काठमाडौं । नेपालको बैंकिङ क्षेत्र डिजिटल कारोबारमा तीव्र गतिले अघि बढिरहेको छ।
मोबाइल बैंकिङ, क्यूआर भुक्तानी, इन्टरनेट बैंकिङ र डिजिटल वालेट सर्वसाधारणको दैनिक आर्थिक गतिविधिको हिस्सा बनिसकेका छन्।
तर वेबसाइट सञ्चालनमा प्रयोग हुने प्रोग्रामिङ भाषा पीएचपीमा गम्भीर सुरक्षा कमजोरी भेटिएपछि नेपाल राष्ट्र बैंक, बैंक तथा वित्तीय संस्था र विभिन्न सरकारी निकायका वेबसाइट अस्थायी रूपमा बन्द गरिए।
यो घटनाले डिजिटल बैंकिङको विस्तारसँगै त्यसलाई सुरक्षित राख्ने प्राविधिक क्षमता, नियामकीय निगरानी र संस्थागत तयारी कति बलियो छ भन्ने प्रश्न उठाएको छ।
अक्टोबर २१, २०२६ मा पीएचपी विकास टोलीले दुई गम्भीर सुरक्षा कमजोरी समाधान गर्ने अद्यावधिक संस्करण सार्वजनिक गरेपछि विभिन्न देशका सरकारी निकाय, वित्तीय संस्था र अन्य संस्थाले आफ्ना प्रणालीको सुरक्षा परीक्षण सुरु गरेका थिए।
नेपालमा पनि सम्भावित साइबर आक्रमणको जोखिम घटाउन वेबसाइट बन्द गर्ने, सुरक्षा अद्यावधिक लागू गर्ने र प्रणालीको परीक्षण गर्ने कदम चालियो।
नेपाल राष्ट्र बैंकले बैंक तथा वित्तीय संस्था, भुक्तानी प्रणाली सञ्चालक, भुक्तानी सेवा प्रदायक र रेमिट्यान्स कम्पनीलाई सुरक्षा सतर्कता बढाउन निर्देशन दिएको छ।
नेपाल बैंकर्स संघका अध्यक्ष सन्तोष कोइरालाका अनुसार मोबाइल बैंकिङ र क्यूआर भुक्तानी सेवा सञ्चालनमा रहे पनि वेबसाइट तथा इन्टरनेट बैंकिङसँग सम्बन्धित केही सेवा प्रभावित भएका थिए।
नेपाल राष्ट्र बैंकका प्रवक्ता गुरुप्रसाद पौडेलले वेबसाइट अस्थायी रूपमा बन्द हुनु ह्याकिङ भइसकेको प्रमाण नभएको स्पष्ट पारेका छन्। सार्वजनिक विवरणअनुसार घटनाका कारण ग्राहकको रकम वा तथ्याङ्क चोरी भएको पुष्टि भएको छैन।
तर, वेबसाइट बन्द गरेर तत्कालको जोखिम घटाउनु र बैंकिङ प्रणाली दीर्घकालीन रूपमा सुरक्षित बनाउनु एउटै कुरा होइन।
जोखिमयुक्त प्रणाली पहिचान गर्ने, समयमै सुरक्षा अद्यावधिक गर्ने, अनधिकृत पहुँच पत्ता लगाउने, घटनामा तत्काल प्रतिक्रिया दिने र सेवा सुरक्षित रूपमा पुनः सञ्चालन गर्ने क्षमता कस्तो छ भन्ने विषयले मात्रै बैंकिङ क्षेत्रको वास्तविक तयारी देखाउँछ।
नेपाल राष्ट्र बैंकले सन् २०२३ मै भुक्तानी प्रणालीसँग सम्बन्धित संस्थाका लागि साइबर रेजिलियन्स गाइडलाइन्स जारी गरेको थियो। राष्ट्रिय साइबर सुरक्षा नीति, २०८० पनि कार्यान्वयनमा छ।
यसले नीतिगत र नियामकीय आधार नै नभएको अवस्था देखाउँदैन। तर निर्देशिका जारी हुनु, त्यसलाई व्यवहारमा लागू गर्नु र नियमित प्राविधिक परीक्षणबाट प्रभावकारिता प्रमाणित गर्नु तीन फरक विषय हुन्।
पीएचपीको कमजोरीले खोल्यो जोखिम
पीएचपी वेबसाइट तथा अनलाइन सेवा सञ्चालन गर्न प्रयोग हुने प्रोग्रामिङ भाषा हो। विश्वभरका धेरै वेबसाइट यही प्रविधिमा आधारित छन्।
बैंकका सार्वजनिक वेबसाइट, व्यावसायिक पोर्टल, अनलाइन आवेदन प्रणाली र विभिन्न सरकारी सेवामा पनि पीएचपी प्रयोग हुन सक्छ।
पीएचपी प्रयोग भएको भन्दैमा सबै प्रणाली समान रूपमा जोखिममा छन् वा सबै बैंकको मूल कारोबार प्रणाली एउटै प्रविधिमा बनेको छ भन्ने अर्थ लाग्दैन।
पीएचपी विकास टोलीले अक्टोबर २१ मा सीभीई–२०२६–१०९६१८ र सीभीई–२०२६–१०९६१९ नामका दुई सुरक्षा कमजोरी समाधान गर्ने संस्करण सार्वजनिक गरेको थियो।
यी कमजोरीको गम्भीरता कमन भल्नरेबिलिटी स्कोरिङ सिस्टम (सीभीएसएस) संस्करण ४.० अनुसार १० मध्ये ९.२ अंक निर्धारण गरिएको छ। दुवै कमजोरीको सम्भावित प्रभाव प्रभावित सर्भरमा प्रमाणीकरणबिना टाढाबाट हानिकारक कोड चलाउन सक्ने अवस्थासँग सम्बन्धित छ।
