নেটওয়ার্ক সিকিউরিটি পলিসি (Network Security Policy) লেখার পূর্ণ গাইডলাইন

নেটওয়ার্ক সিকিউরিটি পলিসি (Network Security Policy) কীভাবে লিখবেন: কাঠামো, উপাদান, টেমপ্লেট ও সেরা অনুশীলন

নেটওয়ার্ক সিকিউরিটি পলিসি হলো একটি ফর্মাল ডকুমেন্ট যা সংস্থার নেটওয়ার্ক সংস্থান, ডেটা ও সিস্টেমকে সুরক্ষিত করার জন্য নিয়ম, দায়িত্ব, প্রক্রিয়া ও প্রযুক্তিগত নিয়ন্ত্রণ সংজ্ঞায়িত করে। এটি নিরাপত্তা গভর্নেন্সের কorable ستونস্তম্ভ।

নেটওয়ার্ক সিকিউরিটি পলিসির মূল উপাদান (Required Sections)

Purpose (উদ্দেশ্য): এই পলিসি কেন, কার জন্য, কোন সুযোগের (scope) জন্য লিখা হচ্ছে।
Scope (পরিধি): কোন নেটওয়ার্ক, সিস্টেম, লোকেশন, কর্মী, থার্ড-পার্টি, ক্লাউড ভিপিএন — কী কী আওতায় পড়ে।
Policy Statement (পলিসি স্টেটমেন্ট): কী কী করা যাবে/যাবে না (High-level Rules)। যেমন: "All network access must be authenticated via MFA."
Roles & Responsibilities (ভূমিকা ও দায়িত্ব): CISO, Network Admin, Security Analyst, Help Desk, End User, Vendor — কার কী কর্তব্য।
Network Architecture & Segmentation (নেটওয়ার্ক আর্কিটেকচার): DMZ, Internal VLANs, Management VLAN, Guest/IoT VLAN, Cloud VPC, Zero Trust Segments — ডায়াগ্রামসহ।
Access Control (অ্যাক্সেস কন্ট্রোল):
- Principle of Least Privilege, Role-Based Access Control (RBAC)
- Network Access Control (NAC) / 802.1X / EAP-TLS
- VPN / ZTNA (Zero Trust Network Access) Policy
- Privileged Access Management (PAM) for Network Devices
- Remote Access / BYOD / Contractor Access
Security Controls (নিরাপত্তা নিয়ন্ত্রণ):
- Firewall Rule Management (Change Management, Review Cycle, Default Deny)
- Intrusion Detection/Prevention (IDS/IPS) — Signature & Anomaly Based
- Network Monitoring & Logging (NetFlow, Zeek, PCAP, SIEM Integration)
- Encryption Standards: TLS 1.2+ (Web), IPsec (Site-to-Site), MACsec (Layer 2), WPA3 (Wi-Fi)
- DDoS Protection, DNS Security (DNSSEC, RPZ, DoH/DoT)
- Vulnerability Management: Scanning Schedule, Patch SLA, Exception Process
Wireless Security (ওয়য়ারলেস নিরাপত্তা): WPA3-Enterprise (EAP-TLS), Certificate-based Auth, Guest Network Isolation, Rogue AP Detection।
Incident Response (ঘটনা প্রতিক্রিয়া): Escalation Matrix, Playbooks (DDoS, Breach, Ransomware), Forensic Readiness (PCAP Retention), Communication Plan।
Compliance & Audit (কমপ্লায়েন্স ও অডিট): প্রযোজ্য রেগুলেশন (NIST, ISO 27001, PCI-DSS, HIPAA, GDPR), Audit Frequency, Evidence Retention।
Enforcement & Exceptions (লagu করণ ও ব্যতিক্রম): Violation Consequences, Exception Request Process (Risk Acceptance, Compensating Controls, Expiry Date)।
Review & Revision Cycle (রিভিউ ও আপডেট): কমপক্ষে বার্ষিক, বা বড় পরিবর্তন/ইনসিডেন্টের পর। Version Control, Approval Workflow।
References & Definitions (রেফারেন্স ও সংজ্ঞা): Glossary, Related Policies (Data Classification, Endpoint Security, Cloud Security), Standards (NIST SP 800-53, CIS Controls, IEEE 802.1X)।

পলিসি লেখার ধাপাবলি (Step-by-Step Process)

