आजकल कई व्यवसाय अपने नेटवर्क सर्वर, पीसी, लैपटॉप, मोबाइल डिवाइस और क्लाउड सेवा प्रदाताओं पर संग्रहीत डेटा पर पूरी तरह से निर्भर हैं। इस डेटा में व्यक्तिगत जानकारी और/या गोपनीय कंपनी जानकारी शामिल हो सकती है।.
यहां हम एक्सेस कंट्रोल के संबंध में आपके कंप्यूटर सिस्टम की सुरक्षा की समीक्षा करते समय विचार करने योग्य कुछ मुद्दों पर चर्चा करेंगे। जनरल डेटा प्रोटेक्शन रेगुलेशन (जीडीपीआर) सुरक्षा सिद्धांत निर्धारित करता है, जिसके अनुसार व्यक्तिगत डेटा को सुरक्षित रूप से संसाधित करते समय आपको 'उचित तकनीकी और संगठनात्मक उपाय' अपनाने होंगे। डेटा प्रोटेक्शन एक्ट (डीपीए) 2018 के छठे सिद्धांत में भी यही बात दोहराई गई है, जो जीडीपीआर को और मजबूत करता है और यह भी बताता है कि 'व्यक्तिगत डेटा को सुरक्षित तरीके से संसाधित करना अनिवार्य है'।.
इसीलिए, आपके द्वारा संसाधित किए जा रहे व्यक्तिगत डेटा तक अनधिकृत या आकस्मिक पहुंच को रोकना अनुपालन की दिशा में एक महत्वपूर्ण कदम है।.
पहुँच सुरक्षा
कंप्यूटर और नेटवर्क पर बेहतर पहुंच नियंत्रण से डेटा की चोरी या दुरुपयोग का खतरा कम हो जाता है।.
पहुँच नियंत्रण को दो मुख्य क्षेत्रों में विभाजित किया जा सकता है:
- भौतिक पहुंच – परिसर में कौन प्रवेश कर सकता है और कौन व्यक्तिगत डेटा तक पहुंच सकता है, इस पर नियंत्रण।
- तार्किक पहुंच – यह सुनिश्चित करने के लिए नियंत्रण कि कर्मचारियों को केवल उनकी विशिष्ट भूमिका निभाने के लिए आवश्यक उपयुक्त सॉफ़्टवेयर, डेटा और उपकरणों तक ही पहुंच प्राप्त हो।.
भौतिक पहुंच
ताले, अलार्म, सुरक्षा प्रकाश व्यवस्था और सीसीटीवी जैसे भौतिक पहुंच नियंत्रणों के अलावा, परिसर में प्रवेश को कैसे नियंत्रित किया जाता है, जैसे अन्य विचारणीय बिंदु भी हैं।.
कड़ी निगरानी के बिना आगंतुकों को घूमने की अनुमति नहीं दी जानी चाहिए।.
यह सुनिश्चित करें कि कंप्यूटर स्क्रीन बाहर से दिखाई न दें।.
नेटवर्क नीतियों का उपयोग करके यह सुनिश्चित करें कि जब वर्कस्टेशन और/या मोबाइल डिवाइस बिना किसी की देखरेख के हों या उपयोग में न हों तो वे लॉक रहें।.
यह सुनिश्चित करें कि यदि कोई मोबाइल डिवाइस खो जाता है तो उसे दूर से ही निष्क्रिय किया जा सके।.
मोबाइल उपकरण छोटे होने के कारण उच्च जोखिम वाली वस्तुएं हैं, इसलिए संवेदनशील डेटा को हमेशा एन्क्रिप्ट किया जाना चाहिए और सेवा तक पहुंच को पिन नंबर या पासवर्ड के माध्यम से नियंत्रित किया जाना चाहिए।.
यूएसबी डिवाइस और ऑप्टिकल रीडर और राइटर तक पहुंच को अक्षम या प्रतिबंधित करना आवश्यक हो सकता है।.
नेटवर्क में केबल के माध्यम से अनधिकृत उपकरणों को प्लग इन होने से रोकने के लिए रेडियस सर्वर या अन्य नेटवर्क हार्डवेयर के माध्यम से नेटवर्क पोर्ट को ब्लॉक करना आवश्यक हो सकता है।.
अंत में, हार्ड कॉपी में मौजूद जानकारी का सुरक्षित रूप से निपटान किया जाना चाहिए।.