यस्तो पहुँच प्राप्त भएमा आक्रमणकारीले प्रभावित सर्भरमा अनधिकृत काम गर्न, वेबसाइटको सामग्री परिवर्तन गर्न वा प्रणालीभित्र रहेका संवेदनशील विवरणसम्म पुग्ने प्रयास गर्न सक्छ।
त्यसैले सुरक्षा अनुसन्धानकर्ताले जोखिमको जानकारी सार्वजनिक गरेपछि सम्बन्धित संस्थालाई प्रणाली परीक्षण र अद्यावधिक गर्न आग्रह गरिएको हो।
यो जोखिम किन गम्भीर छ भने वेबसाइटको सुरक्षामा प्रयोगकर्ताले देख्ने पृष्ठ मात्र पर्याप्त हुँदैन।
वेबसाइटको पछाडि चल्ने सर्भर, त्यसमा प्रयोग भएको सफ्टवेयर, विभिन्न सेवा जोड्ने माध्यम र तथ्याङ्क व्यवस्थापन गर्ने प्रणाली पनि सुरक्षित हुनुपर्छ।
बाहिरबाट सामान्य देखिने वेबसाइटभित्र पुरानो सफ्टवेयर वा अद्यावधिक नगरिएको प्रणाली चलिरहेको छ भने आक्रमणकारीले त्यसको कमजोरी उपयोग गर्न सक्छ।
पीएचपी विकास टोलीले सुरक्षित संस्करण सार्वजनिक गरेपछि पनि सबै प्रणाली तत्काल सुरक्षित हुँदैनन्।
सम्बन्धित संस्थाले आफ्नो सर्भरमा कुन संस्करण चलिरहेको छ भनेर पहिचान गर्नुपर्छ। त्यसपछि उपलब्ध सुरक्षा अद्यावधिक लागू गर्ने, अन्य सफ्टवेयरसँगको अनुकूलता जाँच्ने, प्रणालीको परीक्षण गर्ने र सुरक्षित भएको सुनिश्चित भएपछि मात्र सेवा पुनः सञ्चालन गर्नुपर्छ।
पुरानो वा समर्थन अवधि समाप्त भएको संस्करण प्रयोग भइरहेको छ भने अद्यावधिकको प्रक्रिया अझ जटिल हुन सक्छ।
सरकारी सफ्टवेयर विकास तथा सञ्चालन केन्द्रका प्रमुख कार्यकारी अधिकृत किरण तिमिल्सिनाले पुराना प्रणालीमा सुरक्षा अद्यावधिक लागू गर्नुका साथै स्रोत कोडको परीक्षणसमेत आवश्यक रहेको बताएका छन्।
उनका अनुसार केही प्रणालीको सुरक्षा परीक्षण र अडिट जारी थियो।
तिमिल्सिनाका अनुसार “पुराना प्रणालीमा पहिलेदेखि रहेका अन्य कमजोरी छुटेका छन् कि छैनन् भन्ने जाँच्न स्रोत कोडको परीक्षणमा पनि ध्यान दिनुपर्छ।”
यसले बैंकिङ क्षेत्रका लागि पनि एउटा महत्त्वपूर्ण पाठ दिन्छ। सफ्टवेयरमा नयाँ सुरक्षा अद्यावधिक लागू गर्नु आवश्यक भए पनि पुरानो प्रणालीमा पहिलेदेखि रहेका अन्य कमजोरी छुटेका छन् कि छैनन् भन्ने जाँच्नुपर्छ।
सुरक्षा अद्यावधिकले एउटा पहिचान भएको कमजोरी समाधान गर्न सक्छ, तर त्यसले प्रणालीका सबै सम्भावित कमजोरी हटाएको स्वतः प्रमाणित गर्दैन।
नेपालमा वेबसाइट बन्द गर्नुको उद्देश्य यही सम्भावित जोखिमलाई नियन्त्रण गर्नु थियो।
राष्ट्र बैंकका प्रवक्ता पौडेलले सुरक्षा कमजोरी सार्वजनिक भएपछि जोखिम बढ्न सक्ने भएकाले प्रभावित प्रणालीलाई अस्थायी रूपमा इन्टरनेटबाट अलग राख्न सकिने बताएका छन्।
पौडेलका अनुसार “वेबसाइट बन्द हुनु भनेको त्यो वेबसाइट ह्याक भइसकेको भन्ने होइन। सुरक्षा जोखिम रोक्नका लागि वेबसाइट अस्थायी रूपमा बन्द गरिएको हो।”
त्यसैले अहिलेको घटनालाई आधार बनाएर नेपालका सबै बैंक ह्याक भए, ग्राहकको रकम जोखिममा पर्यो वा डिजिटल बैंकिङ पूर्ण रूपमा असुरक्षित छ भन्ने निष्कर्ष निकाल्नु तथ्यसम्मत हुँदैन।
त्यस्तै, ग्राहकको रकम चोरी भएको पुष्टि नभएको भन्दैमा सबै संस्थाको सुरक्षा तयारी पूर्ण रूपमा प्रभावकारी छ भन्ने निष्कर्ष निकाल्न पनि मिल्दैन।
वास्तविक अवस्था थाहा पाउन प्रत्येक संस्थाले आफ्नो प्रणालीको जोखिम मूल्याङ्कन, सुरक्षा अद्यावधिक र परीक्षणसम्बन्धी जानकारी दिनुपर्छ। आवश्यक परे नियामकले प्राविधिक परीक्षणको नतिजा समीक्षा गरेर जोखिम बाँकी छ कि छैन भन्ने सुनिश्चित गर्नुपर्छ।
वेबसाइट बन्द हुनु र बैंकिङ प्रणाली बन्द हुनु फरक
