हाँ, आपकी कंपनी के वेब एप्लिकेशन को पहले दिन से साइबर सुरक्षा चाहिए
अगर आपके कारोबार का कोई वेब एप्लिकेशन है, तो जवाब साफ़ है: वेब एप्लिकेशन सुरक्षा ही आपके ऐप को बंद होने से बचाती है और आपके ग्राहकों के डेटा को चोरी होने से बचाती है। वेब एप्लिकेशन एक ऐसा प्रोग्राम है जो ब्राउज़र में चलता है, जैसे ऑनलाइन स्टोर, अपॉइंटमेंट बुकिंग सिस्टम या ऐसा पोर्टल जिसमें छात्र लॉग इन करते हैं। यह प्रोग्राम पूरे दिन इंटरनेट पर खुला रहता है, और इंटरनेट वाला कोई भी इसका दरवाज़ा खटखटा सकता है। साइबर सुरक्षा उन उपायों का समूह है जो अनजान लोगों को अंदर आने से रोकते हैं, उनकी कोशिशों को पकड़ते हैं और कुछ गड़बड़ होने पर काम को जल्दी फिर से चालू करते हैं।
हमारी राय सीधी है: सुरक्षा के बारे में सोचने के लिए हमले का इंतज़ार मत कीजिए। हमले का मतलब है कि बिना इजाज़त वाला कोई व्यक्ति आपके सिस्टम में घुस गया और उसने डेटा पढ़ लिया, बदल दिया या सिस्टम ठप कर दिया। बाद में नुकसान ठीक करने में कई दिन या हफ़्ते का रुका हुआ काम लगता है, और कुछ ग्राहकों का भरोसा शायद कभी वापस न आए। शुरुआत से बनाई गई सुरक्षा पीछे चुपचाप काम करती है, और आपके ग्राहक उसे बस एक सुरक्षित अहसास के रूप में महसूस करते हैं।
आपका कारोबार छोटा है, इससे कोई फ़र्क नहीं पड़ता। अपनी वेबसाइट से बेचने वाला दवा दुकान मालिक, मरीज़ों की फ़ाइलें रखने वाली क्लिनिक मैनेजर और ऑनलाइन रिज़ल्ट डालने वाले स्कूल प्रिंसिपल, सबके पास ऐसा डेटा है जिसकी हैकरों के लिए कीमत है। जिसे नुकसान होता है और जो बच जाता है, उनके बीच का फ़र्क अक्सर समय पर उठाए गए आसान कदम होते हैं: सुरक्षित लॉगिन, समय पर अपडेट और टेस्ट किया हुआ बैकअप। अगले हिस्से इन कदमों को आसान भाषा में समझाते हैं, और अगर कोई अनजाना शब्द दिखे तो उसका मतलब आप हमारी शब्दावली में देख सकते हैं।
हैकर छोटे कारोबारों को भी क्यों निशाना बनाते हैं?
कई कारोबारी सोचते हैं कि हैकर सिर्फ़ बैंकों और बड़ी कंपनियों के पीछे पड़ते हैं। यही सोच उन्हें साल दर साल सुरक्षा टालने पर मजबूर करती है। सच यह है कि छोटी कंपनी आसान निशाना होती है, क्योंकि उसकी सुरक्षा अक्सर कमज़ोर होती है और उसका मालिक यह नहीं देखता कि सिस्टम में क्या हो रहा है।
एक गली सोचिए जिसमें दस दुकानें हैं। चोर सबसे अमीर दुकान नहीं चुनता, बल्कि वह दुकान चुनता है जिसका दरवाज़ा खुला रह गया। इंटरनेट पर भी यही होता है, बस फ़र्क यह है कि यहाँ चोर कम समय में हज़ारों दरवाज़े आज़माता है।
हमले अपने आप चलते हैं और नाम देखकर शिकार नहीं चुनते
ज़्यादातर हमले कोई ऐसा व्यक्ति नहीं करता जो खास तौर पर आपकी वेबसाइट के सामने बैठा हो। ये हमले बॉट नाम के ऑटोमैटिक प्रोग्राम करते हैं, जो एक के बाद एक वेबसाइटों पर घूमते हैं। ये प्रोग्राम ऐसा लॉगिन पेज ढूँढते हैं जो आसान पासवर्ड मान ले, या ऐसा पुराना सॉफ़्टवेयर जिसमें कोई जानी पहचानी कमज़ोरी हो।
जब इन्हें कोई खुला दरवाज़ा मिलता है, तो ये कंपनी का आकार या नाम पूछे बिना अंदर घुस जाते हैं। इसलिए शांत इलाके का छोटा सा क्लिनिक भी उन्हीं कोशिशों का सामना करता है जो एक बड़ी वेबसाइट करती है। सही सवाल यह नहीं कि कोई अंदर आने की कोशिश करेगा या नहीं, बल्कि यह कि कोशिश करते समय उसे दरवाज़ा बंद मिलेगा या नहीं।
आपका डेटा दूसरों के लिए कीमती है
