यह बहुत पहले की बात नहीं है कि सुरक्षा पेशेवरों ने अपने आईटी की रक्षा उसी तरह की थी जैसे मध्यकालीन गार्डों ने एक दीवार वाले शहर की रक्षा की थी - उन्होंने अंदर जाना जितना संभव हो उतना कठिन बना दिया था। लेकिन एक बार जब कोई परिधि पार कर गया, तो उन्हें उदारतापूर्वक पहुंच प्राप्त हुई
भीतर निहित धन के लिए. वित्तीय क्षेत्र में, इसका मतलब व्यक्तिगत पहचान योग्य जानकारी (पीआईआई) तक पहुंच है जिसमें क्रेडिट कार्ड नंबर, नाम, सामाजिक सुरक्षा जानकारी और बहुत कुछ का "विपणन योग्य डेटा सेट" शामिल है। दुख की बात है कि ऐसे कई मामले हैं
जहां महल पर धावा बोल दिया गया और अंतिम उपयोगकर्ता बैकफुट पर थे। सबसे प्रसिद्ध अभी भी है
इक्विफैक्स घटना, जहां एक छोटे से उल्लंघन के कारण ग्राहक वर्षों तक नाखुश रहे।
तब से मानसिकता बदल गई है क्योंकि उपयोगकर्ता तेजी से किसी भी भूगोल से, किसी भी डिवाइस पर, क्लाउड में होस्ट किए गए प्लेटफ़ॉर्म पर नेटवर्क और एप्लिकेशन तक पहुंच रहे हैं - क्लासिक पॉइंट टू पॉइंट सुरक्षा अप्रचलित है। परिधि बदल गई है इसलिए उस पर निर्भरता है
हर चीज की रक्षा करने वाली बाधा बनना भी बदल गया है।
शून्य विश्वास साइबर सुरक्षा के लिए एक नया प्रतिमान प्रस्तुत करता है। शून्य विश्वास वाले वातावरण में, यह माना जाता है कि परिधि का उल्लंघन हुआ है, कोई विश्वसनीय उपयोगकर्ता नहीं हैं और कोई भी उपयोगकर्ता या डिवाइस केवल अपने भौतिक या नेटवर्क स्थान के कारण विश्वास हासिल नहीं करता है। प्रत्येक उपयोगकर्ता,
डिवाइस और कनेक्शन को लगातार सत्यापित और ऑडिट किया जाना चाहिए।
और यह बिना कहे चला जाता है, लेकिन वित्तीय सेवा उद्योग द्वारा दैनिक आधार पर संभाले जाने वाले गोपनीय ग्राहक और ग्राहक डेटा की भारी मात्रा और सख्त नियमों को देखते हुए, इसे और भी बड़ी प्राथमिकता देने की आवश्यकता है। का अनुमानित मूल्य
यह डेटा वित्तीय सेवा संगठनों को डेटा उल्लंघनों का प्राथमिक लक्ष्य भी बनाता है।
यहां शून्य विश्वास वाला वातावरण बनाने के लिए आपको सोचने की आवश्यकता है।
डेटा सुरक्षित करना
यह सुनिश्चित करते हुए कि बैंकिंग ऐप्स और ऑनलाइन सेवाओं तक पहुंच महत्वपूर्ण है, यह वास्तव में डेटाबेस है जो इन अनुप्रयोगों का बैकएंड है जो शून्य विश्वास वातावरण बनाने का महत्वपूर्ण हिस्सा है। डेटाबेस में किसी संगठन की बहुत सारी संवेदनशील चीज़ें शामिल हैं,
और विनियमित, सूचना, साथ ही डेटा जो संवेदनशील नहीं हो सकता है लेकिन संगठन को चालू रखने के लिए महत्वपूर्ण है। इसलिए यह जरूरी है कि एक डेटाबेस तैयार हो और शून्य भरोसे वाले माहौल में काम करने में सक्षम हो।
चूंकि अधिक डेटाबेस क्लाउड आधारित सेवाएं बन रहे हैं, इसका एक बड़ा हिस्सा यह सुनिश्चित करना है कि डेटाबेस डिफ़ॉल्ट रूप से सुरक्षित है, जिसका अर्थ है कि यह बॉक्स से बाहर सुरक्षित है। इससे सुरक्षा की कुछ जिम्मेदारी प्रशासकों के हाथ से चली जाती है क्योंकि
