নিরাপত্তা, সম্মতি এবং ডেটা রেসিডেন্সি
গ্রাহক নিজে যে নিয়ন্ত্রণগুলো চালু করেন, এনক্রিপশন ও কী, CVSS অনুযায়ী প্যাচ টার্গেট, নিরাপত্তা সংক্রান্ত ঘটনা ও লঙ্ঘনের বিজ্ঞপ্তি, গ্রাহক পেনিট্রেশন টেস্টিং, ASK গভর্নেন্স সংক্রান্ত সিদ্ধান্ত, রেসিডেন্সি, এবং গ্রাহক যে ধরনের প্রমাণ চাইতে পারেন।
প্রতিরক্ষার তিনটি স্তর
| প্রতিরোধ করুন | সনাক্ত করুন | সঠিক |
|---|---|---|
| নেটওয়ার্ক আইসোলেশন এবং WAF; শুধুমাত্র HTTPS-এর মাধ্যমে প্রবেশ; ব্যক্তিগত ডেটাবেস | কেন্দ্রীয় লগিং — অ্যাপ্লিকেশন, অডিট, ক্লাউড | এয়ার-গ্যাপড ব্যাকআপ; অপরিবর্তনীয় ভল্ট; ক্লিন-রুম রিস্টোর |
| স্থির অবস্থায় এবং স্থানান্তরের সময় এনক্রিপশন | দুর্বলতা স্ক্যানিং — ইমেজ, নির্ভরতা, ক্লাউড কনফিগারেশন | ঘটনা প্রতিক্রিয়া রানবুক এবং এস্কেলেশন |
| গ্র্যানুলার আরবিএসি, এসএসও, এমএফএ, ন্যূনতম বিশেষাধিকার | রানটাইম হুমকি সনাক্তকরণ | Live DR — স্বয়ংক্রিয় ফেইলওভার সহ একটি চলমান দ্বিতীয় অঞ্চল |
| সুরক্ষিত ইমেজ; দুর্বলতা এবং প্যাচ ব্যবস্থাপনা |
গ্রাহক সুইচ চালু নিয়ন্ত্রণ করে
NIST CSF-এর সাথে ম্যাপ করা বেশিরভাগ কন্ট্রোলই TRANXACT-এর মধ্যে বিল্ট-ইন থাকে অথবা ক্লাউড প্রোভাইডারের নিজস্ব পরিষেবা থেকে আসে। চারটি ঐচ্ছিক বা গ্রাহকের নিজস্ব, এবং সেগুলো স্পষ্টভাবে বলার প্রয়োজন আছে কারণ অন্য কেউ সেগুলো করবে না:
| নিয়ন্ত্রণ | ফাংশন | WHO |
|---|---|---|
| ডেটা শ্রেণিবিন্যাস | শনাক্ত করুন | গ্রাহক ব্যক্তিগত এবং নিয়ন্ত্রিত ডেটাকে শ্রেণীবদ্ধ করে (সংরক্ষণ এবং আইনি স্থগিতকরণের জন্য INFRA_2.5.04) |
| IdP-এর মাধ্যমে SSO এবং MFA | রক্ষা করুন | গ্রাহক তার IdP-তে অ্যাকাউন্ট এবং MFA নীতি রক্ষণাবেক্ষণ করে (PLAT_5.6.02); TRANXACT ফেডারেশন স্থাপন করে (PLAT_5.6.01) |
| গ্রাহক-পরিচালিত চাবি | রক্ষা করুন | ঐচ্ছিক (TO_4.5.10); গ্রাহক কী লাইফসাইকেলটি পরিচালনা করে (TO_4.5.11) |
| SIEM ইন্টিগ্রেশন | সনাক্ত করুন | লগ এক্সপোর্ট ঐচ্ছিক (TO_4.6.02); SIEM পরিচালনা করা গ্রাহকের দায়িত্ব (TO_4.6.03) |
এনক্রিপশন এবং কী
| কী | কীভাবে |
|---|---|
| স্থানান্তরাধীন ডেটা | টিএলএস ১.২+ |
| ডেটাবেস স্থির অবস্থায় | AES-256 |
| অবজেক্ট স্টোরেজ এবং ব্যাকআপ | AES-256 |
| গোপনীয়তা | একটি পরিচালিত গোপনীয়তার ভান্ডার |