तार्किक पहुँच
यह सुनिश्चित करने के लिए तार्किक पहुंच तकनीकों का उपयोग किया जाना चाहिए कि कर्मचारियों को उनकी भूमिका निभाने के लिए आवश्यक से अधिक पहुंच प्राप्त न हो।.
संवेदनशील डेटा को एन्क्रिप्ट किया जाना चाहिए और नेटवर्क सुरक्षा, एक्सेस कंट्रोल लिस्ट और उपयोगकर्ता प्रोफाइल के माध्यम से इस डेटा तक पहुंच को नियंत्रित किया जाना चाहिए।.
कुछ विशिष्ट एप्लिकेशन और कुछ विशिष्ट फ़ोल्डरों तक पहुंच को उपयोगकर्ता के आधार पर प्रतिबंधित करने की भी आवश्यकता हो सकती है।.
अंत में, विंडोज में समूह नीति के माध्यम से या किसी तृतीय-पक्ष प्रबंधन एप्लिकेशन के माध्यम से, कुछ मशीनों पर कुछ उपकरणों को लॉक करना आवश्यक हो सकता है।.
पासवर्डों
उपयोगकर्ता नाम और पासवर्ड वाली पासवर्ड नीति एक अच्छी प्रथा है।.
ये नेटवर्क पर उपयोगकर्ता की पहचान करने और उचित अनुमतियाँ प्रदान करने में मदद करते हैं।.
पासवर्ड के प्रभावी होने के लिए, उनमें निम्नलिखित विशेषताएं होनी चाहिए :
- अपेक्षाकृत लंबा हो (अर्थात आठ अक्षर या अधिक)
- इनमें अक्षर, संख्या और विशेष वर्णों (जैसे &^”) का मिश्रण होता है।
- पासवर्ड नवीनीकरण के स्वचालित विकल्पों के माध्यम से इसे नियमित रूप से बदला जा सकता है।
- कर्मचारी के नौकरी छोड़ने पर इसे हटाया या बदला जा सकता है।
- इसका उपयोग स्प्रेडशीट या वर्ड प्रोसेसिंग दस्तावेज़ जैसी व्यक्तिगत फ़ाइलों पर किया जा सकता है जिनमें व्यक्तिगत जानकारी होती है।
- आपके सिस्टम में एक मजबूत एन्क्रिप्शन एल्गोरिदम का उपयोग करके एन्क्रिप्ट किया जाना चाहिए।
और ऐसा नहीं होना चाहिए
- यह एक सामान्य पासवर्ड होना चाहिए (अर्थात सभी एप्लिकेशन या सभी उपयोगकर्ताओं के लिए एक ही पासवर्ड)।
- इन्हें 'पोस्ट-इट' नोट्स पर लिखा जा सकता है जिन्हें कीबोर्ड या स्क्रीन पर चिपकाया जाता है।
- इसमें सामान्य शब्द या वाक्यांश, या कंपनी का नाम शामिल हो सकता है।.
- इसे ईमेल के माध्यम से भेजा जाना चाहिए, जब तक कि यह केवल एक अस्थायी पासवर्ड न हो (जिसमें कोई सहायक जानकारी न हो जैसे कि यह किस लिए है और उपयोगकर्ता नाम क्या है)।
- आपके सिस्टम में इसे सादे टेक्स्ट के रूप में संग्रहीत नहीं किया जाना चाहिए।.
ऑडिटिंग पहुंच
हालांकि यह GDPR की कानूनी आवश्यकता नहीं है, लेकिन डेटा की लॉगिंग और निगरानी (और उस पर किए गए परिवर्तन) GDPR के अनुच्छेद 32 के अनुपालन में काफी हद तक सहायक होंगे।.
अपने डेटा प्रोसेसिंग का ऑडिट करने से आपको समीक्षा करने, रिपोर्ट करने और साबित करने में मदद मिलेगी:
- किसने और कब डेटा तक पहुंच प्राप्त की
- डेटा को कितनी बार एक्सेस किया जाता है और क्या यह एक्सेस की मात्रा उचित है।
- यदि गलती से डेटा खो जाता है, तो समीक्षा करें कि क्या परिवर्तन किए गए हैं और किसने किए हैं।.
हालांकि GDPR और DPA 2018 दोनों में ही आपको जिन सटीक उपायों को अपनाने की आवश्यकता है, उनका उल्लेख नहीं है, फिर भी आपको एक ऐसे तकनीकी समाधान का उपयोग करने पर विचार करना चाहिए जो आपकी आवश्यकताओं और आपके द्वारा संसाधित किए जा रहे डेटा के लिए उपयुक्त हो।.
