Cyber risk management — ঝুঁকির হিসাব, FAIR আর সিদ্ধান্ত

১ · “ঝুঁকি High” থেকে সিদ্ধান্তে

একটি কাল্পনিক অনলাইন দোকান ভাবুন। বছরে বিক্রি প্রায় ৬ কোটি টাকা, দলে ত্রিশ জন। মালিক জিজ্ঞেস করলেন, “নিরাপত্তায় আগামী বছর কত খরচ করব?” দায়িত্বপ্রাপ্ত প্রকৌশলী একটি লাল-হলুদ-সবুজ ছক দেখিয়ে বললেন, “Ransomware-এর ঝুঁকি High.” মালিক বললেন, “তাহলে দুই লাখ দিলে কি Medium হবে? নাকি দশ লাখ লাগবে?” এই প্রশ্নের উত্তর ছকটিতে নেই।

Risk management ঠিক এই ফাঁক পূরণ করে। এর কাজ ঝুঁকি শূন্য করা নয়। কাজ হলো জানা, কোন ঝুঁকি কতটা, কোনটি কমাবেন, আর কোনটি জেনে-বুঝে মেনে নেবেন। পর্ব ২-এ আপনি SLE, ARO আর ALE শিখেছেন: এক ঘটনার ক্ষতি, বছরে ঘটার হার, আর দুটির গুণফল। এই পর্বে সেই একক সংখ্যাকে আমরা অনিশ্চয়তাসহ একটি পূর্ণ ছবিতে নিয়ে যাব।

২ · প্রক্রিয়ার কাঠামো — ISO 31000, ISO/IEC 27005 আর NIST

নামগুলো অনেক, কিন্তু মূল চক্রটি প্রায় এক: প্রেক্ষাপট ঠিক করা, ঝুঁকি শনাক্ত করা, বিশ্লেষণ করা, মূল্যায়ন করা, ব্যবস্থা নেওয়া, আর নিয়মিত ফিরে দেখা। পার্থক্য হলো, কোন দলিল কোন স্তরে কাজ করে।

SP 800-37-এর Authorize ধাপটি খেয়াল করুন। মূলত মার্কিন ফেডারেল system-এর জন্য লেখা এই কাঠামোয় একজন দায়িত্বপ্রাপ্ত ঊর্ধ্বতন কর্মকর্তা বাকি ঝুঁকি মেনে নিয়ে system চালানোর অনুমতি দেন। অর্থাৎ ঝুঁকি মেনে নেওয়া এখানে নিরাপত্তা দলের গোপন কাজ নয়, একজন নামধারী মানুষের সিদ্ধান্ত। এই ধারণা আমরা ৯ম অংশে ব্যবহার করব।

এই দলিলগুলো গাণিতিক পদ্ধতি চাপিয়ে দেয় না। আপনি qualitative স্কেল বা টাকার হিসাব, যেকোনোটি বেছে নিতে পারেন। কাঠামোটি বলে কী করতে হবে, আর FAIR-এর মতো মডেল বলে কীভাবে মাপবেন। সংগঠনের সার্বিক নিরাপত্তা-শাসন আপনি পর্ব ৬৭ (নিরাপত্তা governance)-এ দেখেছেন, আর মান ও compliance আসছে পর্ব ৬৯-এ।

৩ · Appetite, tolerance আর কাজের risk register

Risk appetite হলো সার্বিক মনোভাব: লক্ষ্য অর্জনে প্রতিষ্ঠান কী ধরনের আর কতটা ঝুঁকি নিতে রাজি। Risk tolerance হলো সেই মনোভাবের মাপা সীমা। ISO Guide 73 (২০০৯), COSO আর NIST-এর শব্দচয়ন ঠিক এক নয়, তাই নতুন প্রতিষ্ঠানে আগে দেখে নিন, তারা শব্দ দুটি কোন অর্থে ব্যবহার করছে। এই পর্বে আমরা নিচের অর্থ নেব।

কাল্পনিক দোকানটির জন্য আমরা ঠিক এই সীমাই ধরে নিচ্ছি। সংখ্যাটি আকাশ থেকে আসে না। ৬ কোটি টাকার বিক্রির ব্যবসায় মালিক ঠিক করেছেন, ১ কোটি টাকার ধাক্কা ব্যবসা টিকিয়ে রাখা কঠিন করে দেবে।

