देश की शीर्ष साइबर सुरक्षा एजेंसी ने एक बड़ी सुरक्षा घटना के दौरान अंधाधुंध उड़ान भरने की बात स्वीकार की। साइबर सुरक्षा और बुनियादी ढांचा सुरक्षा एजेंसी ने खुलासा किया कि उसे तुरंत अपनी घटना प्रतिक्रिया प्लेबुक बनानी थी, यह स्वीकार करते हुए कि उसने पहले से तैयारी करने का एक महत्वपूर्ण अवसर “चूक” दिया। यह स्वीकारोक्ति सरकारी साइबर सुरक्षा तत्परता पर गंभीर सवाल उठाती है क्योंकि एजेंसियों को तेजी से परिष्कृत खतरों का सामना करना पड़ रहा है।
सीआईएसएजिस संघीय एजेंसी पर अमेरिका के महत्वपूर्ण बुनियादी ढांचे को साइबर खतरों से बचाने का आरोप है, उसने एक असुविधाजनक सच्चाई का खुलासा किया – उसे प्लेबुक तब लिखनी थी जब खेल पहले से ही चल रहा था।
एजेंसी की स्पष्ट स्वीकारोक्ति कि उसके पास एक सक्रिय सुरक्षा कार्यक्रम के दौरान उचित घटना प्रतिक्रिया योजना का अभाव था, एक सरकारी संगठन की ओर से पारदर्शिता का एक दुर्लभ क्षण है जो आमतौर पर अपने आंतरिक संचालन के बारे में चुप्पी साधे रहता है। के अनुसार टेकक्रंच की रिपोर्टिंगसीआईएसए ने स्वीकार किया कि वह पहले से ही प्रतिक्रिया प्रक्रियाओं को स्थापित करने में विफल रहने के कारण सुरक्षा घटना से आगे निकलने के लिए एक महत्वपूर्ण अवसर “चूक” गया।
समय इससे अधिक अजीब नहीं हो सकता। सीआईएसए ने खुद को घटना प्रतिक्रिया की सर्वोत्तम प्रथाओं के लिए संसाधन के रूप में स्थापित करने, विस्तृत मार्गदर्शन दस्तावेज़ प्रकाशित करने और आपदाओं से पहले व्यापक प्लेबुक तैयार करने के लिए सभी क्षेत्रों के संगठनों से आग्रह करने में वर्षों बिताए हैं। अब यह पता चला है कि एजेंसी अपनी ही सलाह का पालन नहीं कर रही थी।
उद्यम सुरक्षा टीमों के लिए जो इस घटना को देख रही हैं, इसके निहितार्थ बहुत गहरे हैं। यदि देश की साइबर सुरक्षा क्वार्टरबैक ने अपने नाटकों को याद नहीं किया है, तो यह महत्वपूर्ण बुनियादी ढांचे को प्रभावित करने वाली प्रमुख घटनाओं के दौरान समन्वय के बारे में क्या कहता है? सीआईएसए नियमित रूप से ऊर्जा ग्रिड से लेकर जल प्रणालियों से लेकर वित्तीय नेटवर्क तक हर चीज पर हमलों की प्रतिक्रिया का समन्वय करता है।
एजेंसी ने इस बारे में विशिष्ट विवरण का खुलासा नहीं किया है कि किस घटना के कारण उसे तात्कालिक प्रतिक्रिया देनी पड़ी, लेकिन केवल स्वीकारोक्ति ही आंतरिक मान्यता का संकेत देती है कि कुछ गंभीर रूप से गलत हुआ है। साइबर सुरक्षा घटना प्रतिक्रिया की उच्च जोखिम वाली दुनिया में, उड़ान भरते समय विमान का निर्माण करना न केवल अक्षम है – यह संभावित रूप से विनाशकारी है।
साइबर सुरक्षा विशेषज्ञों ने लंबे समय से तैयारी के सुसमाचार का प्रचार किया है। टेबलटॉप अभ्यास, दस्तावेज़ीकृत रनबुक, कमांड की स्पष्ट श्रृंखला – ये वैकल्पिक अतिरिक्त नहीं बल्कि मूलभूत आवश्यकताएं हैं। सक्रिय उल्लंघन के दौरान कौन क्या करता है, यह पता लगाने में बिताया गया प्रत्येक मिनट हमलावर अपने पैर जमाने, डेटा को बाहर निकालने या क्षति पहुंचाने के लिए उपयोग करता है।
यह खुलासा सीआईएसए की आंतरिक प्रक्रियाओं और संसाधन आवंटन पर भी सवाल उठाता है। एजेंसी होमलैंड सिक्योरिटी विभाग के तहत काम करती है और साइबर खतरों के बढ़ने के कारण इसकी जिम्मेदारियां बढ़ गई हैं। रैंसमवेयर गिरोहों, राष्ट्र-राज्य जासूसी अभियानों और हैक्टिविस्टों के बीच, सीआईएसए सालाना हजारों घटनाओं पर प्रतिक्रियाओं का समन्वय करता है।
