काठमाडौं । नेपालको सेयर बजार सोमबार एक प्राविधिक समस्याका कारण बन्द भयो, तर घटनाको गहिराइ केवल एक दिनको कारोबार रोकिएको विषयमा सीमित छैन ।
७२ वटा ब्रोकर कम्पनीको प्रणाली सञ्चालन भइरहेको डाटा सेन्टरमा र्यान्समवेयर आक्रमण भएपछि नेपालको पुँजी बजारको प्राविधिक पूर्वाधार कति सुरक्षित छ, एउटै संरचनामाथि बजारको निर्भरता कति जोखिमपूर्ण छ र आपत्कालीन अवस्थामा कारोबार निरन्तर राख्ने वैकल्पिक व्यवस्था वास्तवमै कति तयार छ भन्ने प्रश्न एकैपटक उठेको छ ।
नेपाल स्टक एक्सचेञ्ज नेप्सेका अनुसार डाटा हब प्रालिमा असोज ४ गते बिहानदेखि समस्या देखिएको थियो । समस्या समाधान नभएपछि स्टक ब्रोकर एसोसिएसन अफ नेपालले कारोबार रोक्न आग्रह गर्यो र नेप्सेले असोज ५ गतेको नियमित कारोबार स्थगित गर्यो ।
नेप्सेले समस्या कायमै रहेको अवस्थामा कारोबार सञ्चालन गर्दा आफ्नै कारोबार प्रणालीमा समेत असर पर्न सक्ने जनाएको छ । कारोबार स्थगन धितोपत्र सूचीकरण तथा कारोबार नियमावली, २०७५ को नियम २१(१) अनुसार गरिएको हो ।
तर, घटनाको वास्तविक जोखिम कारोबार रोकिएको समयभन्दा ठूलो देखिन्छ । डाटा हबमा भएको आक्रमणले ब्रोकरका ट्रेड म्यानेजमेन्ट सिस्टम मात्रै प्रभावित गरेको छैन ।
वाइको प्रालिले ब्रोकर एसोसिएसनलाई पठाएको सूचनाअनुसार टीएमएससँगै सीडीएससीसँग सम्बन्धित प्रणाली, भुक्तानी गेटवे तथा अन्य अन्तरसम्बन्धित सेवामा समेत जोखिम देखिएको थियो । प्रभावित प्रणालीलाई थप क्षति रोक्न अलग गरिएको बताइएको छ ।
डाटा हब नेप्सेको नेटवर्कसँग जोडिएको भएकाले प्रभावित प्रणालीलाई तत्काल सञ्चालनमा ल्याउँदा नेप्सेको कारोबार प्रणालीमा समेत साइबर सुरक्षा, सञ्चालन तथा डाटा चोरीसम्बन्धी जोखिम बढ्न सक्ने चेतावनी दिइएको थियो ।
४५ खर्बको बजार, एउटै संरचनाको भर
नेपालको पुँजी बजारको आकार अहिले सामान्य कारोबार प्रणालीको क्षमता परीक्षण गर्ने तहमा छैन ।
पछिल्लो कारोबार दिन अर्थात् असोज २ गते नेप्सेको कुल बजार पुँजीकरण ४५ खर्ब ५३ अर्ब रुपैयाँ पुगेको थियो । सो दिन ३४५ कम्पनीका २ करोड १२ लाखभन्दा बढी कित्ता सेयर किनबेच हुँदा कारोबार रकम ६ अर्ब ७४ करोड रुपैयाँ पुगेको थियो । फ्लोट बजार पुँजीकरण मात्रै १५ खर्ब ४३ अर्ब रुपैयाँ थियो ।
यसको अर्थ डाटा सेन्टरमा देखिएको समस्या कुनै एउटा निजी कम्पनीको सामान्य सूचना प्रविधि समस्या मात्र होइन । त्यसको प्रत्यक्ष प्रभाव हजारौं लगानीकर्ताको कारोबारमा पर्न सक्छ ।
