নেটওয়ার্ক সিকিউরিটি কম্প্লায়েন্স: কাঠামো, ফ্রেমওয়ার্ক ও ইমপ্লিমেন্টেশন গাইড
নেটওয়ার্ক সিকিউরিটি কম্প্লায়েন্স বলতে সংস্থার নেটওয়ার্ক সিকিউরিটি কন্ট্রোল, নীতিমালা ও প্রক্রিয়া প্রাসঙ্গিক আইন, রেগুলেশন, ইন্ডাস্ট্রি স্ট্যান্ডার্ড বা কন্ট্রাক্টুয়াল অবলিগেশন (যেমন PCI-DSS, HIPAA, GDPR, ISO 27001, NIST 800-53, CMMC) এর সাথে সারিবদ্ধ করা বোঝায়।
প্রধান কম্প্লায়েন্স ফ্রেমওয়ার্ক ও স্ট্যান্ডার্ড
| ফ্রেমওয়ার্ক/স্ট্যান্ডার্ড | প্রযোজ্য ক্ষেত্র | নেটওয়ার্ক সিকিউরিটি ফোকাস |
|---|---|---|
| PCI-DSS v4.0 | কার্ড পেমেন্ট প্রসেসিং | Network segmentation, Firewall config, Encryption in transit, Access control, Logging |
| HIPAA Security Rule | হেলথকെയার (PHI/ePHI) | Access control, Audit controls, Integrity, Transmission security (TLS/VPN) |
| GDPR Art. 32 | EU সিটিজেনের ডেটা প্রসেসিং | Encryption, Pseudonymization, Resilience, Regular testing |
| NIST SP 800-53 Rev.5 | US ফেডারেল / কন্ট্রাক্টর | AC, SC, SI, CA, CM, IR, RA, SA ফ্যামিলি (Network controls: SC-7, SC-5, AC-4, AC-17) |
| ISO/IEC 27001:2022 | গ্লোবাল (সব ইন্ডাস্ট্রি) | Annex A Controls: A.8.1, A.8.2, A.8.3, A.13.1, A.13.2 (Network security management) |
| CMMC 2.0 Level 2 | DoD কন্ট্রাক্টর | NIST 800-171 베이জড: 3.13.1-3.13.16 (Boundary protection, Monitoring, Remote access) |
| NERC CIP | ইলেকট্রিক গ্রিড / ইউটিলিটি | ESP (Electronic Security Perimeter), Interactive Remote Access, Malicious code prevention |
কম্প্লায়েন্স অর্জনের ধাপে ধাপে পদ্ধতি
১. স্কোপ ও অ্যাপ্লিকেবিলিটি নির্ধারণ
- কোন রেগুলেশন/স্ট্যান্ডার্ড প্রযোজ্য? (স্কোপ: সিস্টেম, ডেটা ফ্লো, জিওগ্রাফি, থার্ড-পার্টি)।
- Data Classification করুন: Public, Internal, Confidential, Restricted।
- Network Topology Map করুন: Trust Zones, DMZ, Cloud VPC, OT/ICS Network।
২. গ্যাপ অ্যানালিসিস (Gap Analysis)
- বর্তমান কন্ট্রোল vs Requirement ম্যাপ করুন।
- টুল: NIST CSF Profile, CIS CSAT, ή ম্যানুয়াল স্প্রেডশিট।
- ফাইন্ডিং 優先ক্রমে সাজান: Critical > High > Medium > Low।
৩. রিমেডিয়েশন প্ল্যান ও ইমপ্লিমেন্টেশন
| কন্ট্রোল এরিয়া | কী ইমপ্লিমেন্ট করবেন |
|---|---|
| Network Segmentation | Firewall/ACL দিয়ে Zone-based segmentation (DMZ, App, DB, Mgmt, Guest), Micro-segmentation (Calico, Cilium, Illumio) |
| Boundary Protection | Next-Gen Firewall (Palo Alto, FortiGate, Check Point), IPS/IDS, DDoS Protection, DNS Security (RPZ) |
| Secure Remote Access | ZTNA (Zscaler, Netskope, Cloudflare Zero Trust), MFA-Enforced VPN, Privileged Access Management (PAM) |
| Encryption in Transit | TLS 1.3 Enforce, mTLS for Service-to-Service, IPsec/MACsec for Inter-DC, WPA3 for Wi-Fi |
