জিরো ট্রাস্ট কী: আধুনিক সাইবার নিরাপত্তার সোজাসাপ্টা গাইড

আজকের অতি-সংযুক্ত ডিজিটাল জগতে প্রচলিত নিরাপত্তা মডেল আর যথেষ্ট নয়। রিমোট ওয়ার্ক, ক্লাউড সার্ভিস ও মোবাইল ডিভাইসের ব্যবহার আগের যেকোনো সময়ের চেয়ে বেশি, ফলে কর্পোরেট নেটওয়ার্ক সুরক্ষিত রাখা এমন জটিল চ্যালেঞ্জ হয়ে দাঁড়িয়েছে, যা পরিসীমা-ভিত্তিক (perimeter-based) প্রতিরক্ষা দিয়ে ঠিকমতো সামলানো যায় না। ঠিক এখানেই আসে জিরো ট্রাস্ট, একটি বৈপ্লবিক সাইবার নিরাপত্তা মডেল, যা “বিশ্বাস করো, তবে যাচাই করো” মানসিকতাকে উল্টে দেয়: কাউকে কখনো বিশ্বাস নয়, সবসময় যাচাই।

জিরো ট্রাস্ট শুধু একটি চটকদার শব্দ নয়, বরং প্রতিষ্ঠানগুলো কীভাবে নিরাপত্তা নিয়ে ভাবে ও তা প্রয়োগ করে, তার মৌলিক পরিবর্তন। আপনি অভিজ্ঞ নিরাপত্তা পেশাদার হোন বা আইটিতে নতুন, আধুনিক ডিজিটাল পরিবেশ সুরক্ষিত রাখতে জিরো ট্রাস্ট কী, তা বোঝা অত্যন্ত জরুরি। এই লেখায় জিরো ট্রাস্টের মূল নীতি, সুবিধা, বাস্তবায়নের কৌশল ও আরও অনেক কিছু আলোচনা করা হয়েছে, বাড়তি ফেনা ছাড়া শুধু প্রয়োজনীয় তথ্য।

জিরো ট্রাস্ট কী?

চলুন গোড়া থেকে শুরু করি। জিরো ট্রাস্ট এমন একটি নিরাপত্তা ফ্রেমওয়ার্ক, যার মূল নীতি হলো কোনো ব্যবহারকারী, ডিভাইস বা সিস্টেমকে, কর্পোরেট নেটওয়ার্কের ভেতরে হোক বা বাইরে, ডিফল্টভাবে বিশ্বাস করা যাবে না। ধারণাটি সরল: প্রতিটি অ্যাক্সেস অনুরোধ অনুমতি পাওয়ার আগে অথেন্টিকেট, অথরাইজ এবং ক্রমাগত যাচাই করতে হবে। আপনি আগে থেকেই নেটওয়ার্কের “ভেতরে” থাকলেও নিজের বিশ্বাসযোগ্যতা প্রমাণ না করা পর্যন্ত আপনাকে বিশ্বাস করা হয় না।

এই পদ্ধতি প্রচলিত পরিসীমা-ভিত্তিক নিরাপত্তার সীমাবদ্ধতা মোকাবিলা করে, যেখানে ধরে নেওয়া হয় হুমকি মূলত নেটওয়ার্কের বাইরে থেকে আসে। কিন্তু আজকাল হুমকি ভেতর থেকেও আসতে পারে, হোক সেটা ক্ষতিকর অভ্যন্তরীণ ব্যক্তির কারণে কিংবা ফাঁস হওয়া ক্রেডেনশিয়ালের কারণে। জিরো ট্রাস্ট অন্ধ বিশ্বাস দূর করে ঝুঁকি কমায়।

জিরো ট্রাস্টের ইতিহাস ও বিবর্তন

জিরো ট্রাস্ট হঠাৎ করে আসেনি, ধীরে ধীরে গড়ে উঠেছে। ২০১০ সালে Forrester Research-এর বিশ্লেষক John Kindervag শব্দটিকে জনপ্রিয় করেন, তবে এর মৌলিক ধারণা আরও পুরোনো। ২০০০-এর দশকের শুরুতেই প্রতিষ্ঠানগুলো দুর্গ-ও-পরিখা (castle-and-moat) ধাঁচের নিরাপত্তা মডেলের কার্যকারিতা নিয়ে প্রশ্ন তুলতে শুরু করে। ডেটা ব্রিচ ও অভ্যন্তরীণ হুমকি বাড়তে থাকায় নিরাপত্তা সম্প্রদায় বুঝতে পারে, শুধু সীমানা রক্ষা করলে যথেষ্ট নয়।

