Cybersecurity কী — কী রক্ষা করছি, কার হাত থেকে আর কেন কঠিন

১ · নিরাপত্তা মানে কী — একজন মানুষ, একটি দোকান, একটি দেশ

সন্ধ্যায় বাড়ি ফেরার পথে আপনার ফোনে একটি বার্তা এল: অ্যাকাউন্ট বন্ধ হয়ে যাবে, এখনই যাচাই করুন। একই সময়ে পাড়ার এক দোকানির Facebook পেজ অন্য কারও হাতে চলে গেল। আর অন্য কোথাও একটি হাসপাতালের রোগীর নথি খোলা যাচ্ছে না। ঘটনা তিনটি আলাদা, কিন্তু প্রশ্ন একই: মূল্যবান কিছু কি ঠিক আছে, আর ঠিক না থাকলে আমরা কি জানতে পারব?

Cybersecurity বা সাইবার নিরাপত্তা হলো মানুষ, ডেটা, যন্ত্র আর ডিজিটাল সেবাকে ক্ষতি থেকে রক্ষা করার কাজ। শুধু ঠেকানো নয়, ক্ষতি হলে দ্রুত ধরা, সাড়া দেওয়া এবং আগের অবস্থায় ফেরাও এর অংশ। NIST-এর Cybersecurity Framework 2.0 (২০২৪) এই কাজকে ছয় ভাগে সাজিয়েছে: Govern, Identify, Protect, Detect, Respond, Recover. খেয়াল করুন, “Protect” ছয়টির মাত্র একটি।

একই শব্দের মানে আকার অনুযায়ী বদলায়:

দেশের পর্যায়ের ঝুঁকি কোনো কল্পকাহিনি নয়। প্রকাশিত প্রতিবেদন অনুযায়ী, ২০১৬ সালে ভুয়া আন্তর্জাতিক পেমেন্ট নির্দেশের মাধ্যমে বাংলাদেশ ব্যাংকের রিজার্ভ থেকে প্রায় ৮ কোটি ১০ লাখ ডলার সরিয়ে নেওয়া হয়। আর ২০২১ সালে যুক্তরাষ্ট্রের Colonial Pipeline ransomware ঘটনায় কোম্পানি সতর্কতা হিসেবে জ্বালানি পাইপলাইন কয়েক দিন বন্ধ রাখে। ডিজিটাল ঘটনার ফল আজ পেট্রল পাম্পের লাইনেও পৌঁছায়।

২ · কী রক্ষা করছি — পাঁচ ধরনের সম্পদ

যা হারালে, ফাঁস হলে বা বন্ধ হলে আপনার ক্ষতি হয়, তা-ই asset বা সম্পদ। প্রায় সব সম্পদ পাঁচটি দলে পড়ে:

লক্ষ করুন, email একটি সাধারণ account নয়। প্রায় সব account-এর password ফেরত আনার পথ email বা ফোন নম্বর। তাই এ দুটি হলো চাবির গোছা: এগুলো হারানো মানে বাকি অনেক কিছু হারানোর পথ খুলে যাওয়া।

এবার সম্পদের পাশে আরেকটি প্রশ্ন বসাই: এটি ক্ষতির কতটা নাগালে আছে? একে বলা যাক exposure. কোনো সম্পদ Internet থেকে পৌঁছানো গেলে, কয়েকজনে ভাগ করে ব্যবহার করলে, বাড়তি সুরক্ষা না থাকলে বা কপি না থাকলে exposure বাড়ে। আর বাইরে থেকে পৌঁছানো যায় এমন সব প্রবেশপথের যোগফলকে বলে attack surface. আপনি যত কম দরজা খোলা রাখবেন, পাহারা তত সহজ।

নিচে একটি কাল্পনিক মোবাইল-সামগ্রীর দোকানের ওয়ালেটের হিসাব ধাপে ধাপে দেখুন। প্রতিটি “হ্যাঁ” exposure ১ করে বাড়ায়। Score হলো মূল্য × exposure.