बैंकको वेबसाइट बन्द भएको खबर सार्वजनिक भएपछि ग्राहकमा आफ्नो पैसा सुरक्षित छ कि छैन भन्ने चासो बढ्नु स्वाभाविक हो। तर वेबसाइट, इन्टरनेट बैंकिङ, मोबाइल बैंकिङ र बैंकको मूल कारोबार प्रणाली एउटै संरचना होइनन्।
यी प्रणाली एकअर्कासँग जोडिएका हुन सक्छन्, तर तिनको काम, प्राविधिक बनावट र सुरक्षा व्यवस्था फरक हुन सक्छ।
बैंकको वेबसाइटबाट ब्याजदर, सेवा शुल्क, शाखा, एटीएम, कर्जा योजना, वित्तीय विवरण, सार्वजनिक सूचना र अनलाइन आवेदनसम्बन्धी जानकारी प्राप्त गर्न सकिन्छ।
केही बैंकले वेबसाइटसँग जोडिएका निश्चित ग्राहक सेवा पनि उपलब्ध गराउँछन्। त्यस्तो वेबसाइट बन्द हुँदा ग्राहकले सूचना प्राप्त गर्न वा अनलाइन आवेदन दिन समस्या भोग्न सक्छन्।
तर वेबसाइट बन्द भएको आधारमा ग्राहकको खाता, बैंकको मूल कारोबार प्रणाली वा सबै डिजिटल भुक्तानी सेवा बन्द भएको निष्कर्ष निकाल्न मिल्दैन।
नेपाल बैंकर्स संघका अध्यक्ष सन्तोष कोइरालाका अनुसार “क्यूआर, मोबाइल बैंकिङलगायत सेवा सुचारु छन्। मुख्य समस्या इन्टरनेट बैंकिङ र वेबसाइटसँग सम्बन्धित सेवामा छ।”
उनका अनुसार केही बैंक तथा वित्तीय संस्थाले जोखिमको अवस्था मूल्याङ्कन गरेर वेबसाइट पुनः सञ्चालनमा ल्याइसकेका थिए। यसको अर्थ सुरक्षा जोखिम देखिएपछि सबै बैंकिङ सेवा बन्द गर्नुपर्ने अवस्था थिएन।
कुन प्रणालीमा जोखिम देखियो र त्यसको समाधान कसरी गरियो भन्ने आधारमा सेवा सञ्चालनको निर्णय लिन सकिन्छ।
यो भिन्नता बुझ्नु ग्राहकका लागि मात्र होइन, बैंकिङ क्षेत्रको वास्तविक अवस्था मूल्याङ्कन गर्न पनि आवश्यक छ। वेबसाइट बन्द हुनुको कारण साइबर सुरक्षाको जोखिम हो भने त्यसको समाधान प्राविधिक परीक्षण र सुरक्षा अद्यावधिकबाट खोज्नुपर्छ।
यदि कुनै संस्थाको मूल कारोबार प्रणालीमा अनधिकृत पहुँच भएको प्रमाण भेटिन्छ भने त्यसलाई छुट्टै घटनाका रूपमा अनुसन्धान गर्नुपर्छ।
वेबसाइट बन्द हुँदा ग्राहकले ब्याजदर, सेवा शुल्क, शाखा तथा एटीएमको विवरण, कर्जा योजना र अन्य सार्वजनिक सूचना सहजै प्राप्त गर्न नसक्ने अवस्था आउन सक्छ।
वेबसाइटमार्फत उपलब्ध अनलाइन आवेदन, खाता खोल्ने प्रक्रिया र अन्य सुविधासमेत प्रभावित हुन सक्छन्। त्यसैले वेबसाइट बन्द गर्नु सुरक्षाका दृष्टिले आवश्यक भए पनि ग्राहकलाई वैकल्पिक माध्यमबाट सूचना उपलब्ध गराउनु बैंकको जिम्मेवारी हो।
बैंकिङ क्षेत्रमा विश्वास सबैभन्दा महत्त्वपूर्ण सम्पत्ति हो। ग्राहकले बैंकमा रकम राख्दा आफ्नो पैसा सुरक्षित रहने र आवश्यक परेको समयमा कारोबार गर्न पाइने अपेक्षा गर्छन्।
डिजिटल सेवा विस्तारसँगै यो विश्वास अब शाखा र नगद व्यवस्थापनमा मात्र सीमित छैन। अनलाइन प्रणालीको सुरक्षा, सेवा अवरुद्ध हुँदा वैकल्पिक व्यवस्था र समस्या आएपछि छिटो समाधान गर्ने क्षमताले पनि बैंकप्रतिको विश्वास निर्धारण गर्छ।
त्यसैले अहिलेको घटनापछि सम्बन्धित बैंकले कुन सेवा प्रभावित भयो, कुन सेवा सञ्चालनमा छ, सुरक्षा परीक्षणको अवस्था के छ र सेवा पुनः सञ्चालनका लागि के भइरहेको छ भन्ने स्पष्ट जानकारी दिनुपर्छ।
अस्पष्ट सूचनाले ग्राहकमा अनावश्यक त्रास बढाउन सक्छ र ठगी गर्नेहरूले त्यसको फाइदा उठाउन सक्छन्।
नियमन छ, कार्यान्वयनको परीक्षण चाहिन्छ
नेपाल राष्ट्र बैंकले भुक्तानी प्रणालीसँग सम्बन्धित संस्थाका लागि साइबर रेजिलियन्स गाइडलाइन्स जारी गरेको छ।
यसले साइबर जोखिम व्यवस्थापन, संस्थागत संरचना, वरिष्ठ व्यवस्थापनको जिम्मेवारी, जोखिम पहिचान, सुरक्षा, सम्भावित आक्रमणको पहिचान, जोखिम न्यूनीकरण, प्रतिकार्य र पुनःस्थापनाजस्ता विषय समेट्छ।
सचेतना, परीक्षण र तालिमसम्बन्धी व्यवस्थालाई पनि यसले महत्त्व दिएको छ।
