Towards Zero Trust Architecture: A Pilot Study on Information Systems Security Readiness amongst Small and Medium Enterprises

बड़ी तस्वीर: यह अध्ययन क्यों महत्वपूर्ण है

कल्पना कीजिए कि एक छोटा व्यवसाय (SME) अपने डिजिटल किले की रक्षा करने की कोशिश कर रहा है। वर्षों से, वे अपनी संपत्ति के चारों ओर एक ऊंची पत्थर की दीवार (पारंपरिक सुरक्षा) पर भरोसा करते आए हैं। विचार यह था: "यदि आप दीवार के बाहर हैं, तो आप बुरे हैं; यदि आप अंदर हैं, तो आप अच्छे हैं।"

लेकिन हैकर्स उन निंजा चोरों की तरह हैं जो दीवार फांदकर ऊपर चढ़ सकते हैं या पिछले दरवाजे से चुपके से अंदर आ सकते हैं। एक बार जब वे अंदर आ जाते हैं, तो वे किले में कहीं भी घूम सकते हैं और जो चाहें चुरा सकते हैं। यही कारण है कि पुराना "बाहर मजबूत, अंदर कमजोर" वाला मॉडल विफल हो रहा है।

यहाँ आता है जीरो ट्रस्ट आर्किटेक्चर (ZTA)। एक बड़ी दीवार के बजाय, ZTA किले के भीतर हर एक दरवाजे पर तैनात एक बाउंसर की तरह है। इससे कोई फर्क नहीं पड़ता कि आप गलियारे में खड़े हैं या सामने के आंगन में; आपको हर बार दरवाजा खोलने की कोशिश करने पर अपना आईडी दिखाना होगा और यह साबित करना होगा कि आप वहां रहने के हकदार हैं।

समस्या: बड़ी कंपनियों के पास गार्डों की सेना और इस "बाउंसर सिस्टम" को बनाने के लिए असीमित बजट होता है। हालाँकि, छोटे व्यवसायों (SMEs) के पास अक्सर बहुत कम कर्मचारी और सीमित बजट होता है। उनसे एक किला बनाने के लिए कहा जा रहा है, लेकिन उनके पास केवल एक बगीचे के गेट के लिए आवश्यक उपकरण हैं।

यह शोध पत्र पूछता है: क्या छोटे व्यवसायों को पता है कि उन्हें इस नए "बाउंसर सिस्टम" की आवश्यकता है? उन्हें इसे बनाने से क्या रोकता है? और वे बिना कंगाल हुए इसकी शुरुआत कैसे कर सकते हैं?

---

अध्ययन: एक पायलट टेस्ट

शोधकर्ताओं (यू डेंग और अनुशिया इनथिरन) ने केवल अनुमान नहीं लगाया; उन्होंने एशिया-प्रशांत क्षेत्र के 64 आईटी और सुरक्षा पेशेवरों से पूछा। इसे एक "टेस्ट ड्राइव" या पायलट अध्ययन के रूप में समझें ताकि पूरी बेड़ा बनाने से पहले यह देखा जा सके कि कार कैसी चलती है।

उन्होंने यह देखने के लिए छोटे व्यवसायों की तुलना बड़ी कंपनियों से की कि क्या चुनौतियाँ अलग थीं।

मुख्य निष्कर्ष (वह खंड जो हमें बताता है कि "हमने क्या पाया")

1. "परिचितता" का कारक

अध्ययन में जीरो ट्रस्ट के बारे में जानने और इसे उपयोग करने की इच्छा के बीच एक मजबूत संबंध पाया गया।

• उपमा: कल्पना कीजिए कि आप एक नई, हाई-टेक एस्प्रेसो मशीन खरीदने का निर्णय लेने की कोशिश कर रहे हैं। यदि आप जानते हैं कि यह ठीक से कैसे काम करती है और इससे कैसी कॉफी बनती है, तो आप बहुत अधिक संभावना रखते हैं कि कहेंगे, "मुझे इसकी जरूरत है!" यदि आपने इसके बारे में कभी सुना ही नहीं है, तो आप शायद अपने पुराने ड्रिप कॉफी मेकर के साथ ही चिपके रहेंगे।
• परिणाम: छोटे व्यवसाय जितना अधिक जीरो ट्रस्ट को समझते थे, उन्हें उतना ही अधिक लगा कि यह आवश्यक है।

2. क्लाउड कनेक्शन

जो व्यवसाय क्लाउड कंप्यूटिंग (स्थानीय सर्वरों के बजाय ऑनलाइन डेटा स्टोर करना) पर बहुत अधिक निर्भर हैं, उन्हें जीरो ट्रस्ट की अधिक आवश्यकता महसूस हुई।

• उपमा: यदि आप अपनी कीमती चीजें अपने लिविंग रूम में रखी तिजोरी के बजाय बैंक के वॉल्ट (क्लाउड) में रखते हैं, तो आपको एक अलग तरह की सुरक्षा योजना की आवश्यकता होती है। अध्ययन में पाया गया कि एक व्यवसाय जितना अधिक "क्लाउड" में रहता है, उतना ही अधिक उसे उन डिजिटल संपत्तियों की रक्षा के लिए "बाउंसर सिस्टम" की आवश्यकता महसूस होती है।

3. बाधाएं (Roadblocks)

