बैंक जोगाउन सिंगापुरको साइबर सुरक्षामा महंगो लगानी : सन्सारभरी साइबर सुरक्षाको बहस !

बैंकिङ खबर / डिजिटल बैंकिङको विस्तारसँगै बैंकिङ प्रणालीमाथि साइबर आक्रमणको जोखिम पनि तीव्र रूपमा बढिरहेको छ। मोबाइल बैंकिङ, इन्टरनेट बैंकिङ, डिजिटल वालेट, क्यूआर भुक्तानी र तत्काल रकम स्थानान्तरणजस्ता सेवा ग्राहकका लागि सहज बन्दै गए पनि यही डिजिटल संरचना अपराधीका लागि नयाँ प्रवेशद्वार बनेको छ। त्यसैले विश्वका वित्तीय केन्द्रहरूले अब साइबर सुरक्षालाई बैंकको सामान्य सूचना–प्रविधि खर्चका रूपमा होइन, वित्तीय स्थायित्व र ग्राहकको विश्वास जोगाउने रणनीतिक लगानीका रूपमा लिन थालेका छन्।

यसको उदाहरण सिंगापुर हो। सिंगापुरले साइबर सुरक्षालाई बैंकिङ क्षेत्रको मात्र विषय नभई राष्ट्रिय सुरक्षासँग जोडेको छ। त्यहाँको मौद्रिक प्राधिकरण अर्थात् Monetary Authority of Singapore (MAS) ले वित्तीय संस्थाको प्रविधि, साइबर तथा सञ्चालनगत जोखिम व्यवस्थापनलाई निरन्तर कडा बनाउँदै आएको छ। सिंगापुरको Cybersecurity Act अन्तर्गत बैंकिङ तथा वित्त क्षेत्रलाई नै Critical Information Infrastructure अर्थात् अत्यावश्यक सूचना पूर्वाधारको क्षेत्रमा राखिएको छ। यसको अर्थ बैंकिङ प्रणालीमा हुने ठूलो साइबर आक्रमणले अर्थतन्त्र र समाजमै गम्भीर असर पार्न सक्ने भएकाले बैंकको सुरक्षा राष्ट्रिय पूर्वाधारको सुरक्षासँग जोडिएको छ।

सिंगापुरले पछिल्लो समय साइबर जोखिमलाई अझ गम्भीर रूपमा लिएको देखिन्छ। २०२६ को बजेटमा सरकारले साइबर आक्रमण बढिरहेको र आक्रमण अझ बढी समन्वित तथा जटिल बन्दै गएको उल्लेख गर्दै महत्वपूर्ण प्रणालीको सुरक्षा क्षमता थप बलियो बनाउने बताएको छ। Cyber Security Agency of Singapore ले पनि २०२५ मा साइबर जोखिमको स्वरूपमा उल्लेखनीय परिवर्तन आएको जनाएको छ। विशेषगरी कृत्रिम बुद्धिमत्ता अर्थात् AI को प्रयोगले आक्रमणलाई छिटो, ठूलो स्तरमा र अझ परिष्कृत बनाउने जोखिम बढाएको छ।

बैंकिङ क्षेत्रमा सिंगापुरको रणनीति केवल सफ्टवेयर वा फायरवाल थप्नेमा सीमित छैन। MAS ले बैंक तथा वित्तीय संस्थासँग मिलेर सञ्चालनगत जोखिम, प्रविधि तथा साइबर जोखिम, तेस्रो पक्षबाट आउने जोखिम र व्यवसाय निरन्तरताजस्ता चार क्षेत्रमा प्रणालीगत लचकता बढाउने काम गरिरहेको छ। २०२६ मा MAS ले सूचना–प्रविधि सम्पत्तिको व्यवस्थापन, प्रणालीको क्षमता, निरन्तर सुरक्षा निगरानी तथा डाटा ब्याकअप र रिकभरीमा अझ कडा व्यवस्था गर्ने दिशामा काम गरिरहेको जनाएको छ।

सिंगापुरका बैंकहरूले पनि आफ्नै स्तरमा ठूलो लगानी र प्रविधिगत सुधार गरिरहेका छन्। उदाहरणका लागि DBS ले साइबर सुरक्षाका लागि बहुस्तरीय सुरक्षा प्रणाली, Zero Trust अवधारणा, निरन्तर निगरानी, स्वचालित प्रतिक्रिया, नेटवर्क विभाजन तथा साइबर आक्रमणको सिमुलेसनमार्फत आफ्नो सुरक्षा क्षमता बलियो बनाइरहेको जनाएको छ। बैंकले नयाँ साइबर जोखिमसँग जुध्न उन्नत विश्लेषण, स्वचालन र सक्रिय सुरक्षा रणनीतिमा निरन्तर लगानी गर्ने बताएको छ। सिंगापुरको अर्को महत्वपूर्ण पक्ष भनेको ग्राहकलाई रकम चोरी हुनुअघि नै सुरक्षा दिने प्रयास हो। MAS र बैंकहरूले SMS आधारित OTP को प्रयोग घटाउँदै थप सुरक्षित प्रमाणीकरण प्रणालीतर्फ अघि बढेका छन्। ठूलो रकमको डिजिटल कारोबारअघि चेतावनी दिने, उच्च जोखिमका कारोबारमा केही समयको ‘cooling-off’ राख्ने, वास्तविक समयमा ठगी निगरानी गर्ने तथा ‘Money Lock’ जस्ता उपाय लागू गरिएका छन्। २०२६ को मेसम्म Money Lock मार्फत करिब ४७ अर्ब सिंगापुर डलर सुरक्षित राखिएको MAS ले जनाएको छ।