যে register খাতায় পড়ে থাকে না

Risk register অনেক প্রতিষ্ঠানে একটি Excel ফাইল, যা audit-এর আগে খোলা হয়। কাজের register অফিসের রেজিস্টার খাতার মতো: প্রতিটি লাইন থেকে কারও কাজ বা সিদ্ধান্ত বের হয়। নিচের দুটি সারি তুলনা করুন।

ভালো register-এর চিহ্ন তিনটি। ঝুঁকি একটি স্পষ্ট দৃশ্য হিসেবে লেখা (কে, কীসের ওপর, কী ক্ষতি)। প্রতিটি সারির একজন ব্যবসায়িক owner আছেন, যাঁর সিদ্ধান্তের ক্ষমতা আছে। আর সারিগুলো নিয়মিত সভায় পড়া হয়, সেখান থেকে বাজেট আর কাজ বদলায়। NIST IR 8286 ধারার (২০২০ থেকে) দলিলগুলো এভাবেই নিরাপত্তার ঝুঁকিকে প্রতিষ্ঠানের সার্বিক ঝুঁকি ব্যবস্থাপনায় তোলার পরামর্শ দেয়।

৪ · Heat map-এর দুর্বলতা

Heat map বা risk matrix পর্ব ২-এ দেখেছেন। এটি দ্রুত, সহজ, আর আলোচনা শুরু করার জন্য ভালো। সমস্যা হয় যখন একে মাপযন্ত্র ভাবা হয়। Tony Cox তাঁর “What's Wrong with Risk Matrices?” (Risk Analysis, ২০০৮) প্রবন্ধে দেখান, matrix ভিন্ন ঝুঁকিকে এক ঘরে ফেলে, আর কখনো ছোট ঝুঁকিকে বড়টির চেয়ে ওপরে তোলে।

একটি ৩×৩ ছক নিন। Likelihood: Low মানে বছরে ০.১-এর কম, Medium মানে ০.১ থেকে ০.৫, High মানে ০.৫-এর বেশি। Impact: Low মানে ১০ লাখের কম, Medium মানে ১০ লাখ থেকে ১ কোটি, High মানে ১ কোটির বেশি। ছকের নিয়মে Low×High হলো Medium, আর High×Medium হলো High.

ক-এর গড় ক্ষতি খ-এর প্রায় ১২ গুণ, তবু ছকে খ ওপরে। গ আর ঘ এক রঙের, অথচ তাদের ফারাক প্রায় ৩৮ গুণ। এছাড়া “Medium likelihood” শব্দটি দুজন মানুষের কাছে ভিন্ন সংখ্যা বোঝায়। আর ছক যোগ করা যায় না: তিনটি Medium মিলে কত, কেউ বলতে পারেন না।

৫ · FAIR মডেল — ঝুঁকিকে দুই ভাগে ভাঙা

FAIR মানে Factor Analysis of Information Risk. Jack Jones ২০০৫ সালের দিকে এর প্রথম রূপ প্রকাশ করেন, পরে The Open Group একে Open FAIR মান হিসেবে নেয়। The Open Group ২০২৫ সালে O-RT 3.1 আর O-RA 2.1 সংস্করণের ঘোষণা দেয়; ব্যবহারের আগে সর্বশেষ সংস্করণ দেখে নিন। FAIR-এ risk হলো ভবিষ্যৎ ক্ষতির সম্ভাব্য হার আর পরিমাণ। তাই গাছটি প্রথমেই দুই ভাগে ভাঙে।

এবার দোকানের একটি ঝুঁকি, “ransomware-এ order system বন্ধ ও তথ্য ফাঁস”, ধাপে ধাপে গাছের ভেতর দিয়ে নিই। মানগুলো কাল্পনিক অনুমান, টাকার ঘর লাখে। এখানে প্রতিটি উপাদানের মাঝের মান নেওয়া হয়েছে।

1TEF  = 2.83        # per year2vuln = 0.1123LEF  = TEF * vuln4primary   = 15     # lakh5secondary = 0.4 * 246LM   = primary + secondary7risk = LEF * LM

