भारतीय प्रतिभूति और विनिमय बोर्ड ने एक बड़ा कदम उठाते हुए देश के प्रमुख डिपॉजिटरी संस्थान, 'सेंट्रल डिपॉजिटरी सर्विसेज लिमिटेड' (सीडीएसएल) पर एक करोड़ रुपये का भारी जुर्माना ठोक दिया है। इस दंडात्मक कार्रवाई की मुख्य वजह साल 2022 के नवंबर महीने में हुआ वह साइबर हमला है, जब एक खतरनाक मैलवेयर ने सिस्टम की सुरक्षा व्यवस्था में सेंध लगा दी थी। बाजार नियामक के इस कड़े फैसले ने यह साफ कर दिया है कि वित्तीय बुनियादी ढांचे को संभालने वाले संस्थानों के लिए डिजिटल सुरक्षा से जुड़े नियमों का पालन करना कितना जरूरी है।
नवंबर 2022 के साइबर हमले की तकनीकी कमियां
यह आदेश 18 नवंबर 2022 की उस घटना से जुड़ा है, जब एक मैलवेयर ने घुसपैठ करके डिपॉजिटरी के बहुत से महत्वपूर्ण कामकाज और प्रणालियों को ठप कर दिया था। नियामक द्वारा जारी किए गए 88 पृष्ठों के विस्तृत दस्तावेज में बताया गया है कि यह संस्था अपने 'एक्टिव डायरेक्टरी फेडरेशन सर्विसेज' वाले इंटरनेट-फेसिंग सर्वर की अहमियत को समझने में विफल रही, और उसने इसे एक महत्वपूर्ण डिजिटल संपत्ति के रूप में चिन्हित ही नहीं किया।
इस गलत मूल्यांकन का सीधा नतीजा यह हुआ कि उक्त सर्वर को 'वल्नरेबिलिटी असेसमेंट एंड पेनेट्रेशन टेस्टिंग' जैसी अनिवार्य सुरक्षा जांच से बाहर कर दिया गया। सेबी ने कड़े शब्दों में कहा कि विनियामक दिशानिर्देशों के मौजूद होने के बावजूद, कंपनी ने अपने बचाव के लिए बेसिक साइबर सिक्योरिटी वाले कदम भी नहीं उठाए, जिसके चलते एक खुला हुआ इंटरनेट-फेसिंग नेटवर्क पूरी तरह से असुरक्षित रह गया।
जुर्माने की राशि और भुगतान की समय सीमा
अंतिम फैसले के रूप में, विभिन्न साइबर सुरक्षा नियमों और अनिवार्य जरूरतों की अनदेखी करने पर कुल एक करोड़ का जुर्माना ठोका गया है। इस बड़ी धनराशि में से 90 लाख रुपये का हिस्सा सीधे तौर पर सेबी अधिनियम का उल्लंघन करने के ऐवज में लगाया गया है, और बाकी बचे हुए 10 लाख रुपये का दंड डिपॉजिटरी अधिनियम के तहत जोड़ा गया है। कंपनी को यह पूरी राशि जमा करने के लिए पैंतालीस दिनों का सख्त अल्टीमेटम दिया गया है। सेबी ने स्पष्ट किया है कि समय सीमा के भीतर भुगतान न करने पर आगे और भी कड़ी कार्रवाई की जा सकती है।
पेनल्टी की रकम निर्धारित करने से पहले, नियामक ने उन सुधारात्मक उपायों का भी संज्ञान लिया जो इस हैकिंग वाली घटना के पश्चात कंपनी द्वारा तेजी से लागू किए गए थे। इसके साथ ही, साइबर हमलों की जानकारी देने से जुड़ी स्टैंडर्ड ऑपरेटिंग प्रक्रिया के उल्लंघन पर संस्था को पहले ही दस लाख रुपये का जो आर्थिक दंड दिया जा चुका था, उसे भी इस नए आदेश में ध्यान में रखा गया है।
बाजार और निवेशकों के भरोसे पर असर
नियामक ने अपने फैसले में इस बात पर विशेष जोर दिया कि शेयर बाजार की साख बचाने और रिटेल निवेशकों का विश्वास कायम रखने के लिए एक डिपॉजिटरी बहुत बड़ा रोल निभाती है। यह संस्था लाखों आम लोगों की डिजिटल वित्तीय संपत्ति की सुरक्षा के लिए जवाबदेह है।
सेबी का स्पष्ट मानना था कि किसी भी मार्केट इंफ्रास्ट्रक्चर संस्थान के अंदर पनपने वाले साइबर खतरे का प्रभाव केवल उस एक कंपनी तक ही रुक कर नहीं रह जाता, बल्कि यह पूरे ट्रेडिंग इकोसिस्टम को झकझोर सकता है। जब कोई हैकर ऐसी केंद्रीय प्रणाली तक पहुंच बनाता है, तो वह पूरे शेयर बाजार के कामकाज को प्रभावित करने की क्षमता रखता है। सिस्टम की एक भी चूक पूरे बाजार की स्थिरता को खतरे में डाल सकती है, इसलिए आम निवेशकों के हितों की रक्षा के लिए ऐसी संस्थाओं के फायरवॉल और सुरक्षा तंत्र को अभेद्य रखना बेहद जरूरी है।
पूर्व अधिकारियों को व्यक्तिगत जिम्मेदारी से राहत
जहां एक तरफ कंपनी के रूप में संस्था पर बड़ा आर्थिक दंड लगाया गया, वहीं दूसरी तरफ इस घटना के समय तकनीकी विभागों की कमान संभालने वाले दो पूर्व वरिष्ठ अधिकारियों को बड़ी राहत मिली है। बाजार नियामक ने संस्था के दो पूर्व शीर्ष अधिकारियों की भूमिका की भी जांच की थी। इनमें पहले व्यक्ति राजेश नाडकर्णी थे, जो उस समय मुख्य सूचना सुरक्षा अधिकारी का पद संभाल रहे थे, और दूसरे व्यक्ति अमित महाजन थे, जिनके पास मुख्य प्रौद्योगिकी अधिकारी की जिम्मेदारी थी।
नियामक संस्था ने अपनी रिपोर्ट में स्पष्ट किया कि नेटवर्क में पाई गई इन तकनीकी खामियों का ठीकरा व्यक्तिगत तौर पर राजेश नाडकर्णी या अमित महाजन के सिर पर नहीं फोड़ा जा सकता। सेबी ने इन दोनों के विरुद्ध चल रही कार्यवाही को बिना कोई वित्तीय दंड लगाए ही हमेशा के लिए बंद करने का फैसला सुना दिया है। इस राहत के बाद यह स्पष्ट हो गया है कि संस्थागत कमियों की पूरी जवाबदेही कंपनी प्रबंधन के ढांचे पर ही आती है।