বছরের পর বছর ধরে জিরো ট্রাস্ট একটি ধারণা থেকে পূর্ণাঙ্গ ফ্রেমওয়ার্কে পরিণত হয়েছে, যাকে ভেন্ডর, সরকার ও নিরাপত্তা পেশাদাররা সমানভাবে সমর্থন করেন। আজ মার্কিন ফেডারেল সরকারও জাতীয় সিস্টেম সুরক্ষার মান হিসেবে জিরো ট্রাস্ট গ্রহণ বাধ্যতামূলক করেছে।

জিরো ট্রাস্ট মডেলের মূল নীতি

প্রতিটি নিরাপত্তা ফ্রেমওয়ার্কের একটি শক্ত ভিত্তি দরকার। জিরো ট্রাস্টের ক্ষেত্রে সেই ভিত্তি গড়ে উঠেছে কয়েকটি মূল নীতির ওপর:

1. কখনো বিশ্বাস নয়, সবসময় যাচাই। নেটওয়ার্কের ভেতরেও প্রতিটি ব্যবহারকারী ও ডিভাইসকে অ্যাক্সেস পাওয়ার আগে পরিচয় অথেন্টিকেট করতে হবে।
2. ধরে নিন ব্রিচ হয়েছে এই বিশ্বাস নিয়ে কাজ করুন যে নিরাপত্তা ভঙ্গ ঘটে থাকতে পারে। এই মানসিকতা সক্রিয় প্রতিরক্ষা ও শনাক্তকরণের কৌশলকে উৎসাহিত করে।
3. ন্যূনতম সুবিধার অ্যাক্সেস নিশ্চিত করুন। ব্যবহারকারী শুধু সেই রিসোর্সেই অ্যাক্সেস পাবে, যা তার কাজের জন্য প্রয়োজন, এর বেশি নয়।
4. মাইক্রোসেগমেন্টেশন নেটওয়ার্ককে ছোট ছোট নিরাপদ অংশে ভাগ করুন, যাতে হুমকি ছড়িয়ে পড়ার সম্ভাবনা সীমিত থাকে।
5. নিরবচ্ছিন্ন পর্যবেক্ষণ বিশ্বাস এককালীন মূল্যায়ন নয়; রিয়েল-টাইম ডেটা দিয়ে অ্যাক্সেস অনুমতি বারবার নতুন করে যাচাই করা উচিত।

এই নীতিগুলো একটি গতিশীল ও সহনশীল নিরাপত্তা অবস্থান গড়ে তোলে, যা বিবর্তনশীল হুমকির সঙ্গে খাপ খাইয়ে নেয়।

প্রচলিত নিরাপত্তা মডেল কেন ব্যর্থ হয়

জিরো ট্রাস্ট বুঝতে হলে প্রচলিত নিরাপত্তা পদ্ধতির ঘাটতিগুলো চেনা জরুরি। পুরোনো পরিসীমা মডেল অভ্যন্তরীণ নেটওয়ার্কের চারপাশে একটি “দেয়াল” তোলে এবং ধরে নেয় দেয়ালের ভেতরের সবকিছু নিরাপদ। এই পদ্ধতি তখনই কার্যকর ছিল, যখন সব সম্পদ অফিসের ভেতরেই থাকত। কিন্তু আজকের আইটি পরিবেশ অনেক বেশি জটিল।

ক্লাউড কম্পিউটিং, রিমোট ওয়ার্ক, bring-your-own-device (BYOD) নীতি ও Software as a Service (SaaS) অ্যাপ্লিকেশনের উত্থানে নেটওয়ার্ক অফিসের দেয়ালের অনেক বাইরে ছড়িয়ে গেছে। এই সম্প্রসারণের ফলে ডেটা পয়েন্ট বেড়েছে এবং দুর্বলতাও বেড়েছে। আক্রমণকারীকে শুধু একবার পরিসীমা ভেদ করতে পারলেই হয়, এরপর নেটওয়ার্কের ভেতরে তারা অবাধে ঘুরে বেড়ায়। এটি বড় ঝুঁকি, আর জিরো ট্রাস্ট এর সমাধান দেয়।

পরিচয়ই নতুন পরিসীমা

জিরো ট্রাস্টের সবচেয়ে গুরুত্বপূর্ণ পরিবর্তনগুলোর একটি হলো, অবস্থান নয়, পরিচয়ই এখন নতুন পরিসীমা। জিরো ট্রাস্ট ফ্রেমওয়ার্কে আপনি কোথা থেকে লগইন করছেন, সেটা বিষয় নয়; বিষয় হলো আপনি কে এবং আপনি অনুমোদিত কি না।