৬ · একটি সংখ্যা নয়, range — calibrated অনুমান

ঢাকায় বাসা থেকে বিমানবন্দর যেতে কত সময় লাগে? “৪৫ মিনিট” বললে আপনি একটি সংখ্যা দিলেন, কিন্তু ফ্লাইট ধরার সিদ্ধান্ত হয় range দেখে: “৩৫ মিনিট থেকে দুই ঘণ্টা।” সাইবার ঝুঁকির অনুমানও এমনই। একক সংখ্যা ভুয়া নিশ্চয়তা দেখায়, range নিজের অজানাটুকু স্বীকার করে।

৯০% range মানে আপনি বিশ্বাস করেন, আসল মান ৯০% সম্ভাবনায় এই দুই সীমার মধ্যে। Calibrated estimate মানে এমন অনুমান, যার দাবি করা নিশ্চয়তা বাস্তবের সঙ্গে মেলে: আপনার একশোটি ৯০% range-এর প্রায় নব্বইটিতে আসল মান পড়বে। গবেষণায় বহুদিন ধরে দেখা গেছে, মানুষ স্বভাবে overconfident: Alpert ও Raiffa-র কাজ আর পরে Lichtenstein, Fischhoff ও Phillips (১৯৮২) ক্যালিব্রেশনের গবেষণায় তা দেখিয়েছেন। Hubbard ও Seiersen তাঁদের How to Measure Anything in Cybersecurity Risk (২০১৬) বইয়ে এই অনুশীলন সাইবার ঝুঁকিতে আনেন। সুসংবাদ হলো, অনুশীলন আর ফিডব্যাক দিয়ে এই দক্ষতা বাড়ে।

নিচের কোডে তিনজন কাল্পনিক অনুমানকারী দশটি প্রশ্নে ৯০% range দিয়েছেন। কোডটি গোনে, কতগুলো range আসল মান ধরতে পেরেছে। সত্যিই ৯০% ঠিক হলে এত কম মিল আসার সম্ভাবনা কত, তাও binomial সূত্রে হিসাব করে।

// Calibration check on toy estimates. Each person gave ten 90% ranges.
const truth = [14, 3, 120, 42, 7, 260, 18, 55, 9, 31];   // toy "real" answers
const people = {
  overconfident: [[10, 12], [2, 4], [100, 150], [20, 30], [6, 8],
                  [150, 200], [15, 20], [50, 60], [3, 5], [25, 28]],
  calibrated:    [[8, 25], [2, 6], [60, 200], [20, 60], [4, 15],
                  [100, 400], [10, 40], [30, 90], [5, 20], [35, 120]],
  uselessly_wide:[[0, 1000], [0, 1000], [0, 1000], [0, 1000], [0, 1000],
                  [0, 1000], [0, 1000], [0, 1000], [0, 1000], [0, 1000]],
};
const choose = (n, k) => { let c = 1; for (let i = 1; i <= k; i++) c = c * (n - k + i) / i; return c; };
// chance of k hits or fewer in n ranges if each truly has a 90% hit rate
const cumulative = (k, n = 10, p = 0.9) => {
  let sum = 0;
  for (let i = 0; i <= k; i++) sum += choose(n, i) * p ** i * (1 - p) ** (n - i);
  return sum;
};
const median = a => [...a].sort((x, y) => x - y)[Math.floor(a.length / 2)];
console.log('person          hits/10  P(this few|90%)  typical hi/lo');
for (const [name, ranges] of Object.entries(people)) {
  const hits = ranges.filter(([lo, hi], i) => truth[i] >= lo && truth[i] <= hi).length;
  const widths = ranges.map(([lo, hi]) => lo > 0 ? hi / lo : Infinity);
  const w = median(widths);
  console.log(name.padEnd(15) + String(hits).padStart(5) + (cumulative(hits) * 100).toFixed(2).padStart(13) + '%'
    + (w === Infinity ? 'no lower bound' : w.toFixed(1)).padStart(16));
}

