काठमाडौं । सरकारी सेवा अनलाइनमा पुगेका छन्। कर तिर्न, कागजात लिन, सार्वजनिक खरिदमा प्रतिस्पर्धा गर्न, बैंकिङ कारोबार गर्न र सेयर किनबेच गर्न नागरिक तथा व्यवसाय डिजिटल प्रणालीमा निर्भर हुँदै गएका छन्।

राज्यले कागजरहित प्रशासन, छिटो सेवा प्रवाह र पारदर्शितालाई डिजिटल रूपान्तरणको उपलब्धिका रूपमा अघि सारेको छ। तर डिजिटल सेवाको विस्तारसँगै त्यसलाई सुरक्षित राख्ने क्षमता कति बढेको छ भन्ने प्रश्नको जवाफ अझै स्पष्ट छैन।

सरकारी प्रणालीमा अनधिकृत पहुँचका घटना, विद्युतीय खरिद प्रणालीमा बोलपत्रसम्बन्धी विवरण हेरफेर गरेको प्रारम्भिक अनुसन्धान, सेयर कारोबारसँग जोडिएको डेटा सेन्टरमा आएको अवरोध र राइड सेयरिङ कम्पनी पठाओले स्वीकार गरेको व्यक्तिगत विवरण चुहावटले नेपालको डिजिटल पूर्वाधारमाथि गम्भीर प्रश्न उठाएका छन्।

यी घटना एउटै प्रकृतिका होइनन्। कतिपयमा साइबर आक्रमणको पुष्टि भएको छ, कतिपयमा अनुसन्धान जारी छ र केही घटनामा प्राविधिक समस्या तथा आक्रमणको दाबीलाई छुट्टाछुट्टै जाँच्नुपर्ने अवस्था छ।

तर समग्र घटनाले डिजिटल सेवाको सुरक्षा अब सूचना प्रविधि विभागको सीमित जिम्मेवारीमा राख्न नमिल्ने देखाउँछन्।

नेपाल प्रहरीको आधिकारिक विवरण अनुसार आर्थिक वर्ष २०८२/८३ मा साइबर अपराधसम्बन्धी २० हजार ५२६ निवेदन दर्ता भएका छन्। अघिल्लो आर्थिक वर्षमा १८ हजार ९२६ निवेदन दर्ता भएका थिए।

एक वर्षमा निवेदनको संख्या १ हजार ६०० ले बढेको हो, जुन करिब ८.५ प्रतिशत वृद्धि हो। तर यी सबै निवेदन वेबसाइट ह्याक वा डेटा चोरीका घटना होइनन्।

सामाजिक सञ्जालको दुरुपयोग, अनलाइन ठगी, ब्ल्याकमेलिङ, अनधिकृत पहुँच र अन्य विद्युतीय कसुरसमेत यसमा समेटिएका छन्। पछिल्लो वर्ष दर्ता भएका निवेदनमध्ये ८४६ वटा संस्थासँग सम्बन्धित थिए।

यो तथ्याङ्कले साइबर अपराधसम्बन्धी उजुरीको ठूलो परिमाण देखाउँछ। तर नेपालका सरकारी तथा निजी डिजिटल प्रणालीको सुरक्षा अवस्था मापन गर्न उजुरीको संख्या मात्रै पर्याप्त हुँदैन।

त्यसका लागि प्रणालीमाथि भएका आक्रमणको प्रकृति, प्रभावित डेटा, अवरुद्ध सेवाको अवधि, आर्थिक क्षति, कमजोरी समाधान गर्न लागेको समय र पुनःस्थापनाको अवस्था छुट्टाछुट्टै अध्ययन गर्नुपर्छ।

डिजिटल प्रणालीमा कमजोरी हुँदा वेबसाइट बन्द हुने वा सर्भर नचल्ने समस्या मात्र आउँदैन।

नागरिकको व्यक्तिगत विवरण चोरी हुन सक्छ, सार्वजनिक खरिदको प्रतिस्पर्धा प्रभावित हुन सक्छ, वित्तीय कारोबार रोक्नुपर्ने अवस्था आउन सक्छ र व्यावसायिक गोपनीयता जोखिममा पर्न सक्छ।

एउटै साझा पूर्वाधारमा धेरै संस्थाको निर्भरता भए एउटा प्रणालीको समस्याले अन्य सेवासमेत प्रभावित हुन सक्छ।

नेपाल सरकारले राष्ट्रिय साइबर सुरक्षा नीति, २०८० जारी गरेको छ। मन्त्रिपरिषद्को २०८० माघ ९ गतेको निर्णयबाट राष्ट्रिय साइबर सुरक्षा केन्द्र स्थापना भएको सरकारी विवरण छ।

केन्द्रले सुरक्षा परीक्षणसम्बन्धी सेवा, साइबर सुरक्षा एडभाइजरी र प्रणाली सञ्चालनकर्ताका लागि मार्गदर्शनसमेत उपलब्ध गराउँदै आएको छ।

अब मुख्य चुनौती नीति र संस्थागत संरचना बनाउनु मात्र होइन, तिनले डिजिटल पूर्वाधारको सुरक्षा कति सुधार गरे भन्ने परिणाम देखाउनु हो।

डिजिटल विस्तारसँगै बढेको सुरक्षा दायित्व

सरकारी सेवा अनलाइनमा लैजाँदा नागरिकको समय र लागत घट्न सक्छ।

कार्यालय धाउनुपर्ने आवश्यकता कम हुन्छ, कागजी अभिलेख व्यवस्थापनको खर्च घट्छ र एउटै प्रणालीबाट धेरै निकायका सेवा सञ्चालन गर्न सकिन्छ। तर सेवा डिजिटल बनाउनु र त्यसलाई सुरक्षित बनाउनु दुई फरक काम हुन्।

प्रणाली सञ्चालनमा ल्याउने लक्ष्य पूरा भए पनि डेटा संरक्षण, पहुँच नियन्त्रण र आपत्कालीन पुनःस्थापनाको व्यवस्था कमजोर छ भने डिजिटल रूपान्तरण अधुरै रहन्छ।