পরিচয় যাচাইয়ের মধ্যে আছে:

• মাল্টি-ফ্যাক্টর অথেন্টিকেশন (MFA) ব্যবহারকারীকে একাধিক যাচাইয়ের উপায় দেখাতে বলে, যেমন পাসওয়ার্ড ও ফোনে আসা কোড।
• সিঙ্গল সাইন-অন (SSO): অ্যাক্সেস সহজ করে এবং পরিচয় কেন্দ্রীয়ভাবে পরিচালিত হচ্ছে তা নিশ্চিত করে।
• বিহেভিয়ারাল অ্যানালিটিক্স ব্যবহারকারীর আচরণ নজরে রেখে অস্বাভাবিকতা ধরে, যেমন অচেনা জায়গা থেকে লগইন বা অদ্ভুত সময়ে ফাইল খোলা।

পরিচয়কে গুরুত্ব দিয়ে জিরো ট্রাস্ট নিশ্চিত করে যে অ্যাক্সেসের সিদ্ধান্ত ব্যক্তির সঙ্গে যুক্ত থাকে, তার ডিভাইস বা অবস্থানের সঙ্গে নয়।

মাইক্রোসেগমেন্টেশন: ভাগ করো, জয় করো

মাইক্রোসেগমেন্টেশন জিরো ট্রাস্ট ফ্রেমওয়ার্কের একটি অপরিহার্য কৌশল। এমন একটি একক নেটওয়ার্ক না রেখে, যেখানে একবার ঢুকলেই সব রিসোর্স হাতের নাগালে, মাইক্রোসেগমেন্টেশন নেটওয়ার্ককে বিচ্ছিন্ন অংশে ভাগ করে। এতে শুধু প্রয়োজনীয় রিসোর্সেই অ্যাক্সেস সীমিত থাকে এবং নিরাপত্তা বাড়ে।

• অ্যাপ্লিকেশন-স্তরের সেগমেন্টেশন: প্রতিটি অ্যাপ্লিকেশন আলাদা করে ঘিরে রাখা হয়, ফলে যথাযথ অনুমতি ছাড়া ব্যবহারকারী এক অ্যাপ থেকে অন্য অ্যাপে পাশাপাশি সরে যেতে পারে না।
• রোল-ভিত্তিক অ্যাক্সেস: কর্মীরা শুধু নিজেদের ভূমিকার সঙ্গে প্রাসঙ্গিক সেগমেন্টেই অ্যাক্সেস পায়।
• নেটওয়ার্ক জোনিং: জোনগুলোর মধ্যকার ট্রাফিক কঠোরভাবে নিয়ন্ত্রিত ও পর্যবেক্ষিত হয়।

এতে আক্রমণকারীর পক্ষে নেটওয়ার্কজুড়ে ছড়িয়ে পড়া কঠিন হয়, ঢুকে পড়লেও তাদের চলাচল মারাত্মকভাবে সীমিত থাকে।

লিস্ট প্রিভিলেজ অ্যাক্সেস ব্যাখ্যা

লিস্ট প্রিভিলেজের নীতি সহজ কিন্তু শক্তিশালী: ব্যবহারকারীকে তার কাজের জন্য ঠিক যতটুকু অ্যাক্সেস লেভেল দরকার, ততটুকুই দিন। এর বেশি নয়।

• অ্যাটাক সারফেস সীমিত করে: কম প্রিভিলেজ মানে অপব্যবহারের সুযোগও কম।
• ল্যাটারাল মুভমেন্ট ঠেকায়: হ্যাকার কোনো অ্যাকাউন্ট দখল করলেও সেটি দিয়ে সম্পর্কহীন সিস্টেমে ঢুকতে পারে না।
• জবাবদিহি বাড়ায়: সুনির্দিষ্ট গণ্ডিতে বাঁধা অ্যাক্সেস থাকলে কোন কাজ কে করেছে, তা খুঁজে বের করা সহজ হয়।

লিস্ট প্রিভিলেজ বাস্তবায়নে দরকার রোল-ভিত্তিক অ্যাক্সেস কন্ট্রোল (RBAC), আইডেন্টিটি গভর্ন্যান্স এবং নিয়মিত অ্যাক্সেস রিভিউ।

