দেশের ব্যাংক খাতে প্রযুক্তিনির্ভর সেবা দ্রুত বাড়লেও সেই তুলনায় সাইবার নিরাপত্তা ও প্রযুক্তি ব্যবস্থাপনায় বিনিয়োগ বাড়ছে না। ব্যাংকের তথ্যপ্রযুক্তি (আইটি) বাজেটের বড় অংশ যাচ্ছে ভৌত অবকাঠামো ও সফটওয়্যারে। এর বিপরীতে সাইবার নিরাপত্তা, আইটি অডিট ও কর্মীদের প্রশিক্ষণে বরাদ্দ তুলনামূলকভাবে কম।
বাংলাদেশ ইনস্টিটিউট অব ব্যাংক ম্যানেজমেন্টের (বিআইবিএম) ‘ব্যাংকিং রিভিউ সিরিজ-২০২৫’-এর ‘আইটি অপারেশনস অব ব্যাংকস’ শীর্ষক গবেষণায় এমন চিত্র উঠে এসেছে। ২০২৪ সালের তথ্যের ভিত্তিতে মোট ৩৩টি ব্যাংকের ওপর গবেষণাটি করা হয়।
বাংলাদেশের ব্যাংক খাতের প্রযুক্তি ও সাইবার নিরাপত্তা প্রসঙ্গে সম্প্রতি বাংলাদেশ ব্যাংকের একটি সাইবার নিরাপত্তা মহড়ার কথা উল্লেখ করে গভর্নর মোস্তাকুর রহমান বলেছেন, “সাইবার নিরাপত্তা মহড়ায় এমন কিছু দুর্বলতা পাওয়া গেছে, যেগুলো ঠিক না করলে বড় ধরনের সাইবার ঘটনা ঘটতে পারত। বাণিজ্যিক ব্যাংকগুলো এখনো প্রত্যাশিত মাত্রার সাইবার নিরাপত্তা প্রস্তুতিতে পৌঁছাতে পারেনি।”
আইটিতে হাজার কোটি টাকা, নিরাপত্তায় বরাদ্দ তুলনামূলক কম
বিআইবিএমের গবেষণায় উঠে এসেছে, ব্যাংকগুলো আইটি খাতে মোট বরাদ্দ দিয়েছে প্রায় ২ হাজার ৩৩৭ কোটি টাকা। এই বরাদ্দের মধ্যে প্রতি ১০০ টাকায় প্রায় ৪১ টাকা গেছে ভৌত অবকাঠামোতে। সফটওয়্যারে খরচ হয়েছে প্রায় ২৯ টাকা, নেটওয়ার্কে প্রায় ১০ টাকা এবং সাইবার নিরাপত্তায় প্রায় ৮ টাকা। এছাড়া প্রশিক্ষণে প্রতি ১০০ টাকায় গেছে মাত্র ১ টাকা ২০ পয়সার মতো। আইটি অডিটে বরাদ্দ ছিল ১০০ টাকায় ২০ পয়সারও কম।
নিরাপত্তা ও প্রশিক্ষণের বরাদ্দের পরিবর্তনও চোখে পড়ার মতো। ২০২০ সালে প্রতি ১০০ টাকা আইটি ব্যয়ের মধ্যে নিরাপত্তায় প্রায় ৯ টাকা বরাদ্দ ছিল। কিন্তু ২০২৪ সালে তা নেমে দাঁড়ায় ৮ টাকার কিছু বেশি। প্রশিক্ষণে ২০১৮ সালে প্রতি ১০০ টাকায় প্রায় ২ টাকা ৬০ পয়সা ব্যয় হলেও ২০২৪ সালে তা কমে দাঁড়িয়েছে প্রায় ১ টাকা ২০ পয়সা।
বরাদ্দ এর চেয়েও বেশি পরিমাণে কমেছে আইটি অডিটে। ২০২০ সালে প্রতি ১০০ টাকা আইটি ব্যয়ের মধ্যে অডিটে বরাদ্দ ছিল প্রায় ৩ টাকা ২০ পয়সা। ২০২৪ সালে তা নেমে দাঁড়িয়েছে ২০ পয়সারও কমে। অর্থাৎ এই খাতে বরাদ্দ দিন দিন কমছে।