सरकारी क्लाउड अर्थात् जी–क्लाउड तथा विभिन्न सरकारी पोर्टलमा अनधिकृत पहुँच पुगेको विषय सार्वजनिक चर्चामा आएको छ।

यस्ता घटनामा वेबसाइटको दृश्य भाग परिवर्तन गरिएको हो वा आक्रमणकारीले भित्री प्रणालीमा समेत पहुँच प्राप्त गरेको हो भन्ने छुट्याउनु आवश्यक हुन्छ।

वेबसाइटमा अपरिचित सन्देश वा तस्बिर राखिएको घटना र नागरिकको संवेदनशील डेटा चोरी भएको घटना एउटै स्तरका होइनन्। तर प्रारम्भिक पहुँचलाई समयमै नियन्त्रण गर्न नसकिए त्यसको दायरा बढ्न सक्ने जोखिम रहन्छ।

सरकारी प्रणालीमा कति डेटा प्रभावित भयो, कुन सेवामा पहुँच पुग्यो र कति नागरिक प्रभावित भए भन्ने विवरण पुष्टि गर्न प्राविधिक अनुसन्धान आवश्यक हुन्छ।

कुनै ह्याकर समूहले डेटा चोरी गरेको दाबी सार्वजनिक गर्दैमा त्यसलाई प्रमाणित सरकारी तथ्य मान्न मिल्दैन। सम्बन्धित निकायको अनुसन्धान प्रतिवेदन, प्रभावित अभिलेखको परीक्षण र आधिकारिक पुष्टि महत्त्वपूर्ण हुन्छन्।

सरकारी डिजिटल पूर्वाधारको जोखिम बुझ्न त्यसको संरचना हेर्नुपर्छ। धेरै वेबसाइट एउटै डेटा सेन्टर, नेटवर्क, होस्टिङ सेवा वा प्रमाणीकरण प्रणालीमा निर्भर हुन सक्छन्।

यस्तो संरचनाले सञ्चालन लागत घटाउन र व्यवस्थापन सहज बनाउन सक्छ। तर साझा पूर्वाधारमा गम्भीर कमजोरी देखिए त्यसको असर धेरै सेवामा फैलिन सक्छ।

त्यसैले केन्द्रीय स्तरको सुरक्षा बलियो बनाउनुका साथै प्रत्येक सरकारी निकायको आफ्नै प्रणाली, प्रयोगकर्ता खाता र सफ्टवेयरसमेत सुरक्षित राख्नुपर्छ।

सूचना प्रविधि तथा विद्युतीय शासन कार्यालयका सूचना अधिकारी प्रकाश दुवाडीका अनुसार एकीकृत डेटा सेन्टरमार्फत होस्ट गरिएका सरकारी पोर्टलमा एकैपटक हजारौँ साइबर आक्रमण प्रयास हुन सक्छन्।

उनका अनुसार फायरवाललगायत सुरक्षा संयन्त्रले यस्ता प्रयास रोक्ने काम गर्छन्। जोखिम नियन्त्रण गर्न नसकिने अवस्था आए सर्भर बन्द गर्ने वा नेटवर्कबाट प्रणाली अलग गर्ने उपायसमेत अपनाउनुपर्ने हुन सक्छ।

“डिफेन्स गर्नै नसक्ने अवस्था आउँदा सर्भर नै डाउन गर्ने, नेटवर्कबाटै प्रणाली विच्छेद गर्ने रणनीति अपनाउने अवस्था पनि छ,” दुवाडीको भनाइ छ।

आक्रमण फैलिन नदिन वा डेटा बाहिरिने जोखिम रोक्न सर्भर बन्द गर्नु आवश्यक हुन सक्छ। तर सेवा बन्द गर्नु दीर्घकालीन सुरक्षाको विकल्प होइन।

आक्रमण पहिचान गर्ने क्षमता, प्रणालीलाई अलग गर्ने प्रक्रिया, सुरक्षित ब्याकअप र सेवा पुनःस्थापनाको योजना एकसाथ बलियो हुनुपर्छ। अन्यथा सुरक्षा जोखिम नियन्त्रण गर्न खोज्दा सार्वजनिक सेवा लामो समय अवरुद्ध हुन सक्छ।

नागरिकले सरकारी वेबसाइट नचलेको देखे पनि त्यसको कारण साइबर आक्रमण हो, प्राविधिक खराबी हो वा नियमित मर्मत हो भन्ने थाहा पाउन सक्दैनन्।

त्यसैले सेवा अवरुद्ध हुँदा कारण, प्रभावित सेवा, सम्भावित जोखिम र पुनःस्थापनाको अवस्थाबारे आधिकारिक सूचना दिनु आवश्यक छ। संवेदनशील प्राविधिक विवरण सार्वजनिक नगरी पनि नागरिकलाई आवश्यक जानकारी दिन सकिन्छ।

सरकारी डिजिटल प्रणालीको सुरक्षा एकपटक परीक्षण गरेर सधैँ सुरक्षित रहँदैन। नयाँ सुविधा थपिँदा, सफ्टवेयर अद्यावधिक हुँदा, कर्मचारीको पहुँच परिवर्तन हुँदा वा बाह्य सेवा प्रदायक फेरिँदा नयाँ कमजोरी उत्पन्न हुन सक्छन्।

नियमित सुरक्षा परीक्षण, पहुँच अधिकारको समीक्षा, गतिविधिको निगरानी र सुरक्षित ब्याकअप निरन्तर सञ्चालन हुनुपर्छ।

सुरक्षा क्षमताको मूल्याङ्कन वेबसाइटको संख्या वा सर्भर सञ्चालनमा रहेको अवधिबाट मात्र गर्न मिल्दैन।

कति गम्भीर कमजोरी पहिचान भए, तीमध्ये कति समाधान गरिए, समाधान गर्न कति समय लाग्यो र सेवा अवरुद्ध हुँदा वैकल्पिक व्यवस्थाले कति प्रभावकारी काम गर्‍यो भन्ने सूचक चाहिन्छ।

