সাইবার সিকিউরিটি গভর্নেন্স: বোর্ডের নতুন দায়িত্ব
05 অক্টো 2026 তারিখে প্রকাশিত
আমাদের AI ও কর্পোরেট গভর্নেন্স নিয়ে লেখায় আমরা দেখেছি প্রযুক্তি কীভাবে নতুন ধরনের গভর্নেন্স ঝুঁকি তৈরি করছে। প্রযুক্তিগত ঝুঁকির মধ্যে সবচেয়ে বেশি আলোচিত একটি বিষয় হলো সাইবার সিকিউরিটি, যা আজ আর শুধু আইটি বিভাগের সমস্যা নয়, বরং সরাসরি বোর্ডের তদারকির আওতায় চলে এসেছে।
সাইবার ঝুঁকি এখন একটি ব্যবসায়িক ঝুঁকি
একসময় সাইবার সিকিউরিটিকে শুধু আইটি বিভাগের প্রযুক্তিগত বিষয় বলে ভাবা হতো। কিন্তু একটি সফল সাইবার আক্রমণ এখন সরাসরি গ্রাহকের তথ্য চুরি, আর্থিক ক্ষতি, আইনি দায় এবং সুনাম সংকট তৈরি করতে পারে, যা পুরোপুরি একটি ব্যবসায়িক ঝুঁকি। এই কারণেই অনেক গভর্নেন্স বিশেষজ্ঞ মনে করেন, সাইবার সিকিউরিটি তদারকি এখন বোর্ডের মূল দায়িত্বের অংশ হওয়া উচিত, ঠিক যেমন আর্থিক ঝুঁকি তদারকি তাদের দায়িত্ব।
গল্পে বলি
একটি মাঝারি আকারের আর্থিক প্রতিষ্ঠানের গ্রাহক সেবা সিস্টেমে একদিন অস্বাভাবিক লগইন চেষ্টা লক্ষ্য করা যায়। আইটি বিভাগ দ্রুত সিস্টেম বন্ধ করে দেয়, কিন্তু তদন্তে দেখা যায়, আক্রমণকারীরা কয়েক সপ্তাহ ধরে ধীরে ধীরে সিস্টেমে প্রবেশের চেষ্টা করছিল, এবং প্রতিষ্ঠানের কাছে কোনো লিখিত ইনসিডেন্ট রেসপন্স পরিকল্পনাই ছিল না। সংকট মোকাবিলায় বিভ্রান্তি তৈরি হয়, কে গ্রাহকদের জানাবে, কে নিয়ন্ত্রক সংস্থাকে অবহিত করবে, এসব প্রশ্নের তাৎক্ষণিক উত্তর কারও কাছে ছিল না। পরে বোর্ড একটি সুনির্দিষ্ট ইনসিডেন্ট রেসপন্স পরিকল্পনা অনুমোদন করে, যা পরের একটি ছোট ঘটনায় সংকট মোকাবিলার সময় অনেক দ্রুত ও সুসংগঠিত প্রতিক্রিয়া দিতে সহায়তা করে।
আপনি কি কখনো ভেবেছেন, একটি ছোট সাইবার আক্রমণ কীভাবে একটি বড় আর্থিক কেলেঙ্কারির চেয়েও বেশি আস্থার সংকট তৈরি করতে পারে?
