বাংলাদেশের ব্যাংক খাতে সাইবার নিরাপত্তা কোন পর্যায়ে রয়েছে? সবচেয়ে বড় চ্যালেঞ্জগুলো কী?
ব্যাংক খাতে সাইবার নিরাপত্তার অনেকগুলো চ্যালেঞ্জ রয়েছে। তবে সবচেয়ে বড় চ্যালেঞ্জ গ্রাহকের সচেতনতা। ডিজিটাল ব্যাংকিং যত ছড়াচ্ছে, গ্রাহকদের সচেতনতা তত গুরুত্বপূর্ণ হয়ে উঠছে। অনেক মানুষই জানে না কীভাবে ফিশিং, প্রতারণামূলক বার্তা বা ভুয়া ওয়েবসাইট চিহ্নিত করতে হয়। অধিকাংশ সাইবার অপরাধ ঘটে কিছু সাধারণ কৌশলের মাধ্যমে, যা মানবিক ভুল, দুর্বল সিস্টেম ও নিরাপত্তা সচেতনতার অভাবকে কাজে লাগায়। গ্রাহকরা কখনো কখনো প্রতারকদের কাছে নিজের পাসওয়ার্ড বা ওটিপি শেয়ার করে ফেলেন।
আবার পুরনো সফটওয়্যার, দুর্বল এনক্রিপশন, অ্যান্টিভাইরাস বা ম্যালওয়্যার প্রটেকশন না থাকাও ঝুঁকি বাড়ায়। প্রাতিষ্ঠানিক পর্যায়ে অন্যতম মূল ঝুঁকি পুরনো ও অননুমোদিত প্রযুক্তির ব্যবহার। বাংলাদেশে এখনো অনেক প্রতিষ্ঠান পুরনো অবকাঠামো, নেটওয়ার্ক যন্ত্রপাতি এবং অননুমোদিত সফটওয়্যার ব্যবহার করে। এগুলো হ্যাকারদের প্রবেশের সুযোগ তৈরি করে দেয়। প্রযুক্তি হালনাগাদ রাখা ব্যয়বহুল, তাই অনেক প্রতিষ্ঠান পিছিয়ে থাকে। সমস্যা হলো কোনো ক্ষতি সাধন হওয়ার আগে এসব দুর্বলতা ব্যবস্থাপনা বা গ্রাহকের নজরে আসে না।
অনেক ব্যাংক দুর্বলতা চিহ্নিত করলেও তা সমাধান করার মতো পর্যাপ্ত দক্ষ সাইবার নিরাপত্তা বিশেষজ্ঞ এ দেশে নেই। আন্তর্জাতিক ক্লাউড সার্ভিস ব্যবহারে বিধিনিষেধ থাকায় জটিলতা আরো বাড়ে। এ পরিস্থিতি কাটাতে দেশের অভ্যন্তরে একটি ফাইন্যান্স খাতের ‘কমিউনিটি ক্লাউড’ তৈরির আলোচনা চলছে। এটি ভালো উদ্যোগ হবে যদি দক্ষ পেশাজীবীদের দ্বারা পরিচালিত ও নিয়মিত হালনাগাদ থাকা যায়।
ডিজিটাল ব্যাংকিং ও এমএফএসের এ যুগে আর্থিক প্রতিষ্ঠানগুলোকে সেবা দেয়ার জন্য অনেক তৃতীয় পক্ষের ওপর নির্ভর করতে হয়। এসবের মধ্যে রয়েছে ভেন্ডর, সফটওয়্যার সরবরাহকারী, মোবাইল অপারেটর, আইএসপি, এমনকি নিয়ন্ত্রক সংস্থাকেও এর আওতায় আনা যায়। নিরাপত্তা যত শক্তই হোক, সবচেয়ে দুর্বল সংযোগটাই শেষ পর্যন্ত ঝুঁকি তৈরি করে। সব পক্ষের নিরাপত্তা নিয়ন্ত্রণ নিশ্চিত করা বড় চ্যালেঞ্জ।
তৃতীয় কোনো পক্ষের নিরাপত্তা ব্যবস্থায় শিথিলতার দায়দায়িত্ব অনভিপ্রেতভাবে ব্যাংককেই বহন করতে হয় এ রকম একাধিক উদাহরণ রয়েছে।
গোপন তথ্য সুরক্ষায় অভ্যন্তরীণ নিয়ন্ত্রণ, কর্মীদের সচেতনতা ও নজরদারিও গুরুত্বপূর্ণ। অসৎ উদ্দেশ্যসম্পন্ন কোনো কর্মী বা সেবাদানকারী বড় ক্ষতি করে ফেলতে পারে। তাই শক্তিশালী অ্যাকসেস কন্ট্রোল, এনক্রিপশন, মাল্টিফ্যাক্টর অথেন্টিকেশন, প্রশিক্ষণ ও নিয়মিত অডিট নিশ্চিত করা দরকার। দুর্ভাগ্যজনকভাবে, এসব মৌলিক নিরাপত্তা ব্যবস্থা অনেক প্রতিষ্ঠানে এখনো অনুপস্থিত।
গত কয়েক বছরে সাইবার নিরাপত্তা নীতিতে কী ধরনের পরিবর্তন এসেছে?