यस्ता सूचकले सरकारी डिजिटल पूर्वाधारमा सुरक्षा सुधार भइरहेको छ कि छैन भन्ने मापन गर्न मद्दत गर्छन्।

ई-जीपी प्रकरणले देखाएको आर्थिक जोखिम

नेपालको विद्युतीय सरकारी खरिद प्रणाली अर्थात् ई–जीपी सार्वजनिक खर्च व्यवस्थापनको महत्त्वपूर्ण पूर्वाधार हो।

यसमार्फत सरकारी निकायले ठेक्का आह्वान गर्ने, बोलपत्रसम्बन्धी कागजात प्राप्त गर्ने र खरिद प्रक्रियाका विभिन्न चरण व्यवस्थापन गर्ने गर्छन्। प्रणालीको उद्देश्य कागजी प्रक्रिया घटाउने, प्रतिस्पर्धा बढाउने, लागत कम गर्ने र ठेक्का प्रक्रियालाई पारदर्शी बनाउने हो।

तर प्रणालीमा अनधिकृत पहुँच पुगेको र बोलपत्रका कागजात हेरफेर गरिएको आरोप सार्वजनिक खरिदको विश्वसनीयतासँग जोडिएको विषय हो।

नेपाल प्रहरीको आधिकारिक विवरणअनुसार सार्वजनिक खरिद अनुगमन कार्यालयको ई–जीपी प्रणालीमा अनधिकृत पहुँच पुर्‍याई ठेक्कासम्बन्धी विवरण हेरफेर गरेको प्रारम्भिक अनुसन्धानका आधारमा २०८२ चैत २६ गते छ जनालाई पक्राउ गरिएको थियो।

अनुसन्धानमा आर्थिक प्रस्ताव खोल्नुअघि प्रस्तावसम्बन्धी कागजात परिवर्तन गरिएको विषय उठाइएको थियो। यस प्रकरणमा पक्राउ पर्नु दोषी ठहर हुनु होइन। अन्तिम निष्कर्ष अनुसन्धान र न्यायिक प्रक्रियाबाट स्थापित हुनुपर्छ।

तर प्रारम्भिक अनुसन्धानमै बोलपत्रसम्बन्धी विवरण हेरफेरको विषय उठ्नुले प्रणालीको सुरक्षा संरचनाबारे गम्भीर प्रश्न खडा गर्छ। सार्वजनिक खरिदमा बोलपत्रको गोपनीयता र समयसीमा निर्णायक हुन्छन्।

कुनै प्रतिस्पर्धीले अरूको आर्थिक प्रस्ताव समयअघि हेर्न वा प्रस्तावसम्बन्धी कागजात परिवर्तन गर्न सक्ने अवस्था आएमा समान प्रतिस्पर्धाको आधार कमजोर हुन सक्छ।

सरकारी ठेक्कामा मूल्य, प्राविधिक योग्यता र निर्धारित प्रक्रियाको पालना सबै महत्त्वपूर्ण हुन्छन्। प्रस्तावमा अनधिकृत परिवर्तन भए मूल्याङ्कन प्रभावित हुन सक्छ। त्यसको असर ठेक्का कसले पाउँछ भन्नेमा मात्र सीमित रहँदैन।

सार्वजनिक आयोजनाको लागत, कामको गुणस्तर, समयतालिका र सरकारी खर्चको दक्षतासमेत प्रभावित हुन सक्छन्।

ई–जीपी प्रणालीले डिजिटल अभिलेख राख्ने र प्रत्येक चरणको विवरण सुरक्षित गर्ने सुविधा दिनुपर्छ।

कुन प्रयोगकर्ताले कुन कागजात कहिले खोलेको थियो, कुन विवरण परिवर्तन भयो, परिवर्तन स्वीकृत प्रक्रियाबाट भएको थियो कि थिएन र त्यसको प्राविधिक प्रमाण कहाँ सुरक्षित छ भन्ने कुरा स्पष्ट हुनुपर्छ।

पहुँचको इतिहास वा कागजातको संस्करण सुरक्षित नरहे घटना अनुसन्धान गर्न कठिन हुन्छ।

यस्तो प्रणालीमा प्रयोगकर्ताको परिचय प्रमाणीकरण, जिम्मेवारीअनुसार पहुँच अधिकार, संवेदनशील कागजातको इन्क्रिप्सन, परिवर्तनको सुरक्षित अभिलेख र शंकास्पद गतिविधि पहिचान गर्ने संयन्त्र आवश्यक हुन्छ।

कुनै कर्मचारी वा सेवा प्रदायकको खाता अनधिकृत व्यक्तिको हातमा पुगे पनि त्यसबाट सबै कागजातमा पहुँच प्राप्त नहुने व्यवस्था गर्नुपर्छ। बोलपत्रसम्बन्धी संवेदनशील फाइलमा अनावश्यक पहुँच रोक्नु प्रणालीको आधारभूत सुरक्षा उपाय हो।

ई–जीपीमा सुरक्षा कमजोरी देखिएपछि त्यसको समाधान प्रणाली पुनः सञ्चालनमा ल्याउनुमा मात्र सीमित हुनु हुँदैन। कमजोरीको मूल कारण पहिचान गर्नुपर्छ।

प्रयोगकर्ताको पहुँच अधिकारमा समस्या थियो कि सफ्टवेयरमा कमजोरी थियो, प्रणाली व्यवस्थापनमा त्रुटि थियो कि आन्तरिक नियन्त्रण प्रभावकारी थिएन भन्ने कुरा प्राविधिक अनुसन्धानबाट स्पष्ट हुनुपर्छ। सुधारका उपाय लागू भएपछि पुनः परीक्षण गरेर जोखिम नियन्त्रण भएको प्रमाणित गर्नु आवश्यक हुन्छ।

सार्वजनिक खरिद प्रणालीमा सुरक्षा परीक्षणलाई नियमित प्रक्रियाको हिस्सा बनाउनुपर्छ।