| এআই কী | টায়ার প্রোভাইডারের কী, অথবা BYOK |
| সার্টিফিকেট | FQDN-এর জন্য একটি পাবলিক CA |
- স্ট্যান্ডার্ড: TRANXACT দ্বারা পরিচালিত ক্লাউড KMS কী, যার আবর্তন এবং ধ্বংস নির্দিষ্ট করা আছে; অপারেটরের কী পড়ার অ্যাক্সেস নেই; কী অ্যাক্সেস লগ করা হয়; ভল্ট ব্যাকআপ কী আলাদাভাবে রাখা হয় (TO_4.11.02)।
- ঐচ্ছিক: গ্রাহকের KMS-এ গ্রাহক-পরিচালিত কী, গ্রাহক-সরবরাহকৃত সার্টিফিকেট, ASK ইঞ্জিনের জন্য BYOK।
গ্রাহক-পরিচালিত চাবির ক্ষেত্রে, চাবিটি বাতিল করলে TRANXACT অনুপলব্ধ হয়ে যায়। চাবি ব্যবহার করার আগে আবর্তন এবং জরুরি পদ্ধতিগুলো যৌথভাবে সম্মত হয়ে নিন।
তীব্রতা অনুসারে প্যাচিং (প্রস্তাবিত ডিফল্ট)
| তীব্রতা (CVSS) | প্রতিকারের লক্ষ্য | গ্রাহক বিজ্ঞপ্তি |
|---|---|---|
| সংকটপূর্ণ (৯.০–১০) | জরুরি পথ, যখনই কোনো পরীক্ষিত সমাধান পাওয়া যাবে। | অবিলম্বে, যদি ডাউনটাইমের প্রয়োজন হয় |
| উচ্চ (৭.০–৮.৯) | পরবর্তী রক্ষণাবেক্ষণের সময় | রিলিজ নোট |
| মাঝারি (৪.০–৬.৯) | ৩০ দিনের মধ্যে | রিলিজ নোট |
| নিম্ন (৪.০ এর নিচে) | পরবর্তী নির্ধারিত মুক্তি | রিলিজ নোট |
চারটি পর্যায়: মূল্যায়ন ও শ্রেণিবিন্যাস; প্রোডাকশন-আকারের কপির সাথে নন-প্রোডাকশন সংস্করণে পরীক্ষা ও যাচাই; কুলিং পিরিয়ডের পর রোলিং আপডেটের মাধ্যমে স্থাপন, এবং এর স্বাস্থ্য ও লেজার চেক পর্যবেক্ষণ; প্রতিক্রিয়া ও প্রতিকার। যেসব গ্রাহকের নিজস্ব চেঞ্জ বোর্ড আছে, তাদের নোটিশ পিরিয়ড এবং কোন কোন ফিক্স তা এড়িয়ে যেতে পারবে, সে বিষয়ে একমত হতে হবে।
নিরাপত্তা সংক্রান্ত ঘটনা এবং ব্যক্তিগত তথ্য লঙ্ঘন
নিয়ন্ত্রণ → প্রতিবেদন → ঘোষণা → সমাধান → শিক্ষা গ্রহণ: সীমাবদ্ধ ও বিচ্ছিন্ন করা; SecOps এবং স্বায়ত্তশাসিত অপারেশন পাইলটকে লগ করা ও সতর্ক করা; নিরাপত্তা ঘটনাকে শ্রেণিবদ্ধ করা এবং একটি নিরাপত্তা ঘটনা খোলা; নির্মূল করা, একটি পরিষ্কার অবস্থা থেকে পুনরুদ্ধার করা এবং লেজার যাচাই করা; মূল কারণ পর্যালোচনা করা এবং নিয়ন্ত্রণ ও রানবুক আপডেট করা।
| TRANXACT — প্রসেসর (TO_4.5.06) | গ্রাহক — নিয়ন্ত্রক (TO_4.5.07) |
|---|---|
| গ্রাহকের ব্যক্তিগত তথ্যে আঘাত হানা একটি লঙ্ঘনের ঘটনা নিশ্চিত করা হয়েছে। | ডেটা বিষয়বস্তুর ঝুঁকি মূল্যায়ন করে |
| ডিপিএ-তে নির্ধারিত শর্তানুযায়ী, গ্রাহককে অযথা বিলম্ব না করে অবহিত করা হয়। | প্রয়োজন অনুসারে তত্ত্বাবধায়ক কর্তৃপক্ষকে অবহিত করে। |
