ডিজিটাল নিরাপত্তার সংজ্ঞা কী?

সায়নুল হোসেন:

বাংলাদেশে ডিজিটাল সিকিউরিটি আইন ২০১৮-এ বিদ্যমান কিছু ধারা নিয়ে তর্কবিতর্ক চলছে। তথ্যপ্রযুক্তির কর্মী হিসেবে আমার উদ্বেগ যতটা না এই আইনে কী আছে তা নিয়ে, তার চেয়ে বেশি হল এই আইনে কী নেই, সেটি নিয়ে।

মোটের ওপর বলা যায়, ‘তথ্যের অবাধ আদান-প্রদান নিশ্চিত করার লক্ষ্যে তথ্যের যথাযথ গোপনীয়তা (Confidentiality), সঠিকতা (Integrity), প্রাপ্যতা (Availability) ইত্যাদি বৈশিষ্ট্যকে সুসংহত করতে গিয়ে যে তথ্য ও তথ্যপ্রযুক্তির কারিগরি নিয়ন্ত্রণ ব্যবস্থা (Technical control) এবং পদক্ষেপ (Measure) দরকার, সেটিই হল ডিজিটাল সিকিউরিটি’।

উদাহরণ হিসেবে বলা যায়, আপনার বিদ্যুৎ বিলের তথ্য ডেসা তার সংশ্লিষ্ট কর্মচারী বাদে আর কাউকে যেন না দেয়, সেই গোপনীয়তা রক্ষা করার দায়িত্ব ডেসা বা সরকারের। আবার মিটার-রিডিং, ডেটাবেসে ট্যারিফের হিসাব আর পোস্টে পাঠানো আপনার চূড়ান্ত বিলের মধ্যে কোনো তথ্যের যেন নড়চড় না হয়, প্রতিটি ধাপে সেই সঠিকতা নিশ্চিত করার দায়িত্বও ডেসা বা সরকারি প্রতিষ্ঠানের।

এবং যদি বিল প্রিন্ট করার সময় দেখা যায়, ডেটাবেস ডাউন হয়ে আছে, আপনি সময়মতো বিল পাচ্ছেন না, কিংবা আপনি বিল পেয়ে চ্যালেঞ্জ করতে গিয়ে দেখেন কোনো কারণে আপনার মিটার-রিডিংয়ের তথ্যই তারা খুঁজে পাচ্ছেন না, এর মানে হল তথ্যের প্রাপ্যতাকে ওই সরকারি সংস্থা নিশ্চিত করতে পারেনি। এতে শুধু আপনি একা নন, অনেক নাগরিক ভোগান্তির সম্মুখীন হবেন, সবার অর্থনৈতিক কর্মকাণ্ডে ব্যাঘাত ঘটবে।

কাজেই জনগণের শিক্ষা-অর্থনীতি-স্বাস্থ্য-সংস্কৃতির উন্নয়নের জন্য তথ্য-যোগাযোগ ব্যবস্থাকে ব্যবহার করতে গিয়ে এ ব্যবস্থাটিকে সুরক্ষিত করা সরকারের জন্য অত্যাবশ্যক।

প্রশ্ন হল, আইনের এখানে ভূমিকা কী? উন্নত বিশ্বে ডিজিটাল নিরাপত্তা প্রসঙ্গে ব্যক্তিগত তথ্য এবং অন্যান্য গুরুত্বপূর্ণ তথ্যকে আলাদাভাবে দেখে রেগুলেশন করা হচ্ছে। এর কারণ, এসব দেশে প্রাইভেসি নাগরিকের মৌলিক অধিকার হিসেবে স্বীকৃত। তথ্যের অবাধ আদান-প্রদানের এ যুগে প্রাইভেসিকে কীভাবে সুরক্ষা দেয়া যায়, সেটি এখন তাদের অনেক বড় মাথাব্যথার কারণ।

জাপান ২০০৫-এ প্রাইভেসি প্রোটেকশন আইন প্রচলন করে। ইইউ সম্প্রতি করেছে জিডিপিআর নামক আইন। সরকারি সংস্থাই বলেন, কিংবা পাড়ার লন্ড্রিই বলেন, অনুমতি ছাড়া আপনার ফোন নম্বর বা ঠিকানা কেউই অন্য কোনো কাজে ব্যবহার বা অন্য কোনো ব্যক্তির কাছে প্রকাশ করতে পারবে না।

প্রাইভেসির তথ্যকে সংগ্রহ, ডেটাবেসে ধারণ, প্রসেসিং করা, কিংবা মুছে ফেলার ক্ষেত্রে সমাজের কোন অ্যাক্টর কী কী ভূমিকা নেবে, সেগুলোর সুস্পষ্ট বিধান দিয়েই এরকম আইন করা হয়।

আধুনিক জীবনে শুধু প্রাইভেসির তথ্যই নয়, সরকারের প্রশাসন, সরকারের জরুরি কাজ সম্পাদন, গ্যাস-বিদ্যুৎ-পানি সরবরাহ, হাসপাতালের চিকিৎসা, ডায়াগনস্টিক, ব্যাংকিং সিস্টেম, সংবাদমাধ্যম, রেল-বিমানের বুকিং- ধীরে ধীরে সবকিছুই তথ্যপ্রযুক্তির ওপর নির্ভরশীল হচ্ছে।