नयाँ प्रणाली निर्माण गर्दा वा ठूलो अद्यावधिक गर्दा परीक्षण गर्ने, संवेदनशील चरणमा स्वतन्त्र मूल्याङ्कन गर्ने र गम्भीर कमजोरी समाधान नभएसम्म जोखिमयुक्त सुविधा सञ्चालन नगर्ने व्यवस्था हुनुपर्छ। यसले भविष्यमा यस्तै घटना दोहोरिने सम्भावना घटाउन मद्दत गर्छ।

सार्वजनिक खरिदमा साइबर सुरक्षा कमजोर हुँदा आर्थिक क्षति तत्काल देखिन नपाउन सक्छ। गलत प्रक्रियाबाट प्रभावित ठेक्काको असर पछि लागत वृद्धि, आयोजना ढिलाइ, विवाद वा कामको गुणस्तरमा समस्या देखिएर आउन सक्छ।

त्यसैले विद्युतीय खरिद प्रणालीको सुरक्षा अतिरिक्त प्राविधिक खर्च होइन, सार्वजनिक रकम र निष्पक्ष प्रतिस्पर्धाको संरक्षणमा गरिएको लगानी हो।

सेयर कारोबारदेखि राइड सेयरिङसम्मको जोखिम

साइबर जोखिम सरकारी निकायमा मात्र सीमित छैन। निजी क्षेत्रका कम्पनीले ग्राहकको विवरण, कारोबार अभिलेख, वित्तीय सूचना र व्यावसायिक प्रक्रियाका लागि डिजिटल प्रणाली प्रयोग गर्छन्।

ती प्रणालीमा अवरोध आउँदा सेवा रोकिन सक्छ, ग्राहकले कारोबार गर्न पाउँदैनन् र व्यवसायको आम्दानीमा असर पर्न सक्छ।

सेप्टेम्बर २०२६ मा सेयर कारोबारसँग जोडिएको डेटा सेन्टरमा आएको अवरोधले ७२ ब्रोकर कम्पनीका ट्रेड म्यानेजमेन्ट सिस्टम अर्थात् टीएमएस प्रभावित पारेको थियो।

नेपाल स्टक एक्सचेन्जले सेप्टेम्बर २१ मा नियमित कारोबार स्थगित गरेको थियो।

घटनाको कारणबारे सार्वजनिक विवरणमा साइबर आक्रमण तथा र्‍यान्समवेयरको चर्चा भए पनि नेपाल स्टक एक्सचेन्जको सार्वजनिक सूचनाले कारोबार रोक्नुपरेको तत्कालीन कारण डेटा सेन्टरको प्राविधिक समस्या र प्रणाली सञ्चालनमा आएको अवरोधका रूपमा उल्लेख गरेको थियो।

त्यसैले अन्तिम प्राविधिक अनुसन्धानको निष्कर्षबिना आक्रमणको प्रकृतिबारे थप ठोकुवा गर्नु उचित हुँदैन।

यस घटनाको महत्त्व भने स्पष्ट छ। धेरै ब्रोकर एउटै डेटा सेन्टरमा निर्भर हुँदा साझा पूर्वाधारमा आएको समस्याले पूरै बजारको कारोबार प्रभावित हुन सक्छ।

ब्रोकर कम्पनीले आफ्नै कार्यालयबाट सेवा दिए पनि तिनको कारोबार व्यवस्थापन प्रणाली र डेटा भण्डारण बाह्य सेवा प्रदायकसँग जोडिएको हुन सक्छ।

यस्तो निर्भरताले लागत घटाउन सक्छ, तर सेवा प्रदायकको सुरक्षा र निरन्तरता व्यवस्थापन कमजोर भए धेरै कम्पनी एकैपटक जोखिममा पर्न सक्छन्।

सेयर बजारमा डेटा अखण्डता अत्यन्त महत्त्वपूर्ण हुन्छ। लगानीकर्ताले दिएको आदेश, कारोबारको समय, खरिदबिक्रीको विवरण र खातामा देखिने मौज्दात सही हुनुपर्छ।

प्रणाली बन्द हुँदा कारोबार रोकिनु प्रत्यक्ष असर हो। तर डेटा परिवर्तन भएको वा अभिलेख अपूर्ण भएको आशंका भए कारोबार पुनः सुरु गर्नुअघि अभिलेखको शुद्धता जाँच्नु पनि उत्तिकै आवश्यक हुन्छ।

र्‍यान्समवेयर आक्रमणमा आक्रमणकारीले प्रणाली वा फाइलमा पहुँच अवरुद्ध पारेर फिरौती माग्न सक्छन्। सुरक्षित ब्याकअप भएमा डेटा पुनःस्थापना गर्न सकिन्छ। तर ब्याकअप मुख्य प्रणालीकै नेटवर्कमा खुला अवस्थामा छ भने त्यसमा पनि असर पर्न सक्छ।

त्यसैले ब्याकअपलाई अलग वातावरणमा सुरक्षित राख्ने, नियमित रूपमा पुनःस्थापना परीक्षण गर्ने र आपत्कालीन अवस्थामा सेवा कति समयमा सञ्चालनमा ल्याउन सकिन्छ भन्ने योजना तयार राख्नुपर्छ।

पठाओले अक्टोबर ८, २०२६ मा प्रकाशित आफ्नो आधिकारिक सूचनामा अक्टोबर ४ मा प्लेटफर्ममा साइबर सुरक्षा घटना भएको जनाएको छ। कम्पनीका अनुसार घटना पत्ता लागेपछि प्रणालीको सुरक्षा जोगाउन केही महत्त्वपूर्ण प्रणाली अस्थायी रूपमा अफलाइन राखिएको थियो।

कम्पनीले नाम, इमेल ठेगाना र फोन नम्बरजस्ता केही व्यक्तिगत विवरण दुर्भावनापूर्ण व्यक्तिको हातमा पुगेको विश्वास व्यक्त गर्दै बाह्य साइबर सुरक्षा विशेषज्ञ परिचालन गरेको र सम्बन्धित निकायलाई जानकारी गराएको जनाएको छ।