हो सकता है आपको अपनी ग्राहक सूची में कुछ खास न दिखे, पर हैकर को उसमें खज़ाना दिखता है। ग्राहकों के नाम, फ़ोन नंबर और पते बेचे जाते हैं और धोखाधड़ी वाले मैसेज में इस्तेमाल होते हैं। मरीज़ों की फ़ाइलें, छात्रों के रिज़ल्ट और कर्मचारियों का डेटा ऐसी संवेदनशील जानकारी है जिससे उसके मालिक को ब्लैकमेल किया जा सकता है।
एक और तरह का हमला कुछ चुराता ही नहीं, बल्कि आपकी फ़ाइलें लॉक कर देता है और उन्हें खोलने के बदले पैसे माँगता है। इसे रैनसमवेयर कहते हैं, और यह उन कंपनियों पर वार करता है जिनके पास सही सलामत बैकअप नहीं होता। ऐसे में रुका हुआ हर दिन सीधा नुकसान है, भले ही एक भी फ़ाइल चोरी न हुई हो।
हमला अपने पीछे ये नुकसान छोड़ता है
हमले की बात तब तक किताबी लगती है जब तक आप अगली सुबह का हाल न देख लें। नुकसान सिर्फ़ एक डिवाइस या फ़ाइल तक नहीं रहता, बल्कि ग्राहकों, कर्मचारियों और साख तक पहुँचता है। इन नुकसानों को ठीक से समझने से आप सुरक्षा की असली कीमत का सही अंदाज़ा लगा पाते हैं।
नीचे दिए उदाहरण बढ़ा चढ़ाकर नहीं लिखे गए। यह वही है जो एक कारोबारी झेलता है जब उसके ऐप पर बिना तैयारी के हमला होता है। इनमें से हर नुकसान को जाने पहचाने कदमों से रोका या कम किया जा सकता है, जिन्हें हम आगे बताएँगे।
ग्राहकों का डेटा आपके हाथ से निकल जाता है
अक्सर सबसे पहले डेटा लीक होता है, यानी डेटा उन लोगों तक पहुँच जाता है जिन्हें उसे देखने का हक नहीं। ऑनलाइन स्टोर में ग्राहकों के पते, नंबर और खरीदारी का रिकॉर्ड लीक हो सकता है। इसके बाद आपके ग्राहकों को आपके स्टोर के नाम से नकली मैसेज आते हैं, जो उनसे कार्ड की जानकारी या फ़ोन पर आया कोड माँगते हैं।
ग्राहक हैकर और आपमें फ़र्क नहीं कर पाता, क्योंकि उसे मैसेज पर आपका नाम दिखता है। इसलिए स्टोर का सिस्टम खुद अच्छी सुरक्षा पर बना होना चाहिए, जैसे Storek स्टोर मैनेजमेंट सिस्टम, जो बिक्री, स्टॉक और ग्राहक डेटा को एक सुरक्षित जगह पर रखता है।
काम सबसे बुरे समय पर रुकता है
हमला कोई शांत दिन नहीं चुनता। आपकी वेबसाइट त्योहारों के मौसम में, स्कूल के दाख़िले वाले हफ़्ते में या क्लिनिक के भीड़ भरे दिन बंद हो सकती है। सबसे जाने माने हमलों में से एक है वेबसाइट को इतनी ज़्यादा रिक्वेस्ट से भर देना कि वह जवाब देना बंद कर दे, और असली ग्राहक उस तक पहुँच ही न पाएँ।
बंद रहने के दौरान नए ऑर्डर नहीं आते, नाराज़ ग्राहक फ़ोन करते हैं और कर्मचारी काम छोड़कर माफ़ी माँगने में लगे रहते हैं। अगर समस्या सिर्फ़ भीड़ नहीं बल्कि घुसपैठ है, तो जाँच, सफ़ाई और सुरक्षित तरीके से दोबारा चालू होने तक सिस्टम कई दिन बंद रह सकता है।
भरोसा टूटता है, और कानूनी परेशानी भी आ सकती है
जिस ग्राहक का डेटा आपकी वेबसाइट से चोरी हुआ, वह इसे लंबे समय तक याद रखता है। कुछ ग्राहक चुपचाप चले जाते हैं, और कुछ सोशल मीडिया पर अपना अनुभव लिख देते हैं। सर्च इंजन भी हैक हुई वेबसाइट के साथ चेतावनी दिखा सकते हैं, और नया विज़िटर अंदर आने से पहले हिचकिचाता है।
कई देशों में ऐसे कानून हैं जो कंपनियों को लोगों का डेटा बचाने के लिए बाध्य करते हैं, जैसे यूरोप का डेटा सुरक्षा नियम जिसे GDPR कहते हैं। सुरक्षा को नज़रअंदाज़ करने वाली कंपनी को यह बताना पड़ सकता है कि क्या हुआ, प्रभावित लोगों को सूचना देनी पड़ सकती है, और यह साबित करना पड़ सकता है कि उसने ज़रूरी कदम उठाए थे। ये कागज़ी काम, मेहनत और समय हैं जिनसे बचा जा सकता था।
वेब एप्लिकेशन में कमज़ोरियाँ आमतौर पर कहाँ छिपी होती हैं?
