‘सरकारी संयन्त्रलाई साइबर हाइजिन बनाउन ढिला भइसक्यो’

साइबर सुरक्षाको विषय अहिलेको जल्दोबल्दो समस्या हो । खासगरी प्रविधिमा नयाँ–नयाँ विकास र विस्तारहरू भइरहँदा नेपाल सरकार सँगसँगै जान सकेको छैन । साइबर सुरक्षामा सरकारको जुन तहको ध्यान जानुपथ्र्यो, त्यो नभएको प्रस्टै देख्न सकिन्छ ।

यसमा तीन वटा पक्ष छन् । पहिलो, यो समस्या अहिलेदेखिको होइन, दोस्रो सरकारी तहबाट यसलाई जसरी हेरिनुपथ्र्यो त्यसरी हेरिएको छैन । तेस्रो प्रविधिका लागि चाहिने आवश्यक सुरक्षा सतर्कता, भौतिक पूर्वाधार र संरचनाहरूमा केही पनि गरिएको छैन ।

मुख्य कुरा सरकारसँग साइबर सेक्युरिटी निकाय नै थिएन । तर, अहिले बल्ल राष्ट्रिय साइबर सुरक्षा केन्द्र भनेर सरकारले स्थापना गरेको छ, त्यसको प्रभावकारिता कार्यान्वयनमा कति तीव्रता पाउँछ त्यसमा निर्भर रहन्छ ।

यद्यपि डिजिटल पूर्वाधारको संरचनागत तहमै काम गर्ने गरी अहिलेसम्म कुनै पनि किसिमको मेकानिजम बनिसकेको छैन । संस्थागत संरचनाहरू बनाइए पनि त्यसमा पर्याप्त स्रोत र साधनको अभाव छ । दक्षता भएका जनशक्ति पनि संरचनात्मक तहमा छैन ।

सरकारी रणनीतिमा काम गर्न एउटा विशेष किसिमको संरचना चाहिन्छ । दत्तचित्त भएर काम गर्ने निकाय भएपछि बल्ल साइबर सुरक्षामा काम गर्ने बलियो संयन्त्र तयार हुन्छ । त्यसपछि अहिले देखा परेका नयाँ–नयाँ समस्या त्यही अनुसार समाधान गर्न सकिन्छ ।

अर्को कुरा सरकारी वेबसाइटको सुरक्षाका लागि नियमित रूपमा अडिट गरिनु एकदमै जरूरी छ । जुन अहिले सरकारी निकायमा म्यान्डेटरीको रूपमा अडिट गर्ने प्रणाली नै विकास भएको छैन । यसको मतलब सरकारको प्रणालीमै कमजोरी छ ।

अब नियमित रूपमा अपडेट गर्ने कामका लागि स्थानीय तह, प्रदेश र संघीय तहमा विशेष संरचनाको आवश्यकता महसुस हुनुपर्छ । त्यही मात्रै नभएर ज–जसको सञ्चार तथा सूचनाप्रविधिमा पहुँच छ, उनीहरूलाई कानून नै बनाएर बाध्यकारी रूपमा साइबर सुरक्षा, सेक्युरिटी अडिट भनेर पिरियोडिक बनाइनुपर्छ । अनि मात्र सरकारी कार्यालयका वेबसाइटहरू बलिया बन्न सक्छन् ।

तर, अहिले त्यो त पूरै अभाव देखिन्छ । सरकारी निकायले एक पटक बनाउँदाखेरि अडिट गरेको जस्तो देखिन्छ, बीचमा वा पछि भने कहिल्यै अडिट गरिएको देखिन्न । विदेशतिर भने यो त बाध्यकारी रूपमा अपडेट गर्ने कानून नै बनाइएको हुन्छ र उनीहरू स्वतन्त्र रूपमा काम गरिरहेका हुन्छन् ।

उनीहरू सरकारमा निर्भर रहँदैनन् । तर, हामीकहाँ त्यसको अभाव छ । चलन त परको कुरा भयो । अब भने हामीले पनि स्वतन्त्र निकायबाट सेक्युरिटी अडिट गराइराख्नुपर्छ अथवा सरकार भित्रैबाट गराए पनि अडिट भने रेगुलर हुनुपर्छ ।

