व्यावसायिक डेटा सुरक्षा: 10 काम जो आपको अभी करने चाहिए

छोटे व्यवसाय भी साइबर अपराधियों के निशाने पर हैं

कई व्यवसाय मालिक सोचते हैं कि उनकी कंपनी किसी का ध्यान खींचने के लिहाज़ से बहुत छोटी है। वास्तव में हमलावर अक्सर स्वचालित टूल से एक साथ बड़ी संख्या में लक्ष्यों को स्कैन करते हैं और सबसे कमज़ोर सुरक्षा वाली जगह को निशाना बनाते हैं। सुरक्षा कर्मियों की कमी, सरल पासवर्ड और बिना जाँचे बैकअप छोटे व्यवसायों को आसान शिकार बना देते हैं।

आम हमलों में रैनसमवेयर (ransomware) शामिल है, जो पूरे डेटा को एन्क्रिप्ट करके फिरौती माँगता है, पासवर्ड चुराने वाले फ़िशिंग ईमेल, और साझेदार के ईमेल की नकल करके दूसरे खाते में पैसे भेजने की माँग। सीधे नुकसान के अलावा, व्यक्तिगत डेटा लीक होने पर क़ानूनी ज़िम्मेदारी भी आती है: डिक्री 13/2023/NĐ-CP और उसके बाद व्यक्तिगत डेटा संरक्षण कानून (1 जनवरी 2026 से प्रभावी) व्यक्तिगत डेटा प्रोसेस करने वाले संगठनों से उपयुक्त सुरक्षा उपाय अपनाने और उल्लंघन होने पर संबंधित अधिकारियों को सूचित करने की अपेक्षा करते हैं।

काम 1–3: अकाउंट और एक्सेस अधिकारों की सुरक्षा

ज़्यादातर घटनाएँ किसी एक अकाउंट पर कब्ज़े से शुरू होती हैं। इसलिए “प्रवेश द्वार” को मज़बूत करना सबसे बड़ी प्राथमिकता है, और यह सबसे कम लागत वाले कामों का समूह भी है।

महत्वपूर्ण सिस्टम और उनके एडमिन अधिकार रखने वाले व्यक्तियों की एक सूची भी बनाएँ, ताकि ऐसी स्थिति न आए कि किसी को पता ही न हो कि डोमेन, होस्टिंग या फ़ैनपेज का अकाउंट किसके हाथ में है।

• 1. टू-फ़ैक्टर ऑथेंटिकेशन (2FA) चालू करें — बिज़नेस ईमेल, अकाउंटिंग सॉफ़्टवेयर, इंटरनेट बैंकिंग, वेबसाइट एडमिन अकाउंट और सोशल मीडिया के लिए। जहाँ संभव हो, SMS कोड के बजाय Google Authenticator, Microsoft Authenticator जैसे ऑथेंटिकेटर ऐप या फ़िज़िकल सिक्योरिटी की को प्राथमिकता दें।
• 2. मज़बूत पासवर्ड और पासवर्ड मैनेजर का उपयोग करें। हर सिस्टम के लिए अलग और पर्याप्त लंबा पासवर्ड रखें; उन्हें Excel फ़ाइल या चैट ग्रुप में लिखने के बजाय सुरक्षित रूप से सहेजने और साझा करने के लिए Bitwarden या 1Password जैसे टूल का उपयोग करें।
• 3. न्यूनतम एक्सेस अधिकार। कर्मचारी केवल वही डेटा देख सकें जो उनके काम के लिए ज़रूरी है; एडमिन अकाउंट अलग रखें और रोज़मर्रा के काम में उनका उपयोग न करें। कोई कर्मचारी नौकरी छोड़े तो उसी दिन उसके सभी एक्सेस अधिकार वापस ले लें।

काम 4–5: नियमित बैकअप और सॉफ़्टवेयर अपडेट

4. नियमित बैकअप लें और रिस्टोर का परीक्षण करें। रैनसमवेयर या हार्डवेयर ख़राबी की स्थिति में बैकअप आख़िरी सहारा है। व्यापक रूप से अपनाया जाने वाला 3-2-1 नियम कहता है: डेटा की कम से कम तीन प्रतियाँ रखें, दो अलग-अलग प्रकार के स्टोरेज माध्यमों पर, जिनमें से एक क्लाउड जैसी अलग जगह पर हो। बैकअप को आंतरिक नेटवर्क से अलग रखना चाहिए या उसमें बदलाव/डिलीट-रोधी मोड चालू करना चाहिए, ताकि मैलवेयर उसे एन्क्रिप्ट न कर सके। समय-समय पर रिस्टोर करके देखें, क्योंकि जिस बैकअप की कभी जाँच नहीं हुई, उसे सुरक्षित नहीं माना जा सकता।

5. सॉफ़्टवेयर अपडेट करें और कमज़ोरियों को पैच करें। ऑपरेटिंग सिस्टम, ब्राउज़र, वेबसाइट प्लगइन और राउटर व कैमरा जैसे नेटवर्क उपकरणों को नियमित रूप से अपडेट करना ज़रूरी है। कई हमले ऐसी कमज़ोरियों का फ़ायदा उठाते हैं जिनके पैच काफ़ी पहले से उपलब्ध हैं, लेकिन इंस्टॉल नहीं किए गए। ऑटो-अपडेट चालू करें और जिन सॉफ़्टवेयर व उपकरणों का समर्थन खत्म हो चुका है, उन्हें बदल दें।