আর্থিক কেলেঙ্কারির ক্ষেত্রে ক্ষতির পরিমাণ অনুমান করা যায়, কিন্তু গ্রাহকের ব্যক্তিগত তথ্য চুরি হলে সেই তথ্য কীভাবে ব্যবহার হবে, তার নিয়ন্ত্রণ প্রতিষ্ঠানের হাতে থাকে না। এই অনিশ্চয়তাই গ্রাহকের আস্থাকে সবচেয়ে বেশি ক্ষতিগ্রস্ত করে।
বোর্ডের তদারকির ভূমিকা
বোর্ডের কাজ নিজে কোনো প্রযুক্তিগত সমাধান বাস্তবায়ন করা নয়, বরং নিশ্চিত করা যে প্রতিষ্ঠানের একটি সুনির্দিষ্ট সাইবার ঝুঁকি কাঠামো আছে, পর্যাপ্ত বাজেট বরাদ্দ আছে, এবং প্রধান তথ্যপ্রযুক্তি সুরক্ষা কর্মকর্তা বা CISO সরাসরি বোর্ড বা ঝুঁকি কমিটির কাছে নিয়মিত প্রতিবেদন দেন। এই রিপোর্টিং লাইন স্পষ্ট না থাকলে গুরুত্বপূর্ণ সতর্কবার্তা বোর্ড পর্যন্ত পৌঁছাতে দেরি হতে পারে।
বোর্ড যে ভুলগুলো সাধারণত করে
কোম্পানিগুলো সাধারণত যেসব ভুল করে
-
1
সাইবার সিকিউরিটিকে শুধু আইটি বিভাগের দায়িত্ব মনে করা
বোর্ড নিজে প্রশ্ন না তুললে সাইবার ঝুঁকি উপযুক্ত গুরুত্ব পায় না, কারণ বাজেট ও অগ্রাধিকার নির্ধারণের ক্ষমতা বোর্ডের হাতে।
-
2
লিখিত ইনসিডেন্ট রেসপন্স পরিকল্পনা না রাখা
আক্রমণের সময় পরিকল্পনা ছাড়া প্রতিক্রিয়া দিলে বিভ্রান্তি তৈরি হয় এবং প্রতিক্রিয়ায় দেরি হয়।
-
3
সমস্যা দেরিতে প্রকাশ করা
আক্রমণের তথ্য যত দেরিতে গ্রাহক ও নিয়ন্ত্রক সংস্থাকে জানানো হয়, পরবর্তীতে বিশ্বাসযোগ্যতা তত বেশি ক্ষতিগ্রস্ত হয়।
-
4
নিয়মিত সিকিউরিটি অডিট না করা
এক-দুই বছর পরপর স্বাধীন সাইবার সিকিউরিটি মূল্যায়ন না করালে দুর্বলতাগুলো দীর্ঘদিন অজানা থেকে যায়।
আলাদা সাইবার কমিটি বনাম অডিট কমিটি
বড় প্রতিষ্ঠানে একটি আলাদা সাইবার বা টেকনোলজি ঝুঁকি কমিটি থাকা যুক্তিসঙ্গত হতে পারে, কিন্তু ছোট ও মাঝারি প্রতিষ্ঠানের জন্য বিদ্যমান অডিট বা ঝুঁকি কমিটির দায়িত্বের মধ্যে সাইবার তদারকি স্পষ্টভাবে অন্তর্ভুক্ত করাই বাস্তবসম্মত। গুরুত্বপূর্ণ বিষয় হলো দায়িত্ব স্পষ্টভাবে নির্ধারিত থাকা, কোনো কমিটিতেই সাইবার ঝুঁকি যেন অগোচরে না থেকে যায়।
আপনি কি কখনো ভেবেছেন, আপনার প্রতিষ্ঠানের বোর্ড সদস্যরা জানেন কিনা গ্রাহকের তথ্য আসলে কোথায় সংরক্ষিত থাকে?
অনেক বোর্ড সদস্যই এই প্রশ্নের উত্তর জানেন না, কারণ এটি সবসময় প্রযুক্তিগত বিষয় বলে এড়িয়ে যাওয়া হয়। কিন্তু ডেটা কোথায়, কীভাবে সংরক্ষিত, এবং কে তাতে প্রবেশাধিকার রাখে, এই মৌলিক প্রশ্নগুলোর উত্তর বোর্ডের জানা থাকা উচিত।
ইনসিডেন্ট রেসপন্স গভর্নেন্স
একটি সাইবার আক্রমণ ঘটলে প্রথম কয়েক ঘণ্টার সিদ্ধান্তই সবচেয়ে বেশি গুরুত্বপূর্ণ। সনাক্তকরণ, ক্ষতি সীমিত করা, তদন্ত, প্রয়োজনীয় পক্ষকে অবহিত করা এবং পরবর্তী প্রতিকার, এই ধাপগুলো আগে থেকে নির্ধারিত থাকলে সংকট মোকাবিলা অনেক বেশি সুসংগঠিত হয়। বোর্ডের দায়িত্ব হলো নিশ্চিত করা যে এই পরিকল্পনা লিখিত আছে এবং নিয়মিত মহড়ার মাধ্যমে পরীক্ষিত।
