भारतीय शेयर बाजार के नियामक सेबी ने देश की प्रमुख डिपॉजिटरी संस्था सीडीएसएल (सेंट्रल डिपॉजिटरी सर्विसेज लिमिटेड) के खिलाफ बेहद सख्त रुख अपनाते हुए उस पर एक करोड़ रुपये का भारी जुर्माना लगाया है। यह दंडात्मक कार्रवाई संस्था की साइबर सुरक्षा प्रणाली में पाई गई उन गंभीर खामियों और घोर लापरवाही के चलते की गई है, जिनके कारण साल 2022 के अंत में एक विनाशकारी मालवेयर हमला हुआ था। इस साइबर सेंधमारी ने न केवल कंपनी के तकनीकी बुनियादी ढांचे को बुरी तरह खोखला कर दिया था, बल्कि भारतीय शेयर बाजार से जुड़ी अत्यंत महत्वपूर्ण सेवाओं को भी कई घंटों तक पूरी तरह ठप कर दिया था, जिससे निवेशकों और बाजार के सुचारू कामकाज पर बड़ा संकट मंडराने लगा था।
क्रिटिकल सिस्टम को लेकर बरती गई घोर लापरवाही
नियामक संस्था द्वारा की गई विस्तृत जांच में इस पूरे प्रकरण की जो परतें खुली हैं, वे बेहद चौंकाने वाली हैं। जांच रिपोर्ट के मुताबिक, डिपॉजिटरी के जिस महत्वपूर्ण सर्वर का सीधा जुड़ाव इंटरनेट से था और जो बाहरी खतरों के प्रति सबसे ज्यादा संवेदनशील था, उसे कंपनी ने अपने क्रिटिकल एसेट (अति-महत्वपूर्ण संपत्ति) की सूची में शामिल करने की जहमत ही नहीं उठाई। इसी बुनियादी चूक का नतीजा था कि उस खास सर्वर का समय-समय पर होने वाला VAPT (वल्नरेबिलिटी असेसमेंट एंड पेनेट्रेशन टेस्टिंग यानी सुरक्षा खामियों का तकनीकी परीक्षण) भी तय वक्त पर नहीं करवाया जा सका।
हैरानी की बात यह है कि अगस्त 2022 में ही बाजार नियामक ने अपनी तरफ से इन तकनीकी कमियों को लेकर संस्था को आगाह कर दिया था। इसके बावजूद, प्रबंधन ने इस चेतावनी को गंभीरता से नहीं लिया और समय रहते कोई सुधारात्मक या ठोस कदम नहीं उठाया। जांच में जो सबसे भयानक तथ्य सामने आया, वह यह था कि साइबर हमलावरों ने मालवेयर हमले के खुलासे (नवंबर 2022) से पूरे एक साल पहले ही, यानी नवंबर 2021 में ही कंपनी के सुरक्षा घेरे को तोड़कर उसके नेटवर्क में अपनी गहरी पैठ बना ली थी। हैकर्स पूरे एक साल तक सिस्टम के भीतर छिपे रहे और संस्था को इसकी भनक तक नहीं लगी।
दर्जनों घंटे तक ठप रहा पूरा वित्तीय बाजार का कामकाज
जब अंततः मालवेयर ने अपना असली असर दिखाना शुरू किया, तो इसका परिणाम पूरे वित्तीय तंत्र के लिए किसी দুঃस्वप्न से कम नहीं था। कंपनी के कामकाज पर इस साइबर हमले का असर बेहद व्यापक और विनाशकारी था। आधिकारिक आंकड़ों पर गौर करें तो पता चलता है कि संस्था के कुल 547 सर्वरों में से 135 सर्वर इस वायरस की चपेट में आकर बुरी तरह संक्रमित हो गए थे। इसके अलावा, कार्यालय में इस्तेमाल हो रहे 506 कंप्यूटरों और लैपटॉप में से 177 सिस्टम इस मालवेयर हमले का शिकार बन गए थे।