कमज़ोरी या सुरक्षा खामी सिस्टम की एक छोटी गलती है, जो किसी को वह करने देती है जिसकी उसे इजाज़त नहीं। रोज़ सिस्टम पर काम करते हुए यह आपको नहीं दिखती, क्योंकि सब कुछ सामान्य लगता है। लेकिन जो इसे ढूँढ रहा हो, उसे यह जल्दी दिख जाती है।
हमारे अनुभव में खामियाँ कुछ जानी पहचानी जगहों पर बार बार मिलती हैं। अगर आप इन्हें जानते हैं, तो अपनी टीम या सप्लायर से इनके बारे में नाम लेकर पूछ सकते हैं।
सिर्फ़ पासवर्ड से लॉगिन
लॉगिन पेज आपके ऐप का मुख्य दरवाज़ा है। अगर लॉगिन सिर्फ़ पासवर्ड पर टिका है, तो एक पासवर्ड चोरी होना ही दरवाज़ा खोलने के लिए काफ़ी है। कर्मचारी अक्सर आसान पासवर्ड चुनते हैं या एक ही पासवर्ड कई वेबसाइटों पर रखते हैं, और अगर वह कहीं और से चोरी हो जाए तो आपका सिस्टम भी खोल देता है।
इसका जाना माना हल है कई चरणों वाला लॉगिन। पासवर्ड डालने के बाद सिस्टम एक कोड माँगता है, जो कर्मचारी के फ़ोन पर या उसके मोबाइल के किसी ऐप में आता है। हैकर को पासवर्ड पता हो, तब भी फ़ोन के बिना वह अंदर नहीं आ सकता। साथ ही हम कई बार गलत कोशिश के बाद अकाउंट को कुछ देर के लिए लॉक कर देते हैं, ताकि बॉट हज़ारों पासवर्ड न आज़मा सकें।
अपडेट न किए गए सॉफ़्टवेयर और प्लगइन
हर वेब एप्लिकेशन दूसरे सॉफ़्टवेयर पर टिका होता है: सर्वर का ऑपरेटिंग सिस्टम, प्रोग्रामिंग भाषा, डेटाबेस और तैयार प्लगइन। सर्वर वह मशीन है जिस पर आपकी वेबसाइट इंटरनेट पर चलती है। जब कोई इन सॉफ़्टवेयर में खामी ढूँढता है, तो बनाने वाली कंपनी उसे बंद करने वाला अपडेट जारी करती है, और खामी का ब्योरा सबको पता चल जाता है, हैकरों को भी।
असली खतरा यहीं है। जो वेबसाइट महीनों से अपडेट नहीं हुई, उसमें ऐसी खुली खामियाँ हैं जिनका इस्तेमाल करना हैकर पहले से जानते हैं। इसलिए अपडेट एक नियमित काम होना चाहिए, जिसकी तारीख और ज़िम्मेदार व्यक्ति तय हो, न कि ऐसी चीज़ जो समस्या आने पर याद आए। Hostrena होस्टिंग जैसी मैनेज और मॉनिटर की गई होस्टिंग सर्वर के स्तर पर यह बोझ आपसे हटा देती है।
ज़रूरत से ज़्यादा खुले फ़ॉर्म और अनुमतियाँ
सर्च बॉक्स, संपर्क फ़ॉर्म और फ़ाइल अपलोड करने की जगह, ये सब ऐसी जगहें हैं जहाँ विज़िटर कुछ भी लिख सकता है। अगर सिस्टम लिखी गई चीज़ की जाँच नहीं करता, तो हैकर शब्दों की जगह कमांड लिखकर डेटाबेस पढ़ या बदल सकता है। यह OWASP Top 10 सूची की सबसे जानी मानी गलतियों में से एक है, जो वेब एप्लिकेशन की सबसे खतरनाक कमियों की दुनिया भर में मानी जाने वाली सूची है।
ज़रूरत से ज़्यादा अनुमतियाँ भी ऐसा ही खतरा हैं। क्लिनिक के रिसेप्शन वाले को मरीज़ों की फ़ाइलें मिटाने की ज़रूरत नहीं, और स्टोर में डेटा डालने वाले को सारे सामान के दाम बदलने की ज़रूरत नहीं। जब हर अकाउंट के पास उसके काम से ज़्यादा अधिकार होते हैं, तो किसी भी अकाउंट की चोरी सीमित समस्या की जगह आफ़त बन जाती है।
