SEBI का CDSL पर बड़ा एक्शन: साइबर सुरक्षा में लापरवाही पड़ी भारी, ₹1 करोड़ का जुर्माना
नई दिल्ली: भारतीय शेयर बाजार से जुड़ी प्रमुख डिपॉजिटरी संस्था सेंट्रल डिपॉजिटरी सर्विसेज (सीडीएसएल) पर बाजार नियामक सेबी ने बड़ा कार्रवाई करते हुए 1 करोड़ रुपये का जुर्माना लगाया है। यह कार्रवाई नवंबर 2022 में हुए बड़े मैलवेयर साइबर हमले के दौरान सामने आई सुरक्षा संबंधी गंभीर खामियों को लेकर की गई है। उस साइबर अटैक के कारण सीडीएसएल की कई अहम सेवाएं प्रभावित हुई थीं और शेयर बाजार के सेटलमेंट सिस्टम पर भी असर पड़ा था।
दो अलग-अलग कानूनों के तहत लगाया गया जुर्माना
सेबी के आदेश के मुताबिक, सीडीएसएल अपनी साइबर सुरक्षा व्यवस्था को मजबूत बनाए रखने में कई स्तरों पर विफल रही। नियामक का कहना है कि यदि समय रहते आवश्यक सुरक्षा उपाय अपनाए गए होते तो इस हमले को रोका जा सकता था। इसी आधार पर सेबी ने सेबी अधिनियम के तहत 90 लाख रुपये और डिपॉजिटरी अधिनियम के तहत 10 लाख रुपये का जुर्माना लगाया है। कंपनी को आदेश मिलने के 45 दिनों के भीतर यह राशि जमा करनी होगी।
18 नवंबर 2022 को हुआ था साइबर हमला
यह मामला 18 नवंबर 2022 का है। उस दिन सुबह करीब तीन बजे, सभी दैनिक परिचालन पूरे होने के बाद सीडीएसएल ने पाया कि उसके कुछ सर्वर और कर्मचारियों के कंप्यूटर अचानक काम करना बंद कर चुके हैं। जांच में मैलवेयर अटैक की पुष्टि हुई, जिसके बाद कंपनी ने तत्काल नेटवर्क डिस्कनेक्ट किया, प्रभावित सर्वरों को अलग किया और वायरस के प्रसार को रोकने के लिए जरूरी कदम उठाए।
करीब 54 घंटे तक प्रभावित रही सेवाएं
हालांकि अगले दिन तक अधिकांश सिस्टम बहाल कर लिए गए, लेकिन कई महत्वपूर्ण सेवाएं लंबे समय तक बाधित रहीं। सेबी के अनुसार सेटलमेंट सिस्टम लगभग 46 घंटे और इंटर-डिपॉजिटरी ट्रांसफर सिस्टम करीब 54 घंटे तक प्रभावित रहा। इसका असर केवल सीडीएसएल तक सीमित नहीं रहा, बल्कि पूरे शेयर बाजार के सेटलमेंट तंत्र पर पड़ा।
जांच में सामने आईं कई गंभीर सुरक्षा खामियां
सेबी की जांच में सबसे बड़ी लापरवाही एक्टिव डायरेक्टरी फेडरेशन सर्विसेज (एडीएफएस) सर्वर को लेकर सामने आई। इंटरनेट से जुड़े इस सर्वर को कंपनी ने महत्वपूर्ण परिसंपत्ति नहीं माना, जिसके कारण इसकी नियमित सुरक्षा जांच और वल्नरेबिलिटी असेसमेंट व पेनिट्रेशन टेस्टिंग (VAPT) नहीं कराई गई। जांच में पाया गया कि यही सर्वर साइबर हमलावरों के लिए कंपनी के नेटवर्क में प्रवेश का प्रमुख माध्यम बना।
सेबी ने स्पष्ट कहा कि केवल इस आधार पर किसी सर्वर को कम महत्वपूर्ण नहीं माना जा सकता कि उसमें निवेशकों का डेटा नहीं है। इंटरनेट से जुड़े सभी सर्वरों को उच्च स्तर की सुरक्षा मिलनी चाहिए।
कमजोर पासवर्ड और मॉनिटरिंग में भी चूक
जांच के दौरान यह भी सामने आया कि एक डोमेन एडमिन अकाउंट का पासवर्ड बेहद कमजोर था और उसे आसानी से ‘ब्रूट फोर्स’ तकनीक के जरिए तोड़ा जा सकता था। इतना ही नहीं, उस पासवर्ड को ‘नेवर एक्सपायर’ पर सेट किया गया था, जिससे हमलावर लंबे समय तक सिस्टम में सक्रिय रह सके।
इसके अलावा सीडीएसएल ने अपने सिक्योरिटी इंफॉर्मेशन एंड इवेंट मैनेजमेंट (SIEM) सिस्टम में एडीएफएस सर्वर को शामिल ही नहीं किया था। नतीजतन कई संदिग्ध गतिविधियों के अलर्ट रिकॉर्ड नहीं हुए और जो अलर्ट मिले भी, उन पर समय रहते कार्रवाई नहीं की गई। इससे साइबर हमलावरों को नेटवर्क के भीतर आगे बढ़ने का मौका मिल गया।
दो वरिष्ठ अधिकारियों को राहत
मामले में तत्कालीन मुख्य सूचना सुरक्षा अधिकारी (CISO) राजेश नाडकर्णी और मुख्य प्रौद्योगिकी अधिकारी (CTO) अमित महाजन को भी नोटिस जारी किए गए थे। हालांकि जांच पूरी होने के बाद सेबी ने दोनों अधिकारियों पर कोई आर्थिक दंड नहीं लगाया और उनके खिलाफ कार्रवाई समाप्त कर दी।
पूरे वित्तीय क्षेत्र के लिए बड़ा संदेश
यह मामला देश के वित्तीय क्षेत्र के लिए साइबर सुरक्षा की अहमियत को रेखांकित करता है। डिजिटल होते शेयर बाजार और करोड़ों निवेशकों के ऑनलाइन डेटा के बीच सुरक्षा में छोटी-सी चूक भी बड़े वित्तीय और परिचालन नुकसान का कारण बन सकती है। सेबी का यह फैसला स्पष्ट संकेत देता है कि बाजार से जुड़ी संस्थाओं को साइबर सुरक्षा मानकों का कड़ाई से पालन करना होगा और निवेशकों के भरोसे की रक्षा सर्वोच्च प्राथमिकता होगी।
----------------------------------------------------------------------------------------------
