आपकी नेटवर्क सुरक्षा नीति में क्या शामिल होना चाहिए?

नेटवर्क सुरक्षा नीति – आवश्यक तत्व और संरचना

एक प्रभावी नेटवर्क सुरक्षा नीति संगठन के नेटवर्क बुनियादी ढांचे की रक्षा के लिए नियम, जिम्मेदारियां और प्रक्रियाएं परिभाषित करती है। यह ISO 27001, NIST CSF, PCI-DSS, HIPAA आदि के अनुपालन का आधार है।

नीति में शामिल किए जाने वाले प्रमुख अनुभाग

1. उद्देश्य और दायरा (Purpose & Scope)
   • कौन से नेटवर्क, सिस्टम, स्थान, कर्मचारी, थर्ड पार्टी कवर किए गए हैं।
   • व्यावसायिक उद्देश्यों और जोखिम भूख के साथ संरेखण।
2. भूमिकाएं और जिम्मेदारियां (Roles & Responsibilities)
   • CISO, नेटवर्क सुरक्षा टीम, सिस्टम एडमिन, हेल्प डेस्क, यूजर्स, थर्ड-पार्टी विक्रेता।
   • RACI मैट्रिक्स (Responsible, Accountable, Consulted, Informed)।
3. सूचना वर्गीकरण (Information Classification)
   • डेटा संवेदनशीलता स्तर (सार्वजनिक, आंतरिक, गोपनीय, प्रतिबंधित)।
   • प्रत्येक स्तर के लिए हैंडलिंग, एन्क्रिप्शन, रिटेंशन, निपटान नियम।
4. नेटवर्क एक्सेस कंट्रोल (Network Access Control)
   • उपयोगकर्ता/डिवाइस प्रमाणीकरण आवश्यकताएं (802.1X, MFA, सर्टिफिकेट-आधारित)।
   • विशेषाधिकार प्राप्त पहुंच प्रबंधन (PAM, जस्ट-इन-टाइम, सत्र रिकॉर्डिंग)।
   • रिमोट एक्सेस (VPN, ZTNA) – अनुमत डिवाइस, पोश्चर जांच, विभाजन टनलिंग नीति।
   • गेस्ट/कॉन्ट्रैक्टर/आईओटी नेटवर्क सेगमेंटेशन और प्रतिबंध।
5. नेटवर्क सेगमेंटेशन और ज़ोनिंग (Segmentation & Zoning)
   • सुरक्षा क्षेत्र परिभाषा (DMZ, प्रबंधन, उत्पादन, विकास, गेस्ट, OT/ICS)।
   • इंटर-ज़ोन ट्रैफिक नियम (डिफॉल्ट डेनी, न्यूनतम आवश्यक पोर्ट/प्रोटोकॉल)।
   • फायरवॉल नियम प्रबंधन प्रक्रिया (अनुरोध, समीक्षा, अनुमोदन, दस्तावेज़ीकरण, समाप्ति तिथि)।
6. सुरक्षा निगरानी और घटना प्रतिक्रिया (Monitoring & Incident Response)
   • लॉगिंग आवश्यकताएं (क्या, कब तक, कहां – SIEM, केंद्रीकृत लॉग स्टोर)।
   • अलर्ट थ्रेशोल्ड, एस्केलेशन मैट्रिक्स, ऑन-कॉल रोटेशन।
   • इंसीडेंट रिस्पॉन्स प्लेबुक्स (रैंसमवेयर, डेटा उल्लंघन, DDoS, अंदरूनी खतरा)।
   • फोरेंसिक संरक्षण और कानूनी/नियामक अधिसूचना समयसीमा।
7. भेद्यता और पैच प्रबंधन (Vulnerability & Patch Management)
   • स्कैनिंग आवृत्ति (आंतरिक/बाहरी, क्रेडेंशियल/गैर-क्रेडेंशियल)।
   • SLA: महत्वपूर्ण ≤48 घंटे, उच्च ≤2 सप्ताह, मध्यम ≤30 दिन, कम ≤90 दिन।
   • पैच परीक्षण और रोलबैक प्रक्रिया।
8. वायरलेस सुरक्षा (Wireless Security)
   • WPA3-Enterprise / WPA2-Enterprise (802.1X) कॉर्पोरेट के लिए; WPA3-Personal गेस्ट/IoT के लिए।
   • रॉग AP डिटेक्शन, वायरलेस IDS/IPS।
   • BYOD पॉलिसी (MDM/EMM नामांकन, कंटेनरीकरण)।
9. एन्क्रिप्शन और क्रिप्टोग्राफिक नियंत्रण (Encryption & Cryptographic Controls)
   • ट्रांजिट में: TLS 1.2/1.3 न्यूनतम, IPsec, WireGuard, SSH v2।
   • आराम में: AES-256, LUKS, BitLocker, क्लाउड KMS।
   • कुंजी प्रबंधन: जनरेशन, रोटेशन, एस्क्रो, HSM, सर्टिफिकेट जीवनचक्र (PKI)।
10. परिवर्तन प्रबंधन (Change Management)
    • नेटवर्क परिवर्तनों के लिए मानकीकृत अनुरोध/अनुमोदन/कार्यान्वयन/सत्यापन/रोलबैक।
    • आपातकालीन परिवर्तन प्रक्रिया (सत्यापन के बाद पूर्व-अनुमोदन)।
11. शासन, जोखिम और अनुपालन (GRC)
    • लागू नियमों की मैपिंग (PCI-DSS 1.2.1, 1.3, 2.2, आदि; HIPAA Security Rule; GDPR Art. 32)।
    • आंतरिक/बाहरी ऑडिट शेड्यूल, साक्ष्य संग्रह, निष्कर्ष ट्रैकिंग।
    • नीति समीक्षा चक्र (कम से कम वार्षिक या महत्वपूर्ण परिवर्तन पर)।
12. स्वीकार्य उपयोग नीति (Acceptable Use Policy - AUP)
    • अनुमत/निषिद्ध गतिविधियां (P2P, क्रिप्टो माइनिंग, अनधिकृत सर्वर, शैडो IT)।
    • गोपनीयता अपेक्षाएं (मॉनिटरिंग सहमति, DLP अलर्ट)।
    • उल्लंघन परिणाम (चेतावनी, पहुंच निरसन, अनुशासनात्मक कार्रवाई, कानूनी रेफरल)।
13. घटना प्रतिक्रिया और व्यवसाय निरंतरता (IR & BCP/DR)
    • RTO/RPO परिभाषा प्रति महत्वपूर्ण सेवा।
    • बैकअप रणनीति (3-2-1), अपरिवर्तनीय स्नैपशॉट, नियमित रिस्टोर टेस्ट।
    • डीआर साइट / फेलओवर आर्किटेक्चर, फेलओवर टेस्ट शेड्यूल।