यसले नेपालको वित्तीय क्षेत्रमा साइबर सुरक्षा नियमनको आधार रहेको देखाउँछ। तर एउटा महत्त्वपूर्ण प्रश्न बाँकी रहन्छ, निर्देशिकाले तोकेका व्यवस्था प्रत्येक संस्थाले कति प्रभावकारी रूपमा लागू गरेका छन्।
साइबर सुरक्षासम्बन्धी निर्देशिका कार्यान्वयन भएको छ कि छैन भन्ने मूल्याङ्कन कागजी प्रतिवेदनबाट मात्र गर्न सकिँदैन।
संस्थाले नियमित जोखिम मूल्याङ्कन गरेको छ कि छैन, प्रणालीको सुरक्षा परीक्षण कति पटक हुन्छ, कमजोरी भेटिएपछि सुधार गर्न कति समय लाग्छ, आपत्कालीन अवस्थामा सेवा कसरी निरन्तर राखिन्छ र घटनापछि प्रणाली पुनःस्थापना गर्न कति समय लाग्छ भन्ने विषय महत्त्वपूर्ण हुन्छन्।
नेपाल राष्ट्र बैंकको भुक्तानी प्रणाली विभागले सन् २०२६ अगस्ट ४ मा सार्वजनिक गरेको आर्थिक वर्ष २०८१/८२ को भुक्तानी प्रणाली निरीक्षणसम्बन्धी प्रतिवेदनअनुसार उक्त अवधिमा १६ वटा अनुमतिप्राप्त भुक्तानी संस्थाको स्थलगत निरीक्षण गरिएको थियो।
एउटा संस्थामा विशेष निरीक्षण गरिएको र छवटा बैंक तथा वित्तीय संस्थाको रियल टाइम ग्रस सेटलमेन्ट अर्थात् आरटीजीएस प्रणालीको समीक्षा गरिएको थियो।
प्रतिवेदनले भुक्तानी सेवा प्रदायक तथा प्रणाली सञ्चालकहरूमा ग्राहक पहिचान, आन्तरिक नियन्त्रण, संस्थागत सुशासन र जोखिम व्यवस्थापनसम्बन्धी कमजोरी औँल्याएको छ।
केही संस्थाले ग्राहकको पहिचान प्रमाणीकरणसम्बन्धी व्यवस्था प्रभावकारी रूपमा पालना नगरेको र सञ्चालन प्रक्रियामा सुधार आवश्यक रहेको उल्लेख गरिएको छ।
यहाँ एउटा कुरा स्पष्ट हुनुपर्छ। भुक्तानी सेवा प्रदायकको ग्राहक पहिचान प्रक्रियामा कमजोरी भेटिनु र बैंकको वेबसाइटमा पीएचपीको सुरक्षा कमजोरी भेटिनु एउटै घटना होइन। दुवै जोखिमको प्रकृति फरक छ।
तर दुवैले संस्थागत नियन्त्रण, प्राविधिक निगरानी र नियामकीय अनुपालन कति प्रभावकारी छ भन्ने व्यापक प्रश्न उठाउँछन्।
भुक्तानी प्रणालीको विस्तारसँगै नियामकको जिम्मेवारी पनि बढ्छ।
नयाँ सेवा सञ्चालन गर्न अनुमति दिने, निर्देशिका जारी गर्ने र निरीक्षण गर्ने काम आवश्यक छन्। तर त्यससँगै निर्देशन पालना नभएमा सुधार गर्न लगाउने, कमजोरी दोहोरिएमा कारबाही गर्ने र जोखिम नियन्त्रण भएको सुनिश्चित गर्ने व्यवस्था पनि प्रभावकारी हुनुपर्छ।
राष्ट्र बैंकले कम्तीमा तीन विषयमा स्पष्टता दिनुपर्ने देखिन्छ। पहिलो, कुन प्रकृतिका प्रणाली जोखिममा थिए र कति संस्थाले वेबसाइट बन्द गरे। दोस्रो, प्रभावित संस्थाले आवश्यक सुरक्षा अद्यावधिक र परीक्षण पूरा गरेका छन् कि छैनन्।
तेस्रो, कुनै संस्थामा अनधिकृत पहुँच वा तथ्याङ्क चुहावटको आशङ्का भेटिएमा अनुसन्धान र ग्राहकलाई जानकारी दिने व्यवस्था के छ।
यी प्रश्नको उत्तरले नेपालको बैंकिङ क्षेत्रको वास्तविक साइबर सुरक्षा तयारीबारे स्पष्ट चित्र दिन सक्छ।
संवेदनशील प्राविधिक विवरण सार्वजनिक नगरी पनि जोखिम नियन्त्रणको अवस्था, सुरक्षा परीक्षण पूरा भएको जानकारी र सेवा पुनः सञ्चालनको प्रक्रिया सार्वजनिक गर्न सकिन्छ।
विज्ञले औँल्याएका चुनौती
नेपालको साइबर सुरक्षा चुनौती बैंकको वेबसाइट बन्द भएको घटनामा मात्र सीमित छैन। सरकारी विवरण, प्राविधिक अधिकारीका भनाइ र वित्तीय क्षेत्रका छलफलले पुराना प्रणाली, कमजोर आन्तरिक नियन्त्रण, दक्ष जनशक्तिको आवश्यकता र संस्थाबीचको समन्वयलाई महत्त्वपूर्ण विषयका रूपमा देखाएका छन्।
राष्ट्रिय साइबर सुरक्षा केन्द्रका निर्देशक राजकुमार महर्जनले अक्टोबर २०२६ मा पीएचपीको कमजोरीसम्बन्धी घटनाबारे बोल्दै सम्बन्धित संस्थालाई सुरक्षा अद्यावधिक लागू गर्न र जोखिमयुक्त प्रणालीको निगरानी बढाउन आग्रह गरेका थिए।
