একটি ডেটা ফাঁসের গড় খরচ ৪৯.৯ লাখ ডলার: IBM-এর প্রতিবেদন থেকে বাংলাদেশের শিক্ষা

একটি ডেটা ফাঁসের দাম কত? IBM ও Ponemon Institute প্রতি বছর এই প্রশ্নের একটি হিসাব দেয়। ২৯ জুলাই প্রকাশিত ২০২৬ সালের প্রতিবেদন বলছে, বিশ্বে একটি ডেটা ফাঁসের গড় খরচ এখন ৪৯ লাখ ৯০ হাজার ডলার। আগের বছরের তুলনায় এই বৃদ্ধি ১২ শতাংশ, আর IBM-এর হিসাবে এটি রেকর্ড সর্বোচ্চ। ২০২৫ সালের প্রতিবেদনে গড় ছিল ৪৪ লাখ ৪০ হাজার ডলার।

সংখ্যাটি শুনতে বড়, কিন্তু আসল গল্পটা এই সংখ্যার ভেতরে। খরচ কোথায় হচ্ছে, কেন বাড়ছে, আর কারা কম ক্ষতিতে বেরিয়ে আসছেন, সেটাই বাংলাদেশের প্রতিষ্ঠানগুলোর জন্য কাজের কথা। তবে শুরুতেই দুটি সতর্কতা মনে রাখা দরকার।

এই গড় পড়ার আগে যা জানা জরুরি

প্রতিবেদনটি ৬০২টি প্রতিষ্ঠানের ওপর দাঁড়ানো, যারা ২০২৫ সালের মার্চ থেকে ২০২৬ সালের ফেব্রুয়ারির মধ্যে ডেটা ফাঁসের শিকার হয়েছে। গবেষণাটি করেছে Ponemon Institute, আর এর পৃষ্ঠপোষক ও বিশ্লেষক IBM. IBM নিজে নিরাপত্তা পণ্য বিক্রি করে, তাই সুপারিশগুলো পড়ার সময় সেই প্রেক্ষাপটও মাথায় রাখা ভালো।

দ্বিতীয় সতর্কতা হলো, এটি বিশ্বের প্রতিটি দেশের সরাসরি প্রতিচ্ছবি নয়। দেশভেদে পার্থক্য বিশাল: Baker Donelson-এর সারাংশ অনুযায়ী শুধু যুক্তরাষ্ট্রের গড়ই ১ কোটি ১৫ লাখ ডলার। IBM-এর প্রকাশিত তথ্যে বাংলাদেশের জন্য আলাদা কোনো গড় আমরা পাইনি। তাই ৪৯ লাখ ৯০ হাজার ডলারকে বাংলাদেশি একটি প্রতিষ্ঠানের সম্ভাব্য ক্ষতি হিসেবে ধরে নেওয়া ঠিক হবে না। এখান থেকে নেওয়ার মতো জিনিস হলো ধরন ও প্রবণতা।

প্রতিবেদনের প্রধান ফলাফল

• এআই-চালিত হামলা: দূষিত উদ্দেশ্যে হওয়া প্রতি চারটি ফাঁসের একটিতে এআই ব্যবহৃত হয়েছে, যা আগের বছরের চেয়ে ৫৬ শতাংশ বেশি। এসব ঘটনায় গড় খরচ ৬০ লাখ ডলার। এর বড় অংশ ডিপফেক ছদ্মবেশ ও এআই-সহায়ক ম্যালওয়্যার।
• র‍্যানসমওয়্যার: হার ৩৪ থেকে বেড়ে ৩৯ শতাংশ। হামলাকারীরা এখন সবচেয়ে বেশি চাপ দিচ্ছে ব্র্যান্ডের সুনামের ওপর (৪১ শতাংশ), এরপর কর্মীদের তথ্য (৩৫ শতাংশ) ও মেধাসম্পদের ওপর (৩১ শতাংশ)।
• এনক্রিপশনের ফাঁক: মাত্র ৩৭ শতাংশ আক্রান্ত প্রতিষ্ঠান জানিয়েছে, তারা সংবেদনশীল ডেটা সংরক্ষিত ও পরিবহন, দুই অবস্থাতেই এনক্রিপ্ট করে।
• এআই ব্যবস্থার নিজের দুর্বলতা: ২০ শতাংশের বেশি প্রতিষ্ঠান এআই মডেল বা অ্যাপে আঘাতের কথা জানিয়েছে। প্রধান কারণ এআই নিজে নয়, চারপাশের ব্যবস্থা: আপস হওয়া এপিআই বা প্লাগইন (২৭ শতাংশ) এবং ক্লাউডের ভুল কনফিগারেশন (২৭ শতাংশ)। IBM বলছে, এ ধরনের ঘটনার শিকার প্রতিষ্ঠানগুলোর ৯২ শতাংশেরই এআইয়ের যথাযথ অ্যাক্সেস নিয়ন্ত্রণ ছিল না।
• গুরুত্বপূর্ণ খাত: এআই-চালিত হামলার ৬২ শতাংশের লক্ষ্য ছিল গুরুত্বপূর্ণ অবকাঠামো খাত। আর্থিক খাতে গড় খরচ ৬৩ লাখ ডলার, জ্বালানি খাতে ৫২ লাখ ডলার।