अझ महत्वपूर्ण कुरा, बजारमा कारोबार हुने आदेश, ग्राहकसम्बन्धी विवरण, कारोबार अभिलेख, प्रणाली जडान र भुक्तानी प्रक्रियासँग सम्बन्धित पूर्वाधारमध्ये ठूलो हिस्सा तेस्रो पक्षका प्रविधि सेवा प्रदायक र डाटा सेन्टरमा निर्भर हुँदा एउटा संरचनामा आएको समस्या प्रणालीगत जोखिममा परिणत हुन सक्छ ।
नेपाल धितोपत्र बोर्डको पछिल्लो सार्वजनिक विवरणअनुसार नेपालमा हाल ९० वटा स्टक ब्रोकर रहेका छन् । तीमध्ये ७२ वटा ब्रोकरले डाटा हबको पूर्वाधार प्रयोग गरिरहेको नेप्से सम्बद्ध अधिकारीहरूले बताएका छन् । १९ वटा ब्रोकरले डिजी हबको सेवा प्रयोग गरिरहेका छन् भने नासा सेक्युरिटिजको आफ्नै डाटा सेन्टर रहेको जानकारी नेप्सेबाट आएको छ ।
यसले नेपालको ब्रोकर प्रणालीमा एउटा महत्वपूर्ण संरचनात्मक प्रश्न खडा गर्छ । बजारमा ९० ब्रोकर भए पनि ७२ ब्रोकरको प्रणाली एउटै डाटा सेन्टरमा केन्द्रित हुँदा एउटै पूर्वाधारमा आएको ठूलो समस्या एकैपटक ठूलो संख्यामा ब्रोकरलाई असर गर्न सक्ने रहेछ ।
यो घटनालाई साइबर सुरक्षाको भाषामा एउटै असफलताको बिन्दु अर्थात् एउटै संरचना असफल हुँदा धेरै सेवा एकैपटक प्रभावित हुने जोखिमका रूपमा हेर्नुपर्ने प्राविधिक जानकारहरूको धारणा छ ।
र्यान्समवेयरले उठाएको असली प्रश्न
डाटा हबमा भएको घटना र्यान्समवेयर आक्रमण भएको जानकारी सार्वजनिक भइसकेको छ ।
उपलब्ध विवरणअनुसार आक्रमणपछि प्रणाली अलग गरिएको थियो र ब्याकअपलाई पनि सुरक्षित राख्ने प्रयास गरिएको थियो । तर, आक्रमण कुन तहसम्म पुगेको छ, कुन डाटा प्रभावित भएको छ र कुन प्रणालीमा संक्रमण फैलिएको छ भन्ने विषयमा फरेन्सिक परीक्षण आवश्यक परेको छ ।
यही कारण प्रभावित प्रणालीलाई तुरुन्तै अनलाइन ल्याउनु जोखिमपूर्ण मानिन्छ । र्यान्समवेयर आक्रमणमा प्रणाली खोल्नेबित्तिकै संक्रमण पुनः फैलिन सक्ने, ब्याकअपसमेत प्रभावित हुन सक्ने वा संक्रमित प्रणालीमार्फत जोडिएका अन्य नेटवर्कमा जोखिम पुग्न सक्ने भएकाले ‘सिस्टम चल्यो कि चलेन’ भन्दा ‘सिस्टम पूर्ण रूपमा सुरक्षित भयो कि भएन’ भन्ने विषय महत्वपूर्ण हुन्छ ।
यही सावधानीका कारण नेप्सेले पनि कारोबार स्थगन गरेको देखिन्छ । नेप्सेको आधिकारिक सूचनाअनुसार डाटा हबको समस्या समाधान नभएको अवस्थामा कारोबार सञ्चालन गर्दा नेप्सेको आफ्नै कारोबार प्रणालीमा क्षति पुग्न सक्ने जोखिम थियो ।