केन्द्रले अक्टोबर २२ मा यससम्बन्धी सुरक्षा सूचना जारी गर्दै जोखिम न्यूनीकरणका उपाय अपनाउन भनेको थियो।
महर्जनका अनुसार “प्रणालीहरू सावधानीका रूपमा बन्द गरिएका हुन्। नेपालमा यो विषयसँग सम्बन्धित अनधिकृत पहुँच वा साइबर आक्रमणका घटना अहिलेसम्म रिपोर्ट भएका छैनन्।”
यो भनाइले जोखिम देखिएपछि समयमै सावधानी अपनाउनु र वास्तविक आक्रमण भएको पुष्टि हुनु फरक विषय हुन् भन्ने देखाउँछ। तर अनधिकृत पहुँचको घटना रिपोर्ट नभएको अवस्थालाई सबै प्रणालीमा कुनै कमजोरी छैन भन्ने प्रमाणका रूपमा लिन पनि मिल्दैन।
सरकारी सफ्टवेयर विकास तथा सञ्चालन केन्द्रका प्रमुख कार्यकारी अधिकृत किरण तिमिल्सिनाले पीएचपी प्रयोग नगर्ने केही प्रणाली पुनः सञ्चालनमा ल्याइएको र बाँकी प्रणालीको परीक्षण भइरहेको बताएका थिए।
उनका अनुसार धेरै सरकारी वेबसाइट साझा प्लेटफर्ममा सञ्चालन भएकाले केन्द्रीय स्तरमा गरिएको सुधारले एकैपटक धेरै वेबसाइटको सुरक्षा व्यवस्थापनमा सहयोग गर्न सक्छ।
तिमिल्सिनाका अनुसार “आवश्यक सुरक्षा अद्यावधिक लागू गरेपछि पनि पुराना प्रणालीको स्रोत कोड परीक्षण गर्नुपर्छ, किनकि त्यसमा अन्य सम्भावित कमजोरी पनि हुन सक्छन्।”
यसले बैंकिङ क्षेत्रका लागि पनि महत्त्वपूर्ण पाठ दिन्छ। एउटै प्रविधि वा सेवा प्रदायकमा निर्भर धेरै प्रणाली भएमा साझा कमजोरीले एकैपटक धेरै संस्थालाई असर गर्न सक्छ। त्यसैले साझा पूर्वाधारको सुरक्षा परीक्षण, पहुँच नियन्त्रण र आपत्कालीन प्रतिकार्यको जिम्मेवारी स्पष्ट हुनुपर्छ।
नेपाल बैंकर्स संघले पनि साइबर सुरक्षा क्षमता अभिवृद्धिका कार्यक्रम सञ्चालन गरेको छ। संघका अनुसार सन् २०२६ जनवरी २७ मा काठमाडौंमा साइबर सुरक्षा सुदृढीकरणसम्बन्धी कार्यशाला आयोजना गरिएको थियो।
त्यस्तै, फेब्रुअरी १२ देखि मार्च ३० सम्म सातै प्रदेशमा बैंकका कर्मचारीका लागि साइबर सुरक्षा सचेतना र क्षमता अभिवृद्धि कार्यक्रम सञ्चालन गरिएको थियो। कार्यक्रममा तीन सयभन्दा बढी बैंक कर्मचारी सहभागी भएको संघले जनाएको छ।
यी कार्यक्रमले बैंकिङ क्षेत्रले साइबर सुरक्षालाई प्राथमिकतामा राख्न थालेको देखाउँछन्। तर तालिम आयोजना हुनु र त्यसबाट सुरक्षा जोखिम वास्तवमै घट्नु फरक कुरा हो।
कर्मचारीले शङ्कास्पद इमेल पहिचान गर्न सक्छन् कि सक्दैनन्, अनधिकृत पहुँचको प्रयास हुँदा कति छिटो रिपोर्ट गर्छन्, सुरक्षा टोलीले कति समयमा प्रतिक्रिया दिन्छ र प्रणाली पुनःस्थापना गर्न कति समय लाग्छ भन्ने सूचकबाट क्षमता अभिवृद्धिको प्रभाव मापन गर्नुपर्छ।
अर्कोतर्फ, बैंकिङ क्षेत्रको सुरक्षा चुनौती निरन्तर परिवर्तन भइरहेको छ। मोबाइल बैंकिङ, क्लाउड सेवा, डिजिटल भुक्तानी र विभिन्न संस्थाबीचको प्राविधिक एकीकरणले कारोबारलाई सहज बनाएका छन्।
तर प्रणालीमा जति धेरै सेवा जोडिन्छन्, त्यति नै धेरै ठाउँमा सुरक्षा नियन्त्रण आवश्यक हुन्छ। कुनै एउटा कमजोर सेवा वा गलत रूपमा व्यवस्थापन गरिएको पहुँचले अर्को प्रणालीसम्म पुग्ने जोखिम सिर्जना गर्न सक्छ।
यसैले साइबर सुरक्षालाई सूचना प्रविधि विभागको मात्र जिम्मेवारी ठान्नु पर्याप्त हुँदैन। बैंकको सञ्चालक समिति, उच्च व्यवस्थापन, जोखिम व्यवस्थापन विभाग, आन्तरिक लेखापरीक्षण, ग्राहक सेवा र प्राविधिक टोली सबैको जिम्मेवारी स्पष्ट हुनुपर्छ।
सुरक्षा जोखिमबारे निर्णय गर्ने अधिकार र त्यसको परिणामको जवाफदेहिता पनि संस्थाभित्र निश्चित हुनुपर्छ।
जनशक्ति, लगानी र सेवा प्रदायकको जोखिम
