প্রাতিষ্ঠানিক network-এর নিরাপত্তা নির্ভর করে সমন্বিত technical control এবং শৃঙ্খলাবদ্ধ পরিচালন দায়িত্বের ওপর। Platform কনফিগারযোগ্য network এবং সমর্থিত access, governance ও administrative control mechanism দেয়। নিজস্ব কর্মী, identity policy, asset commitment, private record, business approval এবং নিজের নিয়ন্ত্রণাধীন environment-এর দায় প্রতিষ্ঠানকেই নিতে হয়। নিরাপত্তার ফল নির্ভর করে সম্মত architecture ও বাস্তবায়নের ওপর, শুধু পণ্যের নামের ওপর নয়।
Control বেছে নেওয়ার আগে asset, actor, trust boundary এবং failure scenario-এর মানচিত্র তৈরি করে security আলোচনা শুরু করা উচিত। এতে privileged access, transaction authorization, validator operation, key custody, software পরিবর্তন, monitoring, incident handling, backup এবং third-party dependency অন্তর্ভুক্ত থাকবে। HSM, IAM, SIEM ও compliance system-এর সংযোগ আলাদাভাবে মূল্যায়িত integration; scope-নির্ধারিত evidence ছাড়া built-in connector, certification বা independent assurance ধরে নেওয়া উচিত নয়।
মানুষ, application ও network জুড়ে স্তরভিত্তিক control দিন
প্রথমে user, operator ও administrator-এর জন্য প্রাতিষ্ঠানিক identity এবং least-privilege role নির্ধারণ করুন। Access কীভাবে চাওয়া, অনুমোদন, review, বাতিল ও নথিভুক্ত হবে তা স্থির করুন। Application authorization ও transaction signing ব্যাংকের risk policy মেনে চলা উচিত। Network governance সমর্থিত administrative change-এর জন্য কনফিগার করা approval path যোগ করে, কিন্তু কর্মীদের control বা প্রতিষ্ঠানের নিজস্ব authorization procedure-এর বিকল্প নয়।
Network স্তরে configured consensus ও policy অনুযায়ী validator-রা যোগ্য transaction process করে। Administrative action ও governance decision অনুমোদিত পক্ষ এবং সমর্থিত configuration-এর মধ্যে সীমিত রাখা উচিত। প্রতিটি component কে চালাবে, credential সুরক্ষিত রাখবে, activity পর্যবেক্ষণ করবে, পরিবর্তন প্রয়োগ করবে ও incident সামলাবে—প্রতিষ্ঠান ও service provider-কে তা স্পষ্ট করতে হবে। প্রতিটি boundary-তে একজন দায়িত্বপ্রাপ্ত মালিক, escalation পথ এবং evidence-এর প্রত্যাশা থাকা দরকার।
নিরাপত্তার দায়িত্বের স্তর
- প্রাতিষ্ঠানিক policy
Identity lifecycle, business approval, customer obligation এবং risk ownership।
- Application control
Authorization, transaction preparation, signing boundary এবং private data handling।
- নেটওয়ার্ক পরিচালনব্যবস্থা
কনফিগার করা role, approval, অনুমোদিত administrative action এবং audit record।
- Infrastructure operation
সম্মত hosting, validator, monitoring, maintenance এবং incident-এর দায়।
Approval ও key custody স্পষ্টভাবে নির্ধারণ করুন
কোনো cryptographic key-নির্ভর action কে অনুমোদন করতে পারবেন, সেই কর্তৃত্ব কীভাবে সুরক্ষিত থাকবে এবং access কীভাবে পুনরুদ্ধার বা বাতিল হবে—key custody তা নির্ধারণ করে। Key owner, signer, approval threshold, backup ও recovery ব্যবস্থা, দায়িত্বের পৃথকীকরণ এবং emergency procedure প্রতিষ্ঠানকে নথিভুক্ত করতে হবে। Generic custody অনুমান না করে operational policy-র সঙ্গে technical signing design মেলাতে হবে।
সমর্থিত পরিবর্তনের জন্য Governance-এ proposal, vote, approval বা delay কনফিগার করা যেতে পারে। এসব control authorization গুছিয়ে নিতে সাহায্য করে, কিন্তু প্রতিষ্ঠানের বৃহত্তর approval process সম্পন্ন হয়েছে প্রমাণ করে না। HSM-এর চাহিদা বা integration technical assessment করে সম্মত হতে হবে; কোনো নির্দিষ্ট HSM connector বা custody product অন্তর্ভুক্ত—এমন ধরে নেওয়া যাবে না। অনুমোদিত non-production scope-এ approval ও recovery procedure পরীক্ষা করুন।
Evidence ও independent review-এর scope সতর্কভাবে নির্ধারণ করুন
Assurance-এর অনুরোধে সংশ্লিষ্ট system, deployment boundary, control, সময়কাল, evidence এবং independent assessor নির্দিষ্ট করতে হবে। Security assessment-এর সমন্বয়ে সম্মত review-তে সহায়তা করা যেতে পারে, কিন্তু পণ্যের বিবরণ audit opinion বা certification নয়। একইভাবে log বা governance record থাকলেই নির্দিষ্ট regulatory obligation-এর জন্য তার পূর্ণতা, retention বা উপযোগিতা প্রমাণ হয় না—স্পষ্ট assessment দরকার।
ব্যবহারিক security deliverable-এ সম্মত architecture ও দায়িত্বের record, threat ও dependency review, access model, key-custody অনুমান, change control, incident ও recovery procedure এবং validation finding থাকতে পারে। অমীমাংসিত ঝুঁকির জন্য দায়িত্বপ্রাপ্ত মালিক ও treatment decision থাকা উচিত। Certification, compliance conclusion, availability commitment বা বাহ্যিক assurance থাকলে তা প্রাসঙ্গিক আলাদাভাবে সম্মত evidence দিয়ে সমর্থিত হতে হবে; এই নির্দেশিকা থেকে তা ধরে নেওয়া যাবে না।