স্বাস্থ্যসেবা সেক্টরে সাইবার সিকিউরিটি কেন অত্যন্ত গুরুত্বপূর্ণ?
- রোগীর জীবন ও গোপনীয়তা: মেডিকেল রিকর্ড, লাইফ-সেভিং ডিভাইস (পেসমেকার, ইনসুলিন পাম্প) হ্যাক হলে মৃত্যুহানি হতে পারে।
- উচ্চ মূল্যের ডেটা: PHI (Protected Health Information) কালো বাজারে ক্রেডিট কার্ডের চেয়ে ১০-২০ গুণ মূল্যবান।
- রেগুলেটরি বাধ্যবাধকতা: HIPAA (USA), GDPR (EU), HITECH Act - লঙ্ঘনে ভায়ংকর জরিমানা।
- র্যানসমওয়্যার টার্গেট: হাসপাতাল ২৪/৭ অপারেশনাল, ডাউনটাইম সহ্য করতে পারে না → র্যানসম দিতে বাধ্য।
স্বাস্থ্যসেবা ডেটা ব্রিচের প্রধান কারণ (২০২৩-২০২৪ রিপোর্ট অনুযায়ী)
- ফিশিং / সোশ্যাল ইঞ্জিনিয়ারিং (৪০%+): কর্মচারীদের লক্ষ্য করে।
- র্যানসমওয়ার / ম্যালওয়ার: এক্সপ্লয়েটেড ভালনরেবিলিটি (VPN, RDP, অনপ্যাচড সিস্টেম)।
- ইনসাইডার থ্রেট / মানব ত্রুটি: মিসকনফিগারড ক্লাউড স্টোরেজ (S3 বাকেট), ইমেইল মিসডেলিভারি।
- থার্ড-পার্টি ভেন্ডর ব্রিচ: বিলিং, EHR ভেন্ডর, ক্লাউড প্রোভাইডার।
- লাস্ট/স্টোলেন ডিভাইস: এনক্রিপ্ট না করা ল্যাপটপ/ফোন।
ডেটা ব্রিচ ঝুঁকি কমানোর ১০টি প্রাপ্ট কৌশল
১. রিস্ক অ্যাসেসমেন্ট ও অ্যাসেট ইনভেন্টরি (NIST CSF Identify)
- সকল ডিভাইস, সিস্টেম, ডেটা ফ্লো, ভেন্ডর ম্যাপ করুন।
- PHI/ePHI কোথায় স্টোর/প্রসেস/ট্রান্সমিট হচ্ছে শনাক্ত করুন।
- বছরে কমপক্ষে একবার ফরম্যাল রিস্ক অ্যাসেসমেন্ট (HIPAA Security Rule বাধ্যতামূলক)।
২. স্ট্রং আইডেন্টিটি ও অ্যাক্সেস ম্যানেজমেন্ট (IAM)
- MFA বাধ্যতামূলক (সব রিমোট অ্যাক্সেস, প্রিভিলেজড একাউন্ট, ইমেইল)।
- Least Privilege / Zero Trust: রোল-বেইসড অ্যাক্সেস (RBAC), জাস্ট-ইন-টাইম (JIT) প্রিভিলেজ।
- প্রিভিলেজড অ্যাক্সেস ম্যানেজমেন্ট (PAM) সেশন রেকর্ডিংসহ।
৩. নেটওয়ার্ক সেগমেন্টেশন ও Zero Trust আর্কিটেকচার
- মেডিকেল ডিভাইস (IoMT), EHR সার্ভার, অ্যাডমিন নেটওয়ার্ক, গেস্ট Wi-Fi আলাদা VLAN/সেগমেন্ট।
- মাইক্রো-সেগমেন্টেশন (Illumio, Cisco ACI, VMware NSX) ইষ্ট-ওয়েস্ট ট্রাফিক কন্ট্রোল।
- ইন্টারনেট-ফেসিং সিস্টেম DMZ-এ, ইন্টারন্যাল সিস্টেম থেকে পৃথক।
৪. এন্ডপয়েন্ট ডিটেকশন অ্যান্ড রেসপন্স (EDR/XDR)
- সকল এন্ডপয়েন্টে (সার্ভার, ওয়ার্কস্টেশন, মেডিকেল ডিভাইস) EDR ডিপ্লয় (CrowdStrike, SentinelOne, Microsoft Defender for Endpoint)।