| জ্ঞাত তথ্য, সম্ভাব্য প্রভাব এবং গৃহীত পদক্ষেপগুলো তুলে ধরা হয়েছে। | প্রয়োজন অনুযায়ী প্রভাবিত তথ্য সংশ্লিষ্টদের অবহিত করা হয়। |
| তদন্তের অগ্রগতির সাথে সাথে হালনাগাদ তথ্য প্রদান করা হয়। | নিজস্ব রেজিস্টারে লঙ্ঘনটি নথিভুক্ত করে। |
ডিপিএ-তে নোটিফিকেশনের জন্য যোগাযোগের মাধ্যম, চ্যানেল এবং সময়সীমা নির্ধারণ করুন এবং গ্রাহকের ডিপিও-র সাথে যোগাযোগ পরিকল্পনাটি অনুশীলন করুন।
গ্রাহকের নিজস্ব অনুপ্রবেশ পরীক্ষা
- একটি গোপনীয়তা চুক্তি স্বাক্ষর করুন।
- কমপক্ষে ২ সপ্তাহ আগে এর জন্য অনুরোধ করুন (TO_4.5.08, অতিরিক্ত পরিষেবা)।
- পরিধি নির্ধারণে সম্মত হোন।
- প্রথমে নন-প্রোডাকশন টেস্ট করুন — ডেটা মাস্কিং সহ প্রোডাকশন থেকে রিফ্রেশ করে। প্রোডাকশন টেস্টিংয়ের জন্য সুস্পষ্ট TRANXACT অনুমোদন এবং একটি নির্দিষ্ট উইন্ডো প্রয়োজন।
- প্রাপ্ত ফলাফলগুলো শেয়ার করুন।
- যৌথভাবে প্রতিকার করুন: প্ল্যাটফর্মের ত্রুটিগুলো স্ট্যান্ডার্ড (TO_4.5.09); গ্রাহকের নিজস্ব কনফিগারেশনের ত্রুটিগুলো তাদের।
| পরিধির মধ্যে | আওতার বাইরে |
|---|---|
| গ্রাহকের FQDN-এর মাধ্যমে অ্যাপ্লিকেশন টেস্টিং | ডিনায়াল-অফ-সার্ভিস এবং লোড অ্যাটাক |
| প্রমাণীকরণ, অনুমোদন এবং ভূমিকা নকশা | ক্লাউড-প্রোভাইডার অবকাঠামো |
| গ্রাহকের ইন্টিগ্রেশন দ্বারা ব্যবহৃত এপিআইগুলি | অন্যান্য ভাড়াটে, ভল্ট অ্যাকাউন্ট এবং শেয়ার্ড টুলিং |
| গ্রাহক-প্রান্তের নেটওয়ার্ক পথ (ভিপিএন, ব্যক্তিগত লিঙ্ক) | TRANXACT কর্মীদের সামাজিক প্রকৌশল |
শাসন সংক্রান্ত সিদ্ধান্ত ASK
ASK ব্যবহারকারীর নিজস্ব সেশন ব্যবহার করে TRANXACT-এর API-এর মাধ্যমে কাজ করে, তাই প্রতিটি পোস্টিং রুল, রোল পারমিশন এবং অডিট-লগ এন্ট্রি এমনভাবে প্রযোজ্য হয় যেন ব্যবহারকারী নিজেই ক্লিক করেছেন। গ্রাহকভেদে যা সিদ্ধান্ত নেওয়া হয়:
| সিদ্ধান্ত | বিভাগ | আরএন্ডআর |
|---|---|---|
| ইঞ্জিনের স্তর (প্রিমিয়াম, ব্যালেন্সড, ইকোনমি) এবং প্রসেসিং অঞ্চল | মান, পরিষেবা অনুরোধ | ASK_6.1.02 |
| গ্রাহক-প্রদত্ত এআই কী (BYOK) সংযুক্ত করুন | মান, পরিষেবা অনুরোধ | ASK_6.1.03 |
| BYOK কী প্রদান ও আবর্তন করুন; এআই প্রদানকারীর চুক্তিটি ধরে রাখুন। | বাদ দেওয়া হয়েছে | ASK_6.1.04 |
