লিখিত নেটওয়ার্ক সুরক্ষা পরিকল্পনা (Written Network Security Plan) কী এবং কীভাবে তৈরি করবেন

লিখিত নেটওয়ার্ক সুরক্ষা পরিকল্পনা (Written Network Security Plan): গাইডলাইন, উপাদান ও টেমপ্লেট

লিখিত নেটওয়ার্ক সুরক্ষা পরিকল্পনা (Written Network Security Plan - WNSP) হলো একটি ফর্মাল ডকুমেন্ট যা সংস্থার নেটওয়ার্ক অবকাঠামো, ডেটা ও সিস্টেমকে সুরক্ষিত করার জন্য নীতি, প্রক্রিয়া, দায়িত্ব ও প্রযুক্তিগত নিয়ন্ত্রণ বর্ণনা করে। এটি নিরাপত্তা গভর্নেন্স, কমপ্লায়েন্স (NIST, ISO 27001, PCI-DSS, HIPAA) ও ঘটনা প্রতিক্রিয়ার ভিত্তি।

নেটওয়ার্ক সুরক্ষা পরিকল্পনার মূল উপাদান (Key Components)

1. উদ্দেশ্য ও সুযোগ (Purpose & Scope): কী নেটওয়ার্ক, সিস্টেম, ডেটা ও কর্মী পরিধিতে পড়ে।
2. দায়িত্ব ও ভূমিকা (Roles & Responsibilities): CISO, Security Admin, Network Admin, Help Desk, Users — কার কী কর্তব্য।
3. নেটওয়ার্ক আর্কিটেকচার ও 자산 তালিকা (Network Diagram & Asset Inventory): সাবনেট, VLAN, ফায়ারওয়াল, রাউটার, সার্ভার, এন্ডপয়েন্ট, IoT ডিভাইস।
4. হুমকি মডেলিং ও রিস্ক অसेসমেন্ট (Threat Modeling & Risk Assessment): MITRE ATT&CK, STRIDE, CVSS স্কোরিং।
5. নিরাপত্তা নীতি (Security Policies):
   • Access Control Policy (RBAC, Least Privilege, Zero Trust)
   • Acceptable Use Policy (AUP)
   • Encryption Policy (Data at Rest, In Transit — TLS 1.2+, IPsec, WPA3)
   • Password / MFA Policy
   • Patch & Vulnerability Management Policy
   • Incident Response Policy
   • Remote Access / VPN Policy
   • Wireless Security Policy
   • Vendor / Third-Party Access Policy
6. প্রযুক্তিগত নিয়ন্ত্রণ (Technical Controls):
   • Firewall (Next-Gen), IDS/IPS, Network Segmentation (VLAN, Micro-segmentation)
   • NAC (Network Access Control), 802.1X, EAP-TLS
   • SIEM / Log Management, NetFlow Analysis
   • DLP (Data Loss Prevention), CASB
   • EDR / XDR, Antivirus/Anti-malware
   • VPN (Zero Trust Network Access - ZTNA), MFA
   • DNS Security (DNSSEC, DoH/DoT, RPZ)
7. অপারেশনাল প্রক্রিয়া (Operational Procedures):
   • Change Management (Firewall Rule Change, Network Change)
   • Backup & Recovery (Offsite, Immutable, Tested)
   • Monitoring & Alerting (SOC, 24/7, Runbooks)
   • Vulnerability Scanning (Internal/External, Scheduled, Credentialed)
   • Penetration Testing (Annual, After Major Changes)
   • Security Awareness Training (Quarterly, Phishing Simulation)
8. ঘটনা প্রতিক্রিয়া পরিকল্পনা (Incident Response Plan - IRP): NIST SP 800-61 Rev. 2 অনুযায়ী: Preparation, Detection, Containment, Eradication, Recovery, Lessons Learned।
9. ব্যবসায়িক ধারাবাহিকতা ও দুর্যোগ পুনরুদ্ধার (BCP/DRP): RTO, RPO, Failover Site, Tabletop Exercise।
10. কমপ্লায়েন্স ও অডিট (Compliance & Audit): নিবন্ধনীয় চাহিদা, আভ্যন্তরীণ/বহিরাগত অডিট সময়সূচি।
11. রিভিউ ও আপডেট সাইকেল (Review & Update Cycle): কমপক্ষে বার্ষিক বা বড় পরিবর্তনের পর।