ডেটা কোথা থেকে আসবে

• নিজের রেকর্ড: ticket, incident log, phishing রিপোর্ট, বন্ধ থাকার সময়, restore পরীক্ষার ফল।
• বিশেষজ্ঞ: দু-তিনজনের আলাদা অনুমান, তারপর আলোচনা। শুধু একজনের অনুমান নয়।
• বাইরের প্রতিবেদন: শিল্পের রিপোর্ট ইঙ্গিত দেয়, তবে তা অন্য দেশ বা আকারের প্রতিষ্ঠানের হতে পারে। উৎস আর বছর register-এ লিখে রাখুন।

৭ · Monte Carlo আর loss exceedance curve

Range হাতে এলে একটি সমস্যা থাকে: range গুণ করবেন কীভাবে? উত্তর হলো Monte Carlo simulation: হাজার হাজার কাল্পনিক বছর চালানো। প্রতিটি বছরে range থেকে এলোমেলো মান তোলা হয়, ঘটনা ঘটে কি না দেখা হয়, আর ক্ষতি যোগ হয়। পদ্ধতিটির শুরু ১৯৪০-এর দশকে Los Alamos-এ, Ulam ও von Neumann-এর হাতে। ধারণাটি লুডোর ছক্কার মতো: হাজারবার চাললে কোন ফল কত ঘন ঘন আসে, তা নিজে থেকেই দেখা যায়।

তিনটি উপাদান লাগে।

• Range থেকে মান তোলা: আমরা lognormal distribution নিচ্ছি। ৯০% range lo থেকে hi হলে μ = (ln lo + ln hi) / 2 আর σ = (ln hi − ln lo) / (2 × 1.645). Open FAIR-এর সরঞ্জামে প্রায়ই PERT distribution ব্যবহৃত হয়; ধারণাটি একই।
• ঘটনার সংখ্যা: বছরে কতটি ঘটনা হবে, তা Poisson distribution থেকে আসে। হার λ হলে শূন্য ঘটনার সম্ভাবনা e^(−λ).
• মোট ক্ষতি: প্রতিটি ঘটনার জন্য LM তুলে যোগ করা। সব শেষে বছরগুলো সাজিয়ে percentile পড়া। P90 মানে ৯০% বছরে ক্ষতি এর চেয়ে কম বা সমান।

নিচের কোড দোকানের ঝুঁকির তিনটি ৯০% range নেয়: TEF ১ থেকে ৮, vulnerability ০.০৫ থেকে ০.২৫, এক ঘটনার ক্ষতি ৫ লাখ থেকে ১.২ কোটি। শেষের range-এ primary আর secondary একসাথে ধরা হয়েছে, কোড ছোট রাখার জন্য। Seed বাঁধা, তাই প্রতিবার একই ফল আসবে।

// FAIR-like Monte Carlo for one toy risk. All numbers are assumed.
function mulberry32(a) { return () => {
  a = (a + 0x6D2B79F5) | 0; let t = Math.imul(a ^ (a >>> 15), 1 | a);
  t = (t + Math.imul(t ^ (t >>> 7), 61 | t)) ^ t;
  return ((t ^ (t >>> 14)) >>> 0) / 4294967296; }; }
const rnd = mulberry32(68);
const normal = () => Math.sqrt(-2 * Math.log(1 - rnd())) * Math.cos(2 * Math.PI * rnd());
// lognormal from a 90% range: lo and hi are the 5th and 95th percentiles
const fromRange = (lo, hi) => Math.exp((Math.log(lo) + Math.log(hi)) / 2
  + normal() * (Math.log(hi) - Math.log(lo)) / (2 * 1.645));
function poisson(mean) { let n = 0, p = rnd(); const L = Math.exp(-mean);
  while (p > L) { n++; p *= rnd(); } return n; }

const YEARS = 20000, lakh = 100000, losses = [];
let eventYears = 0;
for (let y = 0; y < YEARS; y++) {
  const tef = fromRange(1, 8);                     // threat events per year
  const vuln = Math.min(1, fromRange(0.05, 0.25)); // chance one becomes a loss
  const events = poisson(tef * vuln);              // LEF = TEF x vulnerability
  let total = 0;
  for (let e = 0; e < events; e++) total += fromRange(5 * lakh, 120 * lakh);
  if (events > 0) eventYears++;
  losses.push(total);
}
losses.sort((a, b) => a - b);
const pct = p => losses[Math.floor(p / 100 * YEARS)];
const show = v => (v / lakh).toFixed(1).padStart(7) + ' lakh';
const mean = losses.reduce((s, v) => s + v, 0) / YEARS;
console.log('simulated years  :', YEARS);
console.log('years with a loss:', (100 * eventYears / YEARS).toFixed(1) + '%');
console.log('mean (ALE-like)  :', show(mean));
for (const p of [50, 90, 95, 99]) console.log(`P${p}              :`, show(pct(p)));