‘साइबर हाइजिन’ बारे बहस

पछिल्लो समय सरकारी कर्मचारी वा सर्वसाधारणमा जनचेतना र तालिमको कमी देखिरहेको छु । सञ्चारमाध्यममा समाचार आयो कि देशरभरका नगरपालिकाका वेबसाइट एकैपटक डाउन भए, ह्याकरले आफ्नो नियन्त्रणमा लियो ।

यो कसरी भयो त ? कर्मचारीले इमेलमा आएको गलत सूचनामा क्लिक पो गर्‍यो कि ? अथवा सामाजिक सञ्जालमा आफ्नो नामको कुनै डकुमेन्ट पो राखिदियो, जुन पर्सनल सेक्युरिटीसँग सम्बन्धित थियो । यसबारेमा सरकारले अब तल्लो तहका कर्मचारीहरूलाई तालिम वा जनचेतना दिलाउनुपर्छ ।

हामीलाई भने वेबसाइट बनाउनै हतार हुन्छ । बनाइसकेपछि सेक्युरिटी टेस्ट नगरिकन इन्टरनेटमा राख्न हतार हुन्छ, जुन गलत छ । साइबर सुरक्षा सम्बन्धी तालिमलाई प्राविधिक पाटो/ठूलो कुरा नमानिकन हरेक सरकारी निकायहरूले यो तालिम लिनु जरूरी देख्छु । के गर्न हुन्छ र के गर्नुहुँदैन भनेर ‘साइबर हाइजिन’ बारे जानकारी दिनु अहिलेको आवश्यकता हो ।

अहिले कुनै पनि तहका सरकारले साइबर सुरक्षालाई प्राथमिकतामा राखेका छैनन् । त्यसपछि आर्थिक वर्षमा बजेट पनि छुट्याउँदैनन् । तर, सबै सरकारी कार्यालयमा सफ्टवेयरहरू राखेका हुन्छन् । नयाँ–नयाँ प्रविधिका टुल्सहरू भित्र्याइरहेका हुन्छन् । अनि विना बजेट नै यी सबै कामहरू गरिरहेका छन्, त्यो पनि लिगल सोर्सबाट होइन । सफ्टवेयर, फायरवेल, आईडीएस लगायत चिजहरूलाई बेला–बेलामा अपडेट गरिरहनुपर्छ । अहिले त जेन्युन लाइन्स पनि लिनुपर्छ । तर हामीकहाँ ‘क्र्याक भर्सन’ भए पुग्ने वा कामचलाउ भए हुने भनेर ढुक्क भएका हुन्छन् । जुन गलत छ ।

यसबारेमा बजेट छुट्याउनुपर्छ भनेर तहगत सरकार वा सरकारी कार्यालयले सरोकार नै राख्दैनन् । सरकारको डेटा सेन्टर छ । त्यहाँ विभिन्न किसिमका फायरवेल राख्नुपर्ने हुन्छ, सफ्टवेयर राखेका हुन्छन् । ती सबै चिजहरूलाई बेला–बेलामा अपडेट (नवीकरण) गरिरहनुपर्छ । यसको लागि बजेट चाहिन्छ । तर न स्थानीय सरकार न प्रदेश तथा संघले अहिलेसम्म यो काम गरेका छन् । किनकि नियमित रूपमा त्यो सब गर्नलाई वार्षिक रूपमा खर्च चाहिन्छ । लाइसेन्स नवीकरण गर्न पनि समयमै बजेट नआउने, सेक्युरिटी प्याचहरू राख्न नपाउने लगायतको सरकारी प्रवृत्ति पुरानै रोग हो । यो भनेको सरकारको चरम लापरबाही हो ।

यो पनि पढ्नुहोस

साइबर सुरक्षा नीति स्वीकृत, के छन् विशेषता ?

