بہت سے کاروبار اب مکمل طور پر اپنے نیٹ ورک سرورز، پی سی، لیپ ٹاپ، موبائل ڈیوائسز اور کلاؤڈ سروس پرووائیڈرز پر محفوظ کردہ ڈیٹا پر انحصار کرتے ہیں۔ اس میں سے کچھ ڈیٹا میں یا تو ذاتی معلومات اور/یا کمپنی کی خفیہ معلومات ہونے کا امکان ہے۔.
یہاں ہم آپ کے کمپیوٹر سسٹمز کی حفاظت کا جائزہ لیتے وقت غور کرنے کے لیے کچھ مسائل کو دیکھتے ہیں جو رسائی کے کنٹرول کے حوالے سے ہے۔ جنرل ڈیٹا پروٹیکشن ریگولیشن (GDPR) سیکیورٹی کے اصول کو متعین کرتا ہے، جو کہتا ہے کہ ذاتی ڈیٹا کو محفوظ طریقے سے پروسیس کرتے وقت آپ کو 'مناسب تکنیکی اور تنظیمی اقدامات' کرنے چاہئیں۔ اسے ڈیٹا پروٹیکشن ایکٹ (DPA) 2018 کے 6 ویں اصول کے طور پر بھی دہرایا گیا ہے، جو GDPR کو بڑھاتا ہے اور یہ بھی کہتا ہے کہ 'ذاتی ڈیٹا پر محفوظ طریقے سے کارروائی کی جائے'۔.
اس وجہ سے آپ جس ذاتی ڈیٹا پر کارروائی کرتے ہیں اس تک غیر مجاز یا حادثاتی رسائی کو روکنا تعمیل کی طرف ایک اہم قدم ہے۔.
سیکیورٹی تک رسائی حاصل کریں۔
کمپیوٹرز اور نیٹ ورک تک رسائی کے اچھے کنٹرول ڈیٹا کی چوری یا غلط استعمال کے خطرے کو کم کرتے ہیں۔.
رسائی کے کنٹرول کو دو اہم علاقوں میں تقسیم کیا جا سکتا ہے:
- جسمانی رسائی - یہ کنٹرول کرتا ہے کہ کون احاطے میں داخل ہو سکتا ہے اور کون ذاتی ڈیٹا تک رسائی حاصل کر سکتا ہے۔
- منطقی رسائی - یہ یقینی بنانے کے لیے کہ ملازمین کو صرف مناسب سافٹ ویئر، ڈیٹا اور آلات تک رسائی حاصل ہے جو ان کے مخصوص کردار کو انجام دینے کے لیے ضروری ہیں۔.
جسمانی رسائی
تالے، الارم، سیکورٹی لائٹنگ اور CCTV جیسے جسمانی رسائی کے کنٹرول کے ساتھ ساتھ دیگر تحفظات ہیں، جیسے کہ احاطے تک رسائی کو کیسے کنٹرول کیا جاتا ہے۔.
زائرین کو گھومنے کی اجازت نہیں ہونی چاہئے جب تک کہ سخت نگرانی میں نہ ہوں۔.
اس بات کو یقینی بنائیں کہ کمپیوٹر اسکرین باہر سے نظر نہیں آرہی ہیں۔.
اس بات کو یقینی بنانے کے لیے نیٹ ورک کی پالیسیوں کا استعمال کریں کہ ورک سٹیشنز اور/یا موبائل آلات اس وقت بند ہیں جب وہ غیر حاضر ہیں یا استعمال نہیں ہو رہے ہیں۔.
اس بات کو یقینی بنائیں کہ اگر کوئی موبائل ڈیوائس گم ہو جائے تو اسے دور سے متحرک کیا جا سکتا ہے۔.
چھوٹے ہونے والے موبائل آلات زیادہ خطرے والی اشیاء ہیں اس لیے حساس ڈیٹا کو ہمیشہ انکرپٹ کیا جانا چاہیے اور سروس تک رسائی کو پن نمبر یا پاس ورڈ کے ذریعے کنٹرول کیا جانا چاہیے۔.
USB ڈیوائسز اور آپٹیکل ریڈرز اور رائٹرز تک رسائی کو غیر فعال یا محدود کرنا ضروری ہو سکتا ہے۔.
ریڈیئس سرورز، یا دوسرے نیٹ ورک ہارڈویئر کے ذریعے نیٹ ورک پورٹس کو بلاک کرنا ضروری ہو سکتا ہے، تاکہ غیر مجاز آلات کو کیبل کے ذریعے نیٹ ورک میں پلگ ہونے سے روکا جا سکے۔.