लेकिन अन्य संगठनों को प्रभावित करने वाली घटनाओं पर प्रतिक्रिया देने और अपने स्वयं के सुरक्षा संकट का प्रबंधन करने के बीच अंतर है। स्वीकारोक्ति से पता चलता है कि सीआईएसए हर किसी की मदद करने पर इतना केंद्रित हो सकता है कि उसने अपनी तत्परता की स्थिति को नजरअंदाज कर दिया – निजी क्षेत्र में भी एक आम जाल जहां सुरक्षा दल अक्सर अपने सिस्टम को छोड़कर सब कुछ सुरक्षित करते हैं।
जो बात इसे विशेष रूप से उल्लेखनीय बनाती है वह एजेंसी की गलती को सार्वजनिक रूप से स्वीकार करने की इच्छा है। सरकारी हलकों में, परिचालन विफलताओं को स्वीकार करना शायद ही कभी होता है, खासकर राष्ट्रीय सुरक्षा से सटे क्षेत्रों में। सीआईएसए सीखे गए इस आंतरिक सबक को शांत रख सकता था। इसके बजाय, प्रकटीकरण से पता चलता है कि नेतृत्व आंतरिक और व्यापक साइबर सुरक्षा समुदाय दोनों के लिए शिक्षण क्षण को पहचानता है।
उद्यम परिवेश में सीआईएसओ और सुरक्षा नेताओं के लिए, सीआईएसए का अनुभव इस बात को पुष्ट करता है कि कई लोगों ने कठिन तरीके से क्या सीखा – शेयरपॉइंट पर धूल जमा करने वाली घटना प्रतिक्रिया योजनाओं की कोई गिनती नहीं है। प्लेबुक को नियमित परीक्षण, अद्यतन करने की आवश्यकता है, और सबसे महत्वपूर्ण बात यह है कि टीम को वास्तव में यह जानना होगा कि यह मौजूद है और दबाव में इसे कैसे क्रियान्वित करना है।
यह स्वीकारोक्ति साइबर सुरक्षा में एक सतत चुनौती पर भी प्रकाश डालती है: यह जानने के बीच कि क्या किया जाना चाहिए और वास्तव में इसे करने के बीच का अंतर है। प्रत्येक सुरक्षा पेशेवर घटना प्रतिक्रिया योजना के महत्व को समझता है। फिर भी समय सीमा, प्रतिस्पर्धी प्राथमिकताएं और संसाधन की कमी का मतलब है कि ये मूलभूत कार्य अक्सर “अगली तिमाही” में धकेल दिए जाते हैं।
सीआईएसए का अनुभव एक हाई-प्रोफाइल अनुस्मारक के रूप में कार्य करता है कि अंततः, अगली तिमाही में बहुत देर हो जाती है। जब कोई घटना घटती है, तो प्रक्रियाओं का मसौदा तैयार करने या निर्णय वृक्षों पर बहस करने के लिए कोई विराम बटन नहीं होता है। टीमें या तो एक अभ्यास योजना पर अमल करती हैं या सबसे खराब परिस्थितियों में किसी योजना का आविष्कार करने के लिए संघर्ष करती हैं।
एक सक्रिय संकट के दौरान अपनी घटना पुस्तिका के निर्माण की सीआईएसए की सार्वजनिक स्वीकृति हर स्तर पर संगठनों के लिए एक गंभीर सबक प्रदान करती है। जिस एजेंसी को अमेरिका के महत्वपूर्ण बुनियादी ढांचे की सुरक्षा का काम सौंपा गया था, उसने यह साबित कर दिया कि विशेषज्ञ भी यह जानने के बीच कि क्या करना है और वास्तव में इसे करने के लिए तैयार हैं, तैयारी के अंतर का शिकार हो सकते हैं। हर जगह सुरक्षा टीमों के लिए, संदेश स्पष्ट है – आपकी घटना प्रतिक्रिया प्लेबुक बनाने का समय तब नहीं है जब अलार्म बजना शुरू हो जाता है, बल्कि पहला अलर्ट शुरू होने से बहुत पहले होता है। सीआईएसए ने इसे कठिन तरीके से सीखा, और विफलता के बारे में इसकी पारदर्शिता एजेंसी द्वारा अब तक पेश किया गया सबसे मूल्यवान मार्गदर्शन हो सकता है।
