ক্লায়েন্ট পরিচালিত পেনশন ফান্ডের জন্য সাইবার সুরক্ষা আইন ও রেগুলেশন

ক্লায়েন্ট-পরিচালিত রিটায়ারমেন্ট ফান্ড (Retirement Funds) এর জন্য সাইবার সুরক্ষা আইন ও রেগুলেশন

ক্লায়েন্ট বা ব্যক্তিগতভাবে পরিচালিত পেনশন/রিটায়ারমেন্ট ফান্ড (যেমন: 401(k), IRA, Pension Plans) সাইবার আক্রমণের প্রাইম টার্গেট কারণ এখানে বড় পরিমাণ আর্থিক সম্পদ ও সংবেদনশীল ব্যক্তিগত তথ্য (PII) থাকে। নিচে প্রযোজ্য প্রধান আইন, রেগুলেশন ও সেরা অনুশীলন দেওয়া হলো (প্রধানত US ফোকাস, কিন্তু গ্লোবাল প্রাসঙ্গিকতা রক্ষা করা হয়েছে):

প্রধান ফেডারেল আইন ও রেগুলেশন (US)

আইন/রেগুলেশন	প্রযোজ্যতা	প্রধান সাইবার সুরক্ষা প্রয়োজনীয়তা
ERISA (Employee Retirement Income Security Act) — Section 404(a)	প্রাইভেট সেক্টরের empleer-sponsored প্ল্যান (401(k), পেনশন, প্রফিট-শেয়ারিং)	Fiduciary Duty: "Prudent Expert" স্ট্যান্ডার্ড অনুযায়ী সাইবার রিস্ক ম্যানেজমেন্ট। ডেটা সুরক্ষা, ভেন্ডার ডিউ ডিলিজেনস, ঘটনা প্রতিক্রিয়া পরিকল্পনা বাধ্যতামূলক।
ERISA Section 502(c)	একই	সাইবার লঙ্ঘনের জন্য সিভিল পেনাল্টি, ফিডুসিয়ারি লায়াবিলিটি।
DOL (Department of Labor) Guidance — 2021 Cybersecurity Guidance	ERISA-covered প্ল্যান	১২টি সেরা অনুশীলন: রিস্ক অсеসমেন্ট, এনক্রিপশন, MFA, ভেন্ডার ম্যানেজমেন্ট, ট্রেনিং, IRP, সাইবার ইন্যুরেন্স, سالানা অডিট।
SEC Regulation S-P (Privacy of Consumer Financial Information)	ব্রোকার-ডিলার, ইনভেস্টমেন্ট অ্যাডভাইজার, ফান্ড	গোপনীয়তা নোটিশ, তথ্য সুরক্ষা প্রোগ্রাম, ইনসিডেন্ট নোটিফিকেশন।
SEC Regulation SCI (Systems Compliance and Integrity)	SROs, ক্লিয়ারিং এজেন্সি, বড় ATS	সিস্টেম উপলব্ধতা, সিকিউরিটি, ক্যাপাসিটি প্ল্যানিং, টেস্টিং, ইনসিডেন্ট রিপোর্টিং।
Gramm-Leach-Bliley Act (GLBA) — Safeguards Rule (2021 Update)	ফিনান্সিয়াল ইনস্টিটিউশন (ব্রোকারেজ, রিটায়ারমেন্ট প্ল্যান অ্যাডমিনিস্ট্রেটর)	লিখিত ইনফরমেশন সিকিউরিটি প্রোগ্রাম (WISP), রিস্ক অ্যাসেসমেন্ট, MFA, এনক্রিপশন, সিকিউর ডেভলপমেন্ট, ভেন্ডার অওভারসাইট, IRP।
State Data Breach Notification Laws (সর্ব অ্যার রাজ্য)	সব সংস্থা যারা রেসিডেন্টের PII ধারণ করে	উল্লঙ্ঘন ঘটলে সময়মতো নোটিফিকেশন (সাধারণত ৩০-৬০ দিনের মধ্যে)।
NYDFS Cybersecurity Regulation (23 NYCRR 500)	নিউইয়র্কে লাইসেন্সপ্রাপ্ত ফিনান্সিয়াল সার্ভিসেস কোম্পানি	CISO নিয়োগ, সালানা পেন-টেস্ট, MFA, এনক্রিপশন, ৭২ ঘন্টার মধ্যে ইনসিডেন্ট রিপোর্টিং।

