फ़ाइल शेयरिंग सेवाओं के लिए थर्ड-पार्टी जोखिम प्रबंधन

DPDP Act 2023 के तहत Data Protection Board of India यह अपेक्षा करता है कि डेटा फिड्यूशियरी अपने डेटा प्रोसेसरों पर उचित नियंत्रण बनाए रखें — और फ़ाइल ट्रांसफर विक्रेता इस श्रेणी में सीधे आते हैं। 2023 में MOVEit प्लेटफॉर्म पर Cl0p ransomware समूह के हमले ने एक ही विक्रेता की कमज़ोरी के ज़रिए सैकड़ों संगठनों के डेटा को उजागर किया — सरकारी एजेंसियों, बैंकों और स्वास्थ्य प्रणालियों तक। यही घटना थर्ड-पार्टी जोखिम प्रबंधन की अनिवार्यता को रेखांकित करती है।

फ़ाइल शेयरिंग विक्रेताओं पर विशेष ध्यान क्यों ज़रूरी है

फ़ाइल शेयरिंग विक्रेता आपकी फ़ाइलें संग्रहीत करते हैं — यह किसी सामान्य SaaS टूल से अलग जोखिम प्रोफाइल है। एक मार्केटिंग एनालिटिक्स टूल में सेंध लगने पर अभियान डेटा खो सकता है, लेकिन फ़ाइल ट्रांसफर सेवा में सेंध लगने पर पिछले हफ्ते भेजी गई फ़ाइलें सामने आ सकती हैं — ग्राहक रिकॉर्ड, अनुबंध और रणनीतिक दस्तावेज़ समेत। MOVEit की CVE-2023-34362 घटना ने यह साफ कर दिया कि आज मूल्यांकन में फ़ाइल-हैंडलिंग आर्किटेक्चर, की मैनेजमेंट और घटना प्रतिक्रिया गति की गहरी जांच जरूरी है।

अनुबंध-पूर्व मूल्यांकन की संरचना

मूल्यांकन को स्तरों में व्यवस्थित करें। Shared Assessments SIG Lite या CAIQ v4 प्रश्नावली से शुरू करें — सुरक्षा, गोपनीयता और परिचालन नियंत्रण पर 40 से 100 प्रश्न। SOC 2 Type II (पिछले 12 महीनों के भीतर), ISO 27001 प्रमाणपत्र, और क्षेत्र-विशिष्ट प्रमाणपत्र माँगें। पेनेट्रेशन टेस्ट सारांश की समीक्षा करें — दायरा, तारीख और निष्कर्षों की उपचार स्थिति पूछें। DPA और सब-प्रोसेसर सूची पढ़ें। विक्रेता के सुरक्षा प्रमुख से वीडियो कॉल पर बातचीत करें ताकि लिखित उत्तर उनके वास्तविक ज्ञान से मेल खाएं। प्रत्येक श्रेणी को स्कोर करें और न्यूनतम सीमाएं तय करें।

SIG प्रश्नावली में क्या प्राथमिकता दें

Shared Assessments SIG में साइबरसुरक्षा, गोपनीयता, थर्ड-पार्टी जोखिम जैसे खंड हैं। फ़ाइल शेयरिंग के लिए इन पर ध्यान केंद्रित करें: सूचना सुरक्षा नीति (क्या नीतियाँ वर्तमान और वार्षिक समीक्षित हैं?), एक्सेस कंट्रोल (MFA, न्यूनतम विशेषाधिकार, सत्र नियंत्रण), क्रिप्टोग्राफी (AES-256-GCM, TLS 1.3, की मैनेजमेंट), भौतिक सुरक्षा, घटना प्रतिक्रिया (पता लगाने की क्षमता, प्रतिक्रिया समय, अधिसूचना SLA), और व्यापार निरंतरता (RPO, RTO)। तकनीकी प्रश्नों में सहायक साक्ष्य के बिना "हाँ" स्वीकार न करें।

डेटा प्रोसेसिंग अनुबंध की अनिवार्यताएं

DPDP Act 2023 के अंतर्गत भारतीय डेटा फिड्यूशियरी को अपने डेटा प्रोसेसरों के साथ लिखित अनुबंध करना होता है जिसमें प्रसंस्करण का उद्देश्य, डेटा प्रकार और सुरक्षा मानक स्पष्ट हों। GDPR Article 28 के तहत DPA में विषय-वस्तु, अवधि, प्रकृति और नियंत्रक दायित्व निर्दिष्ट होने चाहिए। बातचीत में ये बिंदु जोड़ें: 24 घंटे की उल्लंघन अधिसूचना, ऑडिट अधिकार, 30 दिनों में डेटा हटाना, और की मैनेजमेंट पर स्पष्ट खंड — विक्रेता को बताना होगा कि क्या उसके पास ग्राहक फ़ाइलों को डिक्रिप्ट करने वाली कुंजियाँ हैं।

