সংস্থাগুলো নেটওয়ার্ক সিকিউরিটি পলিসি কেন তৈরি করে?

নেটওয়ার্ক সিকিউরিটি পলিসি: উদ্দেশ্য, গুরুত্ব ও কম্পোনেন্ট

নেটওয়ার্ক সিকিউরিটি পলিসি কী?

নেটওয়ার্ক সিকিউরিটি পলিসি হলো একটি ফর্মাল ডকুমেন্ট যা সংস্থার নেটওয়ার্ক সম্পদ (হার্ডওয়্যার, সফটওয়্যার, ডেটা, ব্যবহারকারী) রক্ষার জন্য নিয়ম, নির্দেশিকা, প্রসিডিউর এবং দায়িত্ব নির্ধারণ করে। এটি নেটওয়ার্কের অপারেশনাল আর্কিটেকচার, এক্সেস কন্ট্রোল, ইনসিডেন্ট রেসপন্স এবং কম্প্লায়েন্সের কাঠামো তৈরি করে।

সংস্থা নেটওয়ার্ক সিকিউরিটি পলিসি কেন তৈরি করে? (মূল কারণ)

1. ঝুঁকি ব্যবস্থাপনা (Risk Management): সিকিউরিটি হুমকি শনাক্ত, অ্যাসেস এবং মিটিগেট করার কাঠামো প্রদান করে।
2. দায়িত্ব নির্ধারণ (Accountability): কে কী করবে, কে কী অ্যাক্সেস করবে, লঙ্ঘন করলে কী হবে - স্পষ্ট করে।
3. কম্প্লায়েন্স ও قانونی বাধ্যতা: GDPR, HIPAA, PCI-DSS, ISO 27001, SOX ইত্যাদি রেগুলেশন মানানোর জন্য পলিসি প্রমাণ দরকার।
4. সাংগঠনিক সম্পদ রক্ষা: বৌদ্ধিক সম্পদ, গ্রাহক ডেটা, বিত্তীয় রেকর্ড, ব্র্যান্ড রেপুটেশন সুরক্ষিত রাখে।
5. সुसঙ্গততা (Consistency): সকল বিভাগ, অফিস, ক্লাউড এনভায়রনমেন্টে একই সিকিউরিটি স্ট্যান্ডার্ড বজায় রাখে।
6. ইনসিডেন্ট রেসপন্স দক্ষতা: আক্রমণের সময় কে কী করবে, এস্ক্যালেশন পথ, কমিউনিকেশন প্ল্যান প্রি-ডিফাইনড থাকে।
7. ব্যবহারকারীদের আচরণ নিয়ন্ত্রণ: এক্সেসবল পলিসি (AUP) দিয়ে কর্মচারীদের নেটওয়ার্ক ব্যবহার নীতিমালা বোঝায়।
8. বিত্তীয় ক্ষতি প্রতিরোধ: ডেটা ব্রিচ, র‍্যানসমওয়্যার, ডাউনটাইমের খরচ কমায় (গড় ডেটা ব্রিচ খরচ $4.45M - IBM 2023)।

নেটওয়ার্ক সিকিউরিটি পলিসির মূল কম্পোনেন্ট

• Purpose & Scope: পলিসির উদ্দেশ্য, কার ওপর প্রযোজ্য, কী অ্যাসেট কভার করে।
• Roles & Responsibilities: CISO, সিকিউরিটি টিম, আইটি অ্যাডমিন, ব্যবহারকারী, থার্ড-পার্টি ভেন্ডরের দায়িত্ব।
• Access Control Policy: লিস্ট প্রিন্সিপল, RBAC, MFA, প্রিভিলেজড অ্যাক্সেস ম্যানেজমেন্ট (PAM)।
• Network Architecture Security: সেগমেন্টেশন (DMZ, VLAN), ফায়ারওয়াল রুলস, IDS/IPS প্লেসমেন্ট, VPN পলিসি।
• Data Classification & Handling: পাবলিক, ইন্টারনাল, কনফিডেনশিয়াল, রেস্ট্রিক্টেড ডেটার হ্যান্ডলিং রুল।
• Incident Response Plan: ডিটেকশন, কন্টেইনমেন্ট, এরাডিকেশন, রিকভারি, পোস্ট-ইনসিডেন্ট রিভিউ।
• Acceptable Use Policy (AUP): ব্যবহারকারীদের নেটওয়ার্ক/ইন্টারনেট ব্যবহার নীতিমালা।
• Encryption Policy: ডেটা-ইন-ট্রানজিট (TLS 1.2+, IPsec), ডেটা-অ্যাট-রেস্ট (AES-256)।
• Vulnerability Management: স্ক্যানিং ফ্রিকোয়েন্সি, প্যাচিং SLA, এক্সসেপশন হ্যান্ডলিং।
• Monitoring & Logging: SIEM, লগ রিটেনশন, অ্যালার্ট থ্রেশহোল্ড।
• Physical Security: সার্ভার রুম, নেটওয়ার্ক গিয়ার ফিজিক্যাল প্রোটেকশন।
• Third-Party / Vendor Management: ভেন্ডর রিস্ক অ্যাসেসমেন্ট, কন্ট্রাকচুয়াল সিকিউরিটি ক্লজ।
• Training & Awareness: কর্মচারীদের নিরাপদ সাইবার অভ্যাস প্রশিক্ষণ।
• Enforcement & Sanctions: লঙ্ঘনের ফলাফল (চেতাবনী, টার্মিনেশন, লিগ্যাল অ্যাকশন)।
• Review & Revision: সালানা বা বড় পরিবর্তনের পর রিভিউ, ভার্সন কন্ট্রোল।

পলিসি ইমপ্লিমেন্টেশন: লিখিত থেকে টেকনিক্যাল কন্ট্রোলে

পলিসি শুধু কাগজে থাকা যথেষ্ট নয়। এটি টেকনিক্যাল কন্ট্রোলে রূপান্তরিত হতে হয়:

• ফায়ারওয়াল রুলস (পলিসি অনুযায়ী ট্রাফিক অ্যালাউ/ব্লক)
• NAC (Network Access Control) - 802.1X, প্রোফাইলিং
• IAM/IdP (Azure AD, Okta) - MFA, কন্ডিশনাল অ্যাক্সেস
• DLP 룰স - সংবেদনশীল ডেটা আউটগোइং ব্লক
• SIEM কোরিলেশন রুলস - পলিসি লঙ্ঘন ডিটেক্ট
• ভালনারেবিলিটি স্ক্যানিং শিডিউল - পলিসি অনুযায়ী

সফল পলিসির বৈশিষ্ট্য

• স্পষ্ট, সংক্ষিপ্ত, বোঝার সহজ (non-technical audience-ও বুঝতে পারে)
• বিজনেস উদ্দেশ্যের সাথে আলাইন করা
• এনফোর্সেবল (টেকনিক্যালি বাস্তবায়নযোগ্য)
• মাপযোগ্য (KPI/KRI ডিফাইন করা)
• নিয়মিত রিভিউ ও আপডেট (লাইভ ডকুমেন্ট)