बिहीबार बिहान डट गभ डट एनपी अन्तर्गतका धेरै वेबसाइटहरू खुलेनन्। राष्ट्रपति कार्यालय, प्रधानमन्त्री तथा मन्त्रिपरिषद्को कार्यालय, विभिन्न मन्त्रालयहरू तथा धेरै नगरपालिकाका वेबसाइटहरू प्रभावित भए। नेपाल मात्र यस्तो समस्यामा परेको थिएन। फिनल्यान्डले आफ्ना सार्वजनिक वेब सेवाहरू बन्द गर्‍यो, द नेदरल्यान्ड्सको साइबर सुरक्षा एजेन्सीले आफ्नै वेबसाइट अफलाइन गर्‍यो, र जापानका प्रधानमन्त्रीले एक्स (पूर्व ट्विटर) मार्फत संस्थाहरूलाई त्यही रात सुरक्षा अद्यावधिक (प्याच) गर्न आग्रह गरे।

यसको कारण हाइपरटेक्स्ट प्रिप्रोसेसर (पीएचपी) मा फेला परेका दुई अत्यन्त गम्भीर कमजोरीहरू थिए। पीएचपी विश्वका धेरै वेबसाइटहरूको आधारभूत प्रोग्रामिङ भाषा हो, जसमा अधिकांश वर्डप्रेस साइटहरू पनि पर्छन्। कृत्रिम बुद्धिमत्ता (एआई) को सहयोगमा पत्ता लगाइएका यी कमजोरीहरूले आक्रमणकारीलाई कुनै पासवर्ड बिना नै वेब सर्भरमाथि नियन्त्रण लिन सक्ने बनाउँथे। बुधबार यसको समाधान (प्याच) सार्वजनिक गरियो, र विश्वभरका एजेन्सीहरूले एउटै सल्लाह दिए : तुरुन्त अद्यावधिक गर्नुहोस् र त्यतिबेलासम्म वेबसाइट अफलाइन गर्नुहोस्।

नेपालमा, सरकारको सफ्टवेयर डेभलपमेन्ट एण्ड अपरेसन्स सेन्टर (एसडीओसी) ले तत्काल सूचना जारी गरी सावधानीका रूपमा वेबसाइटहरू बन्द गर्‍यो। सेन्टरका टोलीहरूले दसैं बिदाका बीच पनि निरन्तर काम गर्दै प्रणालीहरूमा सुरक्षा अद्यावधिक लागू गरे, परीक्षण गरे, र सुरक्षित भएको पुष्टि भएपछि क्रमशः सेवाहरू पुनः संचालनमा ल्याए।

यो निर्णय जिम्मेवार थियो। एक दिन वेबसाइट बन्द हुनु, डेटा चोरी हुनु वा सरकारी वेबसाइटहरू बिगारिनुभन्दा यो धेरै राम्रो विकल्प हो। तर, यो घटनाले सरकार र निजी क्षेत्र दुवैमा एउटा गम्भीर छलफलको आवश्यकता पनि देखाएको छ।

‘प्याच लगाउनु सजिलो काम मात्र हो’

मैले यस्तै अवस्था धेरै पटक देखेको छु। सामान्यतया समस्या प्याच प्राप्त गर्नु होइन। वास्तविक चुनौती भनेको त्यससँग सम्बन्धित अन्य सबै कुरा हो: कुन-कुन प्रणालीमा अद्यावधिक आवश्यक छ भनेर पत्ता लगाउनु, ती प्रणालीहरूमा के-के निर्भर छन् भनेर बुझ्नु, र अद्यावधिक गर्दा के-कस्ता सेवा प्रभावित हुन सक्छन् भनेर जान्नु।

नेपालमा यो चुनौती अझ गम्भीर छ। पीएचपी हाम्रो वेब उद्योगको मुख्य आधार हो। सरकारी कार्यालय, बैंक, सहकारी, विद्यालय, अस्पताल र व्यवसायका हजारौं वेबसाइटहरू यसैमा आधारित छन्। यिनमध्ये धेरै वेबसाइटहरू यस्ता विक्रेताद्वारा निर्माण गरिएका छन् जसका सम्झौताहरू वर्षौंअघि समाप्त भइसकेका छन्। धेरैले सम्भवतः पीएचपीका पुराना संस्करणहरू प्रयोग गरिरहेका छन्, जसलाई अब सुरक्षा अद्यावधिक पनि उपलब्ध हुँदैन। यदि तपाईं कुनै सामान्य कार्यालयमा गएर वेबसाइटको सुरक्षाको जिम्मेवारी कसको हो भनेर सोध्नुभयो भने, स्पष्ट उत्तर नपाउन सक्नुहुन्छ।