আন্তর্জাতিক স্ট্যান্ডার্ড ও ফ্রেমওয়ার্ক

NIST Cybersecurity Framework (CSF) / NIST SP 800-53 Rev. 5: ফেডারেল এজেন্সি ও কনট্রাক্টরের জন্য বাধ্যতামূলক, প্রাইভেট সেক্টরেও ডি-ফ্যাক্টো স্ট্যান্ডার্ড।
NIST SP 800-171 (CUI Protection): DoD কনট্রাক্টর বা ফেডারেল তথ্য হ্যান্ডলিংকারী প্ল্যানের জন্য।
ISO/IEC 27001:2022: ইনফরমেশন সিকিউরিটি ম্যানেজমেন্ট সিস্টেম (ISMS) — গ্লোবাল স্বীকৃত।
SOC 2 Type II: সার্ভিস অর্গানাইজেশনের (Recordkeeper, TPA, Custodian) সিকিউরিটি, উপলব্ধতা, গোপনীয়তা আশ্বাস।
PCI DSS v4.0: কার্ড পেমেন্ট প্রসেসিং থাকলে (র“…………”) প্রয়োজন।

ক্লায়েন্ট-পরিচালিত ফান্ডের জন্য নির্দিষ্ট সাইবার রিস্ক

Account Takeover (ATO): ফিশিং, ক্রেডেনশিয়াল স্টাফিং, সিম স্ব্যাপিং দিয়ে অংশগ্রহণকারীর অ্যাকাউন্ট হাইজ্যাক।
Business Email Compromise (BEC): ডিস্ট্রিবিউশন অনুরোধ পরিবর্তন, ভেন্ডার পেমেন্ট ফ্রড।
Ransomware / Data Extortion: রিকর্ডकीপার বা থার্ড-পার্টি অ্যাডমিনিস্ট্রেটরের সিস্টেমে আক্রমণ।
Insider Threat: কর্মচারী বা অ্যাডমিনিস্ট্রেটরের 의한 ডেটা চুরি বা ম্যানিপুলেশন।
Supply Chain Attack: সফটওয়্যার ভেন্ডার (যেমন: 무브잇, সোলারওয়াইন্ডস) Через আক্রমণ।

সেরা অনুশীলন (Best Practices) — DOL 2021 Guidance অনুযায়ী

সালানা সাইবার রিস্ক অ্যাসেসমেন্ট (NIST CSF / FAIR মডেল)।
লিখিত ইনফরমেশন সিকিউরিটি প্রোগ্রাম (WISP) বজায় রাখুন।
সব রিমোট অ্যাক্সেস ও প্রিবিলেজড অ্যাকাউন্টে MFA (Phishing-resistant: FIDO2/WebAuthn) বাধ্যতামূলক।
Data-at-Rest (AES-256) ও Data-in-Transit (TLS 1.2+) এনক্রিপশন।
থার্ড-পার্টি ভেন্ডার (Recordkeeper, Custodian, Payroll Provider) এর সিকিউরিটি অसेসমেন্ট, কনট্রাক্টুয়াল সিকিউরিটি ক্লজ, SOC 2 রিপোর্ট রিভিউ।
সালানা পেনিট্রেশন টেস্টিং ও চলতি ভালনারেবিলিটি স্ক্যানিং।
ঘটনা প্রতিক্রিয়া পরিকল্পনা (IRP) — টেবলটপ এক্সারসাইজ প্রতি ৬ মাসে।
অংশগ্রহণকারী প্রশিক্ষণ: ফিশিং সিমুলেশন, অ্যাকাউন্ট সিকিউরিটি টিপস।
সাইবার ইন্যুরেন্স কভারেজ (First-party & Third-party) রিভিউ।
লগ রিটেনশন (কমপক্ষে ১ বছর), SIEM মॉनিটরিং, থ্রেট হান্টিং।
সিকিউর সফটওয়্যার ডেভলপমেন্ট লাইফসাইকেল (SSDLC) — ভেন্ডারের জন্য।
বোর্ড/ফিডুসিয়ারি কমিটিতে সাইবার রিস্ক রিপোর্টিং (কোয়ার্টারলি)।

দায়িত্ব কার? (Shared Responsibility Model)

পক্ষ	দায়িত্ব
Plan Sponsor / Fiduciary (Client/Employer)	ওভারসাইট, ভেন্ডার সিলেকশন, নীতি অনুমোদন, ইন্যুরেন্স, রিপোর্টিং
Recordkeeper / TPA (Third-Party Administrator)	ডেটা সুরক্ষা, অ্যাপ্লিকেশন সিকিউরিটি, ইনফ্রাস্ট্রাকচার, ইনসিডেন্ট রেসপন্স, কমপ্লায়েন্স
Custodian / Trustee	Asset Safekeeping, Transaction Authorization, Settlement Security
Participant (Employee)	শক্তিশালী পাসওয়ার্ড, MFA সক্রিয়, ফিশিং সচেতনতা, ডিভাইস সিকিউরিটি