কোম্পানির নেটওয়ার্ক সিকিউরিটি পলিসিতে কী কী থাকা উচিত?

নেটওয়ার্ক সিকিউরিটি পলিসি (Network Security Policy): অপরিহার্য উপাদান, কাঠামো এবং সেরা অনুশীলন

নেটওয়ার্ক সিকিউরিটি পলিসি কী?

নেটওয়ার্ক সিকিউরিটি পলিসি হলো একটি ফরমাল ডকুমেন্ট যা সংস্থার নেটওয়ার্ক রিসোর্স কে কীভাবে প্রোটেক্ট, মনিটর এবং ম্যানেজ করা হবে সেটি সংজ্ঞায়িত করে। এটি নিরাপত্তা রিস্ক কমাতে, কমপ্লায়েন্স নিশ্চিত করতে এবং ইমপ্লোইদের দায়িত্ব স্পষ্ট করতে সাহায্য করে।

নেটওয়ার্ক সিকিউরিটি পলিসিতে থাকতে হবে এমন বিষয়গুলো (Essential Components)

১. উদ্দেশ্য ও সুযোগ (Purpose & Scope)

• পলিসি কেন প্রয়োজন (রক্ষা করা ডেটা, সিস্টেম, রেপুটেশন)
• কেসু প্রযোজ্য (সকল ইমপ্লোই, কন্ট্র্যাক্টর, থার্ড পার্টি, সকল নেটওয়ার্ক ডিভাইস)

২. দায়িত্ব ও কর্তৃত্ব (Roles & Responsibilities)

• CISO / Security Officer: পলিসি مالিক, এনফোর্সমেন্ট
• IT / Network Team: ইমপ্লিমেন্টেশন, মনিটরিং, ইনসিডেন্ট রেসপন্স
• HR / Legal: কমপ্লায়েন্স, ডিসিপ্লিনারি অ্যাকশন
• All Users: পলিসি মানা, সিকিউরিটি আওয়ারেনেস, রিপোর্টিং

৩. অ্যাক্সেস কন্ট্রোল পলিসি (Access Control Policy) — ফিজিক্যাল + লজিক্যাল

• Least Privilege Principle (ন্যূনতম অধিকার)
• Role-Based Access Control (RBAC)
• Privileged Access Management (PAM) — অ্যাডমিন অ্যাক্সেস কন্ট্রোল
• Multi-Factor Authentication (MFA) — বাধ্যতামূলক
• Network Segmentation (VLAN, DMZ, Zero Trust Segmentation)
• Remote Access / VPN Policy
• Wireless Access Policy (WPA3, 802.1X, Guest Network)

৪. ডেটা ক্লাসিফিকেশন ও হ্যান্ডলিং (Data Classification)

৫. নেটওয়ার্ক সার্ভিস ও অপারেশন (Network Services & Operations)

• Firewall Rule Management (Change Request, Review, Audit)
• IDS/IPS Configuration & Tuning
• Vulnerability Scanning Schedule (Monthly/Quarterly)
• Patch Management (OS, Firmware, Application — SLA বেসড)
• Log Retention & SIEM Integration (৯০+ দিন, ট্যাম্পার-প্রুফ)
• Network Monitoring & Baselining (Anomaly Detection)

৬. সিকিউরিটি আওয়ারেনেস ও প্রশিক্ষণ (Security Awareness)

• নতুন কর্মচারীদের জন্য অনবোর্ডিং ট্রেনিং
• वार্ষিক রিফ্রেশার ট্রেনিং (Phishing Simulation, Password Hygiene, Social Engineering)
• ফিশিং রিপোর্টিং প্রক্রিয়া (Phish Alert Button)

৭. ইনসিডেন্ট রেসপন্স ও রিপোর্টিং (Incident Response)

• ইনসিডেন্ট রেসপন্স প্ল্যান (NIST SP 800-61 / ISO 27035)
• এস্কেলেশন ম্যাট্রিক্স (Severity Levels: P1-P4)
• ব্রিচ নোটিফিকেশন টাইমলাইন (GDPR: 72 ঘণ্টা, বাংলাদেশ: ৭২ ঘণ্টা / DSA)
• ফরেনসিক প্রিজার্ভেশন প্রসিডিউর

৮. ডিজাস্টার রিকভারি ও বিজনেস কন্টিনিউইটি (DR/BCP)

