দেশের বেশির ভাগ ব্যাংকের মোবাইল অ্যাপ সাইবার হামলা ও আর্থিক জালিয়াতি ঠেকানোর মতো শক্ত প্রস্তুতি ছাড়াই চলছে। বাংলাদেশ ইনস্টিটিউট অব ব্যাংক ম্যানেজমেন্টের (বিআইবিএম) এক গবেষণায় দেখা গেছে, জরিপে অংশ নেওয়া ব্যাংকগুলোর ৬৯ শতাংশের কাছে হামলা মোকাবিলার লিখিত ও নিয়মিত পরীক্ষিত কোনো পরিকল্পনা নেই। পরিকল্পনা আছে মাত্র ৩১ শতাংশ ব্যাংকের।
গতকাল বুধবার রাজধানীর মিরপুরে বিআইবিএম অডিটোরিয়ামে ‘বাংলাদেশে ব্যাংকিং অ্যাপের নিরাপত্তা: বর্তমান অবস্থা ও চ্যালেঞ্জ’ শীর্ষক গোলটেবিল আলোচনায় গবেষণার ফল তুলে ধরা হয়। অনুষ্ঠানে নিয়ন্ত্রক সংস্থার প্রতিনিধি, ব্যাংকার ও শিক্ষাবিদরা অংশ নেন।
গবেষণা বলছে, তথ্য সংরক্ষণের ক্ষেত্রে ব্যাংকগুলো তুলনামূলক এগিয়ে। জরিপে অংশ নেওয়া ৮১ শতাংশ ব্যাংক নিরাপত্তা-সংক্রান্ত ঘটনার তথ্য জমা রাখার ব্যবস্থা বা ইভেন্ট লগিং চালু রেখেছে। কিন্তু কোনো ঘটনা ঘটার মুহূর্তে সেটি ধরার সক্ষমতা অনেক দুর্বল। অ্যাপ্লিকেশন প্রোগ্রামিং ইন্টারফেস বা এপিআইয়ের মাধ্যমে লেনদেন ও গতিবিধি তাৎক্ষণিকভাবে নজরে রাখে মাত্র ৪৪ শতাংশ ব্যাংক। অর্থাৎ তথ্য জমানোর ব্যবস্থা থাকলেও অনেক ক্ষেত্রে হামলা চলাকালীন তা শনাক্ত করা কঠিন হয়ে পড়ে।
গবেষকদের কাছে সবচেয়ে উদ্বেগজনক মনে হয়েছে সংকট মোকাবিলার প্রস্তুতির চিত্র। অ্যাপে সাইবার হামলা বা নিরাপত্তা-সংক্রান্ত ঘটনা ঘটলে কী করা হবে, তার লিখিত পরিকল্পনা আছে এবং তা নিয়মিত যাচাই করা হয়, এমন ব্যাংকের হার ৩১ শতাংশ। ফলে বড় ধরনের হামলা বা জালিয়াতির মুখে বেশির ভাগ ব্যাংকের সক্ষমতা নিয়ে প্রশ্ন তৈরি হয়েছে।
ঝুঁকির ধরন নিয়েও গবেষণায় স্পষ্ট ইঙ্গিত মিলেছে। ব্যাংকের গ্রাহকসেবার অ্যাপে সবচেয়ে বেশি শনাক্ত হয়েছে ফিশিং ও সামাজিক প্রকৌশলভিত্তিক প্রতারণা। এর পরেই আছে গ্রাহকের অ্যাকাউন্টের নিয়ন্ত্রণ দখল এবং পরিচয়সংক্রান্ত তথ্য বা পাসওয়ার্ড চুরি। এতে বোঝা যায়, শুধু প্রযুক্তিগত ত্রুটি নয়, গ্রাহকের অসচেতনতা এবং ব্যক্তিগত তথ্য হাতিয়ে নেওয়ার কৌশলও ব্যাংকিং অ্যাপের জন্য বড় হুমকি।
গ্রাহকের পরিচয় যাচাইয়ের ক্ষেত্রেও ব্যাংকগুলোর মধ্যে মানের ফারাক রয়েছে। জরিপে অংশ নেওয়া ৭৮ শতাংশ ব্যাংক জানিয়েছে, তারা গ্রাহকের অ্যাকাউন্ট নির্দিষ্ট ডিভাইসের সঙ্গে যুক্ত রাখে এবং প্রয়োজনে নতুন করে পরিচয় যাচাই করে। কিন্তু লেনদেনের ঝুঁকি অনুযায়ী যাচাইয়ের পদ্ধতি বদলায়, এমন ব্যাংক মাত্র ১৬ শতাংশ। ফলে ছোট ও বড় ঝুঁকির লেনদেনে অনেক ক্ষেত্রে একই ধরনের নিরাপত্তা ব্যবস্থা কার্যকর থাকছে।