ফায়ারওয়াল আছে, তবু সাইবার নিরাপত্তায় ঘাটতি
বাংলাদেশ ইনস্টিটিউট অব ব্যাংক ম্যানেজমেন্টের (বিআইবিএম) ২০২৪ সালের গবেষণায় দেখা গেছে, ব্যাংকগুলোতে সাইবার নিরাপত্তার জন্য বিভিন্ন প্রযুক্তি থাকলেও উন্নত নিরাপত্তাব্যবস্থায় ঘাটতি রয়েছে। গবেষণায় অংশ নেওয়া সব ব্যাংকেই নেক্সট জেনারেশন ফায়ারওয়াল রয়েছে। ব্যাংকের নিরাপত্তা নীতি অনুযায়ী আসা ও যাওয়া সমস্ত ডেটা পরীক্ষা করে এবং অনুমোদিত নয় এমন ট্রাফিক ব্লক করে দেয়। তবে শুধু ফায়ারওয়াল থাকলেই সব ধরনের সাইবার হামলা ঠেকানো সম্ভব নয়।
ব্যাংকের সফটওয়্যারে কোনো ত্রুটি বা অস্বাভাবিক কার্যক্রম হচ্ছে কি না, তা পর্যবেক্ষণের জন্য অ্যাপ্লিকেশন মনিটরিং টুল প্রয়োজন। গবেষণায় প্রায় ৬০ শতাংশ ব্যাংকে এই প্রযুক্তি রয়েছে। এ ছাড়া প্রায় ৭০ শতাংশ ব্যাংকে রয়েছে অ্যান্টি-ডিডস ও র্যানসমওয়্যার প্রতিরোধের প্রযুক্তি। ডিডস হামলায় বিপুলসংখ্যক ভুয়া রিকোয়েস্ট পাঠিয়ে অনলাইন সেবা অচল করার চেষ্টা করা হয়। আর র্যানসমওয়্যার হলো এক ধরনের ক্ষতিকর সফটওয়্যার, যা কম্পিউটারের ফাইল আটকে ইউজারকে জিম্মি করে নেয়।
ব্যাংকের নেটওয়ার্ক পরিচালনার উন্নত প্রযুক্তি এসডিএন রয়েছে প্রায় ৪০ শতাংশ ব্যাংকে। এটি নেটওয়ার্কের বিভিন্ন অংশ সফটওয়্যারের মাধ্যমে নিয়ন্ত্রণে সাহায্য করে। আর এসডি-ওয়ান প্রযুক্তি প্রধান কার্যালয় ও শাখাগুলোর মধ্যে নেটওয়ার্ক সংযোগ দক্ষভাবে পরিচালনা করতে সহায়তা করে। তবে এই প্রযুক্তি রয়েছে মাত্র ১০ শতাংশ ব্যাংকে।
সাইবার হামলা শনাক্ত ও মোকাবিলায়ও ঘাটতি রয়েছে। ব্যাংকের কম্পিউটার নেটওয়ার্কে সার্বক্ষণিক নজরদারির কেন্দ্র হলো সিকিউরিটি অপারেশনস সেন্টার বা এসওসি। এটি রয়েছে প্রায় ৫০ শতাংশ ব্যাংকে। সিকিউরিটি ইনফরমেশন অ্যান্ড ইভেন্ট ম্যানেজমেন্ট বা সিয়েম বিভিন্ন কম্পিউটার ও নিরাপত্তাব্যবস্থা থেকে পাওয়া তথ্য বিশ্লেষণ করে সন্দেহজনক কার্যক্রম শনাক্ত করতে সাহায্য করে। এই প্রযুক্তি রয়েছে প্রায় ৭০ শতাংশ ব্যাংকে।