এবার পুরো দোকানের তালিকা চালিয়ে দেখুন। সব ডেটা কাল্পনিক, এবং কোডটি এই পাতার ভেতরেই চলে; কোথাও কোনো সংযোগ করে না। আপনি value বা ১/০ মান বদলে নিজের পরিবারের তালিকাও বসাতে পারেন।

// Toy inventory for a fictional shop. 1 = yes, 0 = no.
const flags = ['online', 'shared', 'noMfa', 'noBackup'];
const assets = [
  { name: 'Shop mobile wallet',   value: 5, online: 1, shared: 1, noMfa: 1, noBackup: 0 },
  { name: 'Facebook shop page',   value: 4, online: 1, shared: 1, noMfa: 1, noBackup: 0 },
  { name: 'Customer ledger file', value: 4, online: 0, shared: 1, noMfa: 0, noBackup: 1 },
  { name: 'Supplier email',       value: 3, online: 1, shared: 0, noMfa: 1, noBackup: 0 },
  { name: 'CCTV recorder',        value: 2, online: 1, shared: 1, noMfa: 1, noBackup: 1 },
  { name: 'Printed price list',   value: 1, online: 0, shared: 0, noMfa: 0, noBackup: 0 },
];
const exposure = a => 1 + flags.reduce((sum, f) => sum + a[f], 0);
const score = a => a.value * exposure(a);
const band = s => (s >= 15 ? 'HIGH' : s >= 8 ? 'MEDIUM' : 'LOW');
const total = list => list.reduce((sum, a) => sum + score(a), 0);

const ranked = [...assets].sort((x, y) => score(y) - score(x));
console.log('asset                  value exp score band');
for (const a of ranked) {
  console.log(a.name.padEnd(23) + String(a.value).padEnd(6) + String(exposure(a)).padEnd(4) +
              String(score(a)).padEnd(6) + band(score(a)));
}
console.log('Total exposure score: ' + total(assets));

const withMfa = assets.map(a => ({ ...a, noMfa: 0 }));
const first = [...withMfa].sort((x, y) => score(y) - score(x))[0];
console.log('After MFA on every account: ' + total(withMfa));
console.log('New top item: ' + first.name + ' = ' + score(first) + ' ' + band(score(first)));

৩ · কার হাত থেকে — প্রতিপক্ষকে চেনা

“হ্যাকার” শব্দটি দিয়ে সবাইকে এক করলে চিন্তা ঝাপসা হয়। যে ব্যক্তি বা দল ইচ্ছা করে ক্ষতি করতে পারে, তাকে বলে threat actor. আর threat শব্দটি আরও চওড়া: আগুন, বন্যা বা হার্ডডিস্ক নষ্ট হওয়াও threat. কিছু বইয়ে দুটি শব্দ মিশিয়ে লেখা হয়, তাই প্রসঙ্গ দেখে অর্থ বুঝতে হবে।

ভেতরের ঝুঁকির বড় অংশ বিদ্বেষ থেকে আসে না, আসে ভুল থেকে: ভুল ঠিকানায় ফাইল পাঠানো, ফেলে রাখা ল্যাপটপ, চলে যাওয়া কর্মীর access বন্ধ না করা। তাই “ভেতরের মানুষ” মানে সন্দেহ করা নয়, এমন ব্যবস্থা গড়া যেখানে একজনের ভুলে সব শেষ হয় না।

অপরাধের ধরনটিও বদলেছে। আজ অনেক কাজ চলে স্বয়ংক্রিয়ভাবে, লাখো লক্ষ্যের দিকে একসাথে। প্রতারক আপনাকে চেনে না, তার দরকারও নেই। বাজারের পকেটমার যেমন ভিড়ের মধ্যে যে পকেট আলগা সেটিই বেছে নেয়, সুযোগসন্ধানী অপরাধীও তেমনি। আবার social engineering, অর্থাৎ ভয় বা তাড়াহুড়ো কাজে লাগিয়ে মানুষকে ভুল সিদ্ধান্ত নেওয়ানো, প্রায় সব শ্রেণির হাতিয়ার। এর সবচেয়ে পরিচিত রূপ phishing: বিশ্বস্ত কেউ সেজে password বা code চাওয়া। আর সংগঠিত চক্রের প্রধান ব্যবসা হয়ে উঠেছে ransomware, যা ডেটা ব্যবহারের অযোগ্য করে মুক্তিপণ দাবি করে।