তৃতীয় পক্ষের সেবাদাতাদের বিষয়টিও গবেষণায় গুরুত্ব পেয়েছে। ৭৮ শতাংশ ব্যাংক অন্তত একটি বাইরের প্রতিষ্ঠানের তৈরি অ্যাপ বা সেবা ব্যবহার করে। অথচ এসব সেবাদাতার এপিআইয়ের নিরাপত্তাঝুঁকি নিয়মিত পর্যবেক্ষণ করে মাত্র ৩৪ শতাংশ ব্যাংক। এর অর্থ, ব্যাংকের নিজস্ব নিরাপত্তা বলয়ের বাইরে থাকা প্রযুক্তিগত অংশ অনেক সময় পুরোপুরি নজরদারির আওতায় আসছে না। ওই অংশে কোনো দুর্বলতা থাকলে তার প্রভাব সরাসরি গ্রাহকের অর্থ ও তথ্যের ওপর পড়তে পারে।
ব্যাংকগুলোর নিজস্ব সীমাবদ্ধতার চিত্রও উঠে এসেছে। জরিপে অংশ নেওয়া ৪৭ শতাংশ ব্যাংক বাজেট স্বল্পতাকে বড় চ্যালেঞ্জ বলে উল্লেখ করেছে। একই হারে ব্যাংক প্রয়োজনীয় নিরাপত্তা সরঞ্জামের ঘাটতির কথা জানিয়েছে। আর ৩৮ শতাংশ ব্যাংক বলেছে, দক্ষ সাইবার নিরাপত্তাকর্মীর অভাব তাদের সামনে বড় বাধা। অর্থাৎ প্রযুক্তি, অর্থ ও জনবল, তিন ক্ষেত্রেই এ খাতে পর্যাপ্ত বিনিয়োগের ঘাটতি রয়েছে।
গবেষণার পদ্ধতি ও সীমাবদ্ধতা নিয়েও স্পষ্ট তথ্য দেওয়া হয়েছে। বিআইবিএমের এই প্রাথমিক জরিপে অংশ নিয়েছে ৩৪টি ব্যাংক। বর্ণনামূলক জরিপ, দলীয় আলোচনা, সংশ্লিষ্ট নীতিমালা পর্যালোচনা এবং দেশি-বিদেশি অভিজ্ঞতার বিশ্লেষণের ভিত্তিতে কাজটি করা হয়েছে। তবে ফলাফল দাঁড়িয়েছে ব্যাংকগুলোর নিজেদের দেওয়া তথ্যের ওপর। তাই এটিকে সমগ্র ব্যাংকিং খাতের পূর্ণাঙ্গ চিত্র বা স্বাধীন নিরীক্ষার ফল হিসেবে বিবেচনা করা যাবে না।
অনুষ্ঠানে প্রধান অতিথি ছিলেন বিআইবিএম নির্বাহী কমিটির চেয়ারম্যান ও বাংলাদেশ ব্যাংকের ডেপুটি গভর্নর ড. মো. হাবিবুর রহমান। স্বাগত বক্তব্য দেন বিআইবিএমের গবেষণা, উন্নয়ন ও পরামর্শ বিভাগের পরিচালক ও অধ্যাপক মো. শিহাব উদ্দিন খান। সভাপতিত্ব করেন বিআইবিএমের মহাপরিচালক ড. মো. এজাজুল ইসলাম। মূল প্রবন্ধ উপস্থাপন করেন বিআইবিএমের প্রভাষক ফাহাদ আহমেদ। গবেষণা দলে আরও ছিলেন মো. শিহাব উদ্দিন খান এবং ইস্টার্ন ব্যাংক পিএলসির প্রধান তথ্য নিরাপত্তা কর্মকর্তা মুহাম্মদ আবুল কালাম আজাদ।
সমাপনী বক্তব্যে মহাপরিচালক ড. মো. এজাজুল ইসলাম ব্যাংকগুলোর সাইবার নিরাপত্তা জোরদারে তিনটি বিষয়ে বিশেষ জোর দেন। প্রথমটি হলো ব্যাংকগুলোর মধ্যে যৌথ নিরাপত্তা মহড়া। দ্বিতীয়টি জালিয়াতির অভিযোগ জানানোর সহজ ব্যবস্থা ও শক্তিশালী গ্রাহক পরিচয় যাচাই। তৃতীয়টি তৃতীয় পক্ষের সেবাদাতাদের নিরাপত্তায় সুস্পষ্ট জবাবদিহি।