আর তাই তথ্যপ্রযুক্তির এই অবকাঠামোকে নিরাপদ করতে একটু আগে বলা প্রাইভেসি প্রোটেকশন আইনের বাইরে করা হচ্ছে সাইবার সিকিউরিটি আইন। এ ধরনের আইনে সরকারি (এবং কিছু বেসরকারি, যেমন আর্থিক প্রতিষ্ঠান, হাসপাতাল ইত্যাদি) গুরুত্বপূর্ণ সেবা-প্রতিষ্ঠানগুলোকে সুস্পষ্টভাবে চিহ্নিত করে তথ্যপ্রযুক্তির সিস্টেমকে সুরক্ষা দেয়ার জন্য প্রয়োজনীয় টেকনিক্যাল ব্যবস্থা রাখার নির্দেশ, জাতীয় সরকার আর স্থানীয় সরকারের মধ্যে দায়বণ্টন, নিয়মাবলির ব্যত্যয় ধরা পড়লে নিজ থেকে নির্ধারিত সময়ের মধ্যে রিপোর্ট দেয়া ইত্যাদি নিয়ে বিধান করা হচ্ছে।

জাপানে আবার আইন করে সরকারকে রিপোর্ট দেয়া সব সাইবার ইনসিডেন্ট মাসে একবার জনসমক্ষে প্রকাশ করারও বিধান আছে।

বাংলাদেশের ডিজিটাল সিকিউরিটি আইনটিতে মোটা অর্থে উপরের ‘শিষ্টের পালন’জনিত বিধানগুলো অনুপস্থিত। বাংলাদেশ ব্যাংকে হ্যাকিংয়ের ঘটনার কথা মনে করুন। কেন্দ্রীয় ব্যাংকের এই ডিজিটাল সিকিউরিটির দুর্বলতা আসলেই সমাধান করা হয়েছে কিনা, সে ব্যাপারে আমাদের কোনো স্বচ্ছ ধারণা নেই। আবারও যদি হ্যাকিং হয়ে থাকে, তাহলে আমরা কেন, সরকারও হয়তো জানতে পারবে না- ভবিষ্যতের কোনো অডিটে যদি এটি ধরা না পড়ে। আর আমাদের অন্য ব্যাংকগুলোর কী অবস্থা?

সুইফট ও আরটিজিএস সিস্টেম তো তাদেরও ব্যবহার করার কথা। কীভাবে বুঝব তাদের মধ্যেও একই দুর্বলতা নেই, যেটি বাংলাদেশ ব্যাংকের ডিজিটাল সিস্টেমে ছিল? এসব গুরুত্বপূর্ণ তথ্য ও তথ্যব্যবস্থার ডিজিটাল নিরাপত্তাকে নিশ্চিত করার আইনি বিধান ও বাধ্যবাধকতা ডিজিটাল সিকিউরিটি আইন ২০১৮-তে নেই। এবং সেখানেই আমার সবচেয়ে বড় উদ্বেগ।

শিষ্টের পালনের পাশাপাশি দুষ্টের দমন নিয়েও বিধান দরকার। কিন্তু সেটি করতে গিয়েও সরকার লক্ষ্যচ্যুত হয়েছে বলে ভাবার অবকাশ আছে। প্রথমত, এ আইনের বেশিরভাগ ধারাতেই যেসব অপরাধের কথা বলা হয়েছে, সেগুলো প্রচলিত ফৌজদারি আইনেই থাকার কথা।

যেমন মানহানি, জাতিবিদ্বেষ বা ধর্ম-বিদ্বেষ ছড়ানো, উদ্দেশ্যমূলকভাবে মিথ্যা সংবাদ প্রচার ইত্যাদি। কেউ উপাসনালয়ের মাইক ব্যবহার করে বা দেয়ালে চিকা মেরে কিংবা পোস্টার-লিফলেট ছাপিয়ে মহল্লার মানুষকে উসকানি দিলে, আবার কেউ ফেসবুকে পোস্ট দিয়ে মানুষকে উসকে দিলে উভয় ক্ষেত্রে অপরাধ একটিই- উসকানি।

ডিজিটাল মাধ্যমটিকে আইনের আওতায় আনতে চাইলে সরকার বিদ্যমান পেনাল কোডে ‘ডিজিটাল মাধ্যম’ শব্দ দুটি ঢুকিয়ে দিতে পারে। জাপানে সেভাবেই এ সমস্যার সমাধান করা হয়েছে। ডিজিটাল নিরাপত্তার ধারণাটির সঙ্গে এ উসকানির অপরাধের কোনো মিল নেই।

হ্যাঁ, কিছু ক্ষেত্রে নতুন নতুন সাইবার ক্রাইম হচ্ছে, যেগুলো বিদ্যমান আইনে শব্দ-সংযোগ দিয়ে সমাধান করা সম্ভব নয়। যেমন কম্পিউটার ম্যালওয়ার তৈরি। জাপান কম্পিউটার একসেস কন্ট্রোলবিষয়ক আইন বানিয়ে এসব সাইবার ক্রাইমের নতুন নতুন অপরাধগুলো শনাক্ত করছে, যেগুলো তথ্য সুরক্ষার সঙ্গে সম্পর্কিত। ইংল্যান্ড করেছে কম্পিউটার মিসইউজ আইন।

বাংলাদেশের ডিজিটাল সিকিউরিটি আইনে কিছু কিছু পেনাল কোড আছে, যেগুলো আমি মনে করি অন্য ফৌজদারি আইনে শব্দ-সংযোগের মাধ্যমে সমাধান করা অসম্ভব। এমন কিছু ধারার ক্ষেত্রে আমি সরকারের সঙ্গে একমত (যেমন- কম্পিউটারে অনধিকার একসেস, ম্যালওয়ার ইত্যাদি)। আবার কিছু অপরাধ এখনও এই আইনে আসেনি, কিন্তু সাইবার ক্রাইম হিসেবে খুবই পরিচিত (ফিশিংমেইল, অথরাইজড প্রবেশের পর আনঅথরাইজড কