नेटवर्क सुरक्षा में कौन-सी पार्टियाँ शामिल होती हैं?

नेटवर्क सुरक्षा में शामिल पक्ष (पार्टियाँ): आंतरिक, बाहरी और नियामक

"पार्टी" या "पक्ष" का अर्थ नेटवर्क सुरक्षा संदर्भ में राजनीतिक दल नहीं, बल्कि हितधारक (Stakeholders), अभिकर्ता (Actors), और जिम्मेदार इकाइयाँ हैं। यहाँ मुख्य पक्षों का वर्गीकरण है।

1. आंतरिक पक्ष (संगठन के भीतर)

वरिष्ठ प्रबंधन / बोर्ड: जोखिम स्वीकृति, बजट अनुमोदन, टोन एट द टॉप, शासन निगरानी।
CISO / सुरक्षा नेतृत्व: रणनीति, नीति, घटना प्रतिक्रिया नेतृत्व, रिपोर्टिंग।
सुरक्षा संचालन टीम (SOC): L1/L2/L3 विश्लेषक, खतरा शिकारी, इंसीडेंट रेस्पॉन्डर, SIEM इंजीनियर।
नेटवर्क इंजीनियरिंग/संचालन: फायरवॉल, राउटर, स्विच, VPN, NAC कॉन्फ़िगरेशन, परिवर्तन प्रबंधन।
आईटी सेवा डेस्क / हेल्पडेस्क: उपयोगकर्ता पहुँच अनुरोध, पासवर्ड रीसेट, फ़िशिंग रिपोर्टिंग।
आवेदन विकास/DevOps: सुरक्षित कोडिंग, DevSecOps पाइपलाइन, कंटेनर/क्लाउड सुरक्षा।
कर्मचारी / अंतिम उपयोगकर्ता: नीति अनुपालन, फ़िशिंग जागरूकता, घटना रिपोर्टिंग, सुरक्षित व्यवहार।
आंतरिक लेखा परीक्षा / अनुपालन: नियंत्रण प्रभावशीलता परीक्षण, नियामक अनुपालन सत्यापन।

2. बाहरी पक्ष (तृतीय पक्ष और सेवा प्रदाता)

प्रबंधित सुरक्षा सेवा प्रदाता (MSSP / MDR): 24/7 SOC निगरानी, प्रबंधित फायरवॉल, भेद्यता प्रबंधन।
क्लाउड सेवा प्रदाता (AWS, Azure, GCP): साझा जिम्मेदारी मॉडल – वे इन्फ्रा सुरक्षित करते हैं; आप डेटा/कॉन्फ़िगरेशन।
सॉफ़्टवेयर/हार्डवेयर विक्रेता: फायरवॉल, EDR, SIEM, NAC विक्रेता – पैच, सिग्नेचर अपडेट, समर्थन।
पेनिट्रेशन टेस्टर / रेड टीमर: अधिकृत आक्रामक परीक्षण (आंतरिक या बाहरी फर्म)।
तृतीय-पक्ष विक्रेता / आपूर्तिकर्ता: जिनके पास नेटवर्क पहुँच है (HVAC, भुगतान प्रोसेसर, SaaS ऐप्स) – TPRM दायरे में।
इंटरनेट सेवा प्रदाता (ISP): DDoS सुरक्षा, BGP सुरक्षा (RPKI), फ्लो डेटा साझाकरण।
घटना प्रतिक्रिया / फोरेंसिक फर्म: बड़े उल्लंघन के लिए विशेषज्ञ जांच।
साइबर बीमा प्रदाता: जोखिम मूल्यांकन, कवरेज शर्तें, घटना प्रतिक्रिया पैनल।