हर ऐप में हम जो बुनियादी परतें बनाते हैं
अच्छी सुरक्षा कभी एक ताले पर नहीं टिकती। यह एक के ऊपर एक परतें हैं, अगर हैकर एक पार कर ले तो उसके सामने दूसरी खड़ी मिलती है। जैसे एक घर जिसमें ताला लगा दरवाज़ा, कैमरा और अंदर तिजोरी हो।
Linkysoft में हम ये परतें वेब एप्लिकेशन और मैनेजमेंट सिस्टम में प्लानिंग के चरण से ही बनाते हैं, प्रोग्रामिंग खत्म होने के बाद नहीं। वजह आसान है: तैयार सिस्टम में बाद में सुरक्षा जोड़ना, शुरुआत से साथ बनाने के मुकाबले ज़्यादा मुश्किल और लंबा काम है।
एन्क्रिप्शन चोरी हुए डेटा को बेकार कर देता है
एन्क्रिप्शन का मतलब है डेटा को ऐसे कोड में बदलना जिसे सिर्फ़ सही चाबी वाला समझ सके। हम डेटा को रास्ते में एन्क्रिप्ट करते हैं, यानी जब वह ग्राहक के डिवाइस और सर्वर के बीच आता जाता है, ताकि इंटरनेट पर कोई उसे पढ़ न सके। और जब वह डेटाबेस में रखा होता है, तब भी उसे एन्क्रिप्ट करते हैं।
इसका फ़ायदा सबसे बुरे दिन दिखता है। अगर कोई डेटाबेस की फ़ाइलों तक पहुँच भी जाए, तो उसे ग्राहकों के नाम और नंबर की जगह बेमतलब कोड मिलेंगे। हम एन्क्रिप्शन की चाबियाँ डेटा से दूर अलग तिजोरियों में रखते हैं, ताकि चाबियाँ और डेटा एक साथ चोरी न हो सकें।
हर कर्मचारी सिर्फ़ वही देखता है जो उसे चाहिए
हम अनुमतियाँ काम की भूमिका के हिसाब से बाँटते हैं। डॉक्टर अपने मरीज़ों की फ़ाइलें देखता है, अकाउंटेंट बिल देखता है और रिसेप्शन वाला अपॉइंटमेंट देखता है। इस तरीके को भूमिका आधारित अनुमति कहते हैं, और यह किसी भी गलती या अकाउंट चोरी को सिस्टम के एक छोटे हिस्से तक सीमित रखता है।
यह खास तौर पर उन सिस्टम में ज़रूरी है जिनमें संवेदनशील डेटा होता है, जैसे Docmz क्लिनिक और अस्पताल मैनेजमेंट सिस्टम, या बच्चों का डेटा रखने वाले स्कूल सिस्टम। इसके साथ हम अहम अकाउंट के लिए, खासकर ज़्यादा अधिकार वाले मैनेजरों के अकाउंट के लिए, कई चरणों वाला लॉगिन जोड़ते हैं।
टेस्ट किए हुए बैकअप और हर काम का रिकॉर्ड
बैकअप आपके डेटा की ऐसी कॉपी है जो कहीं और रखी होती है, ताकि असली डेटा खो जाए तो आप उस पर लौट सकें। लेकिन जिस बैकअप को कभी आज़माया न गया हो, वह ज़रूरत के दिन धोखा दे सकता है। इसलिए हम बैकअप को एन्क्रिप्ट करते हैं, सुरक्षित रखते हैं और उसे वापस लाकर सच में टेस्ट करते हैं, ताकि ज़रूरत से पहले पता हो कि वह काम करता है।
आखिरी परत है ऑडिट लॉग, यानी ऐसा रिकॉर्ड जो लिखता है कि किसने क्या और कब किया। अगर कोई ऑर्डर गायब हो जाए या कोई दाम बदल जाए, तो रिकॉर्ड बताता है कि किस अकाउंट ने और किस समय यह किया। यह रिकॉर्ड हमले को पकड़ने में मदद करता है, और कर्मचारियों के बीच रोज़ के छोटे विवाद सुलझाने में भी।
पेनिट्रेशन टेस्ट वह कैसे पकड़ता है जो आपकी टीम नहीं देख पाती?