তফসিলভুক্ত ব্যাংক ও আর্থিক প্রতিষ্ঠানের জন্য ‘তথ্য ও যোগাযোগ প্রযুক্তি নিরাপত্তা নির্দেশিকা’ প্রথম প্রকাশিত হয় ২০০৫ সালে। এটি সময় সময় হালনাগাদ করা হয়েছে। হালনাগাদকৃত সর্বশেষ সংস্করণ প্রকাশিত হয় ২০২৩ সালে। এ সংস্করণে তথ্য নিরাপত্তা নিশ্চিতের জন্য একটি শক্ত কাঠামো নির্ধারণ করা হয়েছে। বাংলাদেশ ব্যাংক ২০২৩ সালের মার্চে ‘ক্লাউড কম্পিউটিং গাইডলাইন (ভার্সন ১.০)’ প্রকাশ করেছে, যাতে ক্লাউড গভর্ন্যান্স ও নিরাপত্তাসংক্রান্ত নির্দেশনা দেয়া হয়েছে। এছাড়া বাংলাদেশ সরকার ২০২৩ সালের সাইবার সিকিউরিটি আইন বাতিল করে ২০২৫ সালের মে মাসে ‘সাইবার সুরক্ষা অধ্যাদেশ’ জারি করেছে।
জাতীয় সাইবার সুরক্ষা এজেন্সির অধীনে সিআইআরটি (কম্পিউটার নিরাপত্তা প্রতিক্রিয়া দল) গঠন করা হয়েছে। বাংলাদেশ ব্যাংকও নিজস্ব সিআইআরটি গঠন করেছে এবং একজন প্রধান তথ্য নিরাপত্তা কর্মকর্তা (সিআইএসও) নিয়োগ দিয়েছে। সব মিলিয়ে এগুলো ইতিবাচক পদক্ষেপ। তবে যেকোনো নীতির কার্যকারিতা নির্ভর করে তা কতটা গুরুত্বের সঙ্গে বাস্তবায়ন করা হয় তার ওপর। সাইবার অপরাধ শনাক্ত ও তদন্তে আরো সক্রিয় ভূমিকা রাখার সুযোগ আছে। বিশেষায়িত আইন প্রয়োগকারী সংস্থা ও আধুনিক সরঞ্জাম ব্যবহার করে অপরাধ দমন জরুরি। অপরাধীদের আইনের আওতায় এনে শাস্তি দেয়া না গেলে প্রতিরোধ ব্যবস্থা দুর্বলই থেকে যাবে।
স্ট্যান্ডার্ড চার্টার্ড কীভাবে ডিজিটাল লেনদেন ও তথ্য সুরক্ষা নিশ্চিত করছে?