घटनाको व्यापक प्रभाव मूल्याङ्कन गर्न अनुसन्धान जारी रहेको कम्पनीको भनाइ छ।

यो घटना राइड सेयरिङ सेवाको सामान्य अवरोधभन्दा गम्भीर छ। ग्राहकको नाम, फोन नम्बर र इमेल ठेगाना बाहिरिएपछि ती विवरण नक्कली ग्राहक सेवा प्रतिनिधि, चालक वा भुक्तानीसम्बन्धी बहानामा ठगी गर्न प्रयोग हुन सक्छन्।

कम्पनीको नाम र वास्तविक विवरण प्रयोग गरिएको सन्देश सामान्य स्पामभन्दा विश्वसनीय देखिन सक्छ। त्यसैले कम्पनीले सुरक्षा नियन्त्रण बलियो बनाउनुका साथै प्रभावित प्रयोगकर्तालाई जोखिमबारे स्पष्ट जानकारी दिनुपर्छ।

बैंक तथा वित्तीय संस्थाका डिजिटल प्रणालीमा जोखिम अझ संवेदनशील हुन्छ। बैंकिङ प्रणालीले ग्राहकको खाता, कारोबार इतिहास, भुक्तानी विवरण र पहिचान प्रमाणीकरणसम्बन्धी सूचना व्यवस्थापन गर्छ।

एटीएम, मोबाइल बैंकिङ, अनलाइन भुक्तानी र अन्तरबैंक कारोबार प्रणालीमा हुने आक्रमणको प्रकृति फरक हुन सक्छ। तर सबै अवस्थामा कारोबारको शुद्धता, ग्राहकको गोपनीयता र सेवाको निरन्तरता महत्त्वपूर्ण हुन्छन्।

इन्टरनेट सेवा प्रदायक, ई–कमर्स कम्पनी, अस्पताल, विद्यालय, ट्राभल कम्पनी र साना तथा मझौला व्यवसायसमेत जोखिमबाट मुक्त छैनन्। कतिपय संस्थाले पुरानो सफ्टवेयर प्रयोग गर्छन्, सुरक्षा अद्यावधिक ढिलो गर्छन् वा एउटै पासवर्ड धेरै प्रणालीमा प्रयोग गर्छन्।

व्यावसायिक सञ्चालनमा सुरक्षा खर्चलाई अनावश्यक लागत ठान्दा कमजोरी लामो समयसम्म समाधान नहुने जोखिम रहन्छ।

साइबर घटनाको वास्तविक आर्थिक लागत वेबसाइट बन्द भएको अवधिबाट मात्र मापन गर्न मिल्दैन। कारोबार अवरोध, डेटा पुनःस्थापना, प्राविधिक अनुसन्धान, कानुनी परामर्श, ग्राहकलाई सूचना दिने काम र प्रतिष्ठामा परेको असरसमेत गणना गर्नुपर्छ।

नेपालमा साइबर घटनाबाट भएको कुल आर्थिक क्षतिको एकीकृत सार्वजनिक तथ्याङ्क सीमित हुँदा जोखिमको आर्थिक मूल्याङ्कन र सुरक्षा लगानीको प्राथमिकता निर्धारण गर्न कठिन हुन्छ।

एआईको पहुँच र सुरक्षा परीक्षणको बहस

साइबर आक्रमणका उपकरण र विधि निरन्तर परिवर्तन भइरहेका छन्। कृत्रिम बुद्धिमत्ता अर्थात् एआईले कोड लेख्ने, सार्वजनिक रूपमा उपलब्ध प्राविधिक जानकारी खोज्ने, नक्कली सन्देश तयार गर्ने र केही सुरक्षा परीक्षण स्वचालित बनाउने काम सहज बनाउन सक्छ।

यसले सुरक्षा विशेषज्ञको काम छिटो बनाउन सक्छ, तर आक्रमणकारीले पनि यही प्रविधि प्रयोग गर्न सक्छन्।

साइबर सुरक्षामा १२ वर्षभन्दा लामो अनुभव भएका र ‘सिनिकल टेक्नोलोजी’का संस्थापक नरेश लामगाडेका अनुसार नेपालमा सफ्टवेयर वा वेबसाइट निर्माण गर्दा सुरुवाती चरणदेखि नै सुरक्षा प्राथमिकतामा नराख्ने प्रवृत्ति छ।

उनका अनुसार कमजोर आधारमा बनाइएका प्रणाली ह्याकरका लागि सहज लक्ष्य बन्न सक्छन्।

“नेपालमा कुनै पनि सफ्टवेयर वा वेबसाइट बनाउँदा सुरुवाती चरणदेखि नै सुरक्षालाई ध्यान नदिइकन निर्माण गर्ने परिपाटी छ,” लामगाडेको भनाइ छ।

उनका अनुसार एआईका उपकरण सहज उपलब्ध हुँदा सामान्य प्राविधिक ज्ञान भएका व्यक्तिले पनि साइबर आक्रमणको प्रयास गर्न सक्छन्। तर आक्रमणका उपकरण सहज उपलब्ध हुनु र सफल आक्रमण गर्न सक्नु फरक कुरा हुन्।

प्रणालीको वास्तविक जोखिम त्यसको संरचना, कमजोरी, सुरक्षा नियन्त्रण र निगरानी क्षमतामा निर्भर हुन्छ।

लामगाडेले सरकारी प्रणालीको सुरक्षा परीक्षणमा निजी क्षेत्रका साइबर सुरक्षा अनुसन्धानकर्ताको सहभागिता सीमित रहेको विषय पनि उठाएका छन्।

उनका अनुसार सरकारी निकायले सुरक्षा परीक्षणको जिम्मेवारी सीमित सरकारी संयन्त्रमा केन्द्रित गर्दा दक्ष जनशक्तिको अभावमा समस्या आउन सक्छ। उनले कमजोरी पहिचान गरी सम्बन्धित निकायलाई जानकारी दिने अनुसन्धानकर्तालाई प्रोत्साहित गर्नुपर्ने बताएका छन्।