जिस प्रोग्रामर ने सिस्टम बनाया, वह जानता है कि उसे कैसे चलना चाहिए, इसलिए उसके लिए उसे तोड़ने का हर तरीका सोचना मुश्किल है। पेनिट्रेशन टेस्ट इसी समस्या का हल है। यह एक सुरक्षित और पहले से तय हमला है, जिसे ऐसा विशेषज्ञ करता है जो हैकर की तरह सोचता है, पर उसका मकसद कमज़ोरियाँ ढूँढकर दूसरों से पहले आपको सौंपना होता है।
हमारा मानना है कि ग्राहक डेटा या भुगतान वाले हर ऐप को लॉन्च से पहले यह टेस्ट पास करना चाहिए। यह हमारी साइबर सुरक्षा सेवाओं का एक अहम हिस्सा है, नए सिस्टम और पहले से चल रहे सिस्टम, दोनों के लिए।
टेस्ट के दौरान क्या होता है?
विशेषज्ञ पहले आपके साथ टेस्ट की सीमाएँ तय करता है: सिस्टम के कौन से हिस्से, किन दिनों में, और क्या छूना मना है। फिर वह वेब पेज, मोबाइल ऐप, नेटवर्क और सिस्टम को जोड़ने वाले इंटरफ़ेस पर वही आज़माता है जो एक असली हैकर आज़माता। वह तेज़ी से जाँचने वाले ऑटोमैटिक टूल और इंसानी विश्लेषण दोनों का इस्तेमाल करता है, जो वे गलतियाँ पकड़ता है जो टूल से छूट जाती हैं।
यह टेस्ट OWASP और NIST जैसे दुनिया भर में माने जाने वाले तरीकों पर चलता है, ताकि यह मूड या किस्मत पर न टिके। और यह सुरक्षित है: यह आपका डेटा नहीं मिटाता और आपका काम नहीं रोकता, क्योंकि इसका मकसद यह साबित करना है कि खामी है, उसका इस्तेमाल करके नुकसान पहुँचाना नहीं।
आखिर में आपको क्या मिलता है, और टेस्ट दोबारा कब करें?
आखिर में आपको आसान भाषा में लिखी एक सूची मिलती है, जिसमें मिली हर खामी होती है। हर खामी के साथ आसान ब्योरा होता है कि उससे क्या हो सकता है, वह कितनी गंभीर है और उसे कैसे ठीक करें। ठीक करने के बाद हम टेस्ट दोबारा करते हैं, ताकि पक्का हो कि हर खामी सच में बंद हुई है, सिर्फ़ कागज़ पर नहीं।
एक टेस्ट हमेशा के लिए काफ़ी नहीं है। सिस्टम में हर बड़ा जोड़, जैसे नया पेमेंट गेटवे या नया मोबाइल ऐप, ऐसा दरवाज़ा खोल सकता है जो पहले नहीं था। इसलिए हम हर बड़े बदलाव के बाद, और कुछ न बदला हो तब भी नियमित रूप से, टेस्ट दोहराने की सलाह देते हैं, क्योंकि सॉफ़्टवेयर में नई खामियाँ लगातार मिलती रहती हैं।
सुरक्षा लॉन्च के दिन के बाद भी चलती रहती है
कई सिस्टम अच्छे से बनते हैं और फिर अपने हाल पर छोड़ दिए जाते हैं। कुछ महीनों बाद सॉफ़्टवेयर में नई खामियाँ आ जाती हैं, कर्मचारी बदल जाते हैं और बिना जाँच के जल्दी में नई सुविधाएँ जोड़ दी जाती हैं। जो सिस्टम लॉन्च के दिन सुरक्षित था, वह अपने आप सुरक्षित नहीं रहता।
इसलिए हम सुरक्षा को एक लगातार चलने वाला काम मानते हैं, जिसके अपने टूल और ज़िम्मेदार लोग हों। अगले हिस्से बताते हैं कि हर दिन और हर हफ़्ते क्या होना चाहिए, और सच में कोई घटना हो जाए तो क्या होना चाहिए।
लगातार जाँच और चौबीसों घंटे निगरानी
लगातार जाँच का मतलब है कि टूल नियमित रूप से आपके सिस्टम में जानी पहचानी खामियाँ ढूँढते हैं और कोई मिलने पर टीम को सचेत करते हैं। यह वैसा ही है जैसे सड़क पर कार खराब होने का इंतज़ार करने की जगह उसकी नियमित सर्विस कराना। जाँच पुराने सॉफ़्टवेयर और गलत सेटिंग को दूसरों से पहले पकड़ लेती है।
निगरानी एक ऐसी आँख है जो दिन रात खुली रहती है। अगर कोई कुछ मिनटों में सैकड़ों बार लॉगिन की कोशिश करे, या किसी मैनेजर का अकाउंट आधी रात को किसी अजीब देश से लॉगिन हो, तो तुरंत अलर्ट आता है। हमले का एक घंटे में पता चलना और हफ़्तों बाद पता चलना, यही छोटी समस्या और आफ़त के बीच का फ़र्क है।
ऐप के सामने खड़ी एक ढाल
वेब एप्लिकेशन फ़ायरवॉल इंटरनेट और आपके ऐप के बीच खड़ी एक ढाल है। आपकी वेबसाइट पर आने वाली हर रिक्वेस्ट पहले इससे होकर गुज़रती है, यह सामान्य रिक्वेस्ट को आगे जाने देती है और खराब इरादे वाली रिक्वेस्ट रोक देती है। जैसे यह फ़ॉर्म में कमांड लिखने की कोशिशें और पासवर्ड आज़माने वाले बॉट रोकती है।
यह ढाल रिक्वेस्ट की बाढ़ से निपटने में भी मदद करती है, और सेल वाले दिन असली ग्राहकों की भीड़ और आपकी वेबसाइट गिराने वाले हमले में फ़र्क करती है। यह ऐप के अंदर की खामियाँ ठीक करने की जगह नहीं लेती, लेकिन आपको समय देती है और ज़्यादातर ऑटोमैटिक हमलों को ऐप तक पहुँचने ही नहीं देती।
कोई घटना हो जाए तो तैयार योजना
सुरक्षा कितनी भी अच्छी हो, आपको पता होना चाहिए कि कुछ होने पर क्या करना है। जिस कंपनी के पास योजना नहीं होती, वह पहले घंटे उलझन और फ़ोन कॉल में गँवा देती है। तैयार कंपनी साफ़ कदमों पर चलती है जिन्हें सब जानते हैं:
- रोकथाम: प्रभावित हिस्से को अलग करना, ताकि नुकसान बाकी सिस्टम में न फैले।
- जाँच: पता लगाना कि हैकर कैसे और कब अंदर आया, और उसने क्या छुआ।
- सफ़ाई: उसका छोड़ा हर निशान हटाना और सही सलामत कॉपी से डेटा वापस लाना।
- खामी बंद करना: वह दरवाज़ा ठीक करना जिससे वह आया, ताकि वह उसी रास्ते से वापस न आ सके।
आपके कर्मचारी बचाव की पहली दीवार हैं
सबसे कामयाब हमले कोड की खामी से नहीं, बल्कि एक मैसेज से शुरू होते हैं। किसी कर्मचारी को ऐसा ईमेल आता है जो बैंक या मैनेजर का लगता है, और उससे किसी लिंक पर जाकर पासवर्ड डालने को कहता है। इसे फ़िशिंग कहते हैं, और अगर एक भी कर्मचारी इसमें फँस जाए तो यह सबसे अच्छे सिस्टम को भी पार कर जाता है।
सुरक्षा जागरूकता ट्रेनिंग कर्मचारियों को नकली मैसेज की पहचान सिखाती है, और यह भी कि लॉगिन कोड किसी को भी न दें, चाहे वह कुछ भी दावा करे। यह उन्हें यह भी सिखाती है कि गलती पर शर्माने की जगह कोई भी शक वाला मैसेज तुरंत बताएँ। कुछ घंटों की ट्रेनिंग उस सबसे खतरनाक हमले को रोक सकती है जिसका आपके कारोबार को सामना करना पड़ सकता है।
आपके यहाँ सुरक्षा का काम कितना होगा और उसकी लागत किससे तय होती है?
