CISA (Cybersecurity Information Sharing Act) কী?
CISA (Cybersecurity Information Sharing Act of 2015) হল আমেরিকান ফেডারেল আইন যা সরকারি ഏজেন্সি এবং প্রাইভেট সেক্টর কোম্পানিগুলোর মাঝপথে সাইবার হুমকির তথ্য (Cyber Threat Indicators - CTIs, Defensive Measures) স্বেচ্ছাচারিতভাবে শেয়ার করার কাঠামো তৈরি করে। এটি ২০১৫ সালের Consolidated Appropriations Act-এর অংশ হিসেবে পাস হয়েছিল।
CISA-এর মূল উদ্দেশ্য
- সাইবার হুমকির রিয়েল-টাইম ইনফরমেশন শেয়ারিং বাড়ানো (পাবলিক-প্রাইভেট পার্টনারশিপ)।
- ক্রিটিক্যাল ইনফ্রাস্ট্রাকচার (Power Grid, Financial, Healthcare, Transportation) রক্ষা।
- কোম্পানিগুলোকে লায়াবিলিটি প্রোটেকশন দেওয়া যাতে তারা নিঃসঙ্কোচে হুমকি তথ্য শেয়ার করতে পারে।
- DHS (Department of Homeland Security) / CISA (Agency) কে সেন্ট্রাল হাব বানানো।
CISA-এর প্রধান ধারাসমূহ (Key Provisions)
| ধারা | বিষয়বস্তু |
|---|---|
| Sec 103 | ফেডারেল এন্টিটি এবং নন-ফেডারেল এন্টিটির মাঝপথে সাইবার হুমকি ইন্ডিকেটর এবং ডিফেনসিভ মেজার শেয়ার করার অনুমতি। |
| Sec 104 | DHS (CISA Agency) কে সেন্ট্রাল পোর্টাল (AIS - Automated Indicator Sharing) vậnব্যবস্থা করার দায়িত্ব। |
| Sec 105 | লায়াবিলিটি প্রোটেকশন: সদভাবে (Good Faith) শেয়ার করা তথ্যের জন্য সিভিল/ক্রিমিনাল লায়াবিলিটি থেকে حصانة। |
| Sec 106 | প্রাইভেসি সিভিল লিবার্টি প্রোটেকশন: PII (Personally Identifiable Information) শেয়ার করার আগে সরাতে হবে। |
| Sec 107 | অ্যান্টিট্রাস্ট ছাড়: কোম্পানিগুলো মিলে হুমকি তথ্য শেয়ার করলে অ্যান্টিট্রাস্ট লংঘন নয়। |
| Sec 108 | ফেডারেল গভర్నমেন্টের নিজস্ব নেটওয়ার্ক সিকিউরিটি উন্নতি (FISMA modernization)। |
CISA কীভাবে কাজ করে? (AIS - Automated Indicator Sharing)
- পার্টিসিপ্যান্ট (কোম্পানি/এজেন্সি) STIX/TAXII ফরম্যাটে CTI (IP, Hash, Domain, Email, Malware Signature) জমা দেয়।
- DHS/CISA প্রাইভেসি স্ক্রাবিং (PII রিমুভ) করে।
- ভ্যালিডেটেড ইন্ডিকেটর সকল পার্টিসিপ্যান্টের কাছে রিয়েল-টাইমে পুশ করে (STIX/TAXII)।
- পার্টিসিপ্যান্টরা তাদের সিকিউরিটি টুলস (SIEM, Firewall, EDR, TIP) এ অটো-ইনজেস্ট করে ব্লক/অ্যালার্ট জেনারেট করে।
ISACs (Information Sharing and Analysis Centers) কী?
সেক্টর-স্পেসিফিক নন-প্রফিট সংস্থা (যেমন: FS-ISAC ফিনান্সের জন্য, Health-ISAC স্বাস্থ্যের জন্য, MS-ISAC স্টেট/লোকাল গভর্নমেন্টের জন্য) যা সদস্যদের মধ্যে থ্রেট ইন্টেল শেয়ার করে এবং গভর্নমেন্টের সাথে লায়েজন করে। CISA ISACs-কে ফান্ড ও সমন্বয় করে।
CISA vs অন্যান্য আইন/ফ্রেমওয়ার্ক
- CISA (2015): তথ্য শেয়ারিং ফোকাস (US ফেডারেল ল)।
- Cybersecurity Enhancement Act (2014): NIST রোল, R&D, ওয়ার্কফোর্স ডেভেলপমেন্ট।
- National Cybersecurity Protection Act (2014): CISA এজেন্সি স্থাপন (DHS-এর অধীন)।
- Executive Order 14028 (2021): সাপ্লাই চেইন সিকিউরিটি, Zero Trust, SBOM, ইনসিডেন্ট রেসপন্স।
- NIS2 Directive (EU): ইউরোপীয় সমতুল্য, বাধ্যতামূলক রিপোর্টিং।
বিতর্ক ও চ্যালেঞ্জ
- প্রাইভেসি চিন্তা: EFF, ACLR মনে করেন PII যথেষ্ট ফিল্টার হয় না, সার্ভেল্যান্স বাড়বে।
- লায়াবিলিটি প্রোটেকশন অপর্যাপ্ত: কোম্পানিগুলো এখনও শেয়ার করতে আশঙ্কিত।
- এনরোলমেন্ট কম: অনেক ক্রিটিক্যাল ইনফ্রা অপারেটর AIS-এ জয়েন করেনি।
- টেকনিক্যাল বাধা: STIX/TAXII ইমপ্লিমেন্টেশন কমপ্লেক্স, রিসোর্স সাপেক্ষ।
বাংলাদেশ/গ্লোবাল প্রেক্ষাপটে প্রাসঙ্গিকতা
- বাংলাদেশে এখনো কোনো সমতুল্য আইন নেই, কিন্তু Digital Security Act 2018 এবং প্রস্তাবিত Cyber Security Act-এ তথ্য শেয়ারিং প্রোভিশন থাকতে পারে।
- BGD e-GOV CIRT, BTCL, ব্যাংকিং সেক্টরের জন্য Bangladesh Bank-র সিকিউরিটি গাইডলাইনে ইনফরমেশন শেয়ারিং 언급 আছে।
- গ্লোবালি: FIRST (Forum of Incident Response and Security Teams), INTERPOL, NATO CCDCOE এর মাধ্যমে আন্তর্জাতিক শেয়ারিং।
