गत असोज ५ गते ‘डेटा हब’ नामक निजी डेटा सेन्टरमा भएको र्यान्समवेयर आक्रमणपछि समग्र शेयर बजार नै बन्द गर्नुपरेको घटना प्राविधिक समस्या मात्र नभई पूँजी बजारमा हुर्काइएको ‘प्रणालीगत लापर्बाही’ को परिणाम थियो।
बजारबाट दैनिक करोडौँ कमिसन लिने ब्रोकरहरूले आफ्ना ग्राहकको तथ्यांक र कारोबार प्रणालीलाई कति हलुका रूपमा लिएका छन् भन्ने प्रमाण ७२ वटा ब्रोकर कम्पनीको कारोबार प्रणाली (टीएमएस) एउटै निजी भेन्डर (डेटा हब) मा थुपारिनुले देखाउँछ।
सूचना प्रविधिमा लगानी गरेर आ-आफ्नो स्वतन्त्र डेटा पूर्वाधार र ब्याकअप संयन्त्र बनाउनुको साटो ब्रोकरहरूले ‘सस्तो भाडा’ मा एउटै कम्पनीलाई सम्पूर्ण जिम्मा दिए। परिणामतः ह्याकरले एउटा कम्पनीको सर्भरमा छिरेर फाइल इन्क्रिप्ट गरिदिँदा पूरै देशको पूँजी बजार ‘ब्ल्याकआउट’ भयो।
नेप्सेकै अधिकारीहरू स्वीकार्छन्— ब्रोकरहरूले जोखिम विकेन्द्रीकरण गर्नुको सट्टा लागत घटाउन एउटै टोकरीमा सबै अण्डा राखे, जसका कारण साइबर अपराधीहरूलाई पूरै बजार बन्धक बनाउन एउटा मात्र ढोका फोड्नु पर्याप्त बन्यो।
नेप्सेको ‘झारा टार्ने’ प्रतिवेदन : समस्या हिमालयजत्रो, समाधान स्कुले स्तरको
बजार नै ठप्प पार्ने यस्तो गम्भीर साइबर आक्रमणपछि धितोपत्र बोर्ड (सेबोन) ले नेप्सेलाई सुधारको ठोस कार्ययोजनासहित प्रतिवेदन बुझाउन एक साताको समय दिएको थियो। तर, नेप्सेले बुझाएको प्रतिवेदन कुनै दीर्घकालीन प्राविधिक पुनर्संरचनाको खाका नभई औपचारिकता पूरा गर्ने ‘कागजी झारा’ मात्र साबित भएको भन्दै धितोपत्र बोर्डका अधिकारीहरू असन्तुष्ट देखिएका छन्। “नेप्सेलाई एक साताको मात्रै समय भएकाले होला, उसले दिएका सुझावहरू साइबर सुरक्षाको विश्वव्यापी मापदण्डका तुलनामा निकै सतही र सामान्य छन्,” बोर्डका एक उच्च अधिकारीले भने।
यद्यपि, यस्ता गम्भीर साइबर आक्रमणबाट प्रणालीलाई जोगाउन भन्दै नेप्सेले धितोपत्र बोर्डसमक्ष सुरक्षाका ११ वटा उपाय सिफारिस गरेको छ :
-
डाटाबेस तथा भर्चुअल मेसिनको ब्याकअप : नियमित रूपमा डाटाबेस तथा भर्चुअल मेसिनहरूको ब्याकअप लिने र उक्त ब्याकअपलाई समय–समयमा रिस्टोर परीक्षण (Restore Test) गर्नुपर्ने।
-
अनिवार्य आफ्नै डीआर साइट : सम्पूर्ण कारोबार सदस्य (ब्रोकर) हरूलाई निश्चित समयसीमा तोकेर अनिवार्य रूपमा आफ्नै डिजास्टर रिकभरी (डीआर) साइट व्यवस्थापन गर्न नियामकबाट निर्देशन जारी गर्नुपर्ने।
-
दैनिक अफलाइन ब्याकअप : दैनिक रूपमा मुख्य प्रणालीभन्दा बाहिर (अफलाइन) ब्याकअप राख्ने भरपर्दो व्यवस्था मिलाउनुपर्ने।
-
एसओसीमार्फत २४ सै घण्टा निगरानी : पेरिमिटर सेक्युरिटी डिभाइस लगायतका उच्च सुरक्षा प्रणाली जडानलाई प्राथमिकता दिनुपर्ने र विशेषज्ञ जनशक्ति परिचालन गरी सेक्युरिटी अपरेसन्स सेन्टर (एसओसी) मार्फत प्रणालीलाई चौबिसै घण्टा निगरानी गर्ने संयन्त्र बनाउनुपर्ने।
-
एन्डपोइन्ट सेक्युरिटी : प्रयोगकर्ताका कम्प्युटर तथा ल्यापटपमा एन्डपोइन्ट सेक्युरिटी सफ्टवेयर (आधिकारिक एन्टिभाइरस) अनिवार्य रूपमा राखी नियमित स्क्यान गर्नुपर्ने।
-
ओएस तथा सफ्टवेयर अपडेट : कम्प्युटरको अपरेटिङ सिस्टम (ओएस) तथा सम्बन्धित सफ्टवेयरहरू समयमै अनिवार्य रूपमा अद्यावधिक गर्नुपर्ने।
-