वार्षिक समीक्षा से परे निरंतर निगरानी

वार्षिक समीक्षाएं धीमे बदलाव को पकड़ती हैं — निरंतर निगरानी तेज़ समस्याओं को। BitSight, SecurityScorecard, UpGuard और Black Kite जैसी बाहरी रेटिंग सेवाएं अवलोकन योग्य संकेतों के आधार पर विक्रेता सुरक्षा स्थिति स्कोर करती हैं। अलर्ट थ्रेशोल्ड सेट करें — 15 अंकों की गिरावट जांच को ट्रिगर करे। CERT-In के सुरक्षा अलर्ट, CVE फ़ीड, और US CISA Known Exploited Vulnerabilities कैटलॉग की सदस्यता लें। जब कोई CVE विक्रेता के प्लेटफॉर्म को प्रभावित करे, तो आप हफ्तों में नहीं — घंटों में जानना चाहते हैं।

सब-प्रोसेसर प्रबंधन

फ़ाइल ट्रांसफर विक्रेता सब-प्रोसेसरों पर निर्भर करते हैं: क्लाउड होस्ट, CDN प्रदाता, ईमेल डिलीवरी सेवाएं, ऑब्जर्वेबिलिटी प्लेटफॉर्म। प्रत्येक आपके डेटा के लिए एक अप्रत्यक्ष निर्भरता है। अनुबंध से पहले वर्तमान सब-प्रोसेसर सूची माँगें और परिवर्तनों की 30+ दिन पहले सूचना आपत्ति के अधिकार के साथ अनिवार्य करें। प्रत्येक सब-प्रोसेसर को अपने जोखिम मानदंडों के अनुसार जाँचें। MeitY के क्लाउड नीति दिशानिर्देशों के अनुसार संवेदनशील सरकारी डेटा के लिए अनुमोदित न्यायक्षेत्रों को प्राथमिकता दें।

थर्ड-पार्टी जोखिम कठोरता को बढ़ाने वाले नियामक

DPDP Act 2023 भारतीय संगठनों को डेटा फिड्यूशियरी दायित्वों के तहत प्रोसेसरों को जवाबदेह बनाने की आवश्यकता देता है। CERT-In की साइबर सुरक्षा निर्देश घटना रिपोर्टिंग और तृतीय पक्ष जोखिम पर ध्यान देती है। EU में DORA (जनवरी 2025 से लागू) ICT थर्ड-पार्टी जोखिम के लिए वित्तीय संस्थाओं को सीधे जिम्मेदार बनाता है। NIS2 Article 21(2)(d) आवश्यक और महत्वपूर्ण संस्थाओं के लिए आपूर्ति श्रृंखला सुरक्षा अनिवार्य करता है। नियामकों की प्रवृत्ति स्पष्ट है: वे एकबारगी चेकलिस्ट नहीं, सक्रिय कार्यक्रम देखना चाहते हैं।

निकास रणनीति और विक्रेता समेकन जोखिम

विक्रेता विफल होने पर निकास सुचारू होना चाहिए। DPA में 30 दिनों के भीतर उपयोग योग्य प्रारूपों में डेटा वापसी या हटाने की प्रतिबद्धता हो। निकास प्रक्रिया का परीक्षण करें — गैर-संकट क्षण में एक निर्यात का अनुरोध करके देखें कि यह काम करता है या नहीं। विक्रेता समेकन जोखिम पर विचार करें: फ़ाइल ट्रांसफर, स्टोरेज, ईमेल और सहयोग के लिए एक ही प्रदाता पर निर्भरता से एकल उल्लंघन व्यापक नुकसान कर सकता है। विविधता ब्लास्ट रेडियस कम करती है।

विक्रेताओं के साथ घटना समन्वय

जब कोई विक्रेता घटना आपके डेटा को प्रभावित करती है, तो आपकी प्रतिक्रिया उनकी प्रतिक्रिया पर निर्भर करती है। अनुबंध में संचार चैनल पूर्व-अनुमोदित करें। सक्रिय घटना में विक्रेता से मांगें: क्या हुआ, कब पता चला, कौन सा ग्राहक डेटा प्रभावित है, रोकथाम की स्थिति, और अनुशंसित ग्राहक कार्रवाई। पहले की घटनाओं में विक्रेता के संचार के आधार पर उनका मूल्यांकन करें — पिछले व्यवहार से अगला अनुमान लगाया जा सकता है।

HexaTransfer अपनी सब-प्रोसेसर सूची प्रकाशित करता है और क्लाइंट-साइड एन्क्रिप्शन लागू करता है — इसलिए किसी घटना के दौरान सेवा के पास उजागर करने के लिए कोई plaintext नहीं होता। इसे आज़माएं hexatransfer.com पर — मुफ्त, कोई खाता नहीं, 10 GB अधिकतम।

थर्ड-पार्टी जोखिम प्रबंधन अच्छे विक्रेताओं के साथ प्रतिकूल नहीं होता। सबसे अच्छे विक्रेता विस्तृत प्रश्नों का स्वागत करते हैं। ठोस अनुबंध-पूर्व मूल्यांकन, सुविचारित अनुबंध, निरंतर बाहरी निगरानी और अभ्यास किया गया घटना समन्वय मिलकर एक कार्यशील कार्यक्रम बनाते हैं। एक बार यह स्थापित हो जाए, तो "क्या हमें विक्रेता X का उपयोग करना चाहिए?" का उत्तर साक्ष्य से मिलता है, अनुमान से नहीं।