काठमाडौं । नेपाल राष्ट्र बैंकले वेब प्रविधि पीएचपीमा देखिएको गम्भीर सुरक्षा जोखिमलाई मध्यनजर गर्दै बैंक तथा वित्तीय संस्थाका वेबसाइटलगायतका केही वेब सेवाहरू अस्थायी रूपमा बन्द गर्न निर्देशन दिएपछि नेपालको बैंकिङ क्षेत्रमा साइबर सुरक्षाको विषय फेरि गम्भीर बहसमा आएको छ। राष्ट्र बैंकले बैंक तथा वित्तीय संस्था, भुक्तानी प्रणाली सञ्चालक, भुक्तानी सेवा प्रदायक तथा विप्रेषण कम्पनीहरूलाई समेत आवश्यक सुरक्षा सतर्कता अपनाउन, प्रयोग भइरहेका प्रणालीलाई सबलीकरण गर्न र नियमित सुरक्षा निगरानी बढाउन आग्रह गरेको छ।
राष्ट्र बैंकको यो निर्देशनलाई सामान्य प्राविधिक समस्या वा वेबसाइट केही समय बन्द भएको घटनाका रूपमा मात्र बुझ्न मिल्दैन। पछिल्लो समय पीएचपीको मूल प्रणालीमा देखिएको गम्भीर सुरक्षा कमजोरीले इन्टरनेटमार्फत सञ्चालन भइरहेका धेरै वेब प्रणालीलाई सम्भावित साइबर आक्रमणको जोखिममा पार्न सक्ने अवस्था सिर्जना गरेको छ। यही कारण जोखिम पहिचान भएका प्रणालीलाई तत्काल सुरक्षित बनाउने र सम्भावित आक्रमणको सम्भावना घटाउने उद्देश्यले वेब सेवा अस्थायी रूपमा बन्द गर्ने कदम चालिएको हो।
पीएचपी आफैंमा कुनै असुरक्षित प्रविधि होइन। यो विश्वभर वेबसाइट तथा वेब प्रणाली निर्माणमा व्यापक रूपमा प्रयोग हुने प्रोग्रामिङ भाषा हो। प्रयोगकर्ताले वेबसाइट खोल्दा देखिने सामग्रीदेखि लिएर वेबसाइटको पर्दापछाडि हुने विभिन्न प्रक्रिया सञ्चालन गर्न पीएचपीको प्रयोग हुँदै आएको छ। बैंक, सरकारी निकाय, निजी कम्पनी तथा विभिन्न डिजिटल सेवाका वेबसाइटमा समेत यसको प्रयोग हुन सक्छ।
समस्या पीएचपी प्रविधिमा नभई त्यसका केही संस्करणमा भेटिएको सुरक्षा कमजोरीमा हो। पछिल्लो सुरक्षा सूचनाअनुसार पीएचपीका केही संस्करणमा यस्ता कमजोरी पहिचान भएका छन्, जसलाई सफलतापूर्वक प्रयोग गर्न सके आक्रमणकारीले प्रयोगकर्ताको नाम वा पासवर्ड नचाहिँदै टाढाबाटै प्रभावित सर्भरमा आफ्नो आदेश वा कोड सञ्चालन गराउन सक्ने जोखिम हुन्छ। साइबर सुरक्षाको भाषामा यसलाई ‘रिमोट कोड एक्जिक्युसन’ भनिन्छ। यस्तो कमजोरीलाई अत्यन्त गम्भीर मानिन्छ, किनकि आक्रमणकारीले प्रणालीमा प्रवेश गरेपछि त्यसलाई आफ्नो नियन्त्रणमा लिन वा थप आक्रमणका लागि प्रयोग गर्न सक्ने सम्भावना बढ्छ।
सामान्य भाषामा बुझ्दा वेबसाइट सञ्चालन भइरहेको सर्भरलाई एउटा कार्यालय भवनका रूपमा लिन सकिन्छ। सामान्य अवस्थामा भवनभित्र प्रवेश गर्न अनुमति वा परिचय आवश्यक पर्छ। तर सुरक्षा कमजोरीका कारण बाहिरबाटै भवनभित्रका केही काम नियन्त्रण गर्न सकिने अवस्था सिर्जना भयो भने त्यो निकै ठूलो जोखिम हुन्छ। पीएचपीमा देखिएको पछिल्लो कमजोरीको जोखिमलाई पनि यसैगरी बुझ्न सकिन्छ।