यही कारणले गर्दा केही घण्टामै उपलब्ध भएको समाधानका बाबजुद वेबसाइटहरू धेरै दिनसम्म बन्द रहन सक्छन्। कुनै संस्थाले छिटो पुनः संचालन हुनका लागि आफ्नो प्रणाली, तिनको जिम्मेवार व्यक्ति र सुरक्षित रूपमा अद्यावधिक गर्ने प्रक्रिया राम्ररी जान्नुपर्छ।

अनुसन्धानकर्ताहरूले एआईको प्रयोग गरेर पीएचपीमा एक दशकभन्दा लामो समयदेखि लुकेर बसेका कमजोरीहरू पत्ता लगाए। आक्रमणकारीहरूसँग पनि यस्तै उपकरणहरू छन्। अहिले कुनै कमजोरी सार्वजनिक भएपछि अपराधीहरूले त्यसको दुरुपयोग गर्न लाग्ने समय दिनबाट घटेर घण्टामा झरेको छ।

नेपालमा अनुभवी साइबर सुरक्षा विशेषज्ञहरूको संख्या सीमित छ। उनीहरू एकै पटक सबै ठाउँमा पुग्न सक्दैनन्। त्यसैले संस्थाहरूले आफ्नो प्रणाली यति राम्रोसँग बुझ्नुपर्छ कि चेतावनी जारी भएकै दिन आवश्यक कदम चाल्न सकियोस् । साथै, रक्षा र सुरक्षाका लागि एआईको उपयोग पनि सुरु गर्नुपर्छ।

अब के परिवर्तन गर्नुपर्छ?

नेपालले नीतिगत तहमा केही प्रगति गरेको छ। २०२३ को राष्ट्रिय साइबर सुरक्षा नीतिले राष्ट्रिय साइबर सुरक्षा केन्द्रको परिकल्पना गरेको छ, र नेपाल राष्ट्र बैंकको ‘साइबर रेजिलिएन्स गाइडलाइन्स’ले बैंकहरूका लागि अपेक्षित मापदण्डहरू तय गरेको छ। तर, यो हप्ताको घटनाले अब कार्यान्वयनको स्तरमा ध्यान दिनुपर्ने देखाएको छ।

पहिलो, प्रत्येक सरकारी निकाय र नियमनमा रहेका संस्थाहरूले इन्टरनेटसँग जोडिएका आफ्ना सबै प्रणालीहरूको अद्यावधिक सूची राख्नुपर्छ। कुन प्रणालीमा कुन सफ्टवेयर चलिरहेको छ र त्यसको जिम्मेवारी कसको हो भन्ने स्पष्ट हुनुपर्छ। यो आधारभूत कुरा जस्तो लागे पनि, विश्वभरका धेरै संस्थाहरूले यस्तो सूची तुरुन्त उपलब्ध गराउन सक्दैनन्।

दोस्रो, कमजोरी व्यवस्थापन (भुल्नेरेबिलिटी म्यानेजमेन्ट)लाई औपचारिक र बजेटसहितको कार्य बनाउनु आवश्यक छ। यसका लागि जिम्मेवार व्यक्ति तोकिनुपर्छ, गम्भीर कमजोरी समाधान गर्ने समयसीमा निर्धारण हुनुपर्छ, आकस्मिक बजेट उपलब्ध हुनुपर्छ र सुरक्षित रूपमा प्रणाली अफलाइन गर्ने अभ्यास गरिएको योजना हुनुपर्छ। यो काम ‘जो खाली छ उसैले गरिदिने’ विषय बन्नु हुँदैन।