कोई एक ऑफ़र हर कंपनी पर फ़िट नहीं होता, क्योंकि काम की मात्रा हर सिस्टम में अलग होती है। पाँच पेज वाली परिचय वेबसाइट को भुगतान और हज़ारों यूज़र वाले प्लेटफ़ॉर्म से बहुत कम काम चाहिए। मेहनत किससे बढ़ती और किससे घटती है, यह जानने से आप हर मिलने वाले ऑफ़र को बेहतर समझ पाते हैं।
आम नियम: सिस्टम के जितने ज़्यादा दरवाज़े और अंदर का डेटा जितना संवेदनशील, उसे बचाने में उतना ज़्यादा काम। नीचे दी गई बातें वे हैं जिन्हें हर गंभीर टीम काम का अंदाज़ा लगाने से पहले देखती है।
ऐप का आकार और उसके डेटा की संवेदनशीलता
पेजों की संख्या, यूज़र के प्रकार और ऐप से जुड़े सिस्टम की संख्या, ये सब जाँच का दायरा बढ़ाते हैं। जिस सिस्टम में ग्राहक पोर्टल, कर्मचारी पोर्टल, मोबाइल ऐप और पेमेंट गेटवे का जुड़ाव हो, उसके इन सभी हिस्सों की जाँच ज़रूरी है। कुछ कर्मचारियों के लिए एक ही लॉगिन पेज वाला सिस्टम बहुत आसान है।
डेटा की संवेदनशीलता हिसाब बदल देती है। मरीज़ों की फ़ाइलें, छात्रों के रिज़ल्ट और भुगतान की जानकारी को ज़्यादा सख्त एन्क्रिप्शन, बड़ा ऑडिट लॉग और कभी कभी कानूनी पालन के कागज़ चाहिए। Acad लर्निंग मैनेजमेंट सिस्टम जैसा शिक्षा प्लेटफ़ॉर्म छात्रों का डेटा रखता है, इसलिए उसे खाने का मेन्यू दिखाने वाली वेबसाइट से ज़्यादा देखभाल चाहिए।
नया ऐप, या किसी दूसरी टीम का बनाया पुराना ऐप?
नए ऐप को सुरक्षित करना आसान है, क्योंकि परतें योजना के हिसाब से शुरुआत से उसके साथ बनती हैं। पहले से चल रहे ऐप को, खासकर अगर उसे बनाने वाली टीम अब नहीं है, पहले समझना पड़ता है। हो सकता है कोड का कोई दस्तावेज़ न हो, सॉफ़्टवेयर पुराना हो और अनुमतियाँ उलझी हुई हों।
ऐसे में हम एक जाँच से शुरू करते हैं जो असली तस्वीर दिखाती है, फिर सुधारों को खतरे के हिसाब से क्रम में रखते हैं। पहले वह बंद करते हैं जिससे डेटा लीक हो सकता है या काम रुक सकता है, फिर चरणों में कम खतरे वाली चीज़ों पर जाते हैं। इस तरह आपका काम नहीं रुकता, और आप गंभीर चीज़ों से पहले छोटी चीज़ों पर मेहनत नहीं लगाते।
हाँ कहने से पहले किसी भी सप्लायर से पूछने वाले सवाल
अच्छा ऑफ़र साफ़ सवालों का जवाब देता है, कमज़ोर ऑफ़र उनसे बचता है। किसी भी सुरक्षा सेवा को मंज़ूरी देने से पहले इन सवालों के लिखित जवाब माँगिए:
- जाँच में ठीक ठीक क्या शामिल है: सिर्फ़ वेबसाइट, या ऐप, मोबाइल ऐप और जोड़ने वाले इंटरफ़ेस भी?
- क्या आपको समझ आने वाली भाषा में लिखी रिपोर्ट मिलेगी, जिसमें हर खामी ठीक करने का तरीका हो?
- सुधार के बाद दोबारा टेस्ट समझौते में शामिल है या अलग से?
- रात में और छुट्टियों में सिस्टम पर नज़र कौन रखता है, और अलर्ट पर जवाब कितनी देर में आता है?
- कोई घटना हो तो पहले घंटों में क्या होता है, और कौन किसे फ़ोन करता है?
- अगर आप काम बंद कर दें, तो क्या कोड और डेटा पूरी तरह आपके रहेंगे?
कारोबारी अपने ऐप की सुरक्षा के बारे में जो सवाल पूछते हैं
यहाँ हमने वे सवाल इकट्ठा किए हैं जो हम दुकान मालिकों और क्लिनिक व स्कूल के प्रबंधकों से अक्सर सुनते हैं। जवाब छोटे और सीधे हैं, ताकि आप बिना तकनीकी जानकारी के फ़ैसला ले सकें।
अगर आपका सवाल यहाँ नहीं है, तो लेख के नीचे सवालों की सूची में और हमारी वेबसाइट के हेल्प सेंटर में और सवाल मिलेंगे।
क्या अच्छी होस्टिंग मेरे ऐप को बचाने के लिए काफ़ी है?
अच्छी होस्टिंग उस सर्वर को बचाती है जिस पर आपका ऐप चलता है, यह ज़रूरी हिस्सा है पर सब कुछ नहीं। अगर ऐप में ही खामी है, जैसे कमांड मानने वाला फ़ॉर्म या खुली अनुमतियाँ, तो सबसे अच्छा सर्वर भी हैकर को उसका फ़ायदा उठाने से नहीं रोक पाएगा। असली सुरक्षा सुरक्षित सर्वर और सुरक्षित तरीके से बने ऐप, दोनों को मिलाती है। इसे सुरक्षित मोहल्ले के घर की तरह सोचिए: अपना दरवाज़ा तो फिर भी आपको ही बंद करना होगा।
कैसे पता करूँ कि मेरा ऐप हैक हुआ है?