Loss exceedance curve

Loss exceedance curve (LEC) একটি প্রশ্নের উত্তর দেয়: “বছরে অন্তত এত টাকা ক্ষতির সম্ভাবনা কত?” এটি ঝুঁকির পুরো চেহারা এক ছবিতে দেখায়, আর tolerance-এর সঙ্গে সরাসরি মেলানো যায়। নিচের কোড আগের মতো একই সিমুলেশন থেকে সারণি বানায় আর ১ কোটির tolerance যাচাই করে।

// Loss exceedance table for the same toy risk.
function mulberry32(a) { return () => {
  a = (a + 0x6D2B79F5) | 0; let t = Math.imul(a ^ (a >>> 15), 1 | a);
  t = (t + Math.imul(t ^ (t >>> 7), 61 | t)) ^ t;
  return ((t ^ (t >>> 14)) >>> 0) / 4294967296; }; }
const rnd = mulberry32(68);
const normal = () => Math.sqrt(-2 * Math.log(1 - rnd())) * Math.cos(2 * Math.PI * rnd());
const fromRange = (lo, hi) => Math.exp((Math.log(lo) + Math.log(hi)) / 2
  + normal() * (Math.log(hi) - Math.log(lo)) / (2 * 1.645));
function poisson(mean) { let n = 0, p = rnd(); const L = Math.exp(-mean);
  while (p > L) { n++; p *= rnd(); } return n; }

const YEARS = 20000, lakh = 100000, losses = [];
for (let y = 0; y < YEARS; y++) {
  const lef = fromRange(1, 8) * Math.min(1, fromRange(0.05, 0.25));
  let total = 0, events = poisson(lef);
  while (events-- > 0) total += fromRange(5 * lakh, 120 * lakh);
  losses.push(total);
}
const exceed = x => losses.filter(v => v > x).length / YEARS;
const TOLERANCE = { loss: 100, chance: 0.03 };     // 1 crore, at most 3%
console.log('loss above   chance   about 1 year in   bar');
for (const x of [1, 5, 10, 25, 50, 100, 200, 400]) {
  const p = exceed(x * lakh);
  const bar = '#'.repeat(Math.round(p * 100 / 2));
  console.log(String(x).padStart(4) + ' lakh  ' + (p * 100).toFixed(1).padStart(5) + '%   '
    + (1 / p).toFixed(0).padStart(8) + '          ' + bar);
}
const p = exceed(TOLERANCE.loss * lakh);
console.log(`tolerance: chance above ${TOLERANCE.loss} lakh must be <= 3%`);
console.log(`result   : ${(p * 100).toFixed(1)}% -> ${p <= TOLERANCE.chance ? 'inside' : 'OUTSIDE'} tolerance`);

x-অক্ষ : বছরে মোট ক্ষতি (যত ডানে, তত বেশি)
y-অক্ষ : এর চেয়ে বেশি ক্ষতির সম্ভাবনা
ডানে গেলে রেখা সব সময় নামে

loss > 25 lakh    19.2%
loss > 50 lakh    11.2%
loss > 100 lakh    4.6%

১০% সম্ভাবনার রেখা ধরে ডানে যান
P90 = 55.8 lakh
অর্থাৎ দশ বছরে এক বছর এর চেয়ে খারাপ

সীমা : 1 crore-এর বেশি  → সর্বোচ্চ 3.0%
এখন : 1 crore-এর বেশি  → 4.6%
ফল  : রেখা সীমার ওপরে, ব্যবস্থা দরকার

            এখন     A আর B-র পরে
> 25 lakh   19.2%    5.4%
> 50 lakh   11.2%    2.0%
> 1 crore    4.6%    0.4%
> 2 crore    1.2%    0.1%