কেস স্টাডি
একটি ই-কমার্স প্রতিষ্ঠানের ডেটা লঙ্ঘন মোকাবিলার দৃষ্টান্তমূলক দৃশ্যকল্প
প্রেক্ষাপট: এটি একটি দৃষ্টান্তমূলক কাল্পনিক দৃশ্যকল্প, যেখানে একটি অনলাইন বিক্রয় প্রতিষ্ঠানের গ্রাহক ডেটাবেসে অননুমোদিত প্রবেশের ঘটনা ঘটে।
সমস্যা: প্রতিষ্ঠানটির কোনো পূর্বনির্ধারিত যোগাযোগ পরিকল্পনা ছিল না, ফলে গ্রাহকদের জানাতে দুই সপ্তাহ সময় লেগে যায়, যার মধ্যে সামাজিক যোগাযোগ মাধ্যমে বিষয়টি ছড়িয়ে পড়ে এবং সুনাম মারাত্মকভাবে ক্ষতিগ্রস্ত হয়।
সমাধান: বোর্ড একটি স্থায়ী ইনসিডেন্ট রেসপন্স দল গঠন করে, যেখানে আইটি, আইনি এবং যোগাযোগ বিভাগের প্রতিনিধি একসাথে থাকে, এবং ৭২ ঘণ্টার মধ্যে প্রাথমিক তথ্য প্রকাশের নিয়ম চালু করে। পরের একটি ছোট ঘটনায় এই দল দ্রুত ও স্বচ্ছভাবে প্রতিক্রিয়া দিতে সক্ষম হয়, যা গ্রাহকদের আস্থা অনেকটা ধরে রাখতে সাহায্য করে।
| বিষয় | ধাপ |
|---|---|
| সনাক্তকরণ | ১ |
| ক্ষতি সীমিত করা | ২ |
| তদন্ত | ৩ |
| প্রাসঙ্গিক পক্ষকে অবহিত করা | ৪ |
| প্রতিকার ও পরবর্তী পর্যালোচনা | ৫ |
বাংলাদেশের প্রেক্ষাপটে সাইবার গভর্নেন্স
বাংলাদেশের ব্যাংকিং খাত এর আগে বড় আকারের সাইবার আক্রমণের মুখোমুখি হয়েছে, যা দেশের আর্থিক প্রতিষ্ঠানগুলোকে সাইবার সিকিউরিটিকে আরও গুরুত্ব দিতে বাধ্য করেছে। অনেক বিশেষজ্ঞ মনে করেন, আগামী দিনে নিয়ন্ত্রক সংস্থাগুলো আর্থিক ও বড় প্রযুক্তি-নির্ভর প্রতিষ্ঠানের জন্য সুনির্দিষ্ট সাইবার গভর্নেন্স নির্দেশিকা আরও কঠোর করতে পারে।
গল্পে বলি
বাংলাদেশের ব্যাংকিং খাতে এর আগে ঘটে যাওয়া একটি বড় সাইবার আক্রমণের ঘটনা দেশের আর্থিক প্রতিষ্ঠানগুলোর বোর্ডরুমে দীর্ঘদিন আলোচনার বিষয় হয়ে থাকে। সেই ঘটনার পর অনেক ব্যাংক তাদের অভ্যন্তরীণ সুইফট ও লেনদেন ব্যবস্থার সুরক্ষা পুনর্মূল্যায়ন করে এবং বোর্ড পর্যায়ে নিয়মিত সাইবার ঝুঁকি প্রতিবেদন চালু করে। এই অভিজ্ঞতা থেকে শিক্ষা নিয়ে দেশের অনেক প্রতিষ্ঠান বুঝতে পারে, একটি একক দুর্বল সংযোগই পুরো আর্থিক ব্যবস্থার জন্য ঝুঁকি তৈরি করতে পারে।
আপনি কি কখনো ভেবেছেন, আপনার প্রতিষ্ঠানের সবচেয়ে সংবেদনশীল তথ্য কোনটি, এবং তা রক্ষায় সবচেয়ে বড় দুর্বলতা কোথায়?
এই প্রশ্নের উত্তর খুঁজতে একটি মৌলিক সাইবার ঝুঁকি মূল্যায়ন প্রয়োজন, যা বড় কোনো আক্রমণ ঘটার আগেই করা উচিত, পরে করা অনেক বেশি ব্যয়বহুল এবং কম কার্যকর।
উপসংহার
সাইবার সিকিউরিটি এখন আর শুধু প্রযুক্তিগত বিষয় নয়, এটি বোর্ডের মূল দায়িত্বের একটি অংশ। যে বোর্ড আজ থেকেই একটি সুনির্দিষ্ট সাইবার ঝুঁকি কাঠামো তৈরি করে, সংকট এলে তারাই সবচেয়ে দ্রুত ও সুসংগঠিতভাবে সাড়া দিতে পারবে। ব্লকচেইন নিয়ে আমাদের পরের লেখায় আমরা দেখব কীভাবে একটি নতুন প্রযুক্তি স্বচ্ছতাকে আরও শক্তিশালী করতে পারে।
প্রশ্নোত্তর
সাইবার সিকিউরিটি কি শুধু বড় কোম্পানির সমস্যা?
