डेटा सुरक्षा प्रबंधन का सिद्धांत, जो ग्राहकों और संगठन के डेटा को अवैध पहुँच या प्रयोग से सुरक्षित रखने के लिए उपयोग की जाने वाली प्रक्रियाओं, नीतियों और नियंत्रणों को शामिल करता है, उसे कहा जाता है :
- (a)इंटीग्रिटी
- (b)प्राइवेसी
- (c)अवेलेबिलिटी
- (d)कॉन्फिडेंशिएलिटी
सही उत्तर — (d) कॉन्फिडेंशिएलिटी (गोपनीयता)। सूचना सुरक्षा के CIA त्रय में, कॉन्फिडेंशिएलिटी ठीक वही सिद्धांत है कि डेटा केवल उन्हीं द्वारा देखा और प्रयोग किया जाए जो इसके लिए अधिकृत हैं। यह प्रक्रियाओं, नीतियों और नियंत्रणों के माध्यम से लागू होता है — अभिगम नियंत्रण व प्रमाणीकरण, न्यूनतम-विशेषाधिकार / आवश्यकता-आधारित-ज्ञान (need-to-know) नियम, एन्क्रिप्शन और फायरवॉल — जिनका उद्देश्य ग्राहक व संगठन के डेटा को अवैध पहुँच या प्रयोग से सुरक्षित रखना है। प्रश्न का शब्द-चयन ('प्रक्रियाएँ, नीतियाँ व नियंत्रण … अवैध पहुँच के विरुद्ध') कॉन्फिडेंशिएलिटी की पाठ्यपुस्तकीय परिभाषा है।
- (a)इंटीग्रिटी — इंटीग्रिटी का सम्बन्ध इस बात से है कि डेटा सटीक, पूर्ण और अपरिवर्तित हो — छेड़छाड़ के विरुद्ध सुरक्षा, हैश, चेकसम, डिजिटल हस्ताक्षर और ऑडिट लॉग के प्रयोग से। यह इस बारे में कुछ नहीं कहता कि डेटा देखने का अधिकार किसे है।
- (b)प्राइवेसी — सबसे मज़बूत जाल। प्राइवेसी व्यक्ति का अपने व्यक्तिगत डेटा पर नियंत्रण रखने का अधिकार है, जिसकी रक्षा भारत में डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023 और पुट्टास्वामी निर्णय (2017) करते हैं, जिसने गोपनीयता को अनुच्छेद 21 में पढ़ा। कॉन्फिडेंशिएलिटी वह सुरक्षा नियंत्रण है जिसके माध्यम से कोई संगठन प्राइवेसी प्रदान करता है — और प्रश्न जिस सुरक्षा सिद्धांत को पूछ रहा है, वह यही है।
- (c)अवेलेबिलिटी — अवेलेबिलिटी का अर्थ है कि अधिकृत उपयोगकर्ता आवश्यकता पड़ने पर डेटा व प्रणालियों तक पहुँच सकें — बैकअप, रिडंडेंसी, आपदा-पुनर्प्राप्ति व DDoS सुरक्षा से सुनिश्चित। डिनायल-ऑफ़-सर्विस हमला अवेलेबिलिटी को तोड़ता है, कॉन्फिडेंशिएलिटी को नहीं।
सूचना सुरक्षा CIA त्रय पर टिकी है: कॉन्फिडेंशिएलिटी (डेटा किसे देखने की अनुमति है), इंटीग्रिटी (क्या डेटा में फेरबदल हुआ है) और अवेलेबिलिटी (क्या अधिकृत उपयोगकर्ता आवश्यकता पड़ने पर उस तक पहुँच सकते हैं)। हमले इन तीनों पर सीधे बैठते हैं — डेटा उल्लंघन या छिपकर सुनना कॉन्फिडेंशिएलिटी का उल्लंघन करता है, छेड़छाड़ या मैन-इन-द-मिडिल परिवर्तन इंटीग्रिटी का उल्लंघन करता है, DDoS हमला या रैन्समवेयर लॉकआउट अवेलेबिलिटी का उल्लंघन करता है। प्रमाणीकरण और अस्वीकरण-निषेध (non-repudiation) को सामान्यतः सहायक उद्देश्यों के रूप में जोड़ा जाता है।
कॉन्फिडेंशिएलिटी और प्राइवेसी रोज़मर्रा की बोलचाल में परस्पर मिल जाते हैं, यही कारण है कि (b) अंक आकर्षित करता है। भेद को स्पष्ट रखें: प्राइवेसी डेटा-विषय (data subject) का अधिकार है (एक कानूनी प्रश्न), जबकि कॉन्फिडेंशिएलिटी डेटा-धारक पर एक कर्तव्य और नियंत्रणों का समूह है (एक सुरक्षा प्रश्न)। जिस भी विकल्प-वाक्य में 'प्रक्रियाएँ, नीतियाँ व नियंत्रण' का उल्लेख हो, वह किसी सुरक्षा सिद्धांत की ओर इशारा करता है, किसी अधिकार की ओर नहीं।