उपयोगकर्ताओं या प्रशासकों के ध्यान की आवश्यकता के बिना, शुरू से ही सुरक्षा के उच्चतम स्तर मौजूद हैं। पहुंच की अनुमति देने के लिए, उपयोगकर्ताओं और प्रशासकों को सक्रिय रूप से परिवर्तन करना होगा - कुछ भी स्वचालित रूप से प्रदान नहीं किया जाता है।
जैसे-जैसे अधिक वित्तीय संस्थान क्लाउड को अपनाते हैं, यह और अधिक जटिल हो सकता है। सुरक्षा ज़िम्मेदारियाँ ग्राहकों के अपने संगठन, क्लाउड प्रदाताओं और उपयोग की जा रही क्लाउड सेवाओं के विक्रेताओं के बीच विभाजित की जाती हैं। इसे के नाम से जाना जाता है
साझा जिम्मेदारी मॉडल. यह क्लासिक मॉडल से दूर चला जाता है जहां आईटी सर्वर और सुरक्षा को सख्त करने का मालिक है, फिर शीर्ष पर सॉफ्टवेयर को सख्त करने की जरूरत है - डेटाबेस सॉफ्टवेयर का संस्करण कहें - और फिर वास्तविक एप्लिकेशन कोड को सख्त करने की जरूरत है।
इस मॉडल में, हार्डवेयर (सीपीयू, नेटवर्क, स्टोरेज) पूरी तरह से क्लाउड प्रदाता के दायरे में हैं जो इन प्रणालियों का प्रावधान करता है। डेटा-ए-ए-सर्विस मॉडल के लिए सेवा प्रदाता फिर निर्दिष्ट समापन बिंदु के साथ क्लाइंट को डेटाबेस वितरित करता है।
तभी वास्तविक क्लाइंट टीम और उनके एप्लिकेशन डेवलपर्स और DevOps टीम वास्तविक "समाधान" के लिए काम में आते हैं।
क्लाउड में सुरक्षा और लचीलापन तभी संभव है जब हर कोई अपनी भूमिकाओं और जिम्मेदारियों के बारे में स्पष्ट हो। साझा जिम्मेदारी मानती है कि क्लाउड विक्रेता यह सुनिश्चित करते हैं कि उनके उत्पाद उपलब्ध रहते हुए भी डिफ़ॉल्ट रूप से सुरक्षित हैं, लेकिन यह भी
संगठन क्लाउड में रखे गए डेटा की सुरक्षा जारी रखने के लिए उचित कदम उठाते हैं।
ग्राहकों और उपयोगकर्ताओं के लिए प्रमाणीकरण
बैंकों और वित्त संगठनों में, ग्राहक प्रमाणीकरण पर हमेशा बहुत अधिक ध्यान दिया जाता है, जिससे यह सुनिश्चित होता है कि धन तक पहुंच यथासंभव सुरक्षित है। लेकिन यह सुनिश्चित करना भी महत्वपूर्ण है कि दूसरे छोर पर डेटाबेस तक पहुंच सुरक्षित है। एक आईटी संगठन
उपयोगकर्ताओं को डेटाबेस में स्वयं को प्रमाणित करने की अनुमति देने के लिए किसी भी संख्या में तरीकों का उपयोग कर सकते हैं। अक्सर इसमें उपयोगकर्ता नाम और पासवर्ड शामिल होता है, लेकिन वित्तीय सेवा संगठनों द्वारा गोपनीय ग्राहक जानकारी की गोपनीयता बनाए रखने की बढ़ती आवश्यकता को देखते हुए
इसे केवल आधार परत के रूप में देखा जाना चाहिए।
डेटाबेस परत पर, ट्रांसपोर्ट परत सुरक्षा और SCRAM प्रमाणीकरण होना महत्वपूर्ण है जो क्लाइंट से डेटाबेस तक ट्रैफ़िक को ट्रांज़िट में प्रमाणित और एन्क्रिप्ट करने में सक्षम बनाता है।
पासवर्ड रहित प्रमाणीकरण भी एक ऐसी चीज़ है जिस पर विचार किया जाना चाहिए - न केवल ग्राहकों के लिए, बल्कि आंतरिक टीमों के लिए भी। यह डेटाबेस के साथ कई तरीकों से किया जा सकता है, या तो स्वचालित रूप से जेनरेट किए गए प्रमाणपत्र जो डेटाबेस तक पहुंचने के लिए आवश्यक हैं या