बैंकिङ क्षेत्रमा साइबर सुरक्षा बलियो बनाउन प्रविधि खरिद गर्नु मात्र पर्याप्त हुँदैन। त्यसलाई सञ्चालन गर्ने दक्ष जनशक्ति, निरन्तर निगरानी गर्ने टोली, नियमित परीक्षण गर्ने विशेषज्ञ र घटना भएपछि तत्काल निर्णय लिन सक्ने व्यवस्थापन आवश्यक हुन्छ।
महँगो सुरक्षा उपकरण राखिए पनि त्यसलाई सही रूपमा सञ्चालन गर्न सकिएन भने जोखिम कायम रहन सक्छ।
नेपालमा बैंक तथा वित्तीय संस्थाको आकार र प्राविधिक क्षमता फरक छ। ठूला बैंकसँग आफ्नै सूचना प्रविधि तथा सुरक्षा टोली हुन सक्छन्। साना संस्थाले भने बाह्य सेवा प्रदायकको सहयोग लिन सक्छन्।
बाह्य सेवा प्रयोग गर्नु आफैँमा कमजोरी होइन, तर सेवा प्रदायकको सुरक्षा मापदण्ड, पहुँचको सीमा, तथ्याङ्क व्यवस्थापन र जिम्मेवारी स्पष्ट हुनुपर्छ।
वेबसाइट निर्माण गर्ने कम्पनी, होस्टिङ सेवा प्रदायक, क्लाउड सेवा, सफ्टवेयर मर्मत गर्ने संस्था र बैंकको आन्तरिक टोलीबीच जिम्मेवारी स्पष्ट नभएमा सुरक्षा कमजोरी लामो समयसम्म रहन सक्छ।
सुरक्षा अद्यावधिक लागू गर्ने जिम्मेवारी सेवा प्रदायकको हो कि बैंकको आफ्नै प्राविधिक टोलीको हो भन्ने स्पष्ट हुनुपर्छ। कमजोरी भेटिएपछि कसले सूचना दिने, कसले जोखिम मूल्याङ्कन गर्ने र सेवा बन्द गर्ने निर्णय कसले लिने भन्ने प्रक्रिया पहिले नै तय हुनुपर्छ।
साइबर सुरक्षा लगानीको प्रभावकारिता मूल्याङ्कन गर्दा खर्चको रकम मात्र हेरेर पुग्दैन।
संस्थाले कति जोखिम पहिचान गर्यो, कति कमजोरी समयमै समाधान गर्यो, सुरक्षा घटनाको जानकारी कति छिटो पायो र सेवा अवरुद्ध हुँदा ग्राहकलाई कति कम असर पर्यो भन्ने कुरा महत्त्वपूर्ण हुन्छ।
यसका लागि बैंकहरूले नियमित रूपमा सुरक्षा परीक्षण, जोखिम मूल्याङ्कन, प्रवेश परीक्षण, प्रणालीको स्रोत कोड परीक्षण र आपत्कालीन अभ्यास सञ्चालन गर्नुपर्छ।
यस्ता परीक्षणबाट कमजोरी पत्ता लागेपछि त्यसलाई समाधान गर्ने समयसीमा तोकिनुपर्छ। उच्च जोखिमका कमजोरीलाई प्राथमिकता दिई तत्काल समाधान गर्ने र सुधार भएको प्रमाण सुरक्षित राख्ने व्यवस्था आवश्यक हुन्छ।
बैंकको वेबसाइट र मूल कारोबार प्रणालीको सुरक्षा छुट्टाछुट्टै परीक्षण गर्नुपर्छ। वेबसाइट सार्वजनिक रूपमा पहुँचयोग्य हुने भएकाले त्यहाँको कमजोरीबाट सर्भरमा अनधिकृत पहुँचको जोखिम हुन सक्छ।
अर्कोतर्फ, बैंकको मूल कारोबार प्रणालीमा पहुँच प्राप्त गर्न सकेमा ग्राहकको खाता, कारोबार विवरण र वित्तीय अभिलेखमा गम्भीर असर पर्न सक्छ। त्यसैले दुवै प्रणालीलाई एउटै सुरक्षा तहमा राखेर हेर्न मिल्दैन।
त्यस्तै, ग्राहकको तथ्याङ्क सुरक्षित राख्ने व्यवस्था पनि महत्त्वपूर्ण छ। बैंकले तथ्याङ्क सङ्कलन गर्दा आवश्यकताअनुसार पहुँच नियन्त्रण गर्नुपर्छ।
कर्मचारीले आफ्नो कामका लागि आवश्यक विवरणमा मात्र पहुँच पाउने, प्रशासनिक खातामा बहु-तह प्रमाणीकरण लागू हुने र पहुँचसम्बन्धी गतिविधिको अभिलेख राखिने व्यवस्था प्रभावकारी हुनुपर्छ।
सुरक्षा घटना भएपछि के गर्ने भन्ने तयारी पनि उत्तिकै महत्त्वपूर्ण छ।
बैंकले सेवा अवरुद्ध हुँदा वैकल्पिक प्रणालीबाट आवश्यक कारोबार सञ्चालन गर्न सक्छ कि सक्दैन, ब्याकअपबाट तथ्याङ्क पुनःस्थापना गर्न कति समय लाग्छ र ग्राहकलाई कसरी सूचना दिन्छ भन्ने विषय पहिले नै परीक्षण गरिएको हुनुपर्छ।
आपत्कालीन योजना कागजमा मात्रै रहेर हुँदैन, त्यसको अभ्यास पनि हुनुपर्छ।
ग्राहकको विश्वास र डिजिटल अर्थतन्त्र
डिजिटल बैंकिङले ग्राहकलाई शाखा धाउनुपर्ने बाध्यता घटाएको छ। मोबाइलबाट रकम पठाउने, क्यूआरमार्फत भुक्तानी गर्ने, बिल तिर्ने र विभिन्न बैंकिङ सेवा प्रयोग गर्ने सुविधा बढेको छ।