• Backup Policy (3-2-1 Rule, Immutable, Tested Restore)
• RTO (Recovery Time Objective) / RPO (Recovery Point Objective)
• Failover / Redundancy Architecture

৯. কমপ্লায়েন্স ও অডিট (Compliance & Audit)

• স প্রযোজ্য রেগুলেশন (GDPR, HIPAA, PCI-DSS, ISO 27001, NIST CSF, বাংলাদেশ DSA ২০১৮)
• আন্তরিক ও বাহ্যিক অডিট শিডিউল
• পেনট্রেশন টেস্টিং (वार্ষিক / বড় চেঞ্জের পর)

১০. এনফোর্সমেন্ট ও পরিণতি (Enforcement & Consequences)

• পলিসি লঙ্ঘনের জন্য ডিসিপ্লিনারি অ্যাকশন (Warning → Termination → Legal Action)
• অটোমেটেড এনফোর্সমেন্ট (NAC, DLP, CASB, EDR)
• এক্সসেপশন প্রক্রিয়া (Business Justification, Risk Acceptance, Time-bound)

নেটওয়ার্ক সিকিউরিটি পলিসির ৫টি মূল উপাদান (CIA + Authenticity + Non-repudiation)

1. Confidentiality: গোপনীয়তা
2. Integrity: অখণ্ডতা
3. Availability: উপলব্ধতা
4. Authenticity: প্রামাণিকতা
5. Non-repudiation: অস্বীকৃতি অনবാധ্য

সিকিউরিটি পলিসির ৩ প্রকার (Three Types of Security Policies)

1. Organizational / Master Policy: হাই-লেভেল, কোম্পানির সমগ্র সিকিউরিটি ভিশন
2. System-Specific Policy: নির্দিষ্ট সিস্টেমের জন্য (যেমন: Firewall Policy, VPN Policy, Server Hardening Policy)
3. Issue-Specific Policy: নির্দিষ্ট ইস্যুর জন্য (যেমন: Password Policy, Email Policy, BYOD Policy, Remote Work Policy)

সাধারণ সিকিউরিটি পলিসির উদাহরণ (Common Security Policies)

• Acceptable Use Policy (AUP)
• Data Breach Response Policy
• Disaster Recovery / Business Continuity Plan
• Remote Access / VPN Policy
• Access Control Policy (Physical + Logical)
• Encryption & Key Management Policy
• Clean Desk Policy
• Personnel Security Policy (Background Check, Termination Procedure)
• Data Backup & Retention Policy
• Identity, Authentication & Authorization Policy
• Change Management Policy
• Email / Communication Policy
• Vendor / Third-Party Risk Management Policy

নেটওয়ার্ক পলিসি সার্ভার (NPS) / RADIUS — টেকনিক্যাল ইমপ্লিমেন্টেশন

• Supplicant: ক্লায়েন্ট ডিভাইস (ল্যাপটপ, ফোন)
• Authenticator (Pass-through): সোয়িচ / Wireless Controller / AP
• Authentication Server (RADIUS): NPS / ISE / FreeRADIUS — ক্রেডেনশিয়েল ভেরিফাই করে

নেটওয়ার্ক সিকিউরিটি পলিসি কার্যকর করতে হলে (Effectiveness Checklist)

• [ ] লিখিত, আপডেটেড এবং সাইন করা পলিসি
• [ ] সকল ইমপ্লোই পড়েছে এবং স্বাক্ষর کرده
• [ ] অটোমেটেড টুলস দিয়ে এনফোর্স করা হচ্ছে (NAC, DLP, EDR)
• [ ] রেগুলার ট্রেনিং এবং ফিশিং সিমুলেশন
• [ ] ইনসিডেন্ট রেসপন্স টেস্ট (Tabletop Exercise)
• [ ] वार্ষিক রিভিউ এবং আপডেট
• [ ] এক্সিকিউটিভ স্পনসরশিপ এবং বাজেট আলোকন

মনে রাখবেন: পলিসি কাগজের কাগজ না হয়ে চলে — এটি লাইভ ডকুমেন্ট, যা টেকনোলজি, থ্রেট ল্যান্ডস্কেপ এবং রেগুলেশন পরিবর্তনের সাথে আপডেট হতে হবে। "A policy not enforced is not a policy."