- CIA त्रय = कॉन्फिडेंशिएलिटी, इंटीग्रिटी, अवेलेबिलिटी — सूचना सुरक्षा के तीन मूल उद्देश्य।
- कॉन्फिडेंशिएलिटी नियंत्रण: अभिगम नियंत्रण व प्रमाणीकरण, न्यूनतम-विशेषाधिकार / आवश्यकता-आधारित-ज्ञान, एन्क्रिप्शन, फायरवॉल।
- इंटीग्रिटी नियंत्रण: हैशिंग व चेकसम, डिजिटल हस्ताक्षर, संस्करण नियंत्रण, ऑडिट ट्रेल। अवेलेबिलिटी नियंत्रण: बैकअप, रिडंडेंसी, आपदा-पुनर्प्राप्ति, DDoS शमन।
- प्राइवेसी व्यक्तिगत डेटा पर व्यक्ति का अधिकार है — भारत में डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023 और सर्वोच्च न्यायालय का पुट्टास्वामी निर्णय (2017), जिसने गोपनीयता को अनुच्छेद 21 में स्थान दिया।
प्रश्न नीतियों व नियंत्रणों के माध्यम से पहुँच-प्रतिबंध का वर्णन करता है, जो कॉन्फिडेंशिएलिटी है; प्राइवेसी एक अधिकार है, सुरक्षा सिद्धांत नहीं।
- 'प्राइवेसी' चुनना — प्राइवेसी व्यक्ति का अधिकार है, तीन सुरक्षा सिद्धांतों में से एक नहीं।
- DDoS हमले को कॉन्फिडेंशिएलिटी से जोड़ देना — यह अवेलेबिलिटी पर हमला करता है।
- 'इंटीग्रिटी' को कर्मचारियों की ईमानदारी के रूप में पढ़ना; इस संदर्भ में इसका अर्थ है कि डेटा में फेरबदल नहीं हुआ।
MPPSC का कम्प्यूटर/साइबर खण्ड CIA त्रय, फायरवॉल और हमले के प्रकारों से एक-पंक्ति परिभाषाएँ पूछता है; UPSC इसी क्षेत्र को कानून व संस्थाओं के माध्यम से रखता है — IT अधिनियम, CERT-In, DPDP अधिनियम और गोपनीयता का अधिकार।
साइबर-सुरक्षा में फायरवॉल का उद्देश्य क्या है ?
- (a) किसी नेटवर्क तक अप्रतिबंधित पहुँच की अनुमति देना
- (b) किसी नेटवर्क तक अनधिकृत पहुँच को अवरुद्ध करना
- (c) किसी नेटवर्क के डेटा का बैकअप बनाना
- (d) उपर्युक्त में से कोई नहीं
उत्तर(b) किसी नेटवर्क तक अनधिकृत पहुँच को अवरुद्ध करना
नियंत्रण के पक्ष से वही विचार — फायरवॉल मानक कॉन्फिडेंशिएलिटी नियंत्रण है, जो डेटा व नेटवर्क तक अनधिकृत पहुँच को रोकता है।
साइबर सुरक्षा की विशेषता/विशेषताएँ है/हैं :
- (a) अनुपालन
- (b) आंतरिक खतरों के विरुद्ध रक्षा
- (c) खतरा निवारण
- (d) उपर्युक्त सभी
उत्तर(d) उपर्युक्त सभी
MPPSC का पहले के इसी खण्ड पर विचार — साइबर/डेटा सुरक्षा का नीतियों, नियंत्रणों व अनुपालन वाला पक्ष किससे मिलकर बनता है।
- अभ्यास — वास्तविक PYQ नहीं
डिस्ट्रिब्यूटेड डिनायल ऑफ़ सर्विस (DDoS) हमला मुख्य रूप से सूचना सुरक्षा के किस सिद्धांत को प्रभावित करता है ?
- (a)कॉन्फिडेंशिएलिटी
- (b)इंटीग्रिटी
- (c)अवेलेबिलिटी
- (d)नॉन-रिपुडिएशन
उत्तर(c) अवेलेबिलिटी — सेवा को इतना अत्यधिक भर दिया जाता है कि अधिकृत उपयोगकर्ता उस तक नहीं पहुँच पाते।
- अभ्यास — वास्तविक PYQ नहीं
निम्नलिखित में से कौन-सा मुख्यतः डेटा इंटीग्रिटी की सुरक्षा के लिए एक नियंत्रण है ?
- (a)फायरवॉल
- (b)क्रिप्टोग्राफ़िक हैश / चेकसम सत्यापन
- (c)RAID और ऑफ-साइट बैकअप
- (d)पासवर्ड नीति
उत्तर(b) क्रिप्टोग्राफ़िक हैश / चेकसम सत्यापन — यह पता लगाता है कि डेटा में फेरबदल हुआ है या नहीं। फायरवॉल व पासवर्ड नीति कॉन्फिडेंशिएलिटी की सेवा करते हैं; RAID व बैकअप अवेलेबिलिटी की।