। उस समय पैच के रूप में छिपे दुर्भावनापूर्ण कोड एंटीवायरस अपडेट सर्वरों के जरिए फैले थे। रिपोर्ट के मुताबिक, अधिकारियों ने जुलाई 2013 में व्यापक वित्तीय सुरक्षा उपायों की घोषणा की और 2015 में नियमों के तहत नेटवर्क पृथक्करण औपचारिक रूप से लागू हुआ।
डिजिटल वित्त का पैमाना इस प्रतिक्रिया को समझने में मदद करता है। रिपोर्ट के मुताबिक, 2013 में सभी वित्तीय लेनदेन में इलेक्ट्रॉनिक लेनदेन की हिस्सेदारी पहले ही 87.7% थी, जबकि इंटरनेट और मोबाइल बैंकिंग के औसत दैनिक लेनदेन 33 ट्रिलियन वॉन से अधिक थे।
भौतिक पृथक्करण में इंटरनेट गतिविधियों को आंतरिक कामकाज से अलग रखने के लिए अलग उपकरणों या बुनियादी ढांचे का उपयोग होता है। तार्किक पृथक्करण में साझा भौतिक बुनियादी ढांचे पर अलग परिवेश बनाए रखने के लिए वर्चुअलाइजेशन जैसी तकनीक का इस्तेमाल होता है। नेटवर्क विभाजन प्रणालियों को अलग-अलग क्षेत्रों में बांटता है और उनके बीच ट्रैफिक नियंत्रित करता है, लेकिन जरूरी नहीं कि सभी कनेक्शन रोक दे।
ह्वांग की रिपोर्ट एक व्यावहारिक टकराव बताती है: जनरेटिव एआई समेत बहुत-सा आधुनिक सॉफ्टवेयर बाहरी क्लाउड सेवाओं के जरिए मिलता है, जबकि अहम वित्तीय डेटा सुरक्षित आंतरिक नेटवर्क में रहता है। रिपोर्ट के मुताबिक, सख्त पृथक्करण शोध, सॉफ्टवेयर विकास और सदस्यता वाले सॉफ्टवेयर के रोजमर्रा के इस्तेमाल में रुकावट डाल सकता है, भले ही ऐसे उपकरण लागत घटा सकते हों या काम की प्रक्रियाएं बेहतर कर सकते हों।
अंतरराष्ट्रीय तुलना नियंत्रित कनेक्शन के पक्ष में
कोरिया कैपिटल मार्केट इंस्टीट्यूट की रिपोर्ट में अमेरिका, यूरोप और ऑस्ट्रेलिया की व्यवस्थाओं की तुलना की गई है। इसका मुख्य फर्क यह है कि एक ओर भौतिक रूप से डिस्कनेक्ट करने का निर्देश दिया जाता है, जबकि दूसरी ओर संस्थानों को सुरक्षा ढांचे चुनने की छूट देकर जानकारी की सुरक्षा की जिम्मेदारी दी जाती है।
अमेरिका के लिए रिपोर्ट संघीय वित्तीय संस्थान परीक्षा परिषद की सूचना सुरक्षा पुस्तिका का अध्ययन करती है। इसमें विश्वसनीय और अविश्वसनीय नेटवर्क क्षेत्रों, उनके बीच नियंत्रण, सटीक नेटवर्क और डेटा प्रवाह के आरेख तथा कई स्तरों वाली पाबंदियों का उल्लेख है। रिपोर्ट के मुताबिक, यह तरीका किसी एक सार्वभौमिक भौतिक पृथक्करण पद्धति को अनिवार्य नहीं करता।
यूरोप के लिए रिपोर्ट सामान्य डेटा संरक्षण विनियमन, दूसरे भुगतान सेवा निर्देश और यूरोपीय बैंकिंग प्राधिकरण के मार्गदर्शन का अध्ययन करती है। इसमें वर्णित मार्गदर्शन के तहत प्रबंधन की जिम्मेदारी, बाहरी प्रौद्योगिकी प्रदाताओं पर नियंत्रण, सीमित पहुंच अधिकार और पहुंच नियंत्रण की समय-समय पर निगरानी व जांच जरूरी हैं।
ऑस्ट्रेलिया की तुलना ऑस्ट्रेलियाई प्रूडेंशियल रेगुलेशन अथॉरिटी के मार्गदर्शन और ऑस्ट्रेलियाई साइबर सुरक्षा केंद्र की सलाह पर आधारित है। इन व्यवस्थाओं में विभाजन को कई सुरक्षा उपायों में से एक माना जाता है। साथ ही, इस सोच के खिलाफ चेताया जाता है कि बाहरी सीमा पार करने के बाद पूरा आंतरिक नेटवर्क समान रूप से भरोसेमंद हो जाता है।
रिपोर्ट में सर्वेक्षणों के आंकड़े भी दिए गए हैं। उनके अनुसार, 2022 में सर्वे में शामिल 82% बैंकों ने अपने कम से कम आधे मेनफ्रेम क्लाउड पर स्थानांतरित कर दिए थे या ऐसा करने की योजना बनाई थी। 2023 के एक अलग सर्वेक्षण में 66% वैश्विक वित्तीय कंपनियां विकास और नवाचार के लिए क्लाउड पर जाने की दिशा में काम कर रही थीं। ये अलग-अलग सर्वेक्षणों के आंकड़े हैं, न कि ऐसा रुझान जो दिखाए कि वर्षों के बीच क्लाउड अपनाने की दर घटी।