शंकास्पद इमेलमा सावधानी : कर्मचारीहरूले शंकास्पद स्रोतबाट आएका इमेलका अट्याचमेन्ट तथा लिङ्कहरू नखोल्ने सावधानी अपनाउनुपर्ने।
-
मल्टी–फ्याक्टर अथेन्टिकेसन (एमएफए) : प्रणालीमा हुने अनधिकृत पहुँच रोक्न अनिवार्य रूपमा एकभन्दा बढी तहको सुरक्षा (MFA) लागू गर्नुपर्ने।
-
साइबर सुरक्षा सचेतना तालिम : ब्रोकर र नेप्सेका कर्मचारी तथा सम्बद्ध सरोकारवालाहरूलाई साइबर सुरक्षासम्बन्धी आवधिक सचेतना तालिम प्रदान गर्नुपर्ने।
-
आवधिक भीएपीटी परीक्षण : कम्प्युटर प्रणालीको सुरक्षा कमजोरी पत्ता लगाउन कम्तीमा प्रत्येक तीन महिनामा भल्नरेबिलिटी एसेसमेन्ट एन्ड पेनेट्रेसन टेस्ट (भीएपीटी) गर्नुपर्ने।
-
सुरक्षा प्रमाणीकरणको म्याद : सम्बन्धित सरोकारवालालाई प्रणाली सुरक्षा प्रमाणीकरणको न्यूनतम मापदण्ड पूरा गर्न निश्चित समयसीमा तोकी नियामक निकायबाटै आवश्यक निर्देशन दिनुपर्ने।
प्रारम्भिक प्रतिवेदनको दाबी र फोरेन्सिक अध्ययनको प्रतीक्षा
यता, नेप्सेले हाल पेस गरेको प्रतिवेदन प्रारम्भिक मात्रै भएको जनाउँदै घटनाको विस्तृत अनुसन्धान अझै जारी रहेको स्पष्ट पारेको छ। टीएमएस होस्टिङ सेवा प्रदायक कम्पनी ‘डेटा हब’ ले हाल यस आक्रमणको रुट कज एनालाइसिस (RCA) र विस्तृत फोरेन्सिक अध्ययन गरिरहेको छ। उक्त अध्ययनको पूर्ण प्राविधिक विवरण प्राप्त हुनासाथ बोर्डसमक्ष थप विस्तृत प्रतिवेदन पेस गरिने व्यहोरा पनि नेप्सेले जनाएको छ।
तर, ७२ ब्रोकरलाई एउटै पूर्वाधारमा निर्भर गराउने एकाधिकारपूर्ण प्रणालीगत जोखिम (Single Point of Failure) कसरी अन्त्य गर्ने, आफ्नो छुट्टै पूर्वाधार नबनाउने ब्रोकरलाई के कारबाही गर्ने र लगानीकर्ताको खर्बौंको सम्पत्तिको क्षतिपूर्ति कसरी सुनिश्चित गर्ने भन्ने मूल प्रश्नहरूमा भने प्रतिवेदन अझै पनि अनुत्तरित नै छ।
संयोगले जोगियो बजार, पाठ सिकेनन् सरोकारवालाले
असोज ४ गते बिहान ५:३० बजे नै आक्रमणको जानकारी पाए पनि आइतबार सार्वजनिक बिदा परेकाले सो दिनको विपद् बाहिर आएन। सोमबार बिहान नेप्सेले जोखिम रोक्न भन्दै टीएमएस प्रणाली अलग्याएर बजार नै बन्द गरिदियो।
ह्याकरहरूले फाइल खोल्न फिरौती मागेका थिए। बुटवलस्थित डिजास्टर रिकभरी (डीआर) सेन्टरमा शुक्रबारसम्मको ब्याकअप संयोगवश सुरक्षित रहेकाले डेटा हबले त्यहाँबाट तथ्यांक रिस्टोर गर्यो र बजार बल्लतल्ल अर्को दिन खुल्यो। तर प्रश्न अनुत्तरित नै छ— यदि बुटवलको ब्याकअप पनि इन्क्रिप्ट भएको भए वा आक्रमण शुक्रबार दिउँसो भएको भए लगानीकर्ताको अर्बौंको हिसाबकिताब कसले फर्काउँथ्यो?
आफ्नै लगानीमा बलियो र भरपर्दो प्रणाली बनाउन नचाहने ब्रोकरहरूको नाफाखोर प्रवृत्ति र त्यसलाई नियमन गर्न नसक्ने नेप्सेको अक्षमताका कारण पूँजी बजार अन्तर्राष्ट्रिय ह्याकरहरूको ‘सजिलो शिकार’ बन्ने खतरा बढेको छ।
जहाँ एन्टिभाइरस हाल्ने र शंकास्पद इमेल नखोल्नेजस्ता प्राथमिक विषयलाई ‘ठूलो सुधार’ को रूपमा प्रतिवेदनमा पेस गरिन्छ, त्यहाँ लगानीकर्ताको खर्बौंको सम्पत्ति कति सुरक्षित छ? यो घटनापछि पनि ब्रोकरहरूलाई आफ्नै प्रणाली बनाउन बाध्य नपार्ने र नेप्सेले ‘कागजी सुधार’ मात्रै देखाइरहने हो भने, अर्को पटक हुने साइबर आक्रमणले बजार बन्द मात्र होइन, लगानीकर्ताको तथ्यांक नै सदाका लागि स्वाहा बनाउने निश्चित छ।