सुरक्षा र संरचनागत डिजाइनको अभाव

जसरी घर बनाउँदा भूकम्पीय जोखिम छ भने त्यस अनुसार मापदण्ड अपनाएर घरको डिजाइन, सुरक्षाका लागि झ्याल–ढोका राख्ने गरिन्छ । यसमा नगरपालिका तथा पालिकाहरूले ठाउँ अनुसारको मापदण्ड तयार गरेका हुन्छन् । त्यही किसिसले सरकारी निकायको वेबपोर्टल बनाउँदा पनि डिजाइन, सुरक्षा र संरचनाको खाका पहिल्यै तयार गरिनुपर्छ ।

जुन सरकारसँग न त संरचनागत डिजाइन हुन्छ न सुरक्षाको लागि भनेर कुनै चेत । जसले सस्तोमा बनाउँछ, उसैलाई टेन्डर मार्फत प्रक्रिया पुर्‍याएर बनाउन दिने चलनले अहिले हामी साइबर आक्रमणकारीको निशानामा परिरहेका छौं ।

अब सरकारी निकायले कुनै पनि सिस्टम बनाउँदा खेरी सुरुवातदेखि नै प्राविधिक पक्षबाट कसरी बलियो वेबसाइट बनाउन सकिन्छ भनेर ध्यान दिनु जरूरी छ । तर, त्यता ध्यान गएको देखिंदैन । सरकारी कार्यालयका वेबसाइटहरूको प्रारूपमै कतिपय त्रुटिहरू देखिन्छन् ।

जस्तो नीतिगत कुराहरू नअपनाएको, अन्तर्राष्ट्रिय मापदण्ड नअपनाएको, कोडिङ प्राक्टिस नगरिकनै हतार–हतारमा पब्लिक डोमेन सार्वजनिक गरिदिने कमजोरी सरकारी निकायमा देखिन्छ । जस्तो सरकारी निकायले अधिकांश वेबसाइट बनाउन कुनै डेभलपर कम्पनीलाई दिने गरेको देखिन्छ । तर उक्त कम्पनीले कुन प्राक्टिस अपनाएको छ ? कुन मान्यता अपनाएको छ ? कोडिङ प्राक्टिस कुन फलो गरेको छ ? अनि वेबसाइट बनाइसकेपछि त्यसलाई प्रोपर टेस्ट गरेको छ कि छैन ? भनेर कुनै पनि सरकारी निकायले निर्देशन दिने, फलोअप गर्ने र डेभलपरसँग अन्तरक्रिया तथा अन्तरसंवाद गरेको देखिंदैन ।

जस्तो भनौं न संघीय मामिला तथा सामान्य प्रशासन मन्त्रालयले युएनडीपीसँग मिलेर प्रादेशिक र स्थानीय सरकार सहायता कार्यक्रम (पीएलजीएसपी) अन्तर्गत देशभरका स्थानीय तहको वेबसाइट बनाइदियो र छाडिदियो । तर, त्यो कहिल्यै पनि अडिट गरिएन । अब त विश्व एआई मार्फत आर्थिक उन्नति गर्ने स्टेजमा पुगिसकेको बेला हाम्रोमा सरकार भर्खर बामे सर्दै गएको देखिन्छ । विकसित देशहरू एआई बनाएर कोही प्रविधिहरू बनाइरहेका छन् भने कोही टुल्स बनाइरहेका देख्छौं । तर, हामी कहाँ छौं भन्न सक्ने हैसियतमा पनि छैनौं ।

एआईबाट अहिले विकसित राष्ट्रहरूले विलियन डलर कमाइरहेको बेला हामी एआईमा कहाँ हो त भनेर पहिचान गर्नु जरूरी छ । अहिले एआई सबैले फेशनको रूपमा लिएका छन्, जुन विल्कुल गलत हो । एआई आइसकेपछि देशले एआईबाट फाइदा कसरी लिने, हाम्रो तयारी के हो ? भन्ने बारेमा प्रस्ट हुनुपर्छ । कृषि, पर्यटन, उद्योगमा एआईलाई कसरी प्रयोग गर्न सकिन्छ भनेर सोच्न ढिला भइसकेको छ ।

(सूचनाप्रविधि विज्ञ भट्टराईसँग अनलाइनखबरका लागि सहदेव चौधरीले गरेको कुराकानीमा आधारित ।)