काम 6–7: कर्मचारी प्रशिक्षण और प्रक्रिया नियंत्रण

तकनीक कितनी भी अच्छी हो, एक ग़लत क्लिक उसे बेअसर कर सकता है। लोग सबसे कमज़ोर कड़ी भी हैं, और ज्ञान व स्पष्ट प्रक्रियाओं से लैस होने पर सुरक्षा की प्रभावी परत भी बन सकते हैं।

उदाहरण के लिए, एक आयात-निर्यात कंपनी के अकाउंटेंट को “साझेदार की ओर से” ईमेल मिलता है, जिसमें बैंक खाता बदलने की सूचना और बिल्कुल असली जैसा दिखने वाला इनवॉइस होता है। पुराने फ़ोन नंबर पर सिर्फ़ एक पुष्टि कॉल धोखाधड़ी पकड़ने के लिए काफ़ी है। कर्मचारियों को प्रोत्साहित करें कि शक होने पर या ग़लती से क्लिक हो जाने पर सज़ा के डर से छिपाने के बजाय तुरंत रिपोर्ट करें।

• 6. कर्मचारियों को नियमित प्रशिक्षण दें कि धोखाधड़ी वाले ईमेल और संदेश कैसे पहचानें: असामान्य प्रेषक पता, अनजान लिंक, जल्दबाज़ी पर ज़ोर देने वाली भाषा, पासवर्ड या OTP कोड माँगना। सतर्कता बढ़ाने के लिए सिम्युलेटेड टेस्ट भी आयोजित किए जा सकते हैं।
• 7. संवेदनशील कामों के लिए सत्यापन प्रक्रिया बनाएँ। भुगतान प्राप्त करने वाले खाते को बदलने, तत्काल ट्रांसफ़र या ग्राहक डेटा एक्सपोर्ट करने के हर अनुरोध की पुष्टि किसी दूसरे चैनल से होनी चाहिए, जैसे पहले से सहेजे गए फ़ोन नंबर पर अनुरोधकर्ता को वापस कॉल करना।

काम 8–9: उपकरणों और संवेदनशील डेटा की सुरक्षा

8. उपकरणों और आंतरिक नेटवर्क की सुरक्षा करें। हर कंप्यूटर पर एंटी-मैलवेयर सॉफ़्टवेयर इंस्टॉल करें, अक्सर बाहर ले जाए जाने वाले लैपटॉप पर डिस्क एन्क्रिप्शन (Windows पर BitLocker, macOS पर FileVault) चालू करें और ऑटोमैटिक स्क्रीन लॉक सेट करें। मेहमानों के Wi-Fi नेटवर्क को आंतरिक नेटवर्क से अलग रखें और राउटर व कैमरा के डिफ़ॉल्ट पासवर्ड बदलें। अगर कर्मचारी रिमोट काम करते हैं, तो पोर्ट को सीधे Internet पर खोलने के बजाय VPN या सुरक्षित एक्सेस समाधान का उपयोग करें।

9. संवेदनशील डेटा का वर्गीकरण और सुरक्षा करें। हर डेटा को एक जैसी सुरक्षा की ज़रूरत नहीं होती। तय करें कि सबसे महत्वपूर्ण डेटा कौन-सा है और उसके अनुरूप उपाय अपनाएँ।

• उन सभी जगहों की सूची बनाएँ जहाँ ग्राहक, कर्मचारी, वित्तीय और अनुबंध से जुड़ा डेटा संग्रहित है।
• संवेदनशील डेटा को संग्रहण और ट्रांसमिशन दोनों के समय एन्क्रिप्ट करें; वेबसाइट पर हमेशा HTTPS का उपयोग करें।
• सार्वजनिक लिंक से फ़ाइल साझा करना सीमित करें और साझा लिंक की समय-सीमा तय करें।
• केवल वास्तव में ज़रूरी व्यक्तिगत डेटा ही, डेटा विषय की सहमति के साथ, एकत्र करें और उद्देश्य पूरा होने पर उसे हटा दें।

काम 10: घटना प्रतिक्रिया योजना बनाएँ

10. घटना प्रतिक्रिया योजना पहले से तैयार रखें। जब कोई घटना होती है, तो शुरुआती घंटे बेहद अहम होते हैं। एक-दो पेज की संक्षिप्त योजना भी, संभालने वाले व्यक्ति को घबराहट में ढूँढने से कहीं बेहतर है।

आपको दसों काम एक हफ़्ते में करने की ज़रूरत नहीं है। टू-फ़ैक्टर ऑथेंटिकेशन, बैकअप और सॉफ़्टवेयर अपडेट से शुरुआत करें, फिर बाकी कामों को एक-एक करके पूरा करें; हर साल कम से कम एक बार पूरी समीक्षा करनी चाहिए। अगर आपके पास अभी समर्पित सुरक्षा कर्मचारी नहीं हैं, तो GREEN TECH मौजूदा स्थिति का आकलन करने और व्यवसाय के आकार के अनुरूप सुरक्षा उपाय लागू करने में मदद कर सकता है।

• मुख्य संपर्क व्यक्ति कौन है और किन-किन से संपर्क करना है: नेतृत्व, IT टीम, सेवा प्रदाता।
• शुरुआती अलगाव के कदम: संक्रमित मशीन को नेटवर्क से हटाना, संबंधित अकाउंट के पासवर्ड बदलना।
• बैकअप से रिस्टोर करने का तरीका और हर सिस्टम को रिस्टोर करने की प्राथमिकता का क्रम।
• व्यक्तिगत डेटा लीक होने पर संबंधित अधिकारियों और प्रभावित ग्राहकों को सूचित करने का दायित्व।