৮ · Control, ROSI, বিমা আর concentration

পর্ব ২-এ ROSI শিখেছেন: (কমানো ঝুঁকি − খরচ) / খরচ. এবার একই হিসাব সিমুলেশনে করব, যাতে গড়ের পাশাপাশি খারাপ বছরও দেখা যায়। দোকানের সামনে পাঁচটি বিকল্প। A হলো MFA আর patching, যা vulnerability অর্ধেক করে। B হলো immutable backup আর restore মহড়া (পর্ব ৩৪), যা এক ঘটনার ক্ষতি অর্ধেক করে। C হলো দুটি একসাথে। D হলো ২৪ ঘণ্টা monitoring সেবা। E হলো cyber insurance. সব খরচ আর প্রভাব অনুমিত, লাখ টাকায়।

// Compare options on the SAME simulated years (common random numbers).
function mulberry32(a) { return () => {
  a = (a + 0x6D2B79F5) | 0; let t = Math.imul(a ^ (a >>> 15), 1 | a);
  t = (t + Math.imul(t ^ (t >>> 7), 61 | t)) ^ t;
  return ((t ^ (t >>> 14)) >>> 0) / 4294967296; }; }
const rnd = mulberry32(68), L = 100000, YEARS = 20000;
const normal = () => Math.sqrt(-2 * Math.log(1 - rnd())) * Math.cos(2 * Math.PI * rnd());
const fromRange = (lo, hi) => Math.exp((Math.log(lo) + Math.log(hi)) / 2
  + normal() * (Math.log(hi) - Math.log(lo)) / (2 * 1.645));
function poisson(m) { let n = 0, p = rnd(); const e = Math.exp(-m);
  while (p > e) { n++; p *= rnd(); } return n; }
const years = Array.from({ length: YEARS }, () => Array.from(
  { length: poisson(fromRange(1, 8) * Math.min(1, fromRange(0.05, 0.25))) },
  () => ({ keep: rnd(), loss: fromRange(5 * L, 120 * L) })));
const options = [ // vuln and mag multiply the risk; retain and limit are insurance terms
  { name: 'no new control',  cost: 0 },
  { name: 'A MFA+patching',  cost: 2.5 * L, vuln: 0.5 },
  { name: 'B backup drills', cost: 1.8 * L, mag: 0.5 },
  { name: 'C A and B',       cost: 4.3 * L, vuln: 0.5, mag: 0.5 },
  { name: 'D monitoring',    cost: 9 * L,   vuln: 0.8, mag: 0.7 },
  { name: 'E insurance',     cost: 20 * L,  retain: 5 * L, limit: 100 * L } ];
function run({ vuln = 1, mag = 1, retain = 0, limit = 0 }) {
  const out = years.map(evts => evts.filter(e => e.keep < vuln).reduce((sum, e) => {
    const v = e.loss * mag;
    return sum + v - Math.min(Math.max(0, v - retain), limit); }, 0)).sort((a, b) => a - b);
  return { mean: out.reduce((s, v) => s + v, 0) / YEARS, p99: out[Math.floor(0.99 * YEARS)],
    over: out.filter(v => v > 100 * L).length / YEARS }; }
const base = run({}), f = (v, w = 7) => (v / L).toFixed(1).padStart(w);
console.log('option           cost   mean    P99  >1cr    net   ROSI');
for (const o of options) {
  const r = run(o), net = base.mean - r.mean - o.cost;
  console.log(o.name.padEnd(15) + f(o.cost, 6) + f(r.mean) + f(r.p99) + (r.over * 100).toFixed(1).padStart(5)
    + '%' + f(net) + (o.cost ? (100 * net / o.cost).toFixed(0).padStart(6) + '%' : '      -'));
}

ROSI-র সীমা

• শতাংশে ফাঁদ: ছোট খরচে ROSI বড় দেখায়। বাজেট বাছাইয়ে নিট লাভ আর tolerance দুটিই দেখুন।
• অনুমানের ওপর অনুমান: “vulnerability অর্ধেক হবে” নিজেই একটি অনুমান, তাই একেও range-এ ধরা উচিত।
• গড়ের পক্ষপাত: ROSI গড় দেখে। লেজের ঝুঁকি কমানোর মূল্য এতে ধরা পড়ে না, যেমন বিমায়।
• না-ধরা সুফল: আইন মানা, চুক্তি পাওয়া বা আস্থা অনেক সময় টাকায় মাপা কঠিন।