স্ট্যান্ডার্ড চার্টার্ড একটি বহুজাতিক ব্যাংক। সে হিসেবে আমরা আমাদের প্রধান দপ্তর প্রণীত কঠোর সাইবার নিরাপত্তা নীতিমালা অনুসরণ করি। আমাদের আইটি অবকাঠামো, নেটওয়ার্ক ও অ্যাপ্লিকেশন ব্যবহারের আগে পূর্ণাঙ্গ নিরাপত্তা যাচাইয়ের মধ্য দিয়ে যায়। সিস্টেম নিরাপদ রাখতে আমরা বড় ধরনের বিনিয়োগ করেছি। বিশ্বের সব দেশে আমাদের কার্যক্রমে একই হার্ডওয়্যার ও সফটওয়্যার মানদণ্ড অনুসরণ করা হয়। এতে স্থানীয় নিয়ন্ত্রক সংস্থার নিয়ম এবং আন্তর্জাতিক সেরা চর্চা উভয়ই বিবেচনায় নেয়া হয়।
আমাদের নেটওয়ার্ক ও অবকাঠামো ২৪ ঘণ্টা নজরদারিতে থাকে। বাংলাদেশে স্ট্যান্ডার্ড চার্টার্ডের কার্যক্রমে বৈশ্বিকভাবে নিয়োগপ্রাপ্ত দক্ষ সাইবার ও তথ্য নিরাপত্তা বিশেষজ্ঞরা কাজ করেন। তথ্য নিরাপত্তাকে ব্যাংকের অন্যতম প্রধান ঝুঁকির ধরন হিসেবে বিবেচনা করা হয়। আমরা আইএসও২৭০০১ ও পিসিআই ডিএসএস মানদণ্ড অনুসরণ করি।
দেশের ব্যাংকগুলো কি কার্যকর সাইবার ইনসিডেন্ট রেসপন্স টিম (সিআইআরটি) গঠন করেছে? তাদের সক্ষমতা কতটা?
বাংলাদেশে আমাদের একটি কার্যকর সিআইআরটি কমিটি রয়েছে। আমি নিজেই এর সভাপতির দায়িত্বে আছি। অন্যান্য ব্যাংকেও এমন দল রয়েছে, কারণ এটি এখন নিয়ন্ত্রক সংস্থার বাধ্যতামূলক নির্দেশনা। আমাদের দুই স্তরে প্রতিরক্ষা ব্যবস্থা আছে প্রধান তথ্য নিরাপত্তা কর্মকর্তা এবং তথ্য নিরাপত্তা ঝুঁকি ব্যবস্থাপনা কর্মকর্তার অধীনে। তারা অত্যন্ত দক্ষ ও অভিজ্ঞ পেশাজীবী। যারা আমাদের বৈশ্বিক সাইবার নিরাপত্তা দল ও নিয়ন্ত্রক সংস্থার সঙ্গে ঘনিষ্ঠভাবে কাজ করে গ্রাহক ও সিস্টেম সুরক্ষায় নিয়োজিত। এছাড়া ব্যাংক খাতের সবাই একে অন্যের ভালো ও মন্দ দিকগুলো শেয়ার করতে পারি। নিজেদের মাঝে তথ্যের আদান-প্রদান হলে সবাই উপকৃত হব এবং প্রয়োজনীয় পদক্ষেপ নিতে পারব।
আমাদের নতুন কিছু উদ্ভাবনের দরকার নেই। উন্নত দেশে যা সফলভাবে করা হচ্ছে, সেটিই অনুসরণ করা যথেষ্ট। সেখানকার সেরা চর্চাগুলোকে আমাদের বাস্তবতায় প্রয়োগ করলেই কাঙ্ক্ষিত অগ্রগতি সম্ভব।
ফিশিং, রÅvনসমওয়্যার ও সোশ্যাল ইঞ্জিনিয়ারিং আক্রমণ প্রতিরোধে ব্যাংকগুলো কী করছে?
আমাদের সিস্টেমে সবসময় হালনাগাদকৃত নিরাপত্তা প্যাচ ও অ্যান্টিভাইরাস সফটওয়্যার ইনস্টল রাখার চেষ্টা করি। পাশাপাশি কর্মীদের প্রশিক্ষণ ও সচেতনতার ওপর বিশেষ গুরুত্ব দিই আমরা। সব কর্মীকেই বছরে একবার তথ্য নিরাপত্তা প্রশিক্ষণ নিতে হয়। আমাদের কনটেন্ট মনিটরিং সিস্টেম ক্ষতিকর ই-মেইল ইনবক্সে পৌঁছার আগেই ব্লক করে দেয়, আর আউটগোয়িং মেসেজেও তথ্য ফাঁস প্রতিরোধ করে। আমরা নিয়মিত ফিশিং সিমুলেশন অনুশীলন করি, যাতে কোন কর্মীর আরো বেশি প্রশিক্ষণ দরকার, তা বোঝা যায়। কোনো কর্মী শৃঙ্খলা বিঘ্ন হয় এমন কিছু করলে, তৎক্ষণাৎ পদক্ষেপ নিই আমরা।
প্রতি বছর সাইবার সিমুলেশন মহড়া এবং এক্সিকিউটিভ সাইবার ব্রিফিং আয়োজন করি, যাতে দেশের শীর্ষ ব্যবস্থাপনা কর্মকর্তাগণ সরাসরি অংশগ্রহণ করেন। এভাবে নেতৃত্বের দিক থেকে সাইবার নিরাপত্তার গুরুত্ব স্পষ্ট হয়। একই সঙ্গে আমরা গ্রাহকদের সচেতনতা বাড়াতে এসএমএস, ই-মেইল, ওয়েবসাইট ও সামাজিক মাধ্যমে নিয়মিত প্রচারণা চালাই।
ব্যাংক খাতে দক্ষ সাইবার নিরাপত্তা জনবল তৈরিতে আমাদের শিক্ষাপ্রতিষ্ঠানগুলোর কী ভূমিকা রাখা দরকার। তাদের সিলেবাসে কোনো পরিবর্তন আনার দরকার আছে কিনা?