জিরো ট্রাস্টে এন্ডপয়েন্ট সিকিউরিটির ভূমিকা

এন্ডপয়েন্ট, অর্থাৎ ল্যাপটপ, ফোন ও ট্যাবলেট, আক্রমণের সাধারণ পথ। জিরো ট্রাস্ট পরিবেশে এসব এন্ডপয়েন্ট সুরক্ষিত রাখা অত্যন্ত গুরুত্বপূর্ণ। কার্যকর এন্ডপয়েন্ট সিকিউরিটির মধ্যে আছে:

• ডিভাইস পসচার চেক: অ্যাক্সেস দেওয়ার আগে ডিভাইস নিরাপত্তার মান পূরণ করছে কি না তা নিশ্চিত করে।
• এন্ডপয়েন্ট ডিটেকশন অ্যান্ড রেসপন্স (EDR): ক্ষতিকর কার্যকলাপের লক্ষণের জন্য এন্ডপয়েন্টগুলো নিরন্তর পর্যবেক্ষণ করে।
• রিমোট ওয়াইপ সক্ষমতা: হারিয়ে যাওয়া ডিভাইস থেকে অ্যাডমিনকে সংবেদনশীল ডেটা মুছে ফেলার সুযোগ দেয়।

জিরো ট্রাস্টে ডিভাইসের স্বাস্থ্য ব্যবহারকারীর পরিচয়ের মতোই গুরুত্বপূর্ণ। দুটির যেকোনোটি সন্দেহজনক হলে অ্যাক্সেস প্রত্যাখ্যান করা হয়।

নিরবচ্ছিন্ন পর্যবেক্ষণ ও অ্যাডাপটিভ অ্যাক্সেস

প্রচলিত নিরাপত্তা নীতি আর যথেষ্ট নয়। জিরো ট্রাস্ট নিরবচ্ছিন্ন পর্যবেক্ষণে জোর দেয়, অর্থাৎ ব্যবহারকারীর আচরণ, নেটওয়ার্ক কার্যকলাপ ও সিস্টেমের স্বাস্থ্যের রিয়েল-টাইম নজরদারি।

• অ্যাডাপটিভ অ্যাক্সেস কন্ট্রোল: ঝুঁকির মাত্রা অনুযায়ী অ্যাক্সেস লেভেল গতিশীলভাবে বদলাতে পারে। যেমন পরিচিত জায়গা থেকে বিশ্বস্ত ডিভাইসে লগইন করলে পূর্ণ অ্যাক্সেস মেলে, আর নতুন ডিভাইস থেকে লগইন করলে অতিরিক্ত অথেন্টিকেশন চাওয়া হতে পারে।
• অ্যানোমালি ডিটেকশন: অস্বাভাবিক কিছু ঘটলেই রিয়েল-টাইম সতর্কবার্তা, যেমন কোনো কর্মী এমন ডেটা খুলছেন যা আগে কখনো ছোঁননি।
• স্বয়ংক্রিয় প্রতিক্রিয়া: পরিস্থিতি জটিল হওয়া ঠেকাতে সন্দেহজনক ডিভাইস বা অ্যাকাউন্ট সঙ্গে সঙ্গে কোয়ারেন্টিনে পাঠানো।

এ ধরনের বুদ্ধিমান পর্যবেক্ষণ হুমকি আগেভাগে ধরতে এবং সম্ভাব্য ক্ষতি কমাতে সাহায্য করে।

জিরো ট্রাস্ট বাস্তবায়নের চ্যালেঞ্জ

জিরো ট্রাস্ট শক্তিশালী, কিন্তু প্লাগ-অ্যান্ড-প্লে নয়। বাস্তবায়নে কিছু চ্যালেঞ্জ আসে:

• সাংস্কৃতিক প্রতিরোধ: কর্মী ও আইটি স্টাফ নতুন বিধিনিষেধের বিরুদ্ধে আপত্তি তুলতে পারেন।
• লেগাসি সিস্টেম: পুরোনো অবকাঠামো আধুনিক অথেন্টিকেশন ও সেগমেন্টেশন সমর্থন নাও করতে পারে।
• জটিলতা: সূক্ষ্ম নীতি তৈরি ও প্রয়োগ করতে প্রচুর রিসোর্স লাগতে পারে।
• প্রাথমিক বিনিয়োগ: IAM প্ল্যাটফর্ম, MFA ও EDR সিস্টেমের মতো টুলের জন্য বাজেট ও প্রশিক্ষণ লাগে।

এসব বাধা সত্ত্বেও জিরো ট্রাস্টের সুবিধা একে বিনিয়োগের যোগ্য করে তোলে। ছোট করে শুরু করা, যেমন MFA চালু করা বা গুরুত্বপূর্ণ অ্যাপ সেগমেন্ট করা, রূপান্তরকে সহজ করতে পারে।