- অটোমেটেড থ্রেট হান্টিং, র্যানসমওয়ার রোলব্যাক ক্ষমতা।
৫. ডেটা এনক্রিপশন (At Rest & In Transit)
- AES-256 এনক্রিপশন সকল ডাটাবেস, ব্যাকআপ, ইমেইল, ফাইল শেয়ারে।
- TLS 1.2+ সব जगह (ইন্টারন্যালও)। সার্টিফিকেট ম্যানেজমেন্ট অটোমেট করুন।
- ইমেইল DLP (Data Loss Prevention) ফিশিং/অনবiesen ট্রান্সমিশন ব্লক করতে।
৬. নিরবরত সিকিউরিটি অওয়ernes ট্রেনিং (Human Firewall)
- ত্রৈমাসিক ফিশিং সিমুলেশন (KnowBe4, Proofpoint, Cofense)।
- রোল-স্পেসিফিক ট্রেনিং: ক্লিনিশিয়ান, অ্যাডমিন, আইটি, ভেন্ডর।
- ইনসিডেন্ট রিপোর্টিং কালচার (নন-পুনিটিভ) প্রচার করুন।
৭. ভালনরেবিলিটি ম্যানেজমেন্ট প্রোগ্রাম
- সাপ্তাহিক ক্রিডেনশিয়ালড ভালনরেবিলিটি স্ক্যান (Tenable, Qualys, Rapid7)।
- প্যাচ ম্যানেজমেন্ট: ক্রিটিক্যাল প্যাচ ৭২ ঘন্টার মধ্যে, হাই ৩০ দিনের মধ্যে।
- লিগেসি সিস্টেম (Windows 7, Server 2008) আइसোলেট বা রিপ্লেস করুন।
৮. থার্ড-পার্টি রিস্ক ম্যানেজমেন্ট (TPRM)
- ভেন্ডর সিকিউরিটি অ্যাড্রেসমেন্ট (SIG Lite, CAIQ, HECVAT) অনবোর্ডিং-এ।
- BAA (Business Associate Agreement) সব ভেন্ডরের সাথে (HIPAA)।
- নিরবরত মনিটরিং (SecurityScorecard, BitSight, Panorays)।
৯. ইনসিডেন্ট রেসপন্স প্ল্যান (IRP) টেস্টিং
- লিখিত IRP (NIST SP 800-61 Rev. 2 অনুযায়ী): Preparation, Detection, Containment, Eradication, Recovery, Lessons Learned।
- টেবিলটপ এক্সারসাইজQuarterly, ফুল-স্কেল সিমুলেশন वार্ষিক।
- সাইবার ইনश्यোরেন্স পলিসি রিভিউ (ওয়ার প্রি-অপ্রুভড ভেন্ডর লিস্ট)۔
১০. ব্যাকআপ ও ডিজাস্টার রিকভারি (৩-২-১ নিয়ম)
- ৩ কপি ডেটা, ২ টি আলাদা মিডিয়া, ১ টি অফসাইট/ইমিউটেবল (Air-gapped/Immutable storage - Rubrik, Cohesity, AWS S3 Object Lock)।
- রিকভারি টাইম অবজেক্টিভ (RTO) এবং রিকভারি পয়েন্ট অবজেক্টিভ (RPO) ডিফাইন ও টেস্ট করুন।
নেটওয়ার্ক সিকিউরিটি অডিট ও কমপ্লায়ান্স
- HIPAA Security Rule Risk Analysis (বাধ্যতামূলক)。《
- HITECH Act Breach Notification Rule (৬০ দিনের মধ্যে)।
- NIST Cybersecurity Framework (CSF) প্রোফাইলিং।
- HITRUST CSF সার্টিফিকেশন (ইন্ডাস্ট্রি गोल্ড স্ট্যান্ডার্ড)।