ব্যাংকের স্পর্শকাতর কম্পিউটার ব্যবস্থায় কারা প্রবেশ করতে পারবেন, আর কারা পারবেন না, তা নিয়ন্ত্রণ করে প্রিভিলেজড অ্যাকসেস ম্যানেজমেন্ট বা পিএএম। এটি রয়েছে প্রায় ৬০ শতাংশ ব্যাংকে। অন্যদিকে, সাইবার হামলা শনাক্ত হওয়ার পর দ্রুত ব্যবস্থা নিতে বিভিন্ন নিরাপত্তাব্যবস্থার মধ্যে সমন্বয় করে সোয়ার প্রযুক্তি। এটি রয়েছে মাত্র ৩০ শতাংশ ব্যাংকে।
ব্যাংকের তথ্যভান্ডারে কে কী করছেন, তা পর্যবেক্ষণ করে ডেটা অ্যাক্টিভিটি মনিটরিং বা ড্যাম। এর মাধ্যমে গ্রাহকের তথ্য দেখা, পরিবর্তন বা সরানোর চেষ্টা শনাক্ত করা সম্ভব। গবেষণায় ২৫ শতাংশেরও কম ব্যাংকে এই প্রযুক্তি রয়েছে। এ ছাড়া বিভিন্ন সফটওয়্যারের মধ্যে তথ্য আদান-প্রদানের সংযোগ সুরক্ষিত রাখার এপিআই সিকিউরিটি রয়েছে প্রায় ৪০ শতাংশ ব্যাংকে।
বিআইবিএমের গবেষণায় দেখা যাচ্ছে, ব্যাংকগুলোতে মৌলিক নিরাপত্তাব্যবস্থা থাকলেও সাইবার হামলা শনাক্ত করা, তথ্যের অপব্যবহার ঠেকানো এবং হামলার পর দ্রুত ব্যবস্থা নেওয়ার মতো গুরুত্বপূর্ণ ক্ষেত্রে ঘাটতি রয়েছে। ফলে শুধু নিরাপত্তাপ্রযুক্তি স্থাপন নয়, সেগুলো কার্যকরভাবে পরিচালনা ও নিয়মিত হালনাগাদ করাও জরুরি।
সম্প্রতি উত্তরা ব্যাংকের সাইবার নিরাপত্তা জোরদারে এসওসি স্থাপনের কাজ পেয়েছে দেশীয় প্রযুক্তি প্রতিষ্ঠান এলিভেট সলিউশনস। প্রতিষ্ঠানটির ব্যবস্থাপনা পরিচালক ও প্রধান নির্বাহী (সিইও) মো. হুমায়ুন কবির চরচাকে বলেন, “সাইবার ঝুঁকি ক্রমেই জটিল হচ্ছে। তাই আর্থিক প্রতিষ্ঠানগুলোকে আগাম ঝুঁকি শনাক্ত ও মোকাবিলার সক্ষমতা বাড়াতে হবে। শুধু আক্রমণ হওয়ার পর ব্যবস্থা নেওয়া নয়, বরং রিয়েল-টাইম মনিটরিংয়ের মাধ্যমে সম্ভাব্য প্রতিটি থ্রেট আগেভাগেই চিহ্নিত করা এখন সময়ের দাবি। ডিজিটাল লেনদেনের প্রতি মানুষের আস্থা ধরে রাখতে হলে প্রতিটি ব্যাংককে তাদের আইটি অবকাঠামো আন্তর্জাতিক মানে রূপান্তর করতে হবে।”
বাংলাদেশের বিভিন্ন আর্থিক খাতে প্রযুক্তি সেবা সরবরাহ করা প্রতিষ্ঠান ব্রেনস্টেশন বাংলাদেশের সিইও রাইসুল কবীর চরচাকে বলেন, “আমার মনে হয়, বাংলাদেশের প্রচুর কোম্পানি আছে, যারা বিশ্বের সঙ্গে তাল মিলিয়ে ব্যাংকগুলোতে আইটি সাপোর্ট দিতে পারে। তারা বিশ্বের যেকোনো সফটওয়্যারের মতো সফটওয়্যার তৈরি করে দিতে পারে। অর্থাৎ, বাংলাদেশের আইটি সক্ষমতা যথেষ্ট আছে। তবে আমার মনে হয়, ব্যাংকগুলো আইটি খাতে যে বাজেট রাখে, সেটার যথাযথ ইউটিলাইজ হয় না। অর্থাৎ কোন খাতে কতটুকু খরচ করতে হবে এই বিষয়টা ব্যাংকগুলোকে আরেকটু দেখা দরকার।”