इस तुलना से कोरिया की जांच के लिए एक खास सबक मिलता है: नेटवर्क डिजाइन में अधिक विकल्प तभी कारगर हैं जब पहुंच संबंधी पाबंदियां और परीक्षण वास्तव में काम करें। रिपोर्ट क्रमिक सुधार, डेटा वर्गीकरण के मानकीकरण, घटनाओं के लिए अधिक जवाबदेही, सुरक्षा निवेश और सुधारात्मक कार्रवाई के साथ नियमित नियामकीय जांच की सिफारिश करती है।
एक अलग सास छूट में डेटा संबंधी पाबंदियां बरकरार
एक अलग ढील वित्तीय कंपनियों और इलेक्ट्रॉनिक वित्तीय सेवा प्रदाताओं को कुछ प्रशासनिक सास उपकरणों का इस्तेमाल वित्तीय नियामकीय सैंडबॉक्स में जाए बिना करने देती है। इसे जांच की गई दस कंपनियों को मिली एआई सुरक्षा परीक्षण की अस्थायी छूट से अलग समझना चाहिए।
यह छूट क्लाउड कंप्यूटिंग के विकास और इसके उपयोगकर्ताओं की सुरक्षा अधिनियम के प्रवर्तन आदेश के तहत निर्धारित सास पर लागू होती है। इसका संबंध इलेक्ट्रॉनिक वित्तीय लेनदेन अधिनियम और संबंधित पर्यवेक्षी नियमों के तहत नेटवर्क पृथक्करण की शर्तों से है।
इसमें व्यक्तिगत पहचान संबंधी जानकारी या व्यक्तिगत ऋण जानकारी से जुड़ी गतिविधियां शामिल नहीं हैं। छद्मनामित व्यक्तिगत डेटा के साथ सास इस्तेमाल करने के लिए अब भी सैंडबॉक्स की मंजूरी जरूरी है। छद्मनामकरण में पहचान बताने वाले विवरणों की जगह दूसरे विवरण रखे जाते हैं, लेकिन इससे जानकारी जरूरी नहीं कि अनाम हो जाए।
आवेदनों की जांच वित्तीय सुरक्षा संस्थान को करनी होती है। कंपनियों को पहुंच उपकरणों के लिए सुरक्षा नियंत्रण बनाए रखने, हर छह महीने में अनुपालन नियंत्रणों की समीक्षा करने और निष्कर्ष मुख्य सूचना सुरक्षा अधिकारियों को सौंपने होते हैं। संस्थान ने वित्तीय प्रौद्योगिकी की सुरक्षा, सास के जोखिमों और उनसे निपटने के उपायों की जानकारी देने वाली पुस्तिका भी प्रकाशित की।
दोनों व्यवस्थाओं को साथ देखें तो साफ है कि नियामकीय ढील बिना शर्त नहीं है। अस्थायी परीक्षण कार्यक्रम में कनेक्शन से पहले वैकल्पिक नियंत्रण जरूरी हैं; प्रशासनिक सास व्यवस्था में डेटा संबंधी अपवाद, पहले से जांच और नियमित समीक्षा बरकरार हैं।
तत्काल अनसुलझे सवाल हैं कि जांच में किस कंपनी में कौन-सी कमी मिली, ये कमजोरियां कैसे पैदा हुईं और टाला गया चयन कब फिर शुरू होगा। संस्थान की यह पुष्टि कि कनेक्शन से पहले कमियां दूर की गई थीं, घटना की गंभीरता पर उपलब्ध सबसे स्पष्ट सीमा है। व्यापक कसौटी यह है कि क्या कंपनियां जांच के बाद भी कारगर नियंत्रण बनाए रख सकती हैं, न कि ऐसी योजनाएं पेश करती हैं जिनका अमल शुरू कराने के लिए निरीक्षकों को कहना पड़े।
मुख्य बिंदु
- दस वित्तीय कंपनियों को एआई और सुरक्षा सास के परीक्षण के लिए 19 जून को नेटवर्क पृथक्करण से अस्थायी छूट मिली।
- जुलाई के मध्य से सितंबर की शुरुआत तक हुई जांच में पाया गया कि कई अनिवार्य सुरक्षा उपाय अब भी योजना के स्तर पर थे।
- कुछ सुरक्षा प्रबंधन कंसोल इंटरनेट से सुलभ थे और एक क्लाउड सेवा के पास सुरक्षा प्रमाणन नहीं था।
- वित्तीय सुरक्षा संस्थान ने कहा कि आंतरिक और बाहरी नेटवर्क जुड़ने से पहले सभी कमियां दूर कर दी गई थीं।
- अलग-अलग साइबर उल्लंघनों और डेटा लीक के बीच 7 अक्टूबर को होने वाला अधिकतम 15 और संस्थानों का चयन टाल दिया गया।
- योजनाबद्ध विस्तार से पात्र आवेदक कंपनियों की संख्या 49 से बढ़कर 75 हो जाती।
- अलग प्रशासनिक सास छूट में व्यक्तिगत डेटा पर पाबंदियां, संस्थान की जांच और हर छह महीने में सुरक्षा समीक्षा की शर्त बरकरार है।
