নেটওয়ার্ক সিকিউরিটি পলিসি না থাকলে কী রিস্ক ও হুমকি থাকে?

নেটওয়ার্ক সিকিউরিটি পলিসি অনুপস্থিতির রিস্ক, হুমকি ও পরিণতি

নেটওয়ার্ক সিকিউরিটি পলিসি (Information Security Policy / ISP) হলো একটি সংগঠনের সাইবার সুরক্ষার কনস্টিটিউশন। এর অনুপস্থিতি দাড়ুন করুন সম দীর্ঘমেয়াদী ক্ষতির কারণ হয়।

প্রধান রিস্ক ও হুমকি (Risk & Threat Landscape)

১. ডেটা বřich (Data Breach) — সবচেয়ে বড় ক্ষতি

• গ্রাহকের PII, PHI, ফাইন্যান্সিয়াল ডেটা চুরি।
• গড় ডেটা ব ريتش কস্ট: $4.45M (IBM Cost of Data Breach Report 2023)।
• রেগুলেটরি জরিমানা: GDPR €20M বা ৪% গ্লোবাল টার্নওভার, HIPAA $1.5M/yr।

২. র‍্যানসমওয়্যার ও এক্সটর্নশন (Ransomware/Extortion)

• পলিসি না থাকলে ব্যাকআপ, প্যাচিং, সেগমেন্টেশন নেই → র‍্যানসমওয়্যার ছড়িয়ে পড়ে।
• ডাবল/ট্রিপল এক্সটর্নশন: এনক্রিপশন + ডেটা লিক থ্রেট + DDoS।
• গড় র‍্যানসম পেমেন্ট: $1.54M (2023)।

৩. ইনসাইডার থ্রেট (Insider Threat)

• অনিচ্ছাকৃত: ফিশিং ক্লিক, দুর্বল পাসওয়ার্ড, মিসকনফিগারেশন।
• ইচ্ছাকৃত: ডেটা এক্সফিল্ট্রেশন, সাবোটেজ, IP থেফট।
• পলিসি নেই → DLP, UEBA, প্রিভিলেজ রিভিউ নেই।

৪. কমপ্লায়েন্স ব্যর্থতা (Compliance Failure)

• SOC 2, ISO 27001, PCI-DSS, NIST 800-53 সার্টিফিকেশন গেছে।
• কন্ট্রাক্ট হারান, বাজার প্রবর্তন বাধা।

৫. অপারেশনাল ডিসরাপশন (Operational Disruption)

• DDoS, ম্যালওয়্যার, বটনেট → সার্ভিস আউটেজ।
• MTTR (Mean Time To Recover) বেড়ে যায় কেননা IR প্ল্যান নেই।

৬. রেপুটেশনাল ড্যামেজ (Reputational Damage)

• গ্রাহক আস্থা হার, শেয়ার প্রাইস ড্রপ, মিডিয়া নেগেটিভ কভারেজ।
• ব্র্যান্ড রিকভারিতে বছরের পর বছর লেগে থাকে।

পলিসি না থাকার কোস্ট: আর্থিক ও কানুনি

ইনফরমেশন সিকিউরিটি পলিসি (ISP) কী কন্টেইন করবে?

1. Scope & Objectives: কার ওপর লাগবে, কী রক্ষা করবে।
2. Roles & Responsibilities: CISO, Data Owner, Custodian, User।
3. Access Control Policy: RBAC, MFA, Least Privilege, Joiner/Mover/Leaver।
4. Data Classification & Handling: Public/Internal/Confidential/Restricted।
5. Incident Response Plan: Detect, Contain, Eradicate, Recover, Lessons Learned।
6. Business Continuity & DR: RTO, RPO, Backup Strategy, Testing।
7. Acceptable Use Policy (AUP): ইন্টারনেট, ইমেইল, BYOD, Social Media।
8. Training & Awareness: অনুয়early ফিশিং সিমুলেশন, সিকিউরিটি কালচার।
9. Vendor/Third-Party Risk Management: Due Diligence, Contractual Security Clauses।
10. Audit & Compliance: Internal/External Audit, Metrics, KRI/KPI।

পলিসি বানানোর ৭ ধাপ (NIST SP 800-12)

1. রেগুলেটরি ল্যান্ডস্কেপ রিভিউ।
2. রিস্ক অ্যাসেসমেন্ট।
3. বিজনেস ইম্প্যাক্ট অ্যানালাইসিস (BIA)।
4. স্ট্র্যাজিক প্ল্যান ডেভেলপমেন্ট।
5. ইনসিডেন্ট রেসপন্স প্ল্যান।
6. টেস্টিং, ট্রেনিং, মেইনটেন্যান্স।
7. কমিউনিকেশন ও অপ্রুভাল।

উপসংহার

নেটওয়ার্ক সিকিউরিটি পলিসি না থাকা মানে হচ্ছে **অন্ধকারে গাড়ি চালানো**। এটি শুধু ডকুমেন্ট নয়—এটি সিকিউরিটি কালচার, একাউন্টেবিলিটি ও রেজিলিয়েন্সের ফাউন্ডেশন। প্রতিটি সংগঠন, বড় হোক ছোট, লিখিত, অনুমোদিত ও রেগুলার আপডেটেড পলিসি রাখতে হয়।