नीति गुणवत्ता के लिए चेकलिस्ट

• ☐ स्पष्ट, मापने योग्य, लागू करने योग्य भाषा (अस्पष्ट "उपयुक्त सुरक्षा" नहीं)।
• ☐ संस्करण नियंत्रण, स्वामित्व, अनुमोदन हस्ताक्षर, प्रभावी तिथि।
• ☐ सभी कर्मचारियों/कॉन्ट्रैक्टर्स के लिए सुलभ (इंट्रानेट, LMS)।
• ☐ प्रशिक्षण और स्वीकृति अनिवार्य (वार्षिक + ऑनबोर्डिंग)।
• ☐ अपवाद प्रक्रिया (व्यावसायिक औचित्य, जोखिम स्वीकृति, समय-सीमित, समीक्षा तिथि)।
• ☐ संदर्भ मानक/प्रक्रिया दस्तावेज़ (कॉन्फ़िगरेशन गाइड, रनबुक, प्लेबुक)।

संबंधित सहायक दस्तावेज़

• नेटवर्क आर्किटेक्चर आरेख (अद्यतन)।
• फायरवॉल नियम बेस दस्तावेज़ीकरण।
• IP एड्रेस प्रबंधन (IPAM) रजिस्टर।
• सर्टिफिकेट इन्वेंटरी और नवीनीकरण कैलेंडर।
• विक्रेता/थर्ड-पार्टी सुरक्षा मूल्यांकन रिपोर्ट।

निष्कर्ष

नेटवर्क सुरक्षा नीति एक जीवित दस्तावेज़ है जिसे संगठन के जोखिम प्रोफ़ाइल, प्रौद्योगिकी परिदृश्य और नियामक वातावरण के साथ विकसित होना चाहिए। इसे तकनीकी नियंत्रणों (फायरवॉल नियम, NAC प्रोफाइल, SIEM नियम) में अनुवादित किया जाना चाहिए और निरंतर निगरानी और ऑडिट के माध्यम से सत्यापित किया जाना चाहिए।