व्यवसायका लागि पनि डिजिटल भुक्तानीले कारोबार छिटो बनाउन, नगद व्यवस्थापनको लागत घटाउन र ग्राहकसँगको आर्थिक सम्बन्ध सहज बनाउन सहयोग गरेको छ।
तर डिजिटल सेवाको विस्तारसँगै ग्राहकको विश्वास सुरक्षित राख्ने जिम्मेवारी पनि बढेको छ। ग्राहकले आफ्नो पासवर्ड सुरक्षित राखे पनि बैंक वा सेवा प्रदायकको प्रणालीमै कमजोरी छ भने त्यसलाई ग्राहकले आफैँ समाधान गर्न सक्दैन।
त्यसैले सुरक्षा सुनिश्चित गर्ने मुख्य जिम्मेवारी सेवा उपलब्ध गराउने संस्थाकै हो।
ग्राहकले भने आफ्ना तर्फबाट जोखिम घटाउन सक्छन्। बैंकको नाममा आउने शङ्कास्पद लिङ्क नखोल्ने, ओटीपी र पासवर्ड कसैलाई नदिने, आधिकारिक एप स्टोरबाट मात्र बैंकिङ एप डाउनलोड गर्ने र शङ्कास्पद कारोबार देखिए तुरुन्त बैंकलाई खबर गर्ने सावधानी आवश्यक छ।
वेबसाइट बन्द भएको अवस्थामा सामाजिक सञ्जालमा भेटिएका अपरिचित वैकल्पिक लिङ्कबाट लगइन गर्ने प्रयास गर्नु जोखिमपूर्ण हुन सक्छ।
बैंकले पनि सेवा अवरुद्ध हुँदा ग्राहकलाई स्पष्ट सूचना दिनुपर्छ।
कुन सेवा बन्द छ, कुन सेवा सञ्चालनमा छ, समस्या समाधानका लागि के भइरहेको छ र ग्राहकले आवश्यक जानकारी कहाँबाट लिन सक्छन् भन्ने विषयमा नियमित जानकारी उपलब्ध गराउनुपर्छ। अस्पष्ट सूचना हुँदा ग्राहकमा अनावश्यक त्रास बढ्न सक्छ र ठगी गर्नेहरूले त्यसको फाइदा उठाउन सक्छन्।
नेपालको राष्ट्रिय साइबर सुरक्षा नीति, २०८० ले साइबर सुरक्षा पूर्वतयारी, रोकथाम, पहिचान, प्रतिकार्य र पुनःस्थापनाको संस्थागत क्षमता सुदृढ बनाउने दिशालाई समेटेको छ।
राष्ट्रिय साइबर सुरक्षा केन्द्रको उद्देश्य पनि साइबर सुरक्षासम्बन्धी अनुसन्धान, पूर्वतयारी, रोकथाम, प्रतिक्रिया र पुनःस्थापनामा सहयोग गर्नु हो। तर नीति र संस्थागत संरचना प्रभावकारी हुन त्यसअनुसार जनशक्ति, स्रोत, प्राविधिक क्षमता र निकायबीच समन्वय आवश्यक हुन्छ।
नेपालको डिजिटल अर्थतन्त्रलाई अघि बढाउन बैंकिङ सेवा सुरक्षित र विश्वसनीय हुनैपर्छ। डिजिटल भुक्तानीको प्रयोग बढ्दै जाँदा एउटा संस्थाको सुरक्षा कमजोरीले ग्राहक, व्यवसाय र अन्य वित्तीय संस्थामा समेत असर पार्न सक्छ।
त्यसैले बैंकिङ क्षेत्रको साइबर सुरक्षा सम्बन्धित संस्थाको आन्तरिक विषय मात्र होइन, समग्र वित्तीय प्रणालीको स्थायित्वसँग जोडिएको विषय हो।
अबको सुधारको बाटो
अहिलेको घटनाबाट सबै बैंकको प्रणाली असुरक्षित छ भन्ने निष्कर्ष निकाल्न मिल्दैन। तर सुरक्षा जोखिम देखिएपछि प्रणाली बन्द गर्नुपर्ने अवस्था आएको तथ्यले प्राविधिक तयारीको नियमित समीक्षा आवश्यक छ भन्ने देखाउँछ।
दीर्घकालीन सुधारका लागि पहिलो काम प्रत्येक बैंक तथा वित्तीय संस्थाले आफ्नो डिजिटल पूर्वाधारको वास्तविक अवस्था पहिचान गर्नु हो।
सबैभन्दा पहिले वेबसाइट, इन्टरनेट बैंकिङ, मोबाइल बैंकिङ, भुक्तानी प्रणाली र आन्तरिक कारोबार प्रणालीमा कुन-कुन प्रविधि प्रयोग भएका छन् भन्ने अद्यावधिक सूची हुनुपर्छ।
कुन प्रणाली कुन संस्करणमा चलिरहेको छ, त्यसको सुरक्षा अद्यावधिक उपलब्ध छ कि छैन, सेवा प्रदायक को हो र मर्मतको जिम्मेवारी कसको हो भन्ने जानकारी संस्थासँग हुनुपर्छ।
यस्तो अभिलेख नहुँदा जोखिम देखिएपछि प्रभावित प्रणाली पहिचान गर्न नै समय खर्चिनुपर्ने हुन्छ।
दोस्रो, सुरक्षा कमजोरी भेटिएपछि त्यसलाई समाधान गर्ने स्पष्ट प्रक्रिया आवश्यक छ। उच्च जोखिमका कमजोरीलाई प्राथमिकताका आधारमा समाधान गर्ने, अद्यावधिक लागू गरेपछि परीक्षण गर्ने र सुरक्षित भएको पुष्टि भएपछि मात्रै सेवा पुनः सञ्चालन गर्ने व्यवस्था हुनुपर्छ।
वेबसाइट सञ्चालनमा ल्याउने दबाबका कारण सुरक्षा परीक्षण अधुरो छाड्नु उचित हुँदैन।