৪ · কেন কঠিন — একটি ফাঁক বনাম সবগুলো দরজা

মহল্লার পাহারাদারের কথা ভাবুন। তাঁকে সারারাত সব গলি দেখতে হয়। চোরের দরকার একটি অরক্ষিত জানালা, এক মুহূর্তের জন্য। এই অসমতাকে অনেক সময় বলা হয় defender's dilemma, রক্ষকের দ্বিধা।

অঙ্কে দেখা যাক। ধরুন প্রতিটি জিনিস ঠিক থাকার সম্ভাবনা p, জিনিস আছে nটি, আর একটির ভুল অন্যটিকে প্রভাবিত করে না। তাহলে:

একটি ছোট দোকানের পাঁচটি কাজ নিন, প্রতিটি ৯৫% ক্ষেত্রে ঠিক থাকে। “পরে” চাপলে একটি করে কাজ যোগ হবে। প্রতিটি কাজ আলাদাভাবে ভালোই আছে, তবু মোট ছবি বদলে যায়:

এবার বড় প্রতিষ্ঠানের হিসাব। নিচের কোড দুটি প্রশ্নের উত্তর দেয়: প্রতিটি জিনিস ৯৯% ঠিক থাকলে অন্তত একটি ফাঁকের সম্ভাবনা কত, আর মোট ঝুঁকি ১০%-এর নিচে রাখতে প্রতিটিকে কতটা নিখুঁত হতে হবে।

// Assumes each item fails independently (a simplification).
const reliability = 0.99;
const budget = 0.10;   // accept at most a 10% chance of any gap

console.log('items  P(at least one gap)  needed per item');
for (const n of [1, 10, 50, 100, 500]) {
  const gap = 1 - Math.pow(reliability, n);
  const needed = Math.pow(1 - budget, 1 / n);
  console.log(String(n).padEnd(7) + (gap * 100).toFixed(1).padStart(6) + '%' +
              ' '.repeat(14) + (needed * 100).toFixed(3) + '%');
}

আরও চারটি কারণ

৫ · নিরাপত্তা একটি চলমান কাজ — ঝুঁকি সামলানো

“আমাদের সিস্টেম এখন ১০০% নিরাপদ” কথাটি যিনি বলেন, তিনি হয় জানেন না, নয়তো কিছু বিক্রি করছেন। নতুন দুর্বলতা বের হয়, কর্মী বদলায়, সিস্টেম বদলায়। Bruce Schneier-এর বহুল উদ্ধৃত কথাটি হলো, নিরাপত্তা একটি প্রক্রিয়া, পণ্য নয়। পরিষ্কার বাড়ি যেমন একদিন ঝাড়ু দিয়ে চিরকাল পরিষ্কার থাকে না, নিরাপত্তাও তেমনি।

তিনটি শব্দ আলাদা করে নিই। পর্ব ২-এ এগুলো বিস্তারিত আসবে:

• Threat: যা ক্ষতি করতে পারে (পকেটমার)।
• Vulnerability: যে দুর্বলতা দিয়ে ক্ষতি সম্ভব (আলগা পকেট)।
• Risk: ক্ষতির সম্ভাবনা আর আকার মিলিয়ে হিসাব (এই ভিড়ে এই পকেট থেকে কত টাকা হারানোর আশঙ্কা)।

Risk-এর সংজ্ঞা সব জায়গায় এক নয়। অনেক সহজ বইয়ে লেখা হয় risk = সম্ভাবনা × প্রভাব। ISO 31000 বলে “উদ্দেশ্যের ওপর অনিশ্চয়তার প্রভাব”। NIST-এর SP 800-30 সম্ভাবনা আর প্রভাবের একটি ফাংশন হিসেবে দেখে। ধারণা কাছাকাছি, ভাষা আলাদা।

