सूचना सुरक्षा घटना (Information security incident)

सूचना सुरक्षा घटना क्या है

सूचना सुरक्षा (आईएस) घटना कोई भी अवांछित या अप्रत्याशित घटना (या उनकी श्रृंखला) है जो जानकारी और आईटी प्रणालियों की गोपनीयता, अखंडता या उपलब्धता का उल्लंघन करती है या उल्लंघन का खतरा पैदा करती है। सरल शब्दों में, यह वह घटना है जब आपका डेटा गलत हाथों में चला गया, अपरिवर्तनीय रूप से खो गया या सिस्टम ने काम करना बंद कर दिया।

घटना को सुरक्षा घटना (सिक्योरिटी इवेंट) से अलग करना महत्वपूर्ण है। एक इवेंट सिस्टम में कोई भी परिवर्तन है जो सामान्य और संदिग्ध दोनों हो सकता है (उदाहरण के लिए, एक उपयोगकर्ता ने गलत पासवर्ड दर्ज किया)। एक घटना वह इवेंट है जिसने वास्तविक नुकसान पहुंचाया या पहुंचा सकता था (उदाहरण के लिए, हमलावर ने पासवर्ड हैक करके सिस्टम में प्रवेश किया, डेटा चुराया या फाइलों को एन्क्रिप्ट किया)।

आंकड़ों के अनुसार, 80% से अधिक कंपनियों को प्रति वर्ष कम से कम एक गंभीर आईएस घटना का सामना करना पड़ता है। एक घटना के परिणामों के उन्मूलन की लागत औसतन लाखों रूबल होती है, और प्रतिष्ठा बहाल करने में वर्षों लग सकते हैं। कैस्परस्की लैब के अनुसार, 2025 में रूसी व्यवसाय के लिए एक घटना की औसत लागत 12.4 मिलियन रूबल थी, और पुनर्प्राप्ति का समय कई दिनों से कई हफ्तों तक था। ऐसी स्थितियों की रोकथाम के बारे में सूचना सुरक्षा लेख में पढ़ें।

घटनाओं के मुख्य प्रकार

सूचना सुरक्षा घटनाओं को खतरे के प्रकार और प्रभाव की प्रकृति से वर्गीकृत किया जाता है। सबसे आम प्रकार:

• मैलवेयर: वायरस, रैंसमवेयर (एन्क्रिप्टर), स्पाइवेयर, ट्रोजन, वर्म्स और रूटकिट से संक्रमण। मैलवेयर डेटा चुरा सकता है, फाइलों को एन्क्रिप्ट कर सकता है, सिस्टम को बॉटनेट का हिस्सा बना सकता है या इसे पूरी तरह से निष्क्रिय कर सकता है।
• अनधिकृत पहुंच: हैकिंग हमले, पासवर्ड क्रैकिंग, अवैध विशेषाधिकार वृद्धि, खातों की चोरी, सिस्टम तक पहुंच प्राप्त करने के लिए कमजोरियों का उपयोग। अनधिकृत पहुंच डेटा लीक के सबसे आम कारणों में से एक है।
• डेटा लीक और समझौता: गोपनीय दस्तावेजों, क्लाइंट डेटाबेस, व्यक्तिगत डेटा, व्यापार रहस्यों या राज्य रहस्यों की अवैध नकल, विलोपन या प्रकाशन। लीक बाहरी (हैकर्स) और आंतरिक (इनसाइडर) दोनों हो सकते हैं।
• उपलब्धता का उल्लंघन: डीडीओएस हमले (वितरित सेवा से इनकार), सिस्टम ब्लॉकिंग, उपकरणों को नुकसान, सॉफ्टवेयर विफलताएं, जिनके कारण कर्मचारी और ग्राहक सेवाओं तक नहीं पहुंच पाते।
• सोशल इंजीनियरिंग: सफल फ़िशिंग हमले, जब कर्मचारी दुर्भावनापूर्ण लिंक का अनुसरण करते हैं, संक्रमित अनुलग्नक खोलते हैं या "जांच" या "आधिकारिक अनुरोध" के बहाने हमलावरों को क्रेडेंशियल और गोपनीय दस्तावेज दे देते हैं।
• आंतरिक उल्लंघन (इनसाइडर खतरे): कर्मचारियों द्वारा डेटा का जानबूझकर या आकस्मिक प्रकटीकरण, गलत प्राप्तकर्ता को गोपनीय जानकारी भेजना, व्यक्तिगत मीडिया या क्लाउड स्टोरेज में डेटा स्थानांतरित करना।