Cyber insurance — যা কিনছেন আর যা কিনছেন না

বিমা ঘটনা কমায় না, ক্ষতির একটি অংশ অন্যের কাঁধে দেয়। এটি risk transfer. বিমা প্রতিষ্ঠানকে খরচ মিটিয়ে লাভও করতে হয়, তাই প্রিমিয়াম সাধারণত গড় প্রত্যাশিত দাবির চেয়ে বেশি। ওপরের কোডে বিমায় গড়ে ১৩ লাখ ফেরে, আর প্রিমিয়াম ধরা হয়েছে ২০ লাখ। তাই ROSI ঋণাত্মক হওয়াই স্বাভাবিক। মানুষ এরপরও বিমা কেনেন, কারণ বড় ধাক্কা টিকে থাকার ক্ষমতা ছাড়িয়ে যেতে পারে।

শর্ত চুক্তি আর দেশভেদে অনেক আলাদা, আর বাজার দ্রুত বদলায়। এটি বিমা বা আইনি পরামর্শ নয়। আপনার চুক্তিটি আইনজীবী ও বিমা-পরামর্শকের সঙ্গে পড়ুন, আর মুক্তিপণ দেওয়ার প্রশ্নটি পর্ব ৩৪-এ, সাধারণ আইনি দিক পর্ব ৬-এ দেখুন।

Concentration risk আর তৃতীয় পক্ষ

এতক্ষণ আমরা একটি ঝুঁকিকে আলাদা করে দেখেছি। কিন্তু দোকানের payment, courier, hosting আর SMS যদি একই সেবাদাতার ওপর নির্ভর করে, তাহলে একটি ব্যর্থতায় সব একসাথে থামে। মহল্লার সব বাড়ি এক ট্রান্সফরমারে চললে সেটি পুড়লে সবাই অন্ধকারে। দুটি ঝুঁকিকে স্বাধীন ধরে যোগ করলে এমন একসাথে-ঘটা বছরগুলো কম গণ্য হয়, তাই লেজটি কম দেখায়।

ঝুঁকি হামলা ছাড়াও আসতে পারে। ২০২৪ সালের জুলাইয়ে CrowdStrike-এর একটি ত্রুটিপূর্ণ update-এ বিশ্বজুড়ে বহু Windows machine থেমে যায়, এটি প্রকাশিত তথ্যমতে হামলা ছিল না। আপনার করণীয়: কোন সেবার ওপর কতটা নির্ভর করেন তার মানচিত্র রাখা, সবচেয়ে বড় নির্ভরতাগুলোর বিকল্প পরিকল্পনা রাখা, আর ঐ সেবা বন্ধ হওয়াকে একটি আলাদা দৃশ্য হিসেবে register-এ তোলা। সরবরাহকারীর যাচাই ও চুক্তি নিয়ে বিস্তারিত পর্ব ৭১-এ।

৯ · হিসাবের ফাঁদ, নেতৃত্বের টেবিল আর risk acceptance

পরিমাণগত হিসাবের ফাঁদ

False precision: “ক্ষতি ১৭,২৩,৪১৮ টাকা” লিখলে মনে হয় মেপে পাওয়া। আসলে উৎস তিনটি অনুমান। “প্রায় ১৭ লাখ, অনুমান-নির্ভর” লিখুন।

Fat tail: খুব বড় ঘটনা সাধারণ ঘণ্টাকৃতি ছকের চেয়ে অনেক বেশি সম্ভব। তথ্য ফাঁসের আকার নিয়ে Maillart ও Sornette (২০১০) আর Edwards, Hofmeyr ও Forrest (২০১৬) ভারী-লেজের ছবি দেখিয়েছেন, যদিও ঠিক কোন distribution মেলে, তা নিয়ে মতভেদ আছে। আমাদের মডেলে শুধু এক ঘটনার ক্ষতির ওপরের সীমা ১.২ কোটি থেকে ৩ কোটি করলে গড় প্রায় ১৭ লাখ থেকে ৩৭ লাখ হয়, P99 প্রায় ২.১ কোটি থেকে ৫.৩ কোটি হয়, আর ১ কোটি ছাড়ানোর সম্ভাবনা ৪.৬% থেকে ১০.৪% হয়। একটি মাত্র অনুমানের প্রভাব এত বড়। তাই ক্ষতির উপরের সীমা নিয়ে সবচেয়ে বেশি প্রশ্ন করুন।