Risk management-এর চারটি সিদ্ধান্ত আছে: কমানো (MFA চালু), হস্তান্তর (বিমা বা চুক্তি), এড়ানো (ঝুঁকিপূর্ণ কাজটিই বন্ধ করা), আর মেনে নেওয়া (জেনে-বুঝে কিছু না করা)। কিছু না জেনে কিছু না করা মেনে নেওয়া নয়, সেটি অবহেলা।

টাকায় হিসাব: SLE, ARO আর ALE

পরীক্ষায় আর বাস্তবে একটি সরল সূত্র খুব চলে। SLE হলো একবার ঘটলে ক্ষতি, ARO হলো বছরে গড়ে কতবার ঘটে, আর ALE হলো বছরে প্রত্যাশিত গড় ক্ষতি:

দোকানের দুটি ঝুঁকি দেখি। সব টাকার অঙ্ক শেখার জন্য অনুমান করা, কোনো বাস্তব তথ্য নয়।

// All money figures are assumed teaching values in BDT.
const risks = [
  { name: 'Wallet takeover',  sle: 60000,  aro: 0.5,  sle2: 60000, aro2: 0.1,  cost: 2000 },
  { name: 'Ledger lost',      sle: 100000, aro: 0.2,  sle2: 10000, aro2: 0.2,  cost: 5000 },
  { name: 'Page takeover',    sle: 40000,  aro: 0.25, sle2: 40000, aro2: 0.05, cost: 0 },
  { name: 'CCTV replacement', sle: 5000,   aro: 0.1,  sle2: 1000,  aro2: 0.1,  cost: 8000 },
];
const results = risks.map(r => {
  const before = r.sle * r.aro, after = r.sle2 * r.aro2;
  return { ...r, before, after, net: before - after - r.cost };
}).sort((x, y) => y.net - x.net);

console.log('risk               ALE before  ALE after  cost   net benefit  decision');
let left = 0;
for (const r of results) {
  left += r.net > 0 ? r.after : r.before;
  console.log(r.name.padEnd(19) + String(Math.round(r.before)).padEnd(12) +
              String(Math.round(r.after)).padEnd(11) + String(r.cost).padEnd(7) +
              String(Math.round(r.net)).padEnd(13) + (r.net > 0 ? 'reduce' : 'accept'));
}
console.log('Expected yearly loss left after decisions: BDT ' + Math.round(left));

৬ · আপনার প্রথম চেকলিস্ট — পাঁচটি অভ্যাস

বড় তত্ত্বের আগে একটি বাস্তব কাজ। এই পাঁচটি অভ্যাস সুযোগসন্ধানী অপরাধের বড় অংশ ঠেকিয়ে দিতে পারে, আর খরচ প্রায় নেই।

এবার একটি কাল্পনিক ঘটনা ধরে দেখি। রুমা (কাল্পনিক) একটি অনলাইন দোকান চালান। নিচের ছবিতে বাঁ দিকে ক্ষতির শিকল, ডান দিকে যে অভ্যাস সেখানে শিকলটি ভাঙে। এখানে কৌশলের বিবরণ নেই, শুধু ধারণা।

এখনই নিজের জন্য টিক দিন। আজ সব না হলেও চলবে, তবে email দিয়ে শুরু করুন।

• একটি বিশ্বস্ত password manager নিয়েছি, প্রধান password লম্বা ও অনন্য, আর email ও ব্যাংকের password আলাদা
• Email, ফোনের account আর সোশ্যাল মিডিয়ায় MFA চালু; recovery code কাগজে নিরাপদে আছে
• ফোন, কম্পিউটার আর browser-এ স্বয়ংক্রিয় আপডেট চালু; মেয়াদোত্তীর্ণ অপারেটিং সিস্টেম নেই
• জরুরি ছবি আর ফাইলের অন্তত দুটি কপি আছে, একটি আলাদা জায়গায়; একটি ফাইল ফেরত এনে পরীক্ষা করেছি
• OTP আর PIN কাউকে বলি না; ভয়ের বার্তায় থেমে অফিসিয়াল নম্বরে নিজে যোগাযোগ করি

