"It's not about IF, it's about WHEN" — এই উক্তির মানে কী?
সাইবর সিকিউরিটির বিশ্বে এই বাক্যটি একটি মৌলিক সত্য প্রকাশ করে: আপনার সংস্থা হ্যাক হবে কিনা — এই প্রশ্নটি প্রাসঙ্গিক নয়। প্রশ্নটি হচ্ছে — কখন হ্যাক হবে এবং আপনি কত প্রস্তুত।
কোনো নেটওয়ার্ক ১০০% অভেদ্য নয়। যেকোনো সংস্থা — ছোট হোক বা বড়, প্রাইভেট হোক বা পাবলিক — সাইবর আটাকের লক্ষ্য হতে পারে।
কেন এই মাইন্ডসেট গুরুত্বপূর্ণ?
১. হুমকির ল্যান্ডস্কেপ পরিবর্তনেছে
- র্যানসমওয়্যার-এজ-এ-সার্ভিস (RaaS): কম দক্ষ হ্যাকারও এখন সফটওয়্যার ভাড়া নিতে পারে
- সাপ্লাই চেইন আটাক: সোলারউইন্ডস (SolarWinds), কাসেয়া (Kaseya) — সাপ্লায়ারের মাধ্যমে লক্ষ্য করা হয়
- এআই-চালিত আটাক: ডিপফেক, অটোমেটেড ফিশিং, পলিমরফিক ম্যালওয়্যার
- জিরো-ডে এক্সপ্লয়েট: অজানা ভালনারেবিলিটি যেগুলো প্যাচের আগেই এক্সপ্লয়েট হয়
২. আটাকের খরচ কমে গেছে, প্রভাব বেড়েছে
- গড় ডেটা ব্রিচ খরচ: $4.45 মিলিয়ন (IBM Cost of a Data Breach Report 2023)
- র্যানসমওয়্যার গড় ডিমান্ড: $1.54 মিলিয়ন
- স্মল বিজনেসের ৬০% সাইবার আটাকের ৬ মাসের মধ্যে বন্ধ হয়ে যায়
৩. কমপ্লায়েন্স এবং লিগ্যাল দায়িত্ব
- GDPR: €20M বা গ্লোবাল রেভেনিউয়ের ৪% জরিমানা
- HIPAA, PCI-DSS, SEC regulations — ব্রিচ রিপোর্টিং বাধ্যতামূলক
- ক্লাস-অ্যাকশন লসুট এবং শেয়ারহোল্ডার মামলা
"When" এর জন্য প্রস্তুতি — প্রোएक্টিভ সিকিউরিটি কৌশল
১. ধরে নিন ব্রিচ হবে (Assume Breach Mentality)
- পেরিমিটার সিকিউরিটি যথেষ্ট নয় — ইন্টারন্যাল সেগমেন্টেশন (Zero Trust) করুন
- লেস্ট প্রিভিলেজ (Least Privilege) এবং জিরো ট্রাস্ট আর্কিটেকচার বাস্তবায়ন করুন
- মাইক্রো-সেগমেন্টেশন: VLAN, সফটওয়্যার-ডিফাইনড পেরিমিটার (SDP)
২. নিরന്തর মনিটরিং এবং ডিটেকশন (Continuous Monitoring)
- SIEM + SOAR দিয়ে ২৪/৭ লগ মোনিটরিং
- EDR/XDR সব এন্ডপয়েন্টে
- নেটওয়ার্ক ট্রাফিক অ্যানোমালি ডিটেকশন (NDR)
- থ্রেট ইন্টেলিজেন্স ফিড ইন্টিগ্রেশন
৩. ইনসিডেন্ট রেসপন্স প্লান (IRP) — কাগজে নয়, প্র্যাকটিসে
- NIST SP 800-61 Rev. 2 ফ্রেমওয়ার্ক অনুসরণ করুন
- রোল এবং রেসপন্সিবিলিটি স্পষ্ট করুন (RACI 매트릭্স)
- ত্রৈমাসিক টেবিল-টপ এক্সারসাইজ করুন
- র্যানসমওয়্যার স্পেসিফিক প্লে-বুক থাকতে হবে
৪. ব্যাকআপ এবং রিকভারি — শেষ রক্ষা কবচ
- ৩-২-১ রুল: ৩ কপি, ২ টি মিডিয়া, ১ টি অফসাইট/ইমিউটেবল
- ইমিউটেবল ব্যাকআপ (Object Lock, WORM) — র্যানসমওয়্যার থেকে রক্ষা
- রেগুলার রিস্টোর টেস্টিং — ব্যাকআপ কাজ করে কিনা যাচাই করুন
- RTO (Recovery Time Objective) এবং RPO (Recovery Point Objective) ডিফাইন করুন
৫. ভালনারেবিলিটি ম্যানেজমেন্ট প্রোগ্রাম
- নিরন্তর ভালনারেবিলিটি স্ক্যানিং (অটোমেটেড + ম্যানুয়াল)
- রিস্ক-ভিত্তিক প্যাচিং (CVSS + EPSS + কনটেক্সট)
- পেনিট্রেশন টেস্টিং (সালে ১-২ বার + বড় পরিবর্তনের পর)
- র্যানসমওয়্যার রেডিনেস অसेসমেন্ট
৬. সাইবার ইন্সুরেন্স এবং ফাইনান্সিয়াল রেজিলিয়েন্স
- সাইবার ইন্সুরেন্স পলিসি নিন (কভারেজ লিমিট, এক্সক্লুশন চেক করুন)
- ইন্সুরেন্সের জন্য MFA, EDR, ব্যাকআপ, IRP প্রুফ দরকার
সাংস্কৃতিক পরিবর্তন: সিকিউরিটি সবার দায়িত্ব
- সিকিউরিটি শুধু IT ডিপার্টমেন্টের কাজ নয় — বোর্ড লেভেল থেকে ফ্রন্টলাইন কর্মী পর্যন্ত
- ফিশিং সিমুলেশন, সিকিউরিটি অবerness ট্রেনিং (ন্যূনতম سالে ১ বার)
- "See something, say something" কালচার তৈরি করুন
সারসংক্ষেপ: চেকলিস্ট
- [ ] Assume Breach মাইন্ডসেট adopté করা হয়েছে
- [ ] Zero Trust / Micro-segmentation বাস্তবায়ন করা হচ্ছে
- [ ] ২৪/৭ SIEM + EDR/XDR + NDR সক্রিয়
- [ ] IRP ডকুমেন্টেড এবং ট্রাই করা হয়েছে (শেষ ৩ মাসে)
- [ ] ৩-২-১ ব্যাকআপ + ইমিউটেবল + রিস্টোর টেস্টেড
- [ ] ভালনারেবিলিটি ম্যানেজমেন্ট প্রোগ্রাম চলছে
- [ ] সাইবার ইন্সুরেন্স আছে এবং কভারেজ ভেরিফাইড
- [ ] সকল কর্মীর সিকিউরিটি ট্রেনিং সম্পন্ন
"The only truly secure system is one that is powered off, cast in a block of concrete and sealed in a lead-lined room with armed guards — and even then I have my doubts."
— Eugene Spafford
তাই সিকিউরিটি নয় "পারফেক্ট প্রটেকশন", বরং রেজিলিয়েন্স (Resilience) — আটাক হলে কত দ্রুত ডিটেক্ট, কন্টেইন, এরাডিকেট এবং রিকভার করতে পারেন।