অন্য ফাঁদ: এক ক্ষতি দুই ঝুঁকিতে গোনা; পুরোনো অনুমান ফেলে রাখা; মডেলে যা নেই তা “ঝুঁকি নেই” ভাবা; আর সংখ্যা দিয়ে আগে নেওয়া সিদ্ধান্তের পক্ষে সাফাই গাওয়া। প্রতিবার sensitivity check করুন: কোন অনুমান বদলালে সিদ্ধান্ত উল্টে যায়?

কাল্পনিক দোকানের পূর্ণ সিদ্ধান্ত

নেতৃত্ব কারিগরি শব্দ চান না, চান সিদ্ধান্ত। CVSS, FAIR বা P99-এর সংজ্ঞা নয়, বলুন কী ঘটতে পারে, কতটা, কী বিকল্প, আর তাঁদের কী করতে হবে। পুরো হিসাবটি এক পাতায়:

ঝুঁকি      : Ransomware-এ order system ও গ্রাহক database বন্ধ, তথ্য ফাঁস
অনুমান     : বছরে ১–৮টি চেষ্টা; ৫–২৫% সফল; প্রতি ঘটনায় ৫ লাখ–১.২ কোটি
এখন        : ~৩ বছরে ১ বছর ক্ষতি; গড়ে ~১৭ লাখ/বছর
খারাপ বছর  : দশে এক বছরে ~৫৬ লাখের বেশি
আমাদের সীমা: ১ কোটির বেশি ক্ষতির সম্ভাবনা ≤ ৩%
ফল         : ৪.৬%, সীমার বাইরে
প্রস্তাব   : A + B, বছরে ~৪.৩ লাখ; সম্ভাবনা নামবে ~০.৪%, গড় ~৪ লাখ
বিমা       : A + B-র পরে নতুন quote নিয়ে আবার দেখা হবে
অনিশ্চয়তা : ক্ষতির উপরের সীমা সবচেয়ে সংবেদনশীল; ৩ মাসে আবার দেখা
চাই        : বাজেট অনুমোদন আর পরিচালন প্রধানকে owner মনোনয়ন

Risk acceptance — owner আর মেয়াদসহ

Risk acceptance বৈধ একটি সিদ্ধান্ত, যদি তা জেনে-বুঝে নেওয়া হয়। দোকানের পুরোনো admin panel-এ MFA বসাতে সরবরাহকারীর upgrade লাগবে, যা চার মাস পরে আসবে। তাই A আপাতত আটকে গেল, কিন্তু B হয়ে গেছে। মালিক কি এই চার মাসের ঝুঁকি মেনে নেবেন? নিচের ধাপগুলো দেখুন। আগের পর্ব ৩২-এর risk exception এরই একটি রূপ।

১০ · AI-এর যুগে ঝুঁকির হিসাব

AI একটি risk register খসড়া করতে, FAIR-এর উপাদানে দৃশ্য ভাঙতে, আর প্রতিবেদন সহজ করতে ভালো সাহায্য করে। বিপদ হলো, সে আত্মবিশ্বাসী গলায় সংখ্যা বানাতে পারে। “গড়ে একটি breach-এ এত টাকা” বলে যে উৎস দেখাবে, তা ভুয়া হতে পারে, অথবা অন্য দেশের অন্য আকারের প্রতিষ্ঠানের হতে পারে।

AI-এর উত্তর ব্যবহারের আগে চেকলিস্ট

• প্রতিটি পরিসংখ্যান আর মানের নাম মূল উৎসে মিলিয়েছি
• অনুমানগুলো আমাদের আসল রেকর্ডের সঙ্গে তুলনা করেছি
• সিমুলেশনের কোড নিজে পড়েছি আর চালিয়েছি
• Prompt-এ কোনো secret, গ্রাহকের তথ্য বা গোপন চুক্তি দিইনি
• মানুষের ওপর প্রভাব ফেলে এমন সিদ্ধান্ত একজন মানুষ নিয়েছেন