কার্ডের তথ্য সুরক্ষায় আন্তর্জাতিক সনদ নেই ৬৫ শতাংশ ব্যাংকের
ব্যাংকের কার্ডভিত্তিক সেবা বাড়লেও আন্তর্জাতিক নিরাপত্তা মানদণ্ড অনুসরণের ক্ষেত্রে ঘাটতি রয়েছে। গবেষণায় দেখা গেছে, অংশগ্রহণকারী ব্যাংকের মাত্র ৩৫ শতাংশের পিসিআই ডিএসএস সনদ রয়েছে। অন্যদিকে আইএসও ২৭০০১ সনদ রয়েছে প্রায় ৭০ শতাংশের। ডেটা সেন্টার সনদ রয়েছে ১০ শতাংশ ব্যাংকের। কোনো ব্যাংকেরই সিএমএমআই সনদ নেই।
ব্যাংকের ডিজিটাল লেনদেন ও কার্ডভিত্তিক সেবা যত বাড়ছে, এসব আন্তর্জাতিক নিরাপত্তা মানদণ্ডের গুরুত্বও তত বাড়ছে। বিআইবিএম সব ব্যাংকের জন্য আইএসও ২৭০০১ এবং পিসিআই ডিএসএস অর্জনের সুপারিশ করেছে।
অ্যাডমিনের হাতে সিস্টেমের চাবি, এমএফএ নেই সবার
ব্যাংকের সবচেয়ে গুরুত্বপূর্ণ প্রযুক্তিগত অ্যাকসেসের একটি অংশ থাকে প্রিভিলেজড অ্যাডমিনদের হাতে। অথচ গবেষণায় দেখা গেছে, অংশগ্রহণকারী ব্যাংকের ৬৬ দশমিক ৭ শতাংশে প্রিভিলেজড অ্যাডমিনদের জন্য মাল্টিফ্যাক্টর অথেনটিকেশন বা এমএফএ বাধ্যতামূলক।
অর্থাৎ ১০টি ব্যাংকের হিসাব করলে প্রায় ৭টিতে গুরুত্বপূর্ণ সিস্টেমে প্রশাসনিক প্রবেশাধিকারের ক্ষেত্রে এমএফএ বাধ্যতামূলক। আর প্রায় ৩টি ব্যাংকে সবার জন্য এই বাধ্যবাধকতা নেই। বিআইবিএমের সুপারিশে সব ব্যাংকের প্রিভিলেজড অ্যাকসেসের জন্য এমএফএ বাধ্যতামূলক করার কথা বলা হয়েছে।
ব্যাংকগুলোর সংবেদনশীল তথ্য সুরক্ষার ক্ষেত্রেও ব্যবস্থাপনায় পার্থক্য রয়েছে। গবেষণায় অংশ নেওয়া সব ব্যাংকেই নিয়মিত ডেটা ব্যাকআপের ব্যবস্থা রয়েছে। অর্থাৎ প্রায় সব ব্যাংকে নিয়মিত ব্যাকআপ নেওয়া হয়। তবে ডেটা এনক্রিপশন রয়েছে প্রায় ৮০ শতাংশ ব্যাংকে। মাল্টিফ্যাক্টর অথেনটিকেশন রয়েছে প্রায় ৭০ শতাংশ ব্যাংকে। আর ডেটা লস প্রিভেনশন বা ডিএলপি ব্যবস্থা রয়েছে ৪০ শতাংশ ব্যাংকে। অর্থাৎ ব্যাকআপের ব্যবস্থা সবার থাকলেও তথ্য যেন অননুমোদিতভাবে কপি, সরানো বা বাইরে চলে যেতে না পারে, সে ধরনের বাড়তি সুরক্ষা এখনো সব ব্যাংকে চালু হয়নি।