আইনি প্রতিষ্ঠান Baker Donelson-এর প্রতিবেদন-সারাংশ অনুযায়ী, স্বাস্থ্য খাত এখনো সবচেয়ে ব্যয়বহুল, গড়ে ৬৬ লাখ ৪০ হাজার ডলার। একই সারাংশ বলছে, একটি ফাঁস শনাক্ত করে নিয়ন্ত্রণে আনতে গড়ে ২৪৭ দিন লেগেছে, যা আগের বছরের চেয়ে ২.৫ শতাংশ বেশি। যেসব ঘটনা ২০০ দিনের বেশি গড়িয়েছে, তার গড় খরচ ৫৬ লাখ ৫০ হাজার ডলার, আর ২০০ দিনের মধ্যে থামানো গেলে ৪৩ লাখ ২০ হাজার ডলার। এই সংখ্যাগুলো আমরা মূল প্রতিবেদন থেকে নয়, ওই সারাংশ থেকে নিয়েছি।

খরচ কেন বাড়ছে

IBM-এর ভাষ্যে এই বৃদ্ধির পেছনে আছে ঘটনা শনাক্ত ও সামাল দেওয়ার খরচ এবং ব্যবসা হারানোর খরচ। প্রতিষ্ঠানটি জানাচ্ছে, মোট খরচের ৬৩ শতাংশই এই দুই খাতে যায়। অর্থাৎ ক্ষতির বড় অংশ চুরি হওয়া ডেটার দাম নয়, বরং ঘটনা বুঝতে দেরি হওয়া, সেবা ব্যাহত হওয়া আর গ্রাহকের আস্থা হারানো।

IBM-এর এক কর্মকর্তা বিষয়টিকে হামলার অর্থনীতির পরিবর্তন হিসেবে ব্যাখ্যা করেছেন: এআইয়ের কারণে হামলা দ্রুত ও সস্তা হচ্ছে, অথচ ফাঁসের খরচ বাড়ছেই। প্রতিবেদন বলছে, যারা নিরাপত্তায় ব্যাপকভাবে এআই ও অটোমেশন ব্যবহার করে, তাদের খরচ ব্যবহার না করা প্রতিষ্ঠানের চেয়ে গড়ে ১৯ লাখ ৩০ হাজার ডলার কম। তবু প্রতি চারটি প্রতিষ্ঠানের একটি এখনো এগুলো গ্রহণ করেনি। মনে রাখবেন, এটি একটি পারস্পরিক সম্পর্ক। যাদের অটোমেশন আছে, সাধারণত তাদের বাজেট ও নিরাপত্তা দলও বড়, তাই পুরো সাশ্রয়টা শুধু অটোমেশনের কৃতিত্ব, এমন বলা যায় না।

ফাঁসের অভিজ্ঞতার পর প্রতিষ্ঠানগুলো যা ভাবছে, সেটিও লক্ষ করার মতো। Ponemon-এর পরবর্তী এক জরিপে ৮৫ শতাংশ প্রতিষ্ঠান বলেছে, অত্যাধুনিক এআইয়ের সাইবার সক্ষমতার কথা জানার পর তারা নিরাপত্তা খরচ বাড়াবে। কিন্তু ফাঁকটা রয়ে গেছে দুর্বলতা সারানোর জায়গায়। ৫০ শতাংশের বেশি প্রতিষ্ঠান হুমকি শনাক্ত ও নিয়ন্ত্রণে এআই এজেন্ট ব্যবহার করলেও মাত্র ১৮ শতাংশ তা দুর্বলতা ব্যবস্থাপনায় ব্যবহার করে। অর্থাৎ জানা ত্রুটিও অনেক দিন খোলা থাকছে।

বাংলাদেশের বাস্তবতা

বাংলাদেশে ফাঁসের মোট আর্থিক ক্ষতির নির্ভরযোগ্য জাতীয় হিসাব আমরা পাইনি। কিন্তু ঘটনার অভাব নেই। The Business Standard জানিয়েছে, ২০২৫ সালের আগস্টে স্বপ্ন-এর গ্রাহক ডেটাবেসে হামলা হয়েছিল, হ্যাকাররা ১৫ লাখ ডলার দাবি করেছিল, আর পরে গ্রাহকদের তথ্য সামাজিক মাধ্যমে ছড়িয়েছে। The Daily Star-এর এক বিশ্লেষণ অনুযায়ী, প্রায় ১২ কোটি নাগরিকের তথ্য থাকা এনআইডি ব্যবস্থায় ১৭৪টি প্রতিষ্ঠান সরাসরি যুক্ত। একই লেখায় বলা হয়েছে, নির্বাচন কমিশন চলতি বছরের শুরুতে নিশ্চিত করেছে যে বৈধ অ্যাক্সেস থাকা পাঁচটি প্রতিষ্ঠান তৃতীয় পক্ষের কাছে ডেটা ফাঁস করেছে।