पहले से ही X.509 प्रमाणपत्रों का उपयोग करने वाले और प्रमाणपत्र प्रबंधन बुनियादी ढांचे वाले संगठनों के लिए उन्नत विकल्प।
लॉगिंग और ऑडिटिंग
एक अत्यधिक विनियमित उद्योग के रूप में, यह सुनिश्चित करने के लिए कि यह लागू रहे और आपके डेटाबेस से आगे निकल जाए, अपने शून्य-भरोसेमंद माहौल की निगरानी करना भी महत्वपूर्ण है। डेटाबेस सभी क्रियाओं को लॉग करने में सक्षम होना चाहिए या कैप्चर करने के लिए फ़िल्टर लागू करने की कार्यक्षमता होनी चाहिए
केवल विशिष्ट घटनाएँ, उपयोगकर्ता या भूमिकाएँ।
भूमिका-आधारित ऑडिटिंग आपको प्रत्येक व्यक्तिगत व्यवस्थापक के लिए गतिविधि निकालने के बजाय, प्रत्येक उपयोगकर्ता द्वारा विरासत में मिली किसी भी भूमिका के साथ मिलकर, उपयोगकर्ता एडमिन या डीबीएडमिन जैसी विशिष्ट भूमिकाओं द्वारा गतिविधियों को लॉग और रिपोर्ट करने की सुविधा देती है। यह दृष्टिकोण इसे आसान बनाता है
संगठनों के लिए शुरू से अंत तक परिचालन नियंत्रण लागू करना और अनुपालन और रिपोर्टिंग के लिए आवश्यक अंतर्दृष्टि बनाए रखना।
कूटलेखन
बड़ी मात्रा में मूल्यवान डेटा के साथ, वित्तीय संस्थानों को यह भी सुनिश्चित करना होगा कि वे एन्क्रिप्शन को अपना रहे हैं - उड़ान में, आराम करते समय और यहां तक कि उपयोग में भी। क्लाइंट-साइड फ़ील्ड-स्तरीय एन्क्रिप्शन के साथ डेटा सुरक्षित करने से आप प्रबंधित सेवाओं में जा सकते हैं
अधिक आत्मविश्वास के साथ बादल। डेटाबेस केवल एन्क्रिप्टेड फ़ील्ड के साथ काम करता है और संगठन डेटाबेस प्रदाता द्वारा उन्हें प्रबंधित करने के बजाय अपनी स्वयं की एन्क्रिप्शन कुंजी को नियंत्रित करते हैं। सुरक्षा की यह अतिरिक्त परत और भी अधिक सूक्ष्म पृथक्करण लागू करती है
डेटाबेस का उपयोग करने वालों और इसका संचालन और प्रबंधन करने वालों के बीच कर्तव्यों का निर्धारण।
साथ ही, चूंकि अधिक डेटा क्लाउड में प्रसारित और संग्रहीत किया जा रहा है - जिनमें से कुछ अत्यधिक संवेदनशील कार्यभार हैं - गोपनीय और विनियमित डेटा तक पहुंच को नियंत्रित और सीमित करने के लिए अतिरिक्त तकनीकी विकल्पों की आवश्यकता है। हालाँकि, इस डेटा को अभी भी उपयोग करने की आवश्यकता है।
इसलिए यह सुनिश्चित करना महत्वपूर्ण है कि उपयोग में आने वाला डेटा एन्क्रिप्शन आपके शून्य विश्वास समाधान का हिस्सा है। यह संगठनों को अनुपालन आवश्यकताओं को पूरा करते हुए संवेदनशील डेटा को आत्मविश्वास से संग्रहीत करने में सक्षम बनाता है, जबकि व्यवसाय के विभिन्न हिस्सों को पहुंच प्राप्त करने में भी सक्षम बनाता है और
इससे अंतर्दृष्टि.
ऐसी दुनिया में जहां डेटा की सुरक्षा अधिक महत्वपूर्ण होती जा रही है, वित्तीय सेवा संगठन उन संगठनों में से हैं जिनके गलत हाथों में जाने से सबसे ज्यादा नुकसान होता है। परिधि मानसिकता को त्यागें और शून्य विश्वास की ओर बढ़ें - विशेष रूप से
बुनियादी ढांचे में अधिक क्लाउड और सेवा के रूप में पेशकशें अंतर्निहित हैं - ऐसी मूल्यवान संपत्ति की वास्तव में सुरक्षा करने का यही एकमात्र तरीका है।