এ প্রসঙ্গে বিআইবিএম এর মহাপরিচালক মো. এজাজুল ইসলাম চরচাকে বলেন, “বাংলাদেশের ব্যাংক খাত সাইবার আক্রমণের ঝুঁকিতে পড়ছে মূলত থার্ড-পার্টি কারো কাছ থেকে সেবা নেওয়ার কারণে। যখন কোনো তথ্যপ্রযুক্তি সরবরাহকারী প্রতিষ্ঠানের সার্ভারে কারিগরি ত্রুটি দেখা দেয়, তখন হ্যাকাররা সেটিকে ব্যবহার করে ব্যাংকের মূল কোর নেটওয়ার্কে প্রবেশ করতে পারে। তখনই সেই ব্যাংকের ঝুঁকি তৈরি হয়। তাই ব্যাংকগুলোকে নিজেদের নিরাপত্তা সক্ষমতা বাড়াতে হবে।”
দক্ষ জনবলের অভাব
ব্যাংকের প্রযুক্তি ব্যবস্থাপনায় জনবলের কাঠামোতেও নিরাপত্তা ও অডিটের গুরুত্ব তুলনামূলকভাবে কম দেখা গেছে। ২০২৪ সালে ব্যাংকগুলোর আইটি জনবলের সবচেয়ে বড় অংশ ছিল নেটওয়ার্ক সার্ভিসে। মোট আইটি কর্মীর প্রায় চার ভাগের এক ভাগ এই কাজে নিয়োজিত ছিলেন। হার্ডওয়্যার ও সফটওয়্যার অপারেশনে ছিলেন প্রায় ১৩ শতাংশ এবং ডেভেলপমেন্ট টিমে প্রায় ১৩ শতাংশ।
অন্যদিকে শতকরা হারে ১০০ জন আইটি কর্মীর মধ্যে ইনফরমেশন সিকিউরিটিতে ছিলেন প্রায় ছয়জন। আইটি বা ইনফরমেশন সিস্টেম অডিটে ছিলেন ১০০ জনে দুইজনেরও কম। ২০২৪ সালে ব্যাংকগুলোর মোট আইটি কর্মীর সংখ্যা ছিল ৮ হাজার ২৯৪ জন। তবে তাদের মাত্র প্রায় এক-চতুর্থাংশ, অর্থাৎ ১০০ জনে প্রায় ২৫ জন প্রশিক্ষণ পেয়েছেন। ২০২৩ সালেও এই হার প্রায় একই ছিল। অর্থাৎ এক বছরে আর বাড়েনি।
সম্প্রতি বিআইবিএমের আইটি অপারেশনস বিষয়ক কর্মশালায় বাংলাদেশ ব্যাংকের ডেপুটি গভর্নর নূরুন নাহার বলেছেন, “ইলেকট্রনিক ব্যাংকিং এখন আর কোনো বিকল্প নয়, বরং বর্তমান আর্থিক ব্যবস্থার মেরুদণ্ড। তবে ব্যাংকগুলোতে আইটি বাজেট, দক্ষ জনবল, ডিজাস্টার রিকভারি ও আইটি গভর্ন্যান্সে ঘাটতি রয়েছে।”
এ প্রসঙ্গে বাংলাদেশ ব্যাংকের নির্বাহী পরিচালক ও মুখপাত্র আরিফ হোসেন খান চরচাকে বলেন, “বাংলাদেশ ব্যাংকের পক্ষ থেকে আমরা প্রতিটি ব্যাংককে সাইবার নিরাপত্তা জোরদার করার তাগিদ দেই। কিছু কিছু ব্যাংক খুব ভালোভাবেই এই নিরাপত্তা দিচ্ছে। আর কিছু ব্যাংকের ঘাটতি আছে এই খাতে। এটা আমাদের রুটিন ওয়ার্ক। তবে সব ব্যাংকের অবস্থা যে একই রকমভাবে উন্নত হয়েছে, বিষয়টা এমন না। আর এটা তো চলমান প্রক্রিয়া। কারণ, আজ যে প্রযুক্তিটা আধুনিক, কালই সেটা ব্যাকডেটেড হয়ে যেতে পারে। তাই আমরা ব্যাংকগুলোর সঙ্গে আলোচনা করে কাজ করে যাচ্ছি।”
দীর্ঘমেয়াদি রোডম্যাপ কতটা কার্যকর?