3. नियामक और कानूनी पक्ष

सरकारी एजेंसियाँ / CERT / CSIRT: CERT-In (भारत), US-CERT, NCSC (UK), ENISA (EU) – खतरा खुफिया साझाकरण, घटना समन्वय, दिशानिर्देश।
नियामक निकाय: RBI, SEBI, IRDAI, TRAI (भारत); SEC, FTC, HHS (US); ICO (UK) – क्षेत्र-विशिष्ट सुरक्षा जनादेश।
कानून प्रवर्तन: साइबर अपराध इकाइयाँ – जांच, अभियोजन, साक्ष्य संरक्षण।
मानक निकाय: NIST, ISO/IEC, PCI SSC, ISACA, IETF – मानक, ढांचे, प्रोटोकॉल।

4. विरोधी पक्ष (खतरा अभिकर्ता) – "दूसरी तरफ"

साइबर अपराधी: वित्तीय लाभ (रैंसमवेयर, BEC, क्रेडेंशियल चोरी, क्रिप्टोजैकिंग)।
राष्ट्र-राज्य / APT: जासूसी, बौद्धिक संपदा चोरी, विघटन, महत्वपूर्ण बुनियादी ढांचा लक्ष्यीकरण।
हैकटिविस्ट: वैचारिक/राजनीतिक प्रेरणा (वेबसाइट विक्षेपण, DDoS, लीक)।
इनसाइडर खतरे: दुर्भावनापूर्ण (डेटा चोरी, तोड़फोड़) या लापरवाह (गलत कॉन्फ़िगरेशन, फ़िशिंग शिकार)।
स्क्रिप्ट किडीज़ / अवसरवादी: स्वचालित टूल्स से कम लटकते फल खोजते हैं।

5. तृतीय-पक्ष जोखिम प्रबंधन (TPRM) – महत्वपूर्ण फोकस

चूँकि आधुनिक नेटवर्क तृतीय पक्षों से घनिष्ठ रूप से जुड़े हैं (VPN, API, SaaS, सप्लाई चेन), TPRM आवश्यक है:
1. सूची: सभी तृतीय पक्ष जिनके पास नेटवर्क/डेटा पहुँच है।
2. जोखिम स्तरीकरण: उच्च/मध्यम/कम (डेटा संवेदनशीलता, पहुँच स्तर, महत्वपूर्णता)।
3. मूल्यांकन: सुरक्षा प्रश्नावली (SIG, CAIQ), प्रमाणन (SOC 2, ISO 27001), पेन टेस्ट रिपोर्ट, बाहरी हमला सतह स्कैन।
4. अनुबंध: सुरक्षा SLA, घटना सूचना (24-72 घंटे), ऑडिट अधिकार, समाप्ति खंड।
5. निरंतर निगरानी: सुरक्षा रेटिंग (BitSight, SecurityScorecard), भेद्यता फीड, समाचार निगरानी।
6. ऑफबोर्डिंग: पहुँच तत्काल निरसन, डेटा वापसी/विनाश प्रमाणपत्र।

6. "विश्वसनीय तृतीय पक्ष" (TTP) क्रिप्टोग्राफी में

सर्टिफिकेट अथॉरिटी (CA) एक क्लासिक TTP है जो डिजिटल पहचान सत्यापित करता है। अन्य: की एस्क्रो एजेंट, टाइमस्टैम्पिंग प्राधिकरण, नोटरी सेवाएँ (ब्लॉकचेन ऑरेकल)।

7. अक्सर पूछे जाने वाले प्रश्न

प्रश्न: "थर्ड-पार्टी सिक्योरिटी" क्या है?
उत्तर: तृतीय पक्षों द्वारा आपके नेटवर्क/डेटा तक पहुँच से उत्पन्न जोखिमों का प्रबंधन (TPRM)।

प्रश्न: तृतीय-पक्ष जोखिम का उदाहरण?
उत्तर: Target ब्रीच (2013) – HVAC विक्रेता के चुराए गए क्रेडेंशियल। SolarWinds – सॉफ़्टवेयर आपूर्ति श्रृंखला समझौता।

प्रश्न: नेटवर्क सुरक्षा में "पार्टी" का अर्थ राजनीतिक दल है?
उत्तर: नहीं, यह हितधारक/अभिकर्ता को संदर्भित करता है। राजनीतिक दल असंबंधित हैं।