না, ছোট প্রতিষ্ঠানও সমানভাবে ঝুঁকিতে থাকে, কারণ আক্রমণকারীরা প্রায়ই দুর্বল সুরক্ষা থাকা ছোট প্রতিষ্ঠানকে সহজ লক্ষ্য মনে করে।
CISO এর কাজ কী?
Chief Information Security Officer প্রতিষ্ঠানের সামগ্রিক তথ্য সুরক্ষা কৌশল তৈরি ও বাস্তবায়নের দায়িত্বে থাকেন এবং সাধারণত বোর্ড বা ঝুঁকি কমিটির কাছে প্রতিবেদন দেন।
বোর্ডের সদস্যদের কি প্রযুক্তি বিশেষজ্ঞ হতে হবে?
না, কিন্তু অন্তত মৌলিক প্রশ্ন তোলার মতো বোঝাপড়া থাকা এবং প্রয়োজনে বাহ্যিক বিশেষজ্ঞ পরামর্শ নেওয়ার সক্ষমতা জরুরি।
ইনসিডেন্ট রেসপন্স পরিকল্পনা কত ঘন ঘন পরীক্ষা করা উচিত?
অনেক বিশেষজ্ঞ বছরে অন্তত একবার মহড়ার মাধ্যমে পরিকল্পনা পরীক্ষা করার পরামর্শ দেন, যাতে বাস্তব সংকটে দল প্রস্তুত থাকে।
ডেটা লঙ্ঘনের তথ্য কত দ্রুত প্রকাশ করা উচিত?
যত দ্রুত সম্ভব, কারণ দেরিতে প্রকাশ করলে গ্রাহকের আস্থা এবং প্রতিষ্ঠানের সুনাম আরও বেশি ক্ষতিগ্রস্ত হয়।
সাইবার সিকিউরিটি বিমা কি গভর্নেন্সের অংশ হতে পারে?
হ্যাঁ, অনেক প্রতিষ্ঠান আর্থিক ঝুঁকি কমাতে সাইবার বিমা নেয়, যা ঝুঁকি ব্যবস্থাপনা কৌশলের একটি সম্পূরক অংশ হতে পারে।
ছোট প্রতিষ্ঠান কম খরচে কীভাবে শুরু করতে পারে?
মৌলিক পাসওয়ার্ড নীতি, নিয়মিত ব্যাকআপ এবং কর্মীদের প্রাথমিক প্রশিক্ষণ দিয়েই অনেকটা ঝুঁকি কমানো সম্ভব, বড় বিনিয়োগ ছাড়াই।
নিয়ন্ত্রক সংস্থাকে কখন অবহিত করা বাধ্যতামূলক হতে পারে?
এটি প্রতিষ্ঠানের ধরন ও প্রযোজ্য প্রবিধানের ওপর নির্ভর করে, তবে গুরুত্বপূর্ণ ঘটনায় সাধারণত দ্রুত অবহিত করার প্রত্যাশা থাকে।
মূল বিষয়সমূহ
- ●সাইবার সিকিউরিটি এখন একটি প্রযুক্তিগত বিষয় নয়, সরাসরি ব্যবসায়িক ও গভর্নেন্স ঝুঁকি।
- ●CISO এর সরাসরি বোর্ড বা ঝুঁকি কমিটির কাছে রিপোর্টিং লাইন থাকা গুরুত্বপূর্ণ।
- ●লিখিত ও নিয়মিত পরীক্ষিত ইনসিডেন্ট রেসপন্স পরিকল্পনা সংকট মোকাবিলার সময় সবচেয়ে বড় পার্থক্য তৈরি করে।
- ●সমস্যা দেরিতে প্রকাশ করা সাইবার সংকটে প্রতিষ্ঠানের সবচেয়ে বড় ভুলগুলোর একটি।
- ●ছোট প্রতিষ্ঠানও সমানভাবে ঝুঁকিতে থাকে এবং তুলনামূলক কম খরচেই মৌলিক সুরক্ষা নেওয়া সম্ভব।
- ●বাংলাদেশের আর্থিক খাতে অতীতের অভিজ্ঞতা থেকে নিয়ন্ত্রক নির্দেশনা ভবিষ্যতে আরও সুনির্দিষ্ট হতে পারে।