آخر میں، ہارڈ کاپی پر موجود معلومات کو محفوظ طریقے سے ضائع کیا جانا چاہیے۔.
منطقی رسائی
اس بات کو یقینی بنانے کے لیے منطقی رسائی کی تکنیک کا استعمال کیا جانا چاہیے کہ اہلکاروں کو اپنا کردار ادا کرنے کے لیے ضروری سے زیادہ رسائی حاصل نہ ہو۔.
حساس ڈیٹا کو انکرپٹ کیا جانا چاہیے اور اس ڈیٹا تک رسائی نیٹ ورک سیکیورٹی، رسائی کنٹرول فہرستوں اور صارف پروفائلز کے ذریعے کنٹرول کی جانی چاہیے۔.
کچھ ایپلیکیشنز اور کچھ فولڈرز تک رسائی کو صارف بہ صارف کی بنیاد پر بھی محدود کرنے کی ضرورت پڑ سکتی ہے۔.
آخر میں، کچھ مشینوں پر کچھ آلات کو لاک ڈاؤن کرنا ضروری ہو سکتا ہے، یا تو Widnows میں گروپ پالیسی کے ذریعے، یا فریق ثالث مینجمنٹ ایپلیکیشن کے ذریعے۔.
پاس ورڈز
صارف نام اور پاس ورڈ پر مشتمل پاس ورڈ کی پالیسی اچھی مشق ہے۔.
یہ نیٹ ورک پر صارف کی شناخت میں مدد کرتے ہیں اور تفویض کرنے کے لیے مناسب اجازتوں کو فعال کرتے ہیں۔.
تاہم، پاس ورڈز کے موثر ہونے کے لیے، انہیں چاہیے کہ:
- نسبتاً لمبا ہونا (یعنی آٹھ حروف یا اس سے زیادہ)
- الفا، عددی اور خصوصی حروف کا مرکب ہوتا ہے (جیسے &^”)
- خودکار پاس ورڈ کی تجدید کے اختیارات کے ذریعے باقاعدگی سے تبدیل کیا جائے۔
- ملازم کے جانے پر ہٹایا جائے یا تبدیل کیا جائے۔
- انفرادی فائلوں پر استعمال کیا جائے جیسے اسپریڈ شیٹس یا ورڈ پروسیسڈ دستاویزات جن میں ذاتی معلومات ہوتی ہیں۔
- مضبوط انکرپشن الگورتھم کا استعمال کرتے ہوئے اپنے سسٹمز کے اندر انکرپٹ کیا جائے۔
اور نہیں ہونا چاہئے
- کمبل پاس ورڈ ہو (یعنی تمام ایپلیکیشنز یا تمام صارفین کے لیے ایک جیسا)
- کی بورڈ یا اسکرین پر چپکنے والے نوٹوں پر 'پوسٹ اٹ' لکھا جائے۔
- عام الفاظ یا جملے، یا کمپنی کے نام پر مشتمل ہے۔.
- ای میل کے ذریعے بھیجا جائے، جب تک کہ یہ صرف ایک عارضی پاس ورڈ نہ ہو (بغیر معاون معلومات جیسے کہ یہ کس کے لیے ہے اور صارف نام کیا ہے)
- آپ کے سسٹم میں سادہ متن کے طور پر ذخیرہ نہ کیا جائے۔.
آڈیٹنگ تک رسائی
اگرچہ جی ڈی پی آر کی قانونی ضرورت نہیں ہے، ڈیٹا کی لاگنگ اور نگرانی (اور اس پر کی گئی تبدیلیاں) جی ڈی پی آر کے آرٹیکل 32 کی تعمیل میں معاونت کے لیے ایک طویل سفر طے کرے گی۔.
اپنے ڈیٹا پروسیسنگ کا آڈٹ کرنے سے آپ کو جائزہ لینے، رپورٹ کرنے اور ثابت کرنے کی اجازت ملے گی:
- کس نے ڈیٹا تک رسائی حاصل کی اور کب
- کتنی بار ڈیٹا تک رسائی حاصل کی جاتی ہے اور کیا رسائی کی یہ مقدار مناسب ہے۔
- حادثاتی ڈیٹا کے ضائع ہونے کی صورت میں، جائزہ لیں کہ کیا تبدیلیاں کی گئی ہیں اور کس کے ذریعے۔.
جب کہ GDPR اور DPA 2018 دونوں قطعی طور پر وہ اقدامات نہیں بتاتے جو آپ کو کرنے کی ضرورت ہے، آپ کو ایک تکنیکی حل استعمال کرنے پر غور کرنا چاہیے جو آپ کی ضروریات کے مطابق ہو اور اس ڈیٹا کے جو آپ پروسیس کر رہے ہیں۔.