तेस्रो, नियमित सुरक्षा परीक्षण र स्वतन्त्र अडिटलाई प्रभावकारी बनाउनुपर्छ। संस्थाले आफ्नै प्राविधिक टोलीबाट परीक्षण गराउनुका साथै आवश्यकताअनुसार स्वतन्त्र विशेषज्ञबाट पनि प्रणालीको मूल्याङ्कन गराउन सक्छन्।
परीक्षणको नतिजा व्यवस्थापन र नियामकले समीक्षा गर्न सक्ने गरी अभिलेख राख्नुपर्छ। संवेदनशील प्राविधिक विवरण सार्वजनिक नगरी पनि परीक्षण पूरा भएको र उच्च जोखिमका कमजोरी समाधान भएको जानकारी दिन सकिन्छ।
चौथो, साइबर घटनामा प्रतिक्रिया दिने संयन्त्र बलियो बनाउनुपर्छ। घटना पहिचान गर्ने, सम्बन्धित निकायलाई खबर गर्ने, प्रभावित प्रणाली अलग गर्ने, प्रमाण सुरक्षित राख्ने, सेवा पुनःस्थापना गर्ने र ग्राहकलाई जानकारी दिने प्रक्रिया स्पष्ट हुनुपर्छ।
बैंक, राष्ट्र बैंक, राष्ट्रिय साइबर सुरक्षा केन्द्र र सम्बन्धित सेवा प्रदायकबीच सूचना आदानप्रदानका लागि प्रभावकारी व्यवस्था आवश्यक छ।
पाँचौँ, नियामकीय निरीक्षणलाई कागजी अनुपालनमा सीमित राख्नु हुँदैन। निर्देशिका पालना गरेको घोषणा मात्र पर्याप्त हुँदैन। सुरक्षा परीक्षणको नतिजा, कमजोरी समाधानको समय, घटना प्रतिक्रिया अभ्यास र तथ्याङ्क पुनःस्थापनाको क्षमता जाँचिनुपर्छ।
जोखिम नियन्त्रणमा कमजोरी भेटिएमा सुधारका लागि समयसीमा तोक्ने र आवश्यक अवस्थामा नियामकीय कारबाही गर्ने व्यवस्था प्रभावकारी हुनुपर्छ।
छैटौँ, बैंकिङ क्षेत्रले साइबर सुरक्षामा दक्ष जनशक्ति विकास गर्नुपर्छ। कर्मचारीलाई सामान्य सचेतना तालिम दिनु आवश्यक भए पनि सुरक्षा टोलीलाई नयाँ जोखिम पहिचान गर्ने, प्रणालीको परीक्षण गर्ने र घटनाको प्राविधिक अनुसन्धान गर्न सक्ने क्षमता दिनुपर्छ।
व्यवस्थापन तहले पनि साइबर सुरक्षालाई सूचना प्रविधि विभागको सीमित विषय नभई संस्थाको व्यावसायिक जोखिमका रूपमा बुझ्नुपर्छ।
सातौँ, सेवा प्रदायकमाथिको निर्भरता र त्यससँग सम्बन्धित जोखिमलाई व्यवस्थित गर्नुपर्छ। बैंकले बाह्य कम्पनीलाई प्रणाली सञ्चालन वा मर्मतको जिम्मेवारी दिएको छ भने पहुँचको सीमा, सुरक्षा मापदण्ड, घटना रिपोर्टिङ र जिम्मेवारीसम्बन्धी व्यवस्था स्पष्ट हुनुपर्छ।
बाह्य सेवा प्रदायकको कमजोरीले बैंकको प्रणाली प्रभावित भएमा त्यसलाई पहिचान गर्ने र नियन्त्रण गर्ने क्षमता बैंकसँग पनि हुनुपर्छ।
अन्ततः साइबर सुरक्षालाई एकपटकको अद्यावधिक वा वेबसाइट बन्द गरेर पूरा हुने कामका रूपमा लिन मिल्दैन। प्रविधि परिवर्तन भइरहन्छ, नयाँ कमजोरी भेटिइरहन्छन् र आक्रमणका तरिका पनि बदलिइरहन्छन्।
त्यसैले सुरक्षा परीक्षण, निगरानी, कर्मचारी प्रशिक्षण र आपत्कालीन अभ्यास नियमित रूपमा चलिरहनुपर्छ।
नेपालको बैंकिङ क्षेत्रले साइबर सुरक्षाका लागि नियामकीय आधार, सचेतना कार्यक्रम र प्राविधिक सुधारका प्रयास अघि बढाएको देखिन्छ। तर पछिल्लो घटनाले तयारीको वास्तविक प्रभावकारिता प्रमाणित गर्न अझ व्यवस्थित मूल्याङ्कन आवश्यक रहेको देखाएको छ।
ग्राहकको रकम वा तथ्याङ्क चोरी भएको पुष्टि नभएको अवस्थालाई तथ्यका रूपमा लिनुपर्छ, तर त्यसैलाई सबै प्रणाली सुरक्षित छन् भन्ने प्रमाण मान्नु हुँदैन।
बैंकिङ क्षेत्रको साइबर सुरक्षा कति बलियो छ भन्ने उत्तर वेबसाइट खुल्यो कि बन्द भयो भन्ने आधारमा मात्र पाइँदैन।
जोखिम पहिचान गर्ने गति, सुरक्षा कमजोरी समाधान गर्ने क्षमता, अनधिकृत पहुँच रोक्ने व्यवस्था, घटनापछि सेवा पुनःस्थापना गर्ने तयारी र नियामकीय निर्देशनको वास्तविक कार्यान्वयनले यसको उत्तर दिन्छ।
डिजिटल बैंकिङको विस्तारलाई सुरक्षित र दिगो बनाउन अब ध्यान दिनुपर्ने मुख्य विषय पनि यही हो।