মহড়া প্রসঙ্গে তিনি বলেন, সাইবার নিরাপত্তা, জালিয়াতি প্রতিরোধ, ডিজিটাল ব্যাংকিং ও গ্রাহকসেবা বিভাগের মধ্যে সমন্বয় করে নিয়মিত যৌথ মহড়া চালাতে হবে। এতে কোনো ঘটনা ঘটলে কোন বিভাগ সিদ্ধান্ত নেবে, কত দ্রুত ব্যবস্থা নেওয়া হবে এবং কখন বিষয়টি ঊর্ধ্বতন কর্তৃপক্ষকে জানাতে হবে, তা আগে থেকেই ঠিক করা থাকবে।
ড. এজাজুল ইসলাম আরও বলেন, সন্দেহজনক জালিয়াতির ঘটনা জানানোর প্রক্রিয়া গ্রাহকের জন্য সহজ করতে হবে। পাশাপাশি লেনদেনের ঝুঁকি বুঝে আরও শক্তিশালী পরিচয় যাচাই ব্যবস্থা চালু করা দরকার। অ্যাপ তৈরি, ব্যবহার ও রক্ষণাবেক্ষণের প্রতিটি ধাপে তৃতীয় পক্ষের সেবাদাতাদের নিরাপত্তা-সংক্রান্ত দায় ও জবাবদিহি স্পষ্ট করতে হবে। এসব কাজ তদারক করতে ব্যাংকগুলোকে বিশেষ দক্ষতা ও পর্যাপ্ত জনবল গড়ে তুলতে হবে।
অগ্রগতি মাপার বিষয়েও তিনি দিকনির্দেশনা দেন। তাঁর মতে, ব্যবস্থাপনা কর্তৃপক্ষকে সুনির্দিষ্ট সূচক ঠিক করতে হবে। যেমন গ্রাহকের অভিযোগ পাওয়ার পর কত দ্রুত সুরক্ষামূলক ব্যবস্থা নেওয়া হচ্ছে এবং নিরাপত্তা মহড়ায় ধরা পড়া দুর্বলতার কত শতাংশ নির্ধারিত সময়ের মধ্যে সারানো হচ্ছে, তা নিয়মিত পর্যালোচনা করা জরুরি। নিয়ন্ত্রক সংস্থার দৃষ্টিভঙ্গি ও পেশাজীবীদের বাস্তব অভিজ্ঞতা এ ক্ষেত্রে ব্যাংকগুলোকে কার্যকর পদক্ষেপ নিতে সহায়তা করতে পারে।
আলোচনায় নির্ধারিত আলোচক ছিলেন বিআইবিএমের ফ্যাকাল্টি মেম্বার ও বাংলাদেশ ব্যাংকের নির্বাহী পরিচালক দেবদুলাল রায়, ইউনাইটেড ইন্টারন্যাশনাল ইউনিভার্সিটি ও বাংলাদেশ প্রকৌশল বিশ্ববিদ্যালয়ের কম্পিউটার বিজ্ঞান ও প্রকৌশল বিভাগের অধ্যাপক ড. মো. সোহরাব হোসেন এবং সিটি ব্যাংক পিএলসির অতিরিক্ত ব্যবস্থাপনা পরিচালক ও প্রধান তথ্য কর্মকর্তা কাজী আজিজুর রহমান।
গবেষণার সারকথা, ব্যাংকিং অ্যাপের নিরাপত্তা শুধু প্রযুক্তিগত ব্যবস্থার ওপর দাঁড়িয়ে থাকতে পারে না। হামলা মোকাবিলার লিখিত ও পরীক্ষিত পরিকল্পনা, নিয়মিত নিরাপত্তা যাচাই, জালিয়াতি ঠেকানোর কার্যকর ব্যবস্থা, তৃতীয় পক্ষের সেবাদাতাদের জবাবদিহি এবং দক্ষ জনবল, এই সবকিছু একসঙ্গে নিশ্চিত করা ছাড়া বিকল্প নেই। ডিজিটাল লেনদেন যত বাড়ছে, গ্রাহকের আস্থা ধরে রাখতে এসব প্রস্তুতিও ততই জরুরি হয়ে উঠছে।