यी भनाइ सबै सरकारी निकायको अवस्थाको प्रमाणित निष्कर्ष होइनन्। तर सरकारी प्रणालीको सुरक्षा परीक्षण कसले गर्ने, परीक्षणको मापदण्ड के हुने र कमजोरी पत्ता लगाउने अनुसन्धानकर्तालाई कसरी व्यवहार गर्ने भन्ने विषय नीतिगत रूपमा महत्त्वपूर्ण छन्।

सरकारी प्रणालीमा अनियन्त्रित रूपमा बाह्य पहुँच दिनु जोखिमपूर्ण हुन सक्छ। अर्कोतर्फ, अनुमति लिएर गरिने सुरक्षा परीक्षण र जिम्मेवार ढंगले कमजोरी रिपोर्ट गर्ने प्रक्रियालाई स्पष्ट नियमबिना सीमित राख्दा स्वतन्त्र प्राविधिक परीक्षणको लाभ गुम्न सक्छ।

परीक्षणको दायरा, अनुमति, समयसीमा, प्रयोग गर्न पाउने उपकरण, डेटा पहुँचको सीमा र रिपोर्ट गर्ने प्रक्रिया पहिल्यै तय गर्नुपर्छ।

जिम्मेवार कमजोरी खुलासा प्रक्रियामा अनुसन्धानकर्ताले कमजोरी भेटेपछि सार्वजनिक रूपमा विवरण फैलाउनुअघि सम्बन्धित संस्थालाई जानकारी दिन्छन्।

संस्थाले कमजोरीको गम्भीरता मूल्याङ्कन गरेर समाधान गर्छ र आवश्यकताअनुसार अनुसन्धानकर्तासँग समन्वय गर्छ। नेपालमा पनि स्पष्ट नियम, सुरक्षित रिपोर्टिङ माध्यम र परीक्षणकर्ताको जिम्मेवारी तोकिएको व्यवस्था विकास गर्न सकिन्छ।

स्वचालित सुरक्षा परीक्षणले केही कमजोरी छिटो पत्ता लगाउन सक्छ, तर त्यसले सबै जोखिम पहिचान गर्छ भन्ने हुँदैन।

पहुँच व्यवस्थापनको त्रुटि, प्रणालीका विभिन्न भागबीचको सम्बन्ध, व्यावसायिक प्रक्रियाबाट सिर्जित कमजोरी र आन्तरिक नियन्त्रणमा देखिने समस्या बुझ्न विशेषज्ञको मूल्याङ्कन आवश्यक हुन्छ।

सफ्टवेयरले दिएको रिपोर्टलाई अन्तिम प्रमाण मानेर प्रणाली सुरक्षित रहेको घोषणा गर्नु उपयुक्त हुँदैन।

एआई सुरक्षा प्रणालीको प्रयोगले पनि यही सावधानी माग्छ। शंकास्पद गतिविधि पहिचान, लग फाइलको विश्लेषण र फिसिङ सन्देश पत्ता लगाउन एआई उपयोगी हुन सक्छ।

त्यसलाई सञ्चालन गर्ने दक्ष जनशक्ति, गुणस्तरीय डेटा, नियमित अद्यावधिक र नतिजाको मानवीय परीक्षण आवश्यक हुन्छ। प्रविधि खरिद गर्नु र सुरक्षा क्षमता निर्माण गर्नु फरक काम हुन्।

नीति बनेपछि कार्यान्वयनको परीक्षा

नेपाल सरकारले राष्ट्रिय साइबर सुरक्षा नीति, २०८० जारी गरेको छ। उक्त नीतिमा साइबर सुरक्षासम्बन्धी संस्थागत संरचना सुदृढ गर्ने, जोखिम पहिचान र प्रतिकार्य क्षमता विकास गर्ने तथा अनुसन्धान र विकास प्रवर्द्धन गर्ने विषय समेटिएका छन्।

राष्ट्रिय साइबर सुरक्षा केन्द्रको आधिकारिक परिचय अनुसार केन्द्र मन्त्रिपरिषद्को २०८० माघ ९ गतेको निर्णयबाट स्थापना भएको हो।

केन्द्रले साइबर सुरक्षा एडभाइजरी र सरकारी सूचना प्रविधि प्रणालीका प्रयोगकर्ताका लागि मार्गदर्शन प्रकाशित गरेको छ।

यसको आधिकारिक वेबसाइटमा जोखिम पहिचान तथा सुरक्षा परीक्षणसम्बन्धी अनुरोध फाराम, वेब भल्नरेबिलिटी स्क्यानर खरिदसम्बन्धी सूचना र सुरक्षा सूचना तथा घटना व्यवस्थापन प्रणाली खरिदसम्बन्धी सूचना पनि उपलब्ध छन्।

यी गतिविधिले सुरक्षा परीक्षण र निगरानी प्रणाली विकास गर्ने काम अघि बढेको देखाउँछन्।

तर नीति र संस्था बनेको तथ्यले मात्रै प्रणाली सुरक्षित भएको प्रमाणित गर्दैन।

वास्तविक प्रभाव मूल्याङ्कन गर्न कति प्रणाली नियमित परीक्षणमा छन्, कति गम्भीर कमजोरी समाधान भए, साइबर घटना पत्ता लगाउन कति समय लाग्छ र पुनःस्थापना प्रक्रिया कति प्रभावकारी छ भन्ने सूचक आवश्यक हुन्छ। सुरक्षा सुधारको नतिजा मापनयोग्य हुनुपर्छ।

सरकारी निकायबीच जिम्मेवारी स्पष्ट हुनु पनि उत्तिकै महत्त्वपूर्ण छ। राष्ट्रिय साइबर सुरक्षा केन्द्र, सूचना प्रविधि तथा विद्युतीय शासन कार्यालय, मन्त्रालय र अन्य सरकारी निकायले आ–आफ्नो प्रणालीको सुरक्षामा कुन भूमिका निर्वाह गर्छन् भन्ने स्पष्ट हुनुपर्छ।

घटना हुँदा कसले नेतृत्व लिने, कसले प्राविधिक अनुसन्धान गर्ने, कसले प्रभावित निकायलाई जानकारी दिने र कसले नागरिकलाई सूचना जारी गर्ने भन्ने विषयमा अन्योल रहनु हुँदैन।