নেটওয়ার্ক সুরক্ষা পরিকল্পনা তৈরি করার ধাপাবলি

1. স্টেকহোল্ডার জড়িত করুন: IT, Security, Legal, HR, Business Units।
2. রেগুলেটরি ল্যান্ডস্কেপ রিভিউ করুন: প্রযোজ্য আইন, রেগুলেশন, Стан্ডার্ড।
3. Asset Inventory তৈরি করুন: Automated Discovery Tools (Nmap, Lansweeper, Qualys) ব্যবহার করুন।
4. Data Classification করুন: Public, Internal, Confidential, Restricted।
5. Gap Analysis করুন: বর্তমান অবস্থা vs প্রযোজ্য স্ট্যান্ডার্ড (NIST CSF, CIS Controls)।
6. রিস্ক অसेসমেন্ট করুন: Likelihood x Impact = Risk Score। মিটিগেশন পরিকল্পনা করুন।
7. নীতি ও প্রক্রিয়া লিখুন: স্পষ্ট, সংক্ষিপ্ত, قابلة للتنفيذ ভাষায়।
8. প্রযুক্তিগত কন্ট্রোল ডিপ্লয় করুন: ফায়ারওয়াল রুল, NAC, SIEM রুল, EDR পলিসি।
9. প্রশিক্ষণ দিন: সব কর্মী, অ্যাডমিন, এক্সিকিউটিভের জন্য ভূমিকা-ভিত্তিক ট্রেনিং।
10. টেস্ট করুন: টেবলটপ এক্সারসাইজ, রেড টিমিং, ফায়ারওয়াল রুল টেস্ট।
11. অনুমোদন ও প্রকাশ করুন: সিনিয়র ম্যানেজমেন্ট সাইন-অফ, সংস্করণ নিয়ন্ত্রণ।
12. নিরynkuন ও উন্নতি করুন: KPI/Metrics (MTTD, MTTR, Patch Latency, Phishing Click Rate) ট্র্যাক করুন।

সেরা অনুশীলন (Best Practices)

• NIST Cybersecurity Framework (CSF) 5 ফাংশন ব্যবহার করুন: Identify, Protect, Detect, Respond, Recover।
• CIS Critical Security Controls (v8) বেসলাইন হিসেবে নিন।
• Zero Trust Architecture원칙 অনুযায়ী নেটওয়ার্ক ডিজাইন করুন (Micro-segmentation, Continuous Verification)।
• Documentation живо রাখুন — Wiki/Confluence/GitOps ব্যবহার করুন।
• Executive Summary সহ রিপোর্টিং করুন বোর্ড/ম্যানেজমেন্টের জন্য।

টেমপ্লেট সংস্থান

• NIST SP 800-12 (An Introduction to Computer Security) — Chapter 9: Security Plans
• NIST SP 800-18 Rev. 1 (Guide for Developing Security Plans for Federal Information Systems)
• SANS Institute Security Policy Templates
• ISO 27001 Annex A Controls Mapping

উপসংহার: লিখিত নেটওয়ার্ক সুরক্ষা পরিকল্পনা কাগজের টুকরো নয় — এটি সংস্থার সাইবার 레질িয়েন্সের জীবন্ত নকশা। এটি একেامة তৈরি না করে যুগপত টেকনোলজি, প্রক্রিয়া ও মানুষের সমন্বয়ে উন্নত করতে হয়।