সব ব্যাংকই আইটি কৌশল বা আইটি স্ট্র্যাটেজি তৈরি করেছে। কিন্তু স্বল্প, মধ্য ও দীর্ঘমেয়াদি প্রযুক্তি রোডম্যাপ তৈরির ক্ষেত্রে বড় পার্থক্য রয়েছে। বিআইবিএমের তথ্য অনুযায়ী, স্বল্পমেয়াদি আইটি রোডম্যাপ রয়েছে ৩০ শতাংশেরও কম ব্যাংকে। মধ্যমেয়াদি রোডম্যাপ রয়েছে ৫০ শতাংশ এবং দীর্ঘমেয়াদি রোডম্যাপ রয়েছে প্রায় ৫০ শতাংশ ব্যাংকে।
অন্যদিকে ব্যাংকের কোর ব্যাংকিং সিস্টেম বা সিবিএস ব্যবহারের ক্ষেত্রেও পরিবর্তন এসেছে। ২০২২ সালে ৪০ শতাংশ ব্যাংক সিবিএস ব্যবহার করলেও ২০২৪ সালে এই সংখ্যা বেড়ে দাঁড়িয়েছে প্রায় ৫৫ শতাংশে। ২০২৪ সালে সিবিএসের ক্ষেত্রে প্রায় ১০০টি ব্যাংকের মধ্যে ৪৫টি স্থানীয় ভেন্ডর, প্রায় ৪২টি বিদেশি ভেন্ডর, প্রায় ১০টি ইন-হাউস এবং ৩টির মতো ব্যাংক যৌথ উদ্যোগের প্রযুক্তি ব্যবহার করেছে।
বাড়ছে ডিজিটাল ব্যাংকিং, নিরাপত্তার ভিত্তি কতটা শক্ত?
ব্যাংকিং খাতে প্রযুক্তির ব্যবহার যত বাড়ছে, সাইবার নিরাপত্তা ও প্রযুক্তি ঝুঁকি ব্যবস্থাপনাও তত গুরুত্বপূর্ণ হয়ে উঠছে। বাংলাদেশ ব্যাংকের সাইবার নিরাপত্তা কাঠামোতেও পরিচালনা (গভার্ন), ত্রুটি খুঁজে বের করা (আইডেন্টিফাই), ত্রুটি বা ঝুঁকি থেকে সুরক্ষা দেওয়া (প্রটেক্ট), ত্রুটি বা ঝুঁকির ক্ষেত্রে কারণ নির্ধারণ (ডিটেক্ট), দ্রুত সমাধান বের করা (রেসপন্ড) ও হারানো তথ্য বা সম্পদ পুনরুদ্ধার (রিকভার)–এই ছয়টি মূল কার্যক্রমকে গুরুত্ব দেওয়া হয়েছে।
এ ছাড়া ব্যাংকগুলোকে গুরুত্বপূর্ণ সিস্টেমে মাল্টিফ্যাক্টর অথেনটিকেশন, নিয়মিত প্যাচ ব্যবস্থাপনা, দুর্বলতা শনাক্তকরণ ও পরীক্ষা, সিকিউরিটি মনিটরিং এবং দুর্যোগ মোকাবিলায় সক্ষমতা বাড়ানোর ওপর জোর দেওয়া হয়েছে।
বিআইবিএমের গবেষণাতেও একই ধরনের ঘাটতি চিহ্নিত হয়েছে। গবেষণায় সব ব্যাংকের জন্য মৌলিক নিরাপত্তা ব্যবস্থা জোরদার, ভালনারেবিলিটি অ্যাসেসমেন্ট ও পেনিট্রেশন টেস্টিং, সিয়েম, পিএএম, নিয়মিত প্যাচ ব্যবস্থাপনা, আইটি অডিট এবং প্রিভিলেজড অ্যাকসেসে এমএফএ নিশ্চিত করার সুপারিশ করা হয়েছে।
প্রযুক্তিতে ব্যাংকের বিনিয়োগ কম নয়। কিন্তু বিনিয়োগের বড় অংশ যদি অবকাঠামো ও সফটওয়্যারে কেন্দ্রীভূত থাকে এবং নিরাপত্তা, অডিট, দক্ষ জনবল ও দুর্যোগ মোকাবিলার সক্ষমতা পিছিয়ে থাকে, তাহলে প্রযুক্তিনির্ভর ব্যাংকিং ব্যবস্থার ঝুঁকিও থেকে যায়।