शोधकर्ताओं ने उम्मीद की थी कि समस्याओं की एक लंबी सूची (लागत, कौशल की कमी, पुराना सॉफ्टवेयर) छोटे व्यवसायों को जीरो ट्रस्ट अपनाने से रोकेगी।

• आश्चर्य: समस्याओं की सूची ने उन्हें यह सोचने से नहीं रोका कि जीरो ट्रस्ट आवश्यक है। यह केवल एक "कमजोर" नकारात्मक कारक था।
• असली मुश्किलें: छोटे व्यवसायों के लिए दो सबसे बड़े विशिष्ट सिरदर्द थे:
  1. IAM जटिलता: "आइडेंटिटी एंड एक्सेस मैनेजमेंट" (पहचान और पहुंच प्रबंधन) को प्रबंधित करना एक विशाल अतिथि सूची को व्यवस्थित करने की कोशिश करने जैसा है जहाँ हर किसी के पास एक अलग चाबी है, और आपको हर बार किसी के शामिल होने या छोड़ने पर उसे अपडेट करना पड़ता है। एक छोटी टीम के लिए, यह एक बुरा सपना है।
  2. स्केलेबिलिटी (Scalability): छोटे व्यवसाय चिंतित रहते हैं, "यदि हम 10 लोगों से 50 लोग हो जाते हैं, तो क्या यह सिस्टम टूट जाएगा?" उन्हें डर है कि सिस्टम उनके बढ़ने के साथ तालमेल नहीं बिठा पाएगा।

4. छोटा बनाम मध्यम बनाम बड़ा

अध्ययन ने जांचा कि क्या "छोटे" व्यवसाय (10-50 लोग) "मध्यम" व्यवसायों (50-250 लोग) की तुलना में अलग महसूस करते हैं।

• परिणाम: वे अलग नहीं थे। दोनों समूहों ने लगभग समान स्तर की आवश्यकता महसूस की। आकार के अंतर ने उनकी मानसिकता को नहीं बदला, हालांकि छोटे समूह ने बाधाओं की संख्या से थोड़ा अधिक दबाव महसूस किया।

---

प्रस्तावित समाधान: एक तीन-चरणीय सीढ़ी

चूंकि छोटे व्यवसाय रातों-रात पूरा किला नहीं बना सकते, इसलिए लेखक सुरक्षित रूप से जीरो ट्रस्ट तक पहुँचने के लिए एक तीन-चरणीय "सीढ़ी" का प्रस्ताव देते हैं।

• चरण 1: आईडी कार्ड चरण (आइडेंटिटी गवर्नेंस)

  • क्या करें: यह शुरू करने से कि किसके पास क्या पहुंच है, इसकी सफाई करें। सुनिश्चित करें कि हर किसी के पास एक विशिष्ट आईडी हो, और जब कोई कंपनी छोड़ दे, तो उसकी चाबी तुरंत वापस ले ली जाए।
  • क्यों: यह आधार है। आपके पास बाउंसर तब तक नहीं हो सकता जब तक आप यह नहीं जानते कि मेहमान कौन हैं।

• चरण 2: वीआईपी रूम चरण (उच्च-मूल्य वाली संपत्तियों का विभाजन)

  • क्या करें: अभी किले के हर कमरे को लॉक करने की कोशिश न करें। बस उन कमरों को लॉक करें जिनमें सबसे कीमती सामान (जैसे ग्राहक डेटा या वित्तीय रिकॉर्ड) है।
  • क्यों: पूरे भवन की रक्षा करने की तुलना में खजाने के संदूक की रक्षा करना आसान है।

• चरण 3: वॉचटावर चरण (लक्षित निगरानी)

  • क्या करें: संदिग्ध व्यवहार पर नज़र रखना शुरू करें, लेकिन केवल उन्हीं महत्वपूर्ण सिस्टम पर जो आपने अभी लॉक किए हैं।
  • क्यों: आपको अभी पूरे भवन के लिए 24/7 सुरक्षा कैमरा क्रू की आवश्यकता नहीं है। बस वीआईपी कमरों पर नज़र रखें।

निष्कर्ष

यह शोध पत्र एक "पायलट स्टडी" है, जिसका अर्थ है कि यह डेटा का एक प्रारंभिक अवलोकन है, अंतिम उत्तर नहीं। हालाँकि, यह सुझाव देता है कि छोटे व्यवसाय जीरो ट्रस्ट की ओर बढ़ने के लिए तैयार हैं, लेकिन उन्हें विशाल निगमों के लिए बनाए गए विशाल, महंगे ब्लूप्रिंट के बजाय एक चरण-दर-चरण मार्गदर्शिका की आवश्यकता है।

यदि वे पहचान प्रबंधन (identities) से शुरू करते हैं, फिर अपने सबसे मूल्यवान डेटा की रक्षा करते हैं, और अंत में निगरानी जोड़ते हैं, तो वे अभिभूत हुए बिना एक सुरक्षित भविष्य बना सकते हैं।

संक्षेप में: आपको आज ही गगनचुंबी इमारत बनाने की आवश्यकता नहीं है। बस एक ठोस दरवाजा बनाएं, तिजोरी को लॉक करें और उस पर नज़र रखें। छोटे व्यवसाय जीरो ट्रस्ट की अपनी यात्रा इसी तरह शुरू कर सकते हैं।