भारतीय शेयर बाजार में करोड़ों निवेशकों के डीमैट खातों की सुरक्षा करने वाली सेंट्रल डिपॉजिटरी सर्विसेज लिमिटेड (सीडीएसएल) को अपनी एक बड़ी तकनीकी चूक की भारी कीमत चुकानी पड़ी है। बाजार नियामक संस्था भारतीय प्रतिभूति और विनिमय बोर्ड (सेबी) ने सीडीएसएल की साइबर सुरक्षा प्रणाली में गंभीर खामियां पाए जाने के बाद उस पर पूरे एक करोड़ रुपये का जुर्माना लगाया है। यह कड़ी कार्रवाई नवंबर 2022 में डिपॉजिटरी के नेटवर्क पर हुए एक व्यापक मालवेयर हमले की विस्तृत जांच के बाद की गई है। नियामक का स्पष्ट कहना है कि संस्था ने डिजिटल सुरक्षा के प्राथमिक और अनिवार्य नियमों की अनदेखी की जिसके सीधे परिणामस्वरूप अज्ञात हमलावरों ने उनके अति संवेदनशील नेटवर्क में सेंध लगा दी।
नेटवर्क में घुसपैठ और सेवाओं पर असर
यह पूरा मामला 18 नवंबर 2022 का है जब सीडीएसएल के मुख्य डिजिटल बुनियादी ढांचे पर एक खतरनाक साइबर हमला हुआ था। इस घुसपैठ का असर कंपनी के पूरे नेटवर्क पर बहुत गहराई तक देखा गया था। आधिकारिक आंकड़ों के अनुसार उस समय कंपनी के पास काम कर रहे कुल 547 सर्वरों में से 135 सर्वर इस मालवेयर की चपेट में आकर बुरी तरह प्रभावित हो गए थे। इसके अतिरिक्त कार्यालय में कर्मचारियों द्वारा उपयोग किए जा रहे 506 डेस्कटॉप और लैपटॉप में से 177 सिस्टम भी इस हमले से संक्रमित हो गए थे। यह तकनीकी संकट केवल संस्था के आंतरिक कार्यालयों तक ही सीमित नहीं रहा बल्कि इसका सीधा असर शेयर बाजार के दैनिक कामकाज पर भी पड़ा। इसके कारण शेयरों के सेटलमेंट, शेयर गिरवी रखने यानी प्लेज की सुविधा, और पे इन तथा पे आउट जैसी अत्यंत महत्वपूर्ण बाजार सेवाएं कुछ समय के लिए पूरी तरह से बाधित हो गई थीं जिससे निवेशकों और ब्रोकर्स को भारी परेशानी का सामना करना पड़ा।
असुरक्षित इंटरनेट सर्वर से खुला रास्ता
इस बड़े साइबर हमले के बाद सेबी ने पूरे प्रकरण की गहराई से जांच की और 88 पन्नों की एक विस्तृत रिपोर्ट तैयार की। इस जांच रिपोर्ट में डिपॉजिटरी प्रबंधन की तरफ से की गई कई चौंकाने वाली और गंभीर लापरवाहियों का खुलासा हुआ है। रिपोर्ट के मुताबिक सबसे बड़ी तकनीकी भूल यह थी कि सीडीएसएल ने अपने एक बेहद महत्वपूर्ण इंटरनेट फेसिंग सर्वर को क्रिटिकल एसेट यानी अति संवेदनशील संपत्तियों की सूची में शामिल ही नहीं किया था। यह विशेष सर्वर बाहरी इंटरनेट की दुनिया और कंपनी के मुख्य आंतरिक नेटवर्क के बीच एक प्रवेश द्वार की तरह काम करता था। इतनी नाजुक और महत्वपूर्ण भूमिका में होने के बावजूद संस्था ने इसे अतिरिक्त सुरक्षा घेरा प्रदान नहीं किया। इसी बड़ी लापरवाही का नतीजा था कि इस सर्वर की वीएपीटी यानी वल्नरेबिलिटी असेसमेंट एंड पेनिट्रेशन टेस्टिंग जांच भी नहीं कराई गई। यह एक विशेष प्रकार का सुरक्षा परीक्षण होता है जो समय रहते किसी भी कंप्यूटर सिस्टम की तकनीकी कमजोरियों को उजागर कर देता है। नियामक का दृढ़ता से यह मानना है कि यदि यह अनिवार्य परीक्षण समय पर पूरा कर लिया गया होता तो संभवतः हैकर्स कभी भी इस रास्ते से मुख्य सिस्टम के अंदर प्रवेश नहीं कर पाते।
पुरानी चेतावनियों की घोर अनदेखी
जांच के दौरान जो सबसे अधिक चिंताजनक पहलू सामने आया वह यह था कि नियामक ने इस घटना से काफी पहले ही कंपनी को उसकी कमजोर सुरक्षा व्यवस्था के बारे में सचेत कर दिया था। सेबी ने अगस्त 2022 में ही सीडीएसएल को उसकी साइबर सुरक्षा नीतियों में मौजूद कई बड़ी कमियों के प्रति आगाह किया था। इतनी स्पष्ट चेतावनी मिलने के बावजूद कंपनी प्रबंधन ने समय रहते आवश्यक सुधार लागू नहीं किए। इसके बजाय संस्था अपनी बहुत पुरानी सुरक्षा ऑडिट रिपोर्ट के भरोसे ही अपना रोजमर्रा का काम चलाती रही। प्रबंधन का यही टालमटोल वाला रवैया और बिना सुधारी गई पुरानी कमियां कुछ ही महीनों बाद एक बहुत बड़े साइबर हमले का मुख्य कारण बन गईं।
जुर्माने का विस्तृत विवरण और सख्त निर्देश
इस पूरे घटनाक्रम को भारतीय वित्तीय ढांचे की सुरक्षा के लिए एक बड़ा खतरा मानते हुए सेबी ने कड़ा रुख अपनाया है और कुल 1 करोड़ रुपये का मौद्रिक दंड लगाया है। इस कुल जुर्माने को दो अलग अलग अधिनियमों के तहत बांटा गया है। इसमें से 90 लाख रुपये का जुर्माना सेबी अधिनियम 1992 के सख्त प्रावधानों के अंतर्गत लगाया गया है जबकि शेष 10 लाख रुपये का जुर्माना डिपॉजिटरी अधिनियम 1996 के तहत लगाया गया है। नियामक ने अपने अंतिम आदेश में यह बिलकुल स्पष्ट किया है कि कोई भी डिपॉजिटरी देश के संपूर्ण वित्तीय ढांचे की सबसे महत्वपूर्ण संस्थाओं में से एक होती है। इन संस्थाओं के पास देश के करोड़ों आम और खास निवेशकों के बहुमूल्य शेयर और निजी डेटा अत्यंत सुरक्षित रूप में रखे होते हैं। ऐसे में डिजिटल सुरक्षा और डेटा संरक्षण से जुड़ी किसी भी प्रकार की लापरवाही को किसी भी सूरत में नजरअंदाज नहीं किया जा सकता है। सेबी ने सीडीएसएल को सख्त निर्देश दिया है कि वह आदेश जारी होने की तारीख से ठीक 45 दिनों के भीतर इस पूरी जुर्माना राशि को जमा करे।