इस बड़े पैमाने पर हुए सिस्टम फेल्योर के कारण शेयर बाजार की पूरी चक्र प्रणाली ही रुक गई। बाजार में शेयरों के ट्रांसफर, शेयर गिरवी रखने (प्लेज), खरीद-फरोख्त के बाद होने वाले सेटलमेंट, और पे-इन व पे-आउट जैसी तमाम जरूरी और संवेदनशील सेवाएं पूरी तरह से बाधित हो गईं। नियामक के अनुसार, शेयरों के सेटलमेंट की प्रक्रिया लगभग 46 घंटे तक पूरी तरह रुकी रही। चूंकि यह डिपॉजिटरी भारतीय वित्तीय बाजार की रीढ़ मानी जाती है और करोड़ों निवेशकों के डिमैट खाते इसी संस्था के पास सुरक्षित रहते हैं, ऐसे में इसकी तकनीकी विफलता का सीधा और भयानक खामियाजा पूरे सिक्योरिटी मार्केट को भुगतना पड़ा।
पूर्व तकनीकी अधिकारियों को क्लीन चिट और पेनाल्टी का अल्टीमेटम
इस बड़े साइबर हमले की जांच के दायरे में कंपनी के तत्कालीन शीर्ष अधिकारी भी आए थे। नियामक ने इस प्रकरण में पूर्व CTO (चीफ टेक्नोलॉजी ऑफिसर) अमित महाजन और पूर्व CISO (चीफ इंफॉर्मेशन सिक्योरिटी ऑफिसर) राजेश नाडकर्णी की भूमिकाओं की भी गहन पड़ताल की थी। हालांकि, जांच में यह तथ्य उभर कर सामने आया कि सुरक्षा प्रणाली और सिस्टम आर्किटेक्चर से जुड़े फैसले इन दोनों अधिकारियों ने अपने स्तर पर अकेले या मनमाने ढंग से नहीं लिए थे। इसके उलट, इन फैसलों के लिए कंपनी के निदेशक मंडल (बोर्ड) और विभिन्न आंतरिक समितियों की बाकायदा पूर्व मंजूरी ली गई थी। इस सामूहिक निर्णय प्रक्रिया को ध्यान में रखते हुए, सेबी ने इन दोनों पूर्व अधिकारियों पर व्यक्तिगत रूप से कोई भी आर्थिक दंड नहीं लगाया है।
दूसरी ओर, संस्थागत स्तर पर बरती गई इस घोर लापरवाही के लिए कंपनी को कड़ा दंड दिया गया है। बाजार नियामक ने आदेश जारी करते हुए कंपनी को 45 दिनों का स्पष्ट अल्टीमेटम दिया है, जिसके भीतर उसे जुर्माने की कुल एक करोड़ रुपये की राशि अनिवार्य रूप से सरकारी खजाने में जमा करनी होगी। इस भारी-भरकम जुर्माने को दो अलग-अलग अधिनियमों के तहत लगाया गया है, जिसमें 90 लाख रुपये का जुर्माना सीधे तौर पर सेबी अधिनियम के प्रावधानों के तहत है, जबकि शेष 10 लाख रुपये का दंड डिपॉजिटरी अधिनियम के नियमों के उल्लंघन पर लगाया गया है।
अपने विस्तृत आदेश के अंत में नियामक ने संपूर्ण वित्तीय बाजार को एक सख्त और स्पष्ट संदेश दिया है। आदेश में कहा गया है कि डिपॉजिटरी जैसी अहम संस्थाओं के स्तर पर साइबर सुरक्षा में किसी भी प्रकार की चूक या कोताही केवल उस कंपनी के भीतर का मसला नहीं रह जाती है। ऐसी किसी भी घटना का सीधा असर निवेशकों के विश्वास पर पड़ता है और इससे समूचे शेयर बाजार की कार्यप्रणाली तथा उसकी विश्वसनीयता पूरी तरह से दांव पर लग जाती है, जिसे किसी भी कीमत पर स्वीकार नहीं किया जा सकता।