৭ · এই কোর্সের সীমারেখা — প্রতিরক্ষা, অনুমতি আর আইন

কোনো কিছু শেখার আগে নিয়মটি স্পষ্ট করে নেওয়া দরকার। পুরো কোর্স এই একটি মানদণ্ডে বাঁধা:

যুক্তরাষ্ট্রের Computer Fraud and Abuse Act (১৯৮৬), যুক্তরাজ্যের Computer Misuse Act (১৯৯০) আর বাংলাদেশসহ বহু দেশের সাইবার আইনে অনুমতি ছাড়া কম্পিউটারে প্রবেশ দণ্ডনীয়। বাংলাদেশের বর্তমান আইন, ধারা আর ব্যক্তিগত উপাত্তের বিধান পাবেন পর্ব ৬-এ (আইন আর নৈতিকতা — অনুমতি, দায়িত্বশীল প্রকাশ আর বাংলাদেশের আইন)। এই লেখা আইনি পরামর্শ নয়; নির্দিষ্ট পরিস্থিতিতে একজন আইনজীবীর সাথে কথা বলুন।

নিজের অনুশীলনের জন্য নিজের যন্ত্রে নিজের ছোট ল্যাব বানানোই নিরাপদ পথ। আর এই পাতার মতো সিমুলেটর তো আছেই। কোনো প্রতিষ্ঠান নিজে bug bounty (দুর্বলতা জানালে পুরস্কারের ব্যবস্থা) চালালে তার প্রকাশিত নিয়মের মধ্যে থাকলে সেটিও অনুমতি, তবে সীমা ঠিক সেটুকুই।

৮ · ১৩ মডিউলের মানচিত্র আর পেশার পথ

কোর্সে ৮০টি পর্ব, ১৩টি মডিউলে সাজানো। ছবিটি নিচ থেকে ওপরে পড়ুন: ভিত্তি থেকে হাতিয়ার, তারপর রক্ষার ক্ষেত্র, এরপর চালানো আর পরিচালনা, শেষে পুরোটা একসাথে।

যে পেশাগুলো এই পথে আসে

নিরাপত্তা মানে শুধু একটি কাজ নয়। নিচের ভূমিকাগুলোর নাম প্রতিষ্ঠানভেদে বদলায়। NIST SP 800-181 (NICE Framework) এই ধরনের কাজগুলোকে সাজানোর একটি সাধারণ ভাষা দেয়।

এখানে একটি ভিত্তির কথা বলে রাখি। নিরাপত্তা অন্য জ্ঞানের ওপর দাঁড়ায়: network, operating system, programming. তাই গভীরে যেতে network নিরাপত্তার মূলকথা আর OS নিরাপত্তা পাশে রাখতে পারেন। এই কোর্সে সেগুলোর দরকারি অংশ সংক্ষেপে মনে করিয়ে দেওয়া হবে।

৯ · AI-এর যুগে নিরাপত্তা শেখা

AI নিরাপত্তা শেখার চমৎকার সহায়ক: কঠিন ধারণা সহজ করে, log বুঝতে সাহায্য করে, কনফিগারেশন পর্যালোচনা করে। কিন্তু নিরাপত্তায় আত্মবিশ্বাসী ভুল উত্তর সাধারণ ভুলের চেয়ে বেশি বিপজ্জনক। AI-এর পরামর্শ তাই খসড়া, সিদ্ধান্ত নয়।

AI ব্যবহারের আগে আর পরে

• Prompt-এ আসল secret, password, token বা ব্যক্তিগত তথ্য নেই
• AI-এর উল্লেখ করা CVE, standard বা আইন মূল উৎসে নিজে পড়েছি
• পরামর্শটি কোনো যাচাই বন্ধ করছে না, অনুমতি অকারণে চওড়া করছে না
• পরিবর্তনটি নিজের ল্যাবে পরীক্ষা করেছি এবং diff লাইন ধরে পড়েছি
• মানুষের ওপর প্রভাব ফেলে এমন সিদ্ধান্ত একজন মানুষ নিয়েছেন
• যা করছি তা নিজের সিস্টেমে, অথবা লিখিত অনুমতি নিয়ে করছি