साइबर हमलों के प्रकारों के बारे में साइबर फ्रॉड लेख में और पढ़ें।

घटना जीवनचक्र

मानकों (उदाहरण के लिए, NIST SP 800-61 और घरेलू पद्धति संबंधी सिफारिशों) के अनुसार, क्लासिक घटना प्रबंधन प्रक्रिया में निम्नलिखित चरण शामिल हैं:

• पता लगाना और पंजीकरण: सिस्टम में संदिग्ध गतिविधि का पता लगाना। यह एक SIEM प्रणाली, EDR, एंटीवायरस, एक उपयोगकर्ता शिकायत या लॉग में विसंगतियों का पता लगाना हो सकता है।
• विश्लेषण: खतरे के दायरे का आकलन, प्रभावित प्रणालियों की पहचान, हमले के प्रकार का निर्धारण और उसके स्रोत की खोज। SOC के विश्लेषक लॉग, नेटवर्क ट्रैफिक और फोरेंसिक डेटा का उपयोग करके जांच करते हैं।
• रोकथाम और प्रतिक्रिया: हमले को ब्लॉक करना और उसके प्रसार को रोकना। नेटवर्क से संक्रमित प्रणालियों को अलग करना, हमलावरों के आईपी पते ब्लॉक करना, समझौता किए गए खातों को अक्षम करना।
• सुधार और पुनर्प्राप्ति: मैलवेयर हटाना, बैकअप से डेटा पुनर्स्थापित करना (बैकअप सिस्टम), सिस्टम की कार्यक्षमता बहाल करना, जिन कमजोरियों के माध्यम से प्रवेश हुआ, उन्हें बंद करना।
• घटना विश्लेषण (पोस्ट-मॉर्टम): कमजोरियों की पहचान, भविष्य में समान स्थितियों की रोकथाम के उपायों का विकास, सुरक्षा नीतियों का अद्यतन, कर्मचारियों का प्रशिक्षण, प्रबंधन और नियामकों (यदि आवश्यक हो) के लिए एक रिपोर्ट तैयार करना।

डेटा पुनर्प्राप्ति विधियों के बारे में डेटा बैकअप लेख में पढ़ें।

किसी घटना पर कैसे प्रतिक्रिया दें

नुकसान को कम करने के लिए घटना के प्रति सही प्रतिक्रिया महत्वपूर्ण है। अनुशंसित क्रियाओं का क्रम:

• संक्रमित प्रणालियों को तुरंत अलग करें नेटवर्क से (स्थानीय नेटवर्क और इंटरनेट से डिस्कनेक्ट करें) ताकि हमला अन्य डिवाइसों में न फैले।
• जांच के लिए सभी लॉग और साक्ष्य सहेजें: सिस्टम लॉग, इवेंट फाइलें, मेमोरी डंप, संक्रमित फाइलों की प्रतियां। जांच पूरी होने तक किसी भी डेटा को न हटाएं और न संशोधित करें।
• प्रबंधन और सुरक्षा सेवा को सूचित करें आंतरिक घटना प्रतिक्रिया प्रक्रिया के अनुसार।
• घटना जांच में विशेषज्ञों को शामिल करें (फोरेंसिक) पेशेवर विश्लेषण और साक्ष्य संग्रह के लिए।
• नियामकों को सूचित करें (Roskomnadzor, FSTEC, रूस का बैंक) कानून द्वारा प्रदान किए गए मामलों में (उदाहरण के लिए, 152-एफजेड के तहत व्यक्तिगत डेटा लीक या महत्वपूर्ण सूचना अवसंरचना सुविधाओं पर घटनाओं के मामले में)। अधिसूचना की अवधि आमतौर पर पता लगने के क्षण से 24 घंटे होती है।

कानूनी पहलुओं के बारे में संघीय कानून 152-एफजेड लेख में पढ़ें।