यही कारण बैंकिङ क्षेत्र यस विषयमा बढी संवेदनशील देखिएको हो। पीएचपीमा कमजोरी देखियो भन्दैमा बैंकको मूल बैंकिङ प्रणाली वा ग्राहकको खातामा रहेको रकम तत्काल जोखिममा परिसक्यो भन्ने अर्थ लाग्दैन। बैंकको वेबसाइट, मोबाइल बैंकिङ प्रणाली, मूल बैंकिङ प्रणाली, भुक्तानी प्रणाली र ग्राहकको खातासम्बन्धी सूचना फरक–फरक संरचनामा सञ्चालन हुन सक्छन्। तर कुनै बैंकको सार्वजनिक रूपमा इन्टरनेटमा जोडिएको वेब सर्भरमा आक्रमणकारीले नियन्त्रण कायम गर्न सके त्यसलाई अन्य प्रणालीमा प्रवेश गर्ने आधारका रूपमा प्रयोग गर्ने सम्भावना रहन्छ।
बैंकिङ क्षेत्रमा सबैभन्दा ठूलो जोखिम यही हो। एउटा कमजोर वेब प्रणालीबाट सुरु भएको आक्रमण क्रमशः संस्थाका अन्य प्रणालीसम्म विस्तार हुन सक्छ। यदि आक्रमणकारीले सर्भरमा अनधिकृत पहुँच हासिल गर्यो भने संवेदनशील सूचना प्राप्त गर्ने, वेबसाइटको स्वरूप परिवर्तन गर्ने, गलत सूचना राख्ने, ग्राहकलाई लक्षित गरेर ठगी गर्ने वा संस्थाको डिजिटल सेवा अवरुद्ध गर्ने प्रयास गर्न सक्छ। त्यसैले बैंक तथा वित्तीय संस्थाका लागि सार्वजनिक वेबसाइट पनि सामान्य सूचना राख्ने स्थान मात्र नभई समग्र साइबर सुरक्षाको एउटा महत्वपूर्ण हिस्सा हो।
अर्कोतर्फ, बैंकिङ क्षेत्रमा वेबसाइटमा हुने आक्रमणको प्रत्यक्षभन्दा अप्रत्यक्ष प्रभाव अझ गम्भीर हुन सक्छ। उदाहरणका लागि कुनै बैंकको आधिकारिक वेबसाइट नै आक्रमणकारीको नियन्त्रणमा पुगेमा त्यसमा नक्कली लगइन पृष्ठ वा अन्य ठगीपूर्ण सामग्री राखेर ग्राहकबाट गोप्य विवरण लिने प्रयास हुन सक्छ। ग्राहकले बैंककै आधिकारिक वेबसाइट ठानेर त्यहाँ आफ्नो प्रयोगकर्ता नाम, पासवर्ड वा अन्य संवेदनशील विवरण राखेमा समस्या अझ गम्भीर बन्न सक्छ। त्यसैले वेब सर्भरको सुरक्षा ग्राहकको डिजिटल सुरक्षासँग पनि जोडिएको हुन्छ।
यसै कारण अहिलेको अवस्थामा वेबसाइट बन्द गर्नु भनेको बैंक वा राष्ट्र बैंकको प्रणालीमा साइबर आक्रमण भइसकेको प्रमाण होइन। बरु सम्भावित जोखिमलाई नियन्त्रण गर्न अपनाइएको सावधानीपूर्ण कदम हो। साइबर सुरक्षामा जोखिम देखिएपछि प्रणालीलाई खुला राखेर समस्या समाधान गर्नेभन्दा पहिले बाह्य पहुँच सीमित गर्नु धेरै अवस्थामा सुरक्षित उपाय मानिन्छ। सुरक्षा कमजोरी समाधान गरी प्रणाली परीक्षण गरेपछि मात्र सेवा पुनः सञ्चालन गर्नुको उद्देश्य पनि यही हो।
पीएचपीको सुरक्षा कमजोरी सार्वजनिक भएपछि अन्तर्राष्ट्रिय साइबर सुरक्षा निकायहरूले समेत प्रभावित प्रणाली तत्काल अद्यावधिक गर्न आग्रह गरेका छन्। तत्काल सुरक्षा अद्यावधिक गर्न नसकिने अवस्थामा इन्टरनेटबाट प्रभावित प्रणालीलाई अलग राख्नसमेत सुझाव दिइएको छ। यसको अर्थ जोखिमलाई सामान्य मानेर प्रणाली सञ्चालन गरिरहनुभन्दा सम्भावित आक्रमणको बाटो नै बन्द गर्नु सुरक्षित उपाय मानिएको हो।