लगानीकर्ता तथा बजार विश्लेषक सुवास चन्द्र ढुङ्गानाले अन्तर्राष्ट्रिय बजारमा भएका यस्ता घटनासँग नेपालको अवस्थालाई तुलना गर्दै प्रविधि र आकस्मिक व्यवस्थापनलाई सामान्य विषयका रूपमा लिन नहुने बताएका छन् ।
उनका अनुसार नेपालले अन्तर्राष्ट्रिय स्तरको प्रविधि ल्याउने योजना बनाइरहेको अवस्थामा विद्यमान पूर्वाधारको सुरक्षा र वैकल्पिक प्रणालीको क्षमता पनि समान रूपमा महत्वपूर्ण हुन्छ ।
लगानीकर्ता छोटेलाल रौनियारले पनि नेपालको सेयर बजारमा टीएमएस तथा अन्य प्रणालीको गुणस्तरबारे लामो समयदेखि प्रश्न उठ्दै आएको बताएका छन् ।
उनका अनुसार बजारमा बेला बेला प्रणाली ढिलो हुने, टीएमएसमा समस्या आउने तथा सेवा अवरुद्ध हुने समस्या देखिँदै आएको छ । ४५ खर्बभन्दा बढीको बजारमा यस्तो विषयलाई सामान्य प्राविधिक असुविधाका रूपमा लिन नहुने उनको भनाइ छ ।
उनले अन्तर्राष्ट्रिय स्तरको कारोबार प्रणाली आवश्यक रहेको र त्यसका लागि नेपाल धितोपत्र बोर्ड, नेप्से तथा अर्थ मन्त्रालयले दीर्घकालीन दृष्टिकोणबाट लगानी गर्नुपर्ने बताएका छन् ।
डिजास्टर रिकभरी कहाँ गयो ?
घटनाको सबैभन्दा पेचिलो पक्ष अहिले डिजास्टर रिकभरी प्रणाली बनेको छ ।
कुनै एउटा डाटा सेन्टरमा साइबर आक्रमण भयो भने त्यसको विकल्पका रूपमा अर्को सुरक्षित साइटबाट सेवा सञ्चालन गर्न सकिने व्यवस्था सामान्यतया वित्तीय पूर्वाधारको महत्वपूर्ण हिस्सा मानिन्छ ।
मुख्य प्रणाली असफल हुँदा ब्याकअप प्रणालीमा जाने, निश्चित समयभित्र सेवा पुनःस्थापित गर्ने र निश्चित सीमाभित्र डाटा पुनःप्राप्त गर्ने व्यवस्था नै व्यावसायिक निरन्तरताको आधार हो । नेपालका अन्य वित्तीय पूर्वाधारमा यस्तो अभ्यासको महत्वसमेत देखिन्छ ।
नेपाल राष्ट्र बैंकले आफ्नै डाटा सेन्टर र डिजास्टर रिकभरी साइटको पूर्वाधार स्तरोन्नति गरेको, नियमित ब्याकअप र डाटा रिकभरी गर्ने तथा डिजास्टर रिकभरी अभ्यास सञ्चालन गरेको आफ्नो वार्षिक प्रतिवेदनमा उल्लेख गरेको छ ।
नेपाल राष्ट्र बैंककै साइबर रेजिलियन्ससम्बन्धी दस्तावेजमा पनि साइबर घटनापछि प्रणाली पुनः सञ्चालन, वैकल्पिक माध्यम, नियमित परीक्षण र रिकभरी योजनाको महत्व उल्लेख गरिएको छ । केन्द्रीय बैंकले भुक्तानी प्रणालीका लागि साइबर रेजिलियन्ससम्बन्धी छुट्टै मार्गदर्शनसमेत लागू गरेको छ ।