Stakeholder Engagement: IT, Security, Legal, HR, Business Units, Executive Sponsor।
Regulatory & Standards Mapping: প্রযোজ্য আইন, রেগুলেশন, ফ্রেমওয়ার্ক (NIST CSF, ISO 27001 Annex A, CIS Controls v8) চিহ্নিত করুন।
Current State Assessment: Gap Analysis (As-Is vs To-Be), Risk Assessment (FAIR, NIST 800-30)।
Drafting: স্পষ্ট, সংক্ষিপ্ত, actionable ভাষায় লিখুন। "Must", "Shall", "Should", "May" — সঠিকভাবে ব্যবহার করুন (RFC 2119)।
Review Cycle: Technical Review (Network/Sec Team) → Legal Review → Management Approval।
Approval & Publication: CISO/CIO সাইন-অফ → Intranet/Policy Portal-এ পাবলিশ → Version Control (v1.0, v1.1...).
Communication & Training: All-hands, Role-based Training, Phishing Simulation, Acknowledgment Form।
Implementation & Enforcement: Technical Controls Deploy (Firewall Rules, NAC Profiles, SIEM Rules)।
Continuous Monitoring: KPI/Metrics: % Compliant Devices, Mean Time to Patch, Firewall Rule Review %, Exception Count, Incident Count।
Annual Review: Threat Landscape Change, Business Change, Regulatory Change, Audit Findings → Update Policy।

সেরা অনুশীলন (Best Practices)

Risk-Based Approach: সব নেটওয়ার্ক একই পলিসি দরকার নেই — Critical Assets-এ Stricter Controls।
Zero Trust Principles: "Never Trust, Always Verify" — Network Segmentation, Micro-segmentation, Continuous Authentication।
Automation First: Policy as Code (Terraform, Ansible, Rego/OPA) — Manual Rule Management এড়িয়ে চলুন।
Living Document: Wiki/Confluence/GitOps-এ রাখুন, PR-ভিত্তে আপডেট, Auto-generated Compliance Reports।
Exception Management: Exception = Risk Acceptance — Documented, Time-bound, Compensating Controls, Regular Review।
Measurable Outcomes: Policy Effectiveness Metrics: MTTD, MTTR, False Positive Rate, Coverage %।

টেমপ্লেট সংস্থান (Policy Templates)

SANS Institute Information Security Policy Templates (Free, Comprehensive): sans.org/information-security-policy
NIST SP 800-12 Chapter 9 / SP 800-18 Rev.1 (Federal Standard)
CIS Controls v8 — Implementation Group 1 (IG1) Baseline
ISO 27001 Annex A.13 (Communications Security) Mapping
Gartner/Forrester Policy Templates (Subscription Required)

উদাহরণ: ফায়ারওয়াল রুল ম্যানেজমেন্ট পলিসি স্নিপেট

Policy ID: NET-FW-001
Title: Firewall Rule Management
Version: 2.3
Owner: Network Security Team
Approved: CISO, Date: 2024-01-15
Review Cycle: Annual (Next: 2025-01-15)

1. Purpose: Ensure all firewall rules follow least privilege, are documented, reviewed, and approved.
2. Scope: All perimeter, internal, cloud (AWS/Azure/GCP), and host-based firewalls managed by Org.
3. Requirements:
   3.1 Default Deny: All inbound/outbound traffic denied unless explicitly allowed.
   3.2 Rule Documentation: Each rule must have: Name, Purpose, Source/Dest/Port/Protocol, Owner, Ticket#, Expiry Date (if temp).
   3.3 Change Management: All changes via ITSM Change Request (CAB approval for High Risk).
   3.4 Quarterly Review: Automated report (Firewall Analyzer) — Unused (>90 days), Shadowed, Overly Permissive (> /24, Any/Any) rules flagged.
   3.5 Exception: Must have Risk Acceptance Form (RAF) signed by CISO, max 180 days, compensating controls documented.
4. Enforcement: Automated compliance check (CI/CD pipeline for IaC firewall rules). Non-compliant rules auto-disabled after 30 days notice.
5. Violations: Disciplinary action per HR Policy. Security Team may emergency-block.
6. References: NIST 800-53 SC-7, CM-6; CIS Control 12; PCI-DSS 1.2, 1.3.

উপসংহার: নেটওয়ার্ক সিকিউরিটি পলিসি কাগজের টুকরো নয় — এটি সংস্থার সাইবার রেজিলিয়েন্সের অপারেশনাল ম্যানুয়াল। এটি স্পষ্ট, قابل 측정, এনফোর্সযোগ্য এবং জীবন্ত থাকতে হবে। টেকনোলজি, হুমকি ও ব্যবসায়িক প্রেক্ষাপট পরিবর্তনের সাথে সাথে এটিকে অবিচ্ছিন্ন আপডেট করা জরুরি।