ক্লাউডে জিরো ট্রাস্ট

প্রতিষ্ঠানগুলো ক্লাউডে যাওয়ার সঙ্গে সঙ্গে জিরো ট্রাস্ট আরও অপরিহার্য হয়ে উঠছে। ক্লাউড পরিবেশ গতিশীল, বিতরিত এবং প্রায়ই কর্পোরেট নিয়ন্ত্রণের বাইরে। ক্লাউডে জিরো ট্রাস্ট বাস্তবায়নের মূল কৌশলগুলো:

• ক্লাউড অ্যাক্সেস সিকিউরিটি ব্রোকার (CASB): ক্লাউড সার্ভিসের ওপর দৃশ্যমানতা ও নিয়ন্ত্রণ দেয়।
• নীতি-ভিত্তিক অ্যাক্সেস কন্ট্রোল: কে কোন ক্লাউড রিসোর্সে এবং কোন শর্তে অ্যাক্সেস পাবে, তা নির্ধারণ করে।
• IAM ও SIEM টুলের সঙ্গে ইন্টিগ্রেশন: সব পরিবেশে পরিচয় ও ইভেন্ট ব্যবস্থাপনায় সামঞ্জস্য নিশ্চিত করে।

ক্লাউডের সঙ্গে পরিসীমা হারিয়ে গেছে, জিরো ট্রাস্ট পরিচয়, ডিভাইসের স্বাস্থ্য ও প্রেক্ষাপট দিয়ে সেটি নতুন করে গড়তে সাহায্য করে।

জিরো ট্রাস্ট গ্রহণের সুবিধা

জিরো ট্রাস্ট মডেল বাস্তবায়নের অনেক সুবিধা আছে:

• ব্রিচের ঝুঁকি কমে: অ্যাক্সেস সীমিত করে ও সবকিছু যাচাই করে আপনি সেই হ্যাকারদের জন্য অনেক দরজা বন্ধ করে দেন, যারা দুর্বলতার সুযোগ নেয়।
• কমপ্লায়েন্স উন্নত হয়: GDPR ও HIPAA-র মতো অনেক বিধিমালায় শক্তিশালী অ্যাক্সেস কন্ট্রোল প্রয়োজন, যা জিরো ট্রাস্ট দেয়।
• দৃশ্যমানতা বাড়ে: নিরবচ্ছিন্ন পর্যবেক্ষণের ফলে নেটওয়ার্কে কী ঘটছে তার আরও ভালো ধারণা পাওয়া যায়।

অভ্যন্তরীণ হুমকির বিরুদ্ধে সহনশীলতা: কেউ ছাড় পায় না, এমনকি অভ্যন্তরীণ ব্যবহারকারীরাও নয়। জিরো ট্রাস্ট আরও আঁটসাঁট ও বুদ্ধিমান নিরাপত্তা অবস্থান গড়ে তোলে, যা আজকের বিতরিত কাজের পরিবেশের সঙ্গে বেশি সামঞ্জস্যপূর্ণ।

শেষ কথা: জিরো ট্রাস্টই সাইবার নিরাপত্তার ভবিষ্যৎ

জিরো ট্রাস্ট কোনো জাদুর কাঠি নয়, তবে এটি সাইবার নিরাপত্তা-চিন্তায় কাঠামোগত বিবর্তনের প্রতিনিধিত্ব করে। হুমকি যত পরিশীলিত হচ্ছে এবং নেটওয়ার্ক যত জটিল হচ্ছে, পুরোনো নিরাপত্তা মডেলের ওপর ভরসা করা বিপর্যয় ডেকে আনতে পারে। জিরো ট্রাস্ট প্রতিষ্ঠানগুলোকে একটি অভিযোজনক্ষম ও সহনশীল নিরাপত্তা ফ্রেমওয়ার্ক দেয়, যা আমরা আজ যেভাবে কাজ করি তার সঙ্গে মেলে, দশ বছর আগের কাজের ধরনের সঙ্গে নয়। অন্ধ বিশ্বাস চিহ্নিত ও কমিয়ে এনে প্রতিটি অনুরোধ ক্রমাগত যাচাই করার মাধ্যমে জিরো ট্রাস্ট নিরাপদ কার্যক্রমের আরও মজবুত ভিত্তি গড়ে। আপনি আইটি লিডার, নিরাপত্তা প্রকৌশলী বা ছোট ব্যবসার মালিক যেই হোন, জিরো ট্রাস্ট গ্রহণ শুধু বুদ্ধিমানের সিদ্ধান্ত নয়, এটি অপরিহার্য।