यही मापदण्डको सन्दर्भमा पुँजी बजारमा प्रश्न उठेको हो । यदि ब्रोकरहरूले डाटा व्यवस्थापन, प्रणाली सञ्चालन र डिजास्टर रिकभरीका लागि नियमित शुल्क तिरिरहेका छन् भने संकटको अवस्थामा वैकल्पिक प्रणाली किन तत्काल सञ्चालनमा आउन सकेन भन्ने प्रश्नको प्राविधिक र नियामकीय उत्तर आवश्यक हुन्छ ।
बजारका केही ब्रोकर व्यवसायीका अनुसार ब्रोकर कम्पनीहरूले वाइकोलाई डाटा व्यवस्थापनदेखि डिजास्टर रिकभरीसम्मका सेवाका लागि शुल्क तिर्दै आएका छन् । उनीहरूको प्रश्न छ, सेवा शुल्कमा डिजास्टर रिकभरी समावेश छ भने त्यसको प्रभावकारिता परीक्षण कसरी भइरहेको थियो ।
यसको उत्तर शुल्क तिरेको वा नतिरेकोमा मात्र खोजिनु हुँदैन ।
वास्तविक प्रश्न भनेको ब्याकअप प्रणाली कहाँ छ, त्यो मुख्य प्रणालीबाट कति स्वतन्त्र छ, नियमित रूपमा परीक्षण गरिएको छ कि छैन, आक्रमणपछि ब्याकअपसमेत संक्रमित हुनबाट कसरी जोगाइन्छ र मुख्य प्रणालीबाट वैकल्पिक प्रणालीमा कति समयभित्र जान सकिन्छ भन्ने हो ।
टोकियोदेखि सिड्नीसम्मको पाठ
सन् २०२० अक्टोबर १ मा टोकियो स्टक एक्सचेन्जको कारोबार प्रणालीमा ठूलो प्राविधिक समस्या आयो ।
हार्डवेयरमा समस्या आएपछि स्वचालित रूपमा अर्को उपकरणमा प्रणाली सर्नुपर्ने व्यवस्था प्रभावकारी रूपमा काम नगर्दा पूरै दिन सबै सेयरको कारोबार रोकियो । जापान एक्सचेन्ज ग्रुपले त्यस घटनाको कारण र सुधारात्मक उपायबारे छुट्टै अनुसन्धान गर्यो र पछि पुनरावृत्ति रोक्ने परिषद्समेत गठन गर्यो ।
त्यो घटना साइबर आक्रमण थिएन । तर पाठ एउटै थियो । अत्याधुनिक बजारमा पनि मुख्य प्रणाली असफल हुन सक्छ, त्यसैले असफलतापछिको पुनःस्थापना, आदेश व्यवस्थापन, सूचना प्रवाह र वैकल्पिक प्रक्रिया पहिले नै स्पष्ट हुनुपर्छ ।
अस्ट्रेलियन स्टक एक्सचेन्जमा पनि २०२० नोभेम्बरमा सफ्टवेयर अद्यावधिकपछि ठूलो कारोबार अवरोध भयो ।
नियामक एएसआईसीले उक्त घटनालाई गम्भीर रूपमा लिँदै बजारको तरलता, लगानीकर्ता र बजार पूर्वाधारमा परेको असरबारे अनुसन्धान गर्यो । पछि एएसआईसीले एएसएक्सका सम्बन्धित लाइसेन्समा थप सर्त राख्दै सुधारात्मक कामका लागि बोर्ड तथा वरिष्ठ व्यवस्थापनलाई जिम्मेवार बनाएको थियो ।
यहाँ एउटा तथ्यगत भ्रम हटाउन आवश्यक छ । एएसएक्सले तिरेको २०.५ मिलियन अस्ट्रेलियन डलर जरिवाना २०२० को कारोबार अवरोधका कारण होइन ।
सन् २०२६ मा अस्ट्रेलियाको फेडरल कोर्टले एएसएक्सलाई २०२२ मा सीएचईएसएस प्रतिस्थापन परियोजनाको प्रगतिबारे भ्रामक घोषणा गरेको अभियोगमा २०.५ मिलियन डलर जरिवाना र ३ मिलियन डलर नियामकीय खर्च तिर्न आदेश दिएको हो ।
