সাইবার সিকিউরিটি ফ্রেমওয়ার্ক: সাইবার সিকিউরিটি ফার্ম এবং সংস্থারা কোনটি ব্যবহার করে?
সাইবার সিকিউরিটি গভর্নেন্স ফ্রেমওয়ার্ক কী?
সাইবার সিকিউরিটি গভর্নেন্স হলো এন্টারপ্রাইজ গভর্নেন্সের একটি অংশ যা নিশ্চিত করে যে সংস্থার সাইবারস্পেসের সাথে সম্পর্ক সুরক্ষিত, এমনকি przeciপক্ষীদের উপস্থিতিতে। এটি রিস্ক ম্যানেজমেন্ট টুলস এবং সিকিউরিটি অবগততা প্রোগ্রাম অন্তর্ভুক্ত করে।
প্রধান সিকিউরিটি কন্ট্রোল ফ্রেমওয়ার্ক (সাধারণত ব্যবহৃত)
| ফ্রেমওয়ার্ক | উৎস | ফোকাস | ব্যবহার কেস |
|---|---|---|---|
| NIST CSF (Cybersecurity Framework) | NIST (US Govt) | Identify, Protect, Detect, Respond, Recover - ৫ কোর ফাংশন | US ক্রিটিক্যাল ইনফ্রা, প্রাইভেট সেক্টর, ফেডারেল এজেন্সি - সবচেয়ে জনপ্রিয় |
| ISO/IEC 27001 & 27002 | ISO/IEC | ISMS (Information Security Management System), ১১৪+ কন্ট্রোল | আন্তর্জাতিক, এন্টারপ্রাইজ, সার্টিফিকেশন যোগ্য - গ্লোবাল স্ট্যান্ডার্ড |
| CIS Controls v8 (Critical Security Controls) | Center for Internet Security | ১৮টি প্রা্যারিটাইজড অ্যাকশন (IG1, IG2, IG3) | SMB থেকে এন্টারপ্রাইজ, প্র্যাকটিক্যাল, কমিউনিটি-ড্রিভেন |
| NIST SP 800-53 (Rev 5) | NIST | ১০০০+ সিকিউরিটি কন্ট্রোল, ফেডারেল সিস্টেমের জন্য | US ফেডারেল, কন্ট্রাক্টর, হাই-সিকিউরিটি এনভায়রনমেন্ট |
| COBIT 2019 | ISACA | IT গভর্নেন্স, ম্যানেজমেন্ট অবজেক্টিভ, পারফরম্যান্স ম্যানেজমেন্ট | IT গভর্নেন্স ফোকাসড সংস্থা, বোর্ড লেভেল রিপোর্টিং |
| PCI DSS | PCI SSC | পেমেন্ট কার্ড ডেটা সিকিউরিটি (১২টি রিকোয়ারেমেন্ট) | কার্ড প্রসেসিং করার সব সংস্থা (বাধ্যতামূলক) |
| HIPAA Security Rule | US HHS | PHI (Protected Health Information) সিকিউরিটি | হেলথকেয়ার, বিজনেস অ্যাসোসিয়েট (বাধ্যতামূলক) |
| GDPR | EU | পারসনাল ডেটা প্রটেকশন, প্রাইভেসি বাই ডিজাইন | EU সিভিলিয়ান ডেটা প্রসেস করার সব সংস্থা (বাধ্যতামূলক) |
সাইবার সিকিউরিটি ফার্মরা কোন ফ্রেমওয়ার্ক ব্যবহার করে?
একক ফ্রেমওয়ার্ক নেই - অধিকাংশ ফার্ম একাধিক ফ্রেমওয়ার্ক কম্বাইন করে ব্যবহার করে।
- MSSP/MDR প্রোভাইডার (CrowdStrike, Palo Alto Networks, Secureworks, Arctic Wolf): NIST CSF (কোর) + MITRE ATT&CK (থ্রেট মডেলিং) + নিজস্ব মেথডোলজি
- কনসাল্টিং ফার্ম (Big 4: Deloitte, PwC, EY, KPMG + Accenture, IBM, Protiviti): ISO 27001 (সার্টিফিকেশন), NIST CSF (গ্যাপ অ্যানালিসিস), COBIT (গভর্নেন্স), SOC 2 (অ্যাটেস্টেশন)
- পেনিট্রেশন টেস্টিং/রেড টিম ফার্ম: PTES (Penetration Testing Execution Standard), MITRE ATT&CK, OWASP Top 10/ASVS, NIST 800-115
- GRC (Governance, Risk, Compliance) প্ল্যাটফর্ম (ServiceNow, RSA Archer, MetricStream, LogicGate): Multi-framework सपোর্ট (NIST, ISO, CIS, PCI, HIPAA, GDPR, SOX)
- ইনসুরেন্স/রিস্ক অसेসমেন্ট ফার্ম: NIST CSF, FAIR (Factor Analysis of Information Risk) মডেল
ফ্রেমওয়ার্ক নির্বাচনের মানদণ্ড
- রেগুলেটরি প্রয়োজনীয়তা: HIPAA (হেলথকেয়ার), PCI DSS (পেমেন্ট), GDPR (EU ডেটা), CMMC (DoD কন্ট্রাক্টর)