बेलायत : बैंकमा आक्रमण गरेरै परीक्षण

साइबर सुरक्षामा बेलायतले पनि निकै फरक र प्रभावकारी अभ्यास सुरु गरेको छ। Bank of England, Prudential Regulation Authority र Financial Conduct Authority ले बैंक तथा वित्तीय संस्थाको साइबर सुरक्षा परीक्षणका लागि CBEST नामको threat-led penetration testing प्रणाली प्रयोग गर्दै आएका छन्। यसमा बैंकको प्रणाली कति सुरक्षित छ भनेर सामान्य अडिट मात्र गरिँदैन। वास्तविक साइबर अपराधीले जस्तो सोचेर बैंकको महत्वपूर्ण प्रणालीमाथि आक्रमण गर्ने प्रयास गरिन्छ। त्यसबाट प्रणालीको कमजोरी पहिचान गरी सुधार गरिन्छ। पछिल्लो CBEST मूल्यांकनले बलियो पासवर्ड, Multi-Factor Authentication, नेटवर्क segmentation, निरन्तर निगरानी र तत्काल जोखिम समाधानलाई अत्यन्त महत्वपूर्ण मानेको छ।

बेलायतले साइबर जोखिमलाई वित्तीय स्थायित्वसँग समेत जोडेको छ। २०२६ को Financial Stability Report मा साइबर आक्रमणलाई बेलायतको वित्तीय प्रणालीको प्रमुख जोखिममध्ये एकका रूपमा उल्लेख गरिएको छ। बैंक तथा वित्तीय संस्थालाई गम्भीर तर सम्भावित साइबर आक्रमणको अवस्थामा पनि महत्वपूर्ण सेवा सञ्चालन गर्न सक्ने गरी तयारी गर्नुपर्नेमा जोड दिइएको छ।

अमेरिका : नियमन, परीक्षण र निरन्तर निगरानी

अमेरिकाले पनि बैंकिङ क्षेत्रको साइबर सुरक्षालाई वित्तीय प्रणालीको स्थायित्वसँग जोडेको छ। Federal Reserve ले बैंक तथा वित्तीय संस्थाको IT र cyber risk व्यवस्थापनको नियमित परीक्षण तथा निगरानी गर्छ। ठूला वित्तीय संस्थाका लागि लक्षित cybersecurity assessment गरिन्छ भने साना तथा क्षेत्रीय बैंकमा समेत आवश्यकता अनुसार विशेष साइबर सुरक्षा परीक्षण गरिन्छ। साथै बैंकले प्रयोग गर्ने technology service providers लाई समेत नियामकीय परीक्षणको दायरामा ल्याइएको छ। अमेरिकी अभ्यासबाट महत्वपूर्ण कुरा के देखिन्छ भने बैंक सुरक्षित हुन बैंकभित्रको प्रणाली मात्र सुरक्षित भएर पुग्दैन। Cloud provider, payment processor, software vendor तथा अन्य technology service provider कमजोर भए त्यसको असर बैंकमा पर्न सक्छ। त्यसैले साइबर सुरक्षालाई ‘third-party risk’ सँग जोडेर हेरिएको छ।

अस्ट्रेलिया : बैंकलाई साइबर सुरक्षा अनिवार्य

अस्ट्रेलियाले साइबर सुरक्षाका लागि नियामकीय मापदण्ड नै अनिवार्य बनाएको छ। Australian Prudential Regulation Authority (APRA) को CPS 234 Information Security ले बैंक तथा अन्य नियमनमा रहेका वित्तीय संस्थालाई आफ्नो सूचना सम्पत्तिको सुरक्षा गर्न पर्याप्त क्षमता राख्नुपर्ने, सुरक्षा नियन्त्रणको परीक्षण गर्नुपर्ने र कमजोरी देखिए सुधार गर्नुपर्ने व्यवस्था गरेको छ।

APRA ले बैंक, बीमा कम्पनी र सुपरएन्युएसन संस्थाहरूमा साइबर सुरक्षाको अवस्था परीक्षण गर्न Tripartite Review समेत सञ्चालन गरेको छ। २०२४ सम्म बैंकिङ, बीमा र सुपरएन्युएसन गरी ३११ संस्थाले यस्तो समीक्षा रिपोर्ट बुझाएका थिए। APRA ले साइबर सुरक्षामा Multi-Factor Authentication, डाटा ब्याकअप र तेस्रो पक्षको जोखिम व्यवस्थापनलाई समेत जोड दिएको छ।