साझा पूर्वाधारको सुरक्षा बलियो भए पनि कुनै निकायले पुरानो सफ्टवेयर, कमजोर पासवर्ड वा अनावश्यक खुला पहुँच कायम राखे जोखिम रहिरहन्छ। त्यसैले सबै सरकारी प्रणालीमा न्यूनतम सुरक्षा मापदण्ड लागू गर्नुपर्छ।

नियमित सफ्टवेयर अद्यावधिक, बहु-तह प्रमाणीकरण, पहुँच अधिकारको समीक्षा, सुरक्षित ब्याकअप, नेटवर्क विभाजन र गतिविधिको अभिलेख राख्ने व्यवस्था आवश्यक हुन्छ।

सरकारी डिजिटल प्रणाली खरिद गर्दा सुविधाको सूची र मूल्यलाई मात्र आधार बनाउनु हुँदैन।

डेटा कहाँ भण्डारण हुन्छ, कसले पहुँच पाउँछ, कमजोरी भेटिए कसले समाधान गर्छ, सेवा प्रदायक परिवर्तन गर्दा डेटा कसरी हस्तान्तरण हुन्छ र सेवा बन्द हुँदा वैकल्पिक व्यवस्था के हुन्छ भन्ने विषय सम्झौतामै स्पष्ट हुनुपर्छ।

प्रणाली निर्माणको अन्तिम चरणमा सुरक्षा परीक्षण गर्नेभन्दा डिजाइनकै सुरुवातदेखि सुरक्षा समावेश गर्नु प्रभावकारी हुन्छ।

डेटा वर्गीकरण पनि आवश्यक छ। सार्वजनिक सूचना दिने वेबसाइट र नागरिकको पहिचान, वित्तीय विवरण वा संवेदनशील प्रशासनिक अभिलेख व्यवस्थापन गर्ने प्रणालीको जोखिम समान हुँदैन।

उच्च जोखिमका प्रणालीमा कडा पहुँच नियन्त्रण, बढी आवृत्तिको सुरक्षा परीक्षण र छिटो प्रतिकार्य क्षमता आवश्यक हुन्छ। सबै प्रणालीलाई एउटै सामान्य मापदण्डमा सीमित गर्दा उच्च जोखिम भएका प्रणालीमा पर्याप्त ध्यान नपुग्न सक्छ।

नागरिकको विवरण संरक्षणका लागि नेपालमा वैयक्तिक गोपनीयता सम्बन्धी ऐन, २०७५ पनि छ। यसले व्यक्तिगत सूचना तथा तथ्याङ्कको गोपनीयता संरक्षणका लागि कानुनी आधार दिएको छ।

कानुनी संरक्षण प्रभावकारी हुन संस्थाले डेटा संकलनको उद्देश्य स्पष्ट पार्नुपर्छ, पहुँच नियन्त्रण गर्नुपर्छ र अनधिकृत प्रयोग वा चुहावट भएमा जवाफदेही हुनुपर्छ।

साइबर घटना रिपोर्ट गर्ने प्रक्रिया स्पष्ट भएमा जोखिम छिटो नियन्त्रण गर्न सकिन्छ। कुनै संस्थाले घटना लुकाएर राख्दा अन्य प्रणालीमा पनि जोखिम फैलिन सक्छ।

घटना रिपोर्ट गर्ने समयसीमा, आवश्यक प्राविधिक विवरण र प्रभावित नागरिकलाई जानकारी दिने मापदण्ड तोकिनुपर्छ। रिपोर्टिङलाई दोषारोपणको प्रक्रियाभन्दा जोखिम नियन्त्रण र सुधारको माध्यम बनाउनु आवश्यक हुन्छ।

दक्ष जनशक्ति र बजेटबिना उपकरणले मात्र सुरक्षा सुनिश्चित गर्दैन। सुरक्षा प्रणालीले दिएको चेतावनीको विश्लेषण गर्ने, वास्तविक आक्रमण र सामान्य गतिविधि छुट्याउने, कमजोरी समाधान गराउने र घटना भएपछि पुनःस्थापना गर्ने टोली आवश्यक हुन्छ।

प्राविधिक कर्मचारीलाई आवश्यक अधिकार, स्रोत र नेतृत्वको समर्थन नदिइए उपकरण उपलब्ध भएर पनि त्यसको उपयोग सीमित हुन सक्छ।

सुरक्षा लगानी र डिजिटल अर्थतन्त्रको विश्वसनीयता

साइबर सुरक्षालाई सूचना प्रविधि विभागको आन्तरिक खर्चका रूपमा मात्र हेर्दा त्यसको आर्थिक महत्त्व कम आँकलन हुन्छ। कुनै कम्पनीको प्रणाली बन्द हुँदा कारोबार रोकिन सक्छ, कर्मचारीले काम गर्न पाउँदैनन् र ग्राहकले सेवा लिन सक्दैनन्।

डेटा चोरी भएको अवस्थामा प्राविधिक अनुसन्धान, कानुनी परामर्श, ग्राहकलाई सूचना, सुरक्षा सुधार र सम्भावित क्षतिपूर्तिको खर्च थपिन्छ। लामो समयसम्म सेवा प्रभावित भएमा कम्पनीको प्रतिष्ठा र आम्दानीमा असर पर्न सक्छ।

सरकारी निकायमा प्रणाली अवरुद्ध हुँदा नागरिकले सेवा पाउँदैनन्, प्रशासनिक प्रक्रिया ढिलो हुन्छ र कर्मचारीले वैकल्पिक माध्यम अपनाउनुपर्ने हुन सक्छ। सार्वजनिक खरिद प्रणाली प्रभावित हुँदा ठेक्का प्रक्रिया ढिलो हुन सक्छ।

वित्तीय प्रणालीमा अवरोध हुँदा कारोबारको निरन्तरता र बजारको विश्वासमा असर पर्न सक्छ। यी सबैको लागत प्रत्यक्ष आर्थिक क्षतिमा मात्र देखिँदैन; समय, उत्पादकता र संस्थागत विश्वसनीयतामा पनि असर पर्छ।