- ইন্ডাস্ট্রি স্ট্যান্ডার্ড: ফিনান্স (FFIEC, SOX), এনার্জি (NERC CIP), হেলথকেয়ার (HITRUST)
- সংস্থার আকার এবং পরিপক્વতা: SMB → CIS IG1; এন্টারপ্রাইজ → NIST CSF + ISO 27001
- ক্লায়েন্ট চাহিদা: ক্লায়েন্ট কী চায় (SOC 2 রিপোর্ট, ISO সার্টিফিকেশন)
- ভৌগোলিক প্রসার: US-কেন্দ্রিক → NIST; গ্লোবাল → ISO 27001
NIST CSF - সবচেয়ে ব্যাপকভাবে ব্যবহৃত (US-কেন্দ্রিক কিন্তু গ্লোবাল অ্যাপলিকেবল)
৫টি কোর ফাংশন:
- Identify (ID): Asset Management, Business Environment, Governance, Risk Assessment, Risk Management Strategy, Supply Chain Risk Management
- Protect (PR): Identity Management, Awareness Training, Data Security, Info Protection Processes, Maintenance, Protective Technology
- Detect (DE): Anomalies & Events, Security Continuous Monitoring, Detection Processes
- Respond (RS): Response Planning, Communications, Analysis, Mitigation, Improvements
- Recover (RC): Recovery Planning, Improvements, Communications
Implementation Tiers:
- Tier 1: Partial (Ad-hoc, reactive)
- Tier 2: Risk Informed (Policy-aware, but not org-wide)
- Tier 3: Repeatable (Formal policy, org-wide, consistent)
- Tier 4: Adaptive (Predictive, agile, continuous improvement)
MITRE ATT&CK - থ্রেট-সেন্ট্রিক ফ্রেমওয়ার্ক (ফ্রেমওয়ার্কের সাথে কমপ্লিমেন্টারি)
- Adversary Tactics, Techniques, and Common Knowledge
- ১৪ ট্যাকটিক (Reconnaissance → Impact), ৫০০+ টেকনিক
- থ্রেট হান্টিং, ডিটেকশন রুল রাইটিং, রেড টিমিং, পার্পল টিমিং-এ ব্যবহার
- NIST CSF-এর Detect/Respond ফাংশনের সাথে ম্যাপ হয়
সেরা অনুশীলন: ফ্রেমওয়ার্ক কম্বিনেশন
- স্ট্র্যাটেজিক লেভেল: NIST CSF (কোর) + ISO 27001 (সার্টিফিকেশন/আন্তর্জাতিক স্বীকৃতি)
- অপারেশনাল লেভেল: CIS Controls (প্রা্যারিটাইজড অ্যাকশন) + MITRE ATT&CK (থ্রেট-ইনফর্মড ডিফেন্স)
- টেকনিক্যাল লেভেল: NIST 800-53 (ডিটেইল্ড কন্ট্রোল) + OWASP (ওয়েব/অ্যাপ সিকিউরিটি)
- গভর্নেন্স লেভেল: COBIT (IT গভর্নেন্স) + FAIR (রিস্ক কোয়ান্টিফিকেশন)
ফ্রেমওয়ার্ক বাস্তবায়নের সুবিধা
- সিকিউরিটি পোজিশার বুঝতে এবং উন্নত করতে সহায়তা
- কমন ল্যাঙ্গুয়েজ এবং মেট্রিক্স স্ট্যাবলিশ করা
- রেগুলেটরি কমপ্লায়েন্স ডিমোন্স্ট্রেট করা
- স্টেকহোল্ডার (বোর্ড, ইনভেস্টর, ইনश्यোরার, রেগুলেটর) এর সাথে যোগাযোগ
- বাজেট জাস্টিফিকেশন এবং ROI মাপা
- নতুন স্ট্যান্ডার্ড বা রিভিশন যোগ করার সুযোগ চিহ্নিত করা
নিষ্কর্ষ
NIST Cybersecurity Framework (CSF) বর্তমানে সাইবার সিকিউরিটি ইন্ডাস্ট্রিতে সবচেয়ে ব্যাপকভাবে প্রেরিত এবং ব্যবহার করা ফ্রেমওয়ার্ক (বিশেষ করে US-এ)। তবে ISO 27001 আন্তর্জাতিক স্বীকৃতি এবং সার্টিফিকেশনের জন্য স্বর্ণ মানদণ্ড। সাইবার সিকিউরিটি ফার্মরা সাধারণত NIST CSF + MITRE ATT&CK + ক্লায়েন্ট-নির্দিষ্ট রেগুলেটরি ফ্রেমওয়ার্ক (ISO/PCI/HIPAA/GDPR/CMMC) কম্বাইন করে ব্যবহার করে। "সবচেয়ে ভালো" ফ্রেমওয়ার্ক নেই - সংস্থার প্রসঙ্গ, রেগুলেশন, আকার এবং লক্ষ্যের উপর নির্ভর করে সেরা কম্বিনেশন বেছে নেওয়া উচিত।