विश्वभर एउटै सन्देश : डिजिटल बैंकिङसँगै सुरक्षा खर्च पनि बढाउनुपर्छ

सिंगापुर, बेलायत, अमेरिका र अस्ट्रेलियाका अभ्यास फरक भए पनि उनीहरूको मूल सन्देश एउटै छ-बैंकिङ डिजिटल हुँदै जाँदा साइबर सुरक्षा खर्च घटाउने होइन, बढाउनुपर्छ।अहिले बैंकको साइबर सुरक्षा केवल IT विभागको जिम्मेवारीमा सीमित छैन। सञ्चालक समिति, प्रमुख कार्यकारी अधिकृत, जोखिम व्यवस्थापन विभाग, आन्तरिक लेखापरीक्षणदेखि ग्राहकसम्म साइबर सुरक्षाको हिस्सा बनेका छन्। बैंकले नयाँ डिजिटल सेवा ल्याउँदा त्यससँगै सुरक्षा परीक्षण गर्नुपर्ने, कर्मचारीलाई नियमित तालिम दिनुपर्ने, ग्राहकको प्रमाणीकरण बलियो बनाउनुपर्ने र आक्रमण भइहाले पनि सेवा तत्काल पुनः सञ्चालन गर्न सक्ने क्षमता राख्नुपर्ने अन्तर्राष्ट्रिय अभ्यास बनेको छ।

यसमा AI ले चुनौती अझ बढाएको छ। सिंगापुरको पछिल्लो साइबर ल्यान्डस्केप रिपोर्टले AI का कारण साइबर आक्रमण अझ तीव्र र परिष्कृत हुन सक्ने औंल्याएको छ। MAS ले पनि AI को प्रयोगबाट IT प्रणालीका कमजोरी पहिचान र दुरुपयोग गर्ने क्षमता बढ्न सक्ने भन्दै वित्तीय संस्थालाई सुरक्षा प्रणाली थप बलियो बनाउन आग्रह गरेको छ।

नेपालले के सिक्ने ?

नेपालमा पनि बैंकिङ प्रणाली तीव्र गतिमा डिजिटल हुँदै गएको छ। मोबाइल बैंकिङ, इन्टरनेट बैंकिङ, क्यूआर भुक्तानी, डिजिटल वालेट र अनलाइन कारोबारको विस्तारले ग्राहकको पहुँच र सुविधा बढाएको छ। तर डिजिटल कारोबारको विस्तारसँगै phishing, OTP चोरी, social engineering, fake KYC, malware, account takeover र रकम अन्य खातामा स्थानान्तरण गराउनेजस्ता जोखिम पनि बढिरहेका छन्।

नेपालले सिंगापुर, बेलायत, अमेरिका र अस्ट्रेलियाबाट पहिलो पाठ साइबर सुरक्षालाई खर्च होइन, वित्तीय स्थायित्वको लगानीका रूपमा हेर्नु हो। बैंकले डिजिटल सेवा विस्तार गर्नुअघि त्यसको साइबर जोखिम मूल्यांकन गर्नुपर्ने व्यवस्था अझ प्रभावकारी बनाउन आवश्यक छ। दोस्रो, बैंकहरूको साइबर सुरक्षा परीक्षण नियमित र स्वतन्त्र बनाउनुपर्छ। बेलायतको CBEST जस्तै वास्तविक आक्रमणको शैलीमा बैंकको प्रणाली परीक्षण गर्ने व्यवस्था नेपालमा पनि विकास गर्न सकिन्छ। सामान्य compliance audit ले नदेखाउने कमजोरी यस्तो threat-led testing बाट पहिचान गर्न सकिन्छ। तेस्रो, बैंक मात्र होइन, बैंकले प्रयोग गर्ने cloud, software, payment gateway र अन्य technology service provider को सुरक्षा पनि नियामकीय निगरानीमा ल्याउनुपर्छ। एउटा कमजोर third-party system का कारण पूरा बैंकिङ प्रणाली जोखिममा पर्न सक्ने भएकाले आपूर्ति शृंखलाको सुरक्षा अब वैकल्पिक विषय होइन।

चौथो, ग्राहकको सुरक्षा अझ बलियो बनाउनुपर्छ। OTP मा मात्र निर्भर रहने प्रणालीबाट बलियो authentication, biometric, device binding, transaction monitoring, risk-based authentication र high-risk transaction मा अतिरिक्त प्रमाणीकरणतर्फ जानुपर्ने आवश्यकता छ।

पाँचौँ, साइबर आक्रमण भएपछि के गर्ने भन्ने स्पष्ट योजना प्रत्येक बैंकसँग हुनुपर्छ। बैंकको प्रणाली केही घण्टा बन्द हुँदा त्यसले केवल एउटा संस्थालाई होइन, लाखौँ ग्राहक र समग्र अर्थतन्त्रलाई असर गर्न सक्छ। त्यसैले backup, disaster recovery, alternative channels र business continuity लाई साइबर सुरक्षाकै हिस्सा बनाउनुपर्छ।