अर्थात् विकसित बजारमा प्रणालीगत पूर्वाधारसम्बन्धी घटना भएपछि विषय ‘बजार एक दिन बन्द भयो’ भनेर सकिँदैन । नियामकले प्रविधि, व्यवस्थापन, आउटसोर्सिङ, वैकल्पिक प्रणाली, सूचना प्रवाह र बजारको लचकतासम्म समीक्षा गर्छ ।
नेपालमा पनि अहिले त्यही तहको समीक्षा आवश्यक भएको देखिन्छ ।
डाटा कसको, जिम्मेवारी कसको
यो घटनाले अर्को जटिल प्रश्न पनि उठाएको छ । ब्रोकरको ग्राहक डाटा, कारोबारसम्बन्धी अभिलेख र प्रणाली सञ्चालनको जिम्मेवारी ब्रोकर कम्पनीको हो कि सेवा प्रदायकको, नियामकको भूमिका कहाँसम्म हो र साइबर आक्रमणपछि क्षतिको जिम्मेवारी कसरी निर्धारण हुन्छ ।
डाटा हब, वाइको, ब्रोकर कम्पनी, नेप्से र सीडीएससीबीच विभिन्न तहमा प्रणालीगत जडान रहेको छ । यस्तो संरचनामा एउटा प्रणालीको कमजोरी अर्को प्रणालीसम्म पुग्न सक्ने जोखिम हुन्छ ।
यही कारण सीडीएससीले पनि आफ्नो प्रणालीमा प्रत्यक्ष समस्या नदेखिए पनि डाटा हबमा भएको घटनापछि सम्भावित जोखिमबारे परीक्षण गरिरहेको जनाएको छ ।
सीडीएससीका अनुसार उसको मुख्य प्रणाली सुरक्षित रहेको छ र सम्भावित जोखिम रोक्न सम्बन्धित प्रणालीसँगको जडान विच्छेद गरिएको छ ।
सम्बन्धित प्रणाली पूर्ण रूपमा सुरक्षित भएको पुष्टि भएपछि मात्रै पुनः जडान गर्ने तयारी भइरहेको छ ।
सीडीएससीले आफ्नो डाटा सेन्टर तीन स्थानमा राखेको र एउटा स्थानमा समस्या आए अर्को स्थानबाट प्रणाली सञ्चालन गर्न सकिने संरचना रहेको जनाएको छ । ती स्थानमा डाटा वास्तविक समयमै अद्यावधिक हुने व्यवस्था रहेको पनि उसको भनाइ छ ।
यसबाट एउटा महत्वपूर्ण तुलना गर्न सकिन्छ । जहाँ प्रणालीगत महत्व उच्च हुन्छ, त्यहाँ डाटा र सेवा निरन्तरताका लागि भौगोलिक तथा प्राविधिक रूपमा अलग वैकल्पिक संरचना आवश्यक हुन्छ । तर ब्रोकरहरूको ठूलो हिस्सा एउटै डाटा सेन्टरमा निर्भर देखिनु भने फरक प्रकृतिको जोखिम हो ।
अब नियामकले केवल ‘डाटा हरायो कि हराएन’ भन्ने प्रश्नबाट अगाडि बढेर ‘एकैपटक कति प्रणाली बन्द हुन सक्छन्’ भन्ने हिसाब गर्नुपर्ने हुन्छ ।
अबको परीक्षण कारोबार खुल्नु होइन
डाटा हबमा सफाइ र सुरक्षा परीक्षणपछि मंगलबारदेखि सेयर कारोबार सञ्चालन गर्ने तयारी भइरहेको जानकारी स्टक ब्रोकर एसोसिएसनबाट आएको छ ।
डाटा क्लिनिङको काम सकिएको र कारोबार सञ्चालन गर्न सकिने जानकारी प्राप्त भएको एसोसिएसनका उपाध्यक्ष नितेशकुमार अग्रवालले बताएका छन् ।