| Monitoring & Logging | SIEM (Splunk, Sentinel, Elastic), NetFlow/sFlow, Zeek, DNS Logs, Firewall Logs → 1+ Year Retention |
| Vulnerability Management | Continuous Scanning (Tenable, Qualys), SLAs: Critical 7d, High 30d, Medium 90d, Virtual Patching |
| Access Control | Zero Trust: Least Privilege, Just-in-Time Access, Certificate-based Auth, No Shared Accounts |
| Incident Response | IR Plan, Playbooks (Ransomware, Data Breach), Tabletop Exercises (Quarterly), Forensic Readiness |
৪. ডকুমেন্টেশন ও এভিডেন্স সংগ্রহ
- Policies: Network Security Policy, Remote Access Policy, Encryption Policy, Vulnerability Mgmt Policy।
- Procedures: Firewall Rule Change Procedure, New Device Onboarding, Incident Response Playbook।
- Evidence: Config Exports (Firewall, Switch, Router), Scan Reports, Log Samples, Training Records, Pen Test Reports।
- Automation: Compliance-as-Code (OPA/Rego, Chef InSpec, Terraform Sentinel) দিয়ে কন্টিনিউয়াস কম্প্লায়েন্স চেক।
৫. আંતরিক অডিট ও এসেসমেন্ট
- Self-Assessment → Internal Audit → Third-party Attestation (SOC 2 Type II, ISO 27001 Cert, PCI QSA ROC)۔
- Continuous Control Monitoring (CCM) টুল ডিপ্লয় করুন (Panoptica, Wiz, Lacework, AWS Config Rules)۔
৬. কন্টিনিউয়াস কম্প্লায়েন্স (Ongoing)
- রেগুলেশন পরিবর্তন ট্র্যাক করুন (Regulatory Change Management)।
- তিমাহিক রিভিউ, বার্ষিক রি-অসেসমেন্ট।
- ভেন্ডর/থার্ড-পার্টি কম্প্লায়েন্স মনিটরিং (SOC 2 রিপোর্ট রিভিউ)۔
কম্প্লায়েন্স অটোমেশন টুলস
- Policy as Code: Open Policy Agent (OPA), Kyverno, HashiCorp Sentinel।
- Cloud Security Posture Management (CSPM): Wiz, Lacework, Orca, Prisma Cloud, Microsoft Defender for Cloud।
- Compliance Platforms: Vanta, Drata, Secureframe, Sprinto (SOC 2, ISO 27001, HIPAA অটোমেশন)۔
- Infrastructure as Code Scanning: Checkov, tfsec, Terrascan, KICS।
সাধারণ পিটফল এড়িয়ে যান
- শুধু চেকলিস্ট টিক করা (Paper Compliance) — কার্যকর কন্ট্রোল নেই।
- নেটওয়ার্ক ডায়াগ্রাম আউটডেটেড থাকা।
- লগ রিটেনশন পলিসি না থাকা বা SIEM-এ লগ ইনজেস্ট নয়।
- ইনক্রিপশন শুধু "Enabled" কিন্তু TLS 1.0/1.1 এনাবল드 থাকা।
- ইনসিডেন্ট রেসপন্স প্ল্যান থাকা কিন্তু টেবিলটপ এক্সারসাইজ করলে ২ বছরে একবার।
উপসংহার: কম্প্লায়েন্স হলো একটি চেকলিস্ট নয়—এটি **রিস্ক-বেইজড, কন্টিনিউয়াস, অটোমেটেড** প্রক্রিয়া। নেটওয়ার্ক সিকিউরিটি কম্প্লায়েন্স অর্জনের মানে হলো আপনার নেটওয়ার্ক আর্কিটেকচার, কন্ট্রোল ও ভিজিবিলিটি এমন ডিজাইন করা যাতে অডিটরের সামনে প্রমাণ করা যায় এবং রিয়েল ওয়ার্ল্ড আক্রমণ থেকে রক্ষা পাওয়া যায়।