नेपालका बैंक तथा वित्तीय संस्थाका लागि अहिलेको घटना अर्को महत्वपूर्ण कारणले पनि संवेदनशील छ। पछिल्ला वर्षहरूमा नेपालमा डिजिटल बैंकिङ, मोबाइल बैंकिङ, विद्युतीय भुक्तानी, क्यूआर भुक्तानी तथा डिजिटल वालेटको प्रयोग तीव्र रूपमा बढेको छ। कारोबार जति डिजिटल हुँदै गएको छ, त्यससँगै साइबर जोखिमको दायरा पनि विस्तार हुँदै गएको छ। बैंकिङ प्रणालीमा प्रयोग हुने एउटा सफ्टवेयर, एउटा सर्भर वा एउटा बाह्य सेवामा देखिएको कमजोरीले समेत समग्र डिजिटल संरचनामा जोखिम निम्त्याउन सक्ने अवस्था सिर्जना भएको छ।
त्यसैले अहिले बैंक तथा वित्तीय संस्थाले पीएचपीको संस्करण अद्यावधिक गर्ने काममा मात्र सीमित भएर पुग्दैन। आफ्नो सम्पूर्ण वेब संरचना कहाँ–कहाँ पीएचपी प्रयोग भएको छ, कुन संस्करण चलिरहेको छ, कुन प्रणाली इन्टरनेटमा प्रत्यक्ष जोडिएको छ र एउटा प्रणालीमा समस्या आएमा त्यसबाट अर्को प्रणालीसम्म पहुँच पुग्न सक्छ कि सक्दैन भन्ने विषयमा समेत विस्तृत परीक्षण आवश्यक हुन्छ।
साइबर सुरक्षाको मूल सिद्धान्त नै सम्भावित कमजोरीलाई आक्रमण हुनुअघि पहिचान गर्नु हो। आक्रमण भएपछि क्षति नियन्त्रण गर्नुभन्दा पहिले नै कमजोरी पहिचान गरेर समाधान गर्नु कम खर्चिलो र सुरक्षित हुन्छ। पीएचपीको पछिल्लो घटनाले नेपालका बैंक तथा वित्तीय संस्थालाई यही पाठ दिएको छ।
यस घटनाले साइबर सुरक्षा केवल सूचना प्रविधि विभागको जिम्मेवारी हो भन्ने परम्परागत सोचलाई समेत परिवर्तन गर्नुपर्ने देखाएको छ। बैंकिङ क्षेत्रमा साइबर जोखिम अब संस्थाको समग्र जोखिम व्यवस्थापन, सञ्चालन निरन्तरता र ग्राहकको विश्वाससँग जोडिएको विषय बनिसकेको छ। एउटा वेबसाइटमा देखिएको कमजोरीले तत्काल ग्राहकको रकम चोरी नगरे पनि त्यसले संस्थाको डिजिटल संरचनामा प्रवेश गर्ने सम्भावित बाटो खोल्न सक्छ।
त्यसैले पीएचपीमा देखिएको पछिल्लो सुरक्षा जोखिमलाई लिएर बैंकिङ क्षेत्र त्रसित हुनुको कारण पीएचपी आफैं असुरक्षित हुनु होइन। व्यापक रूपमा प्रयोग भइरहेको वेब प्रविधिको केही संस्करणमा प्रयोगकर्ताको प्रमाणिकरणबिनै टाढाबाट प्रणालीमा कोड सञ्चालन गर्न सकिने स्तरको कमजोरी देखिनु हो। यस्तो जोखिमलाई समयमै नियन्त्रण नगरेमा वेबसाइटदेखि संवेदनशील आन्तरिक प्रणालीसम्म प्रभाव पर्न सक्ने सम्भावना रहन्छ।
नेपाल राष्ट्र बैंकले वेबसाइट तथा अन्य वेब सेवा अस्थायी रूपमा बन्द गर्न दिएको निर्देशनलाई यही पृष्ठभूमिमा हेर्नुपर्छ। यो डरको प्रतिक्रिया नभई सम्भावित साइबर आक्रमण रोक्न अपनाइएको पूर्वसावधानी हो। केही समय सेवा अवरुद्ध हुँदा सर्वसाधारणलाई असुविधा हुन सक्छ, तर सुरक्षा कमजोरी खुला राखेर ठूलो साइबर क्षति व्यहोर्नुभन्दा जोखिम नियन्त्रण गरेर सेवा पुनः सञ्चालन गर्नु सुरक्षित विकल्प हो।