तर कारोबार खुल्नु मात्र समाधान होइन । वास्तविक परीक्षण त्यसपछि सुरु हुन्छ ।
पहिलो, आक्रमणबाट कुन डाटा प्रभावित भयो भन्ने स्पष्ट हुनुपर्छ । दोस्रो, ब्याकअप प्रणाली पूर्ण रूपमा सुरक्षित छ कि छैन भन्ने प्रमाणित हुनुपर्छ ।
तेस्रो, डाटा हब र वाइको हुँदै नेप्से तथा सीडीएससीसम्म जोडिएको नेटवर्कमा संक्रमण वा अनधिकृत पहुँचको कुनै अवशेष बाँकी छ कि छैन भन्ने फरेन्सिक परीक्षण आवश्यक हुन्छ ।
चौथो, भविष्यमा मुख्य डाटा सेन्टर बन्द हुँदा कति समयभित्र वैकल्पिक प्रणाली सञ्चालन गर्न सकिन्छ भन्ने व्यावहारिक परीक्षण हुनुपर्छ ।
त्यससँगै ब्रोकर कम्पनीहरूको आउटसोर्सिङ मोडल पनि पुनरावलोकन गर्नुपर्ने देखिन्छ ।
सेवा प्रदायकमाथि निर्भर हुनु आफैंमा समस्या होइन । समस्या तब हुन्छ जब सेवा प्रदायक असफल हुँदा त्यसको प्रभाव एउटै समयमा दर्जनौं संस्थामा फैलिन्छ र ती संस्थासँग तत्काल सञ्चालन गर्ने स्वतन्त्र विकल्प हुँदैन ।
नेपाल धितोपत्र बोर्डको नियमनमा कारोबार प्रणालीको डिजास्टर रिकभरीको व्यवस्था गर्नुपर्ने प्रावधान पहिलेदेखि नै रहेको देखिन्छ । अब प्रश्न नियम छ कि छैन भन्नेभन्दा नियमअनुसार बनाइएको व्यवस्था व्यवहारमा परीक्षण भएको छ कि छैन भन्ने हो ।
४५ खर्बभन्दा बढीको बजारमा प्रविधि अब सहायक पूर्वाधार होइन, बजारकै मेरुदण्ड हो ।
लगानीकर्ताले टीएमएसमा आदेश राख्छ, ब्रोकरले प्रणालीबाट त्यसलाई कारोबारमा पठाउँछ, कारोबारको विवरण क्लियरिङ प्रणालीसम्म पुग्छ र अन्ततः भुक्तानी तथा फछ्र्योट हुन्छ । यीमध्ये कुनै एउटा महत्वपूर्ण कडी असफल हुँदा पूरै शृंखला प्रभावित हुन सक्छ ।
त्यसैले डाटा हबको र्यान्समवेयर आक्रमणलाई एउटा डाटा सेन्टरको समस्या भनेर मात्र टुंग्याउने हो भने यसबाट सिक्नुपर्ने मुख्य पाठ छुट्नेछ ।
अहिलेको घटना नेपालको पुँजी बजारमा साइबर सुरक्षा, तेस्रो पक्षमा निर्भरता, डिजास्टर रिकभरी, डाटा ब्याकअप, नेटवर्क विभाजन, फरेन्सिक परीक्षण र नियामकीय जिम्मेवारीको समग्र परीक्षण बनेको छ ।
बजार खुल्ला राख्नु महत्वपूर्ण छ । तर त्यसको भन्दा महत्वपूर्ण कुरा बजार सुरक्षित रूपमा चल्ने संरचना तयार गर्नु हो ।
४५ खर्ब रुपैयाँभन्दा बढीको बजारमा अब ‘समस्या आएपछि बन्द गर्ने’ प्रणालीबाट ‘समस्या आए पनि सुरक्षित वैकल्पिक संरचनाबाट सेवा निरन्तर राख्ने’ प्रणालीतर्फ जानुपर्ने दबाब यो घटनाले बढाएको छ ।