नेपालमा साइबर घटनाबाट भएको समग्र आर्थिक क्षतिको एकीकृत सार्वजनिक तथ्याङ्क सीमित छ।

कुन क्षेत्रमा कति रकमको क्षति भयो, कति सेवा घण्टा अवरुद्ध भए र पुनःस्थापनामा कति खर्च लाग्यो भन्ने विवरण व्यवस्थित रूपमा उपलब्ध नभए जोखिमका आधारमा लगानी प्राथमिकता निर्धारण गर्न कठिन हुन्छ।

त्यसैले साइबर घटनाको विवरणमा प्रत्यक्ष वित्तीय क्षति, अवरुद्ध सेवाको अवधि, प्रभावित अभिलेखको संख्या र पुनःस्थापनाको लागतजस्ता सूचक समेटिनुपर्छ।

व्यवसायले साइबर सुरक्षालाई नियमित जोखिम व्यवस्थापनको हिस्सा बनाउनुपर्छ। कम्पनीको आकार र कारोबारअनुसार सुरक्षा लगानी फरक हुन सक्छ।

तर सफ्टवेयर अद्यावधिक, बलियो र फरक पासवर्ड, बहु-तह प्रमाणीकरण, सीमित पहुँच अधिकार र सुरक्षित ब्याकअपजस्ता आधारभूत उपाय सबै संस्थाका लागि उपयोगी हुन्छन्।

बाह्य सेवा प्रदायक प्रयोग गर्ने संस्थाले पनि आफ्नो जिम्मेवारी पूर्ण रूपमा हस्तान्तरण गर्न सक्दैनन्।

क्लाउड, भुक्तानी प्रणाली, ग्राहक व्यवस्थापन सफ्टवेयर वा कारोबार प्रणाली बाह्य कम्पनीले सञ्चालन गरे पनि ग्राहकको डेटा र सेवा निरन्तरताको जोखिम सेवा लिने संस्थासँग जोडिन्छ।

त्यसैले सम्झौतामा सुरक्षा मापदण्ड, घटना रिपोर्ट गर्ने समय, डेटा नियन्त्रण, ब्याकअप र प्रणाली पुनःस्थापनाको जिम्मेवारी स्पष्ट हुनुपर्छ।

साना तथा मझौला व्यवसायका लागि छुट्टै साइबर सुरक्षा विशेषज्ञ राख्नु महँगो पर्न सक्छ। यस्तो अवस्थामा साझा सुरक्षा सेवा, विश्वसनीय सेवा प्रदायक, क्षेत्रगत तालिम र सरकारी मार्गदर्शन उपयोगी हुन सक्छन्।

सेवा प्रदायक छनोट गर्दा मूल्य मात्रै होइन, डेटा कहाँ राखिन्छ, कसलाई पहुँच दिइन्छ र घटना हुँदा कस्तो प्रतिक्रिया हुन्छ भन्ने विषय पनि जाँच्नुपर्छ।

नागरिकले पनि डिजिटल सुरक्षाका आधारभूत अभ्यास अपनाउन सक्छन्।

अपरिचित लिङ्क खोल्नुअघि जाँच गर्ने, बैंक वा सरकारी निकायको नाममा आएको सन्देश आधिकारिक माध्यमबाट पुष्टि गर्ने, एउटै पासवर्ड धेरै सेवामा प्रयोग नगर्ने र बहु-तह प्रमाणीकरण सक्रिय गर्ने उपायले जोखिम घटाउन सक्छन्। तर सुरक्षा सुनिश्चित गर्ने मुख्य जिम्मेवारी नागरिकमाथि मात्र थोपर्न मिल्दैन।

सेवा प्रदायकले सुरक्षित प्रणाली निर्माण गर्नुपर्छ, डेटा संकलनको उद्देश्य स्पष्ट पार्नुपर्छ र घटना हुँदा समयमै सूचना दिनुपर्छ।

डिजिटल अर्थतन्त्र विस्तार गर्न सुरक्षित पूर्वाधार अनिवार्य हुन्छ। अनलाइन सेवा र डिजिटल भुक्तानीले समय बचत, पहुँच विस्तार र लागत घटाउने अवसर दिन्छन्। तर प्रणाली सुरक्षित नभए डिजिटल सेवाबाट प्राप्त हुने लाभसँगै नयाँ जोखिम पनि बढ्छ।

सरकारी तथा निजी क्षेत्रले सुरक्षा सुधारलाई अतिरिक्त खर्च होइन, डिजिटल सेवाको निरन्तरता र ग्राहकको विश्वास जोगाउने लगानीका रूपमा लिनुपर्छ।

नेपालमा राष्ट्रिय साइबर सुरक्षा नीति, केन्द्र र सुरक्षा एडभाइजरी उपलब्ध छन्। अब तिनको प्रभाव मापनयोग्य परिणाममा देखिनुपर्छ।

गम्भीर कमजोरी समयमै समाधान हुने, घटना व्यवस्थित रूपमा अनुसन्धान हुने, नागरिकको डेटा सुरक्षित रहने र सेवा अवरुद्ध हुँदा छिटो पुनःस्थापना हुने अवस्था निर्माण गर्न सके मात्रै डिजिटल विस्तारसँगै सुरक्षा क्षमता बढेको मान्न सकिन्छ।

नेपालको डिजिटल भविष्य अनलाइन सेवाको संख्या वा प्रविधिको आधुनिकताले मात्र निर्धारण गर्दैन।

ती सेवा कति भरपर्दा छन्, नागरिकको विवरण कति सुरक्षित छ, सार्वजनिक खरिद कति निष्पक्ष छ र आक्रमण हुँदा संस्थाले कति प्रभावकारी प्रतिक्रिया दिन सक्छ भन्ने कुराले निर्धारण गर्छ।

साइबर सुरक्षामा निरन्तर लगानी, स्वतन्त्र परीक्षण, स्पष्ट जिम्मेवारी र सार्वजनिक जवाफदेहिता बलियो नबनाए डिजिटल रूपान्तरणको उपलब्धि जोखिममा रहिरहनेछ।