আমাদের চোখে, IBM যে দুর্বলতার কথা বলছে, এখানেও চেহারাটা অনেকটা তাই: সংযোগ করা এপিআই, দুর্বল অ্যাক্সেস নিয়ন্ত্রণ, আর অনেক অংশীদারের হাতে একই ডেটা।

আইনের দিকেও পরিবর্তন এসেছে। এপ্রিল ২০২৬-এ ব্যক্তিগত উপাত্ত সুরক্ষা আইন পাস হয়েছে। তবে ফাঁসের পর কাকে জানাতে হবে, তা নিয়ে সূত্রগুলো একমত নয়। The Daily Star-এর বিশ্লেষণ বলছে, আইনে বাধ্যতামূলক ব্রিচ নোটিফিকেশন নেই। অন্যদিকে Securiti-র সারাংশ বলছে, গুরুতর ক্ষতির আশঙ্কা থাকলে কর্তৃপক্ষকে জানাতে হবে, আর সময়সীমা ঠিক হবে বিধিমালায়। তাই নিজের বাধ্যবাধকতা বুঝতে আইনের মূল পাঠ ও বিধিমালা দেখে আইনজীবীর পরামর্শ নিন। আইন যা-ই বলুক, গ্রাহকের কাছে দ্রুত সত্য বলাটা আস্থার প্রশ্ন।

বাংলাদেশি প্রতিষ্ঠানের জন্য সাত শিক্ষা

• নিজের ডেটা চিনুন: কোন তথ্য কোথায় আছে, কারা দেখতে পারে, তার তালিকা ছাড়া সুরক্ষা সম্ভব নয়। ব্যাংক, এমএফএস, হাসপাতাল ও ই-কমার্সে এটি বিশেষভাবে জরুরি।
• এনক্রিপশন সম্পূর্ণ করুন: ডেটা সংরক্ষণ ও আদান-প্রদান, দুই ক্ষেত্রেই। বৈশ্বিক হার যদি ৩৭ শতাংশ হয়, তবে নিজের অবস্থান যাচাই করুন, অনুমানে নির্ভর করবেন না।
• পরিচয় ও অ্যাক্সেসকে অগ্রাধিকার দিন: বহু-স্তর যাচাই, ন্যূনতম অধিকার, আর পুরনো অ্যাকাউন্ট ও এপিআই কি নিয়মিত বাতিল করুন।
• অংশীদারদের ওপর নজর রাখুন: যে প্রতিষ্ঠান আপনার ডেটায় যুক্ত, তাদের চুক্তিতে নিরাপত্তা ও ঘটনা জানানোর শর্ত রাখুন।
• এআই ব্যবহারের নীতি লিখুন: কর্মীরা কোন টুলে কোন তথ্য দিতে পারবেন, তা পরিষ্কার করুন। Baker Donelson-এর সারাংশ অনুযায়ী, অনুমোদনহীন এআই ব্যবহারের ঘটনা ২০ থেকে বেড়ে ৪৩ শতাংশ হয়েছে।
• শনাক্তের সময় কমান: লগ রাখুন, সতর্কবার্তা কেউ দেখছেন কি না নিশ্চিত করুন। ছোট প্রতিষ্ঠান দামি টুল ছাড়াও ক্লাউড সেবার বিনামূল্যের লগ দিয়ে শুরু করতে পারে।
• মহড়া দিন: ঘটনা ঘটলে কে কী করবেন, গ্রাহকদের কী জানানো হবে, তা বছরে অন্তত একবার অনুশীলন করুন। IBM-এর হিসাবেও ক্ষতির বড় অংশ আসে ব্যবসা হারানো থেকে, আর প্রস্তুত না থাকলে সেই সময়টাই দীর্ঘ হয়।

সংখ্যার চেয়ে বড় বার্তা

এই প্রতিবেদনকে ভয়ের হিসাব হিসেবে না পড়াই ভালো। ৪৯ লাখ ৯০ হাজার ডলার আপনার প্রতিষ্ঠানের ভবিষ্যদ্বাণী নয়। তবে বড় বার্তাটা বেশ স্পষ্ট: যে প্রতিষ্ঠান দ্রুত ধরতে পারে, ডেটা গুছিয়ে রাখে আর অ্যাক্সেস নিয়ন্ত্রণ করে, সে অনেক কম মূল্য দেয়। আমাদের মতে বাংলাদেশের জন্য আসল প্রশ্ন আন্তর্জাতিক গড় নয়, বরং আমরা নিজেদের ক্ষতির হিসাব রাখা শুরু করব কবে। মাপা না গেলে সমস্যাটা বোর্ডরুমে গুরুত্বও পায় না।

সূত্র

• IBM Newsroom: One in Four Malicious Breaches are AI-Enabled
• The Business Standard: Retail chain Shwapno hit by customer data breach
• IBM X-Force: AI-powered adversaries and the enterprise risk challenge
• Baker Donelson: Ten Takeaways from IBM's 2026 Report
• The Daily Star: Why Bangladesh's new data protection law may fail to protect your data
• Securiti: Bangladesh Personal Data Protection Act overview