আমাদের দেশে দক্ষ সাইবার নিরাপত্তা বিশেষজ্ঞের অভাব এখনো বড় চ্যালেঞ্জ। কিছু বিশ্ববিদ্যালয় এ বিষয়ে স্নাতক ও স্নাতকোত্তর কোর্স চালু করেছে। তবে এটি খুবই বিশেষায়িত ক্ষেত্র, যেখানে প্রশিক্ষণ ও বাস্তব অভিজ্ঞতার বিকল্প নেই। যতদিন না আমাদের নিজস্ব দক্ষ জনবল তৈরি হয়, আমরা চাইলে প্রবাসী বাংলাদেশীদের ফিরিয়ে এনে বা বিদেশী বিশেষজ্ঞ নিয়োগের মাধ্যমে এ ঘাটতি সাময়িকভাবে পূরণ করতে পারি। কম্পিউটার সায়েন্স ও ইঞ্জিনিয়ারিং পেশাজীবীদেরও প্রশিক্ষণ ও সার্টিফিকেশনের মাধ্যমে এ খাতে পুনর্গঠন করা যেতে পারে।
এখানে আরেকটি কথা বলতে হয় যে কৃত্রিম বুদ্ধিমত্তার (এআই) উত্থানের ফলে পেশাগত অনিশ্চয়তায় ভোগেন অনেকে। এআই ও ডিজটাল অভিযোজনের কারণে কিছু চাকরির ক্ষেত্র আরো নতুন করে তৈরি হবে। এর মধ্যে অন্যতম হলো সাইবার নিরাপত্তাবিষয়ক চাকরিক্ষেত্র। এ বিষয়টাকে চাইলেও পুরোপুরি এআই দিয়ে প্রতিস্থাপিত করা যাবে না। সেজন্য এখন যারা শিক্ষার্থী আছেন, তাদের আমি সাইবার নিরাপত্তা নিয়ে পড়াশোনা করতে বলব।
প্রযুক্তি খাতের এটাই বিশেষত্ব যে কোনো কিছু আজ হালনাগাদ করলেন তো আগামীকাল আবার তা পুরোপুরি বাতিল হয়ে যেতে পারে। যারা এ বিষয়ে পড়াশোনা করেন, তাদের উচিত নিজেদের নিয়মিত হালনাগাদ রাখা। এখানে একবার শিখলেই সবকিছু জানা হয়ে যাবে, আর জানা লাগবে না—বিষয়টি এমন নয়। আর আমরা যদি বিশ্বব্যাপী পরিচালিত একই কারিকুলাম অনুসরণ করি, তাহলেই আমরা সঠিক দিকে যাব।
গ্রাহকদের মধ্যে সাইবার সচেতনতা বাড়াতে কী করা উচিত?
সাইবার প্রতারণার ধরন বিশ্লেষণ করলে দেখা যায়, গ্রাহক সচেতনতা এখনই বাড়ানো জরুরি। বর্তমানে ব্যাংক, আর্থিক প্রতিষ্ঠানগুলো নিজস্ব পর্যায়ে কিছু প্রচারণা চালায়, তবে সেটি ন্যূনতম মাত্রায় সীমাবদ্ধ। আমার মতে, মুদ্রণ ও সম্প্রচারমাধ্যমে ব্যাপক জনসচেতনতা বাড়িয়ে সরকারও এখানে বড় ভূমিকা রাখতে পারে। পাশাপাশি মাধ্যমিক ও উচ্চমাধ্যমিক শিক্ষাক্রমে সাইবার সচেতনতা বিষয় অন্তর্ভুক্ত করা উচিত, কারণ আজ প্রায় সবাই কোনো না কোনোভাবে ডিজিটাল প্রযুক্তির সঙ্গে যুক্ত।