| কোন কোন ভূমিকা ASK ব্যবহার করতে পারে; ব্যবহারের বাজেট এবং সতর্কতা; মাসিক নির্দেশ ও ব্যবহার পর্যালোচনা; গ্রহণ অধিবেশন | প্যাকেজড — G1 ASK ব্যবহারের শাসনব্যবস্থা | ASK_6.2.01 – 6.2.03, 6.2.07 |
| অডিট ট্রেইলের প্রতিটি ASK অ্যাকশন | মান | ASK_6.2.04 |
| গ্রাহকের অভ্যন্তরীণ এআই ব্যবহারের নীতি | বাদ দেওয়া হয়েছে | ASK_6.2.05 |
ডেটা রেসিডেন্সি
- প্রাথমিক অঞ্চল হলো সেই স্থান যেখানে খতিয়ান এবং নথিগুলো থাকে।
- যেখানে প্রবিধান অনুযায়ী প্রয়োজন, সেখানে Live DR অঞ্চল এবং ভল্ট একই আইনি এখতিয়ারের অধীনে থাকে।
- ASK: নির্দেশ ও তার প্রতিক্রিয়াগুলো কোথায় প্রক্রিয়াজাত করা হয় — গ্রাহক যদি নিজস্ব এআই চুক্তি বাধ্যতামূলক করে, তবে তাকেই বেছে নিতে হবে।
- প্রতিটি আইনি সত্তার জন্য ভাষা, সত্তাসমূহ, মুদ্রা এবং স্থানীয় বিধিবদ্ধ প্রয়োজন।
- খাতভিত্তিক নিয়মাবলী: স্বাস্থ্য রেকর্ড (EHR), শিক্ষার্থী রেকর্ড, বেতন ও কর সংক্রান্ত তথ্য।
- আন্তঃসীমান্ত স্থানান্তর ডিপিএ-এর আওতাভুক্ত।
অঞ্চল নির্বাচন করার আগে নিয়ন্ত্রিত ডেটার প্রয়োজনীয়তা নিশ্চিত করুন। অঞ্চলগুলোর মধ্যে একটি সক্রিয় লেজার স্থানান্তর করা একটি মাইগ্রেশন প্রকল্প।
প্রমাণ এবং শংসাপত্র
- অনুরোধের ভিত্তিতে: নিরাপত্তা সংক্রান্ত শ্বেতপত্র ও নিয়ন্ত্রণ বিবরণ, পেনিট্রেশন-টেস্টের সারাংশ, সুইচওভার মহড়া এবং ক্লিন-রুম পুনরুদ্ধার প্রতিবেদন, প্রাপ্যতা ও ব্যাকআপ-স্থিতি প্রতিবেদন, সাব-প্রসেসর তালিকা এবং ডিপিএ টিওএম (টিও_৪.৫.১২)।
- গ্রাহকের নিরাপত্তা সংক্রান্ত যথাযথ যাচাই প্রশ্নাবলী, যা প্রতি চুক্তি বছরে একবার পূরণ করতে হয় (TO_4.5.13)।
- ডিপিএ-তে সংজ্ঞায়িত নিরীক্ষার অধিকার; সম্মত প্রক্রিয়া অনুসারে গ্রাহকের নিজস্ব পেনিট্রেশন টেস্টিং; তার এসআইইএম-এ লগ রপ্তানি।
শুধুমাত্র সেইসব সার্টিফিকেশন এবং অ্যাটেস্টেশন — যেমন ISO/IEC 27001, SOC 2 Type II, সেক্টর ফ্রেমওয়ার্ক — উল্লেখ করুন, যেগুলোর বর্তমান পরিধি গ্রাহকের ক্লাউড এবং অঞ্চলকে অন্তর্ভুক্ত করে। TRANXACT-এর প্রস্তাবনা দেওয়ার আগে তাদের কমপ্লায়েন্স নিশ্চিত করে নিন।
প্রস্তাবিত ডিফল্ট হিসেবে চিহ্নিত মানগুলো হলো ডেপ্লয়মেন্ট গাইডের সুপারিশকৃত প্রারম্ভিক বিন্দু। প্রতিটি গ্রাহকের জন্য আলাদাভাবে তা নিশ্চিত করুন; চুক্তি, অর্ডার ফর্ম, এসএলএ এবং ডিপিএ এই পৃষ্ঠার চেয়ে প্রাধান্য পাবে।