कुछ संकेत साफ़ होते हैं, जैसे पेज की सामग्री बदल जाना, ऐसे अकाउंट जिन्हें कोई नहीं जानता, या ग्राहकों की शिकायत कि आपके नाम से अजीब मैसेज आ रहे हैं। कुछ संकेत छिपे होते हैं, जैसे बिना वजह की सुस्ती या विज़िटरों का दूसरी वेबसाइटों पर भेजा जाना। मुश्किल यह है कि कई हमले हफ़्तों तक बिना किसी संकेत के चुपचाप चलते रहते हैं। इसलिए जल्दी पता करने का एकमात्र रास्ता लगातार निगरानी और ऑडिट लॉग है।
क्या पेनिट्रेशन टेस्ट के दौरान मेरा काम रुकेगा?
नहीं, ज़्यादातर मामलों में कुछ नहीं रुकता। विशेषज्ञ पहले से आपके साथ तय करता है कि किन हिस्सों की जाँच होगी और किस समय, और ऐसे हर कदम से बचता है जो काम पर असर डाले या डेटा मिटाए। संवेदनशील सिस्टम में टेस्ट उस सिस्टम की हूबहू कॉपी पर हो सकता है, न कि उस पर जिसे आपके ग्राहक इस्तेमाल करते हैं। इस तरह आपको नतीजे मिल जाते हैं और ग्राहकों को कुछ पता भी नहीं चलता।
पहले से चल रहे ऐप को सुरक्षित करने में कितना समय लगता है?
यह ऐप के आकार और उसकी हालत पर निर्भर करता है। छोटे ऐप की पहली जाँच कुछ दिनों में पूरी हो सकती है, जबकि कई हिस्सों वाले बड़े प्लेटफ़ॉर्म को हफ़्ते लगते हैं। जाँच के बाद सुधार आते हैं, जो गंभीरता के क्रम में होते हैं: गंभीर खामियाँ आमतौर पर पहले, कुछ ही दिनों में बंद होती हैं, और बाकी काम चरणों में चलता है।
क्या मुझे कंपनी के अंदर अपनी सुरक्षा टीम चाहिए?
ज़्यादातर छोटी और मझोली कंपनियों को अंदर पूरी टीम की ज़रूरत नहीं होती। अक्सर कंपनी के अंदर एक ज़िम्मेदार व्यक्ति और एक विशेषज्ञ बाहरी पार्टनर काफ़ी होते हैं, जो जाँच, निगरानी और घटना पर कार्रवाई संभाले। ज़रूरी यह है कि ज़िम्मेदारियाँ लिखी हुई और साफ़ हों, ताकि कोई पक्ष यह न सोचे कि काम दूसरे का है। सिस्टम जितना बड़ा और डेटा जितना संवेदनशील, निगरानी उतनी ही करीब से होनी चाहिए।
इस हफ़्ते इन तीन कदमों से शुरुआत करें
शुरू करने के लिए बड़ी योजना की ज़रूरत नहीं। पहला कदम: आपके कारोबार का इंटरनेट पर जो कुछ है, वेबसाइट, स्टोर, बुकिंग सिस्टम और मोबाइल ऐप, उसकी और हर एक में लॉगिन कर सकने वालों की सूची बनाइए। दूसरा कदम: हर मैनेजर अकाउंट पर कई चरणों वाला लॉगिन चालू कीजिए और नौकरी छोड़ चुके कर्मचारियों के अकाउंट हटाइए। तीसरा कदम: जो व्यक्ति आपका सिस्टम संभालता है, उससे एक ही सवाल पूछिए: हमने आखिरी बार बैकअप वापस लाकर सच में कब आज़माया था?
इसके बाद आती है विशेषज्ञ जाँच। Linkysoft में हम मुफ़्त सुरक्षा जाँच और सलाह देते हैं, जिसमें हम आपके ऐप को देखकर सबसे गंभीर कमज़ोरियों और पहले ठीक करने वाली चीज़ों की साफ़ तस्वीर देते हैं, चाहे सिस्टम हमने बनाया हो या किसी और टीम ने। आप इसे हमारे संपर्क पेज से माँग सकते हैं, और फ़ैसला लेने से पहले और पढ़ना चाहें तो हमारे हेल्प सेंटर में काम के जवाब मिलेंगे।