तेस्रो, सुरक्षालाई सम्झौताहरूको अनिवार्य भाग बनाइनुपर्छ। सरकारी खरिद प्रक्रियामा कुनै प्रणालीको सम्पूर्ण जीवनकालभर मर्मत सम्भारको व्यवस्था हुनुपर्छ। साथै, कुनै गम्भीर सुरक्षा चेतावनी जारी हुँदा होस्टिङ प्रदायक, वेब एजेन्सी र विक्रेताहरूले आफ्नो प्रणाली अद्यावधिक भएको लिखित पुष्टि दिनुपर्छ। अहिले धेरै सार्वजनिक वेबसाइटहरू बनाइन्छन्, भुक्तानी गरिन्छ, अनि बिस्तारै बिर्सिइन्छन्।

अन्त्यमा, संस्थाका संचालक समिति (बोर्ड) र वरिष्ठ अधिकारीहरूले पनि यसको जिम्मेवारी लिनुपर्छ। जब एउटा सफ्टवेयर कमजोरीले प्रधानमन्त्रीको वेबसाइट नै बन्द गराउँछ, तब यो विषय केवल आइटी विभागको समस्या मात्र रहँदैन।

बिजमान्डूका धेरै पाठकहरू कुनै व्यवसाय, बैंक, कलेज वा क्लिनिक संचालन गर्नुहुन्छ, जसको आफ्नै वेबसाइट छ। यदि तपाईं त्यस्तो व्यक्तिमध्ये हुनुहुन्छ भने, यही हप्ता आफ्नो वेब डिजाइनर वा होस्टिङ कम्पनीलाई फोन गरेर सोध्नुहोस्:

हाम्रो वेबसाइटले पीएचपी प्रयोग गर्छ कि गर्दैन?
कुन संस्करण प्रयोग भइरहेको छ?
आवश्यक सुरक्षा अद्यावधिक लागू गरिएको छ कि छैन?

उत्तर लिखित रूपमा लिनुहोस्। यदि तपाईं वर्डप्रेस वा यस्तै कुनै प्लेटफर्म प्रयोग गर्नुहुन्छ भने त्यसलाई तथा त्यसका प्लगइनहरूलाई अद्यावधिक गर्नुहोस्, प्रशासकीय (एडमिन) पासवर्डहरू परिवर्तन गर्नुहोस्, र प्रयोगमा नरहेका अकाउन्टहरू हटाउनुहोस्। यदि कसैले यी प्रश्नको उत्तर दिन सक्दैन भने, त्यो नै तपाईंको वेबसाइटको हेरचाह कसले गरिरहेको छ भन्ने बारे महत्त्ववपूर्ण संकेत हो।

अन्य सबैले पनि सतर्क रहनुपर्छ। यस्ता घटनालाई बहाना बनाएर ठगी गर्नेहरूले सक्रियता बढाउँछन्। तपाईंको बैंक, सरकारी कार्यालय वा कुनै प्रविधि कम्पनीबाट भनेर आउने ‘सुरक्षा अद्यावधिक’सम्बन्धी फोन वा सन्देशप्रति सावधान रहनुहोस् र आफ्नो पासवर्ड वा ओटीपी कहिल्यै सेयर नगर्नुहोस्।

अब सोध्नुपर्ने प्रश्न

सुरक्षा अद्यावधिकहरू लागू भएर अधिकांश डट गभ डट एनपी वेबसाइटहरू पुनः संचालनमा आइसकेका छन्। केही समयपछि यो लेख पनि बिस्तारै ओझेलमा पर्नेछ। तर, यसले उठाएको प्रश्नको उत्तर दिनैपर्छ।

नेपालका प्रत्येक मन्त्रालय, बैंक, सहकारी र व्यवसायले एक घण्टाभित्रै आफ्नो संस्थामा कुन-कुन प्रणाली चलिरहेका छन् र तिनको सुरक्षा कसले सुनिश्चित गरिरहेको छ भन्न सक्नुपर्छ।

यदि यो हप्ता त्यसको उत्तर अनिश्चित थियो भने, सर्वप्रथम समाधान गर्नुपर्ने समस्या त्यही हो।

(कुँवर साइबर सुरक्षा क्षेत्रमा २६ वर्षको अनुभव भएका विशेषज्ञ हुन्। उनी बेलायतमा मुख्यालय रहेको कम्पनी ‘जेनेस सलुशन’को प्रविधि तथा सुरक्षा नेतृत्वको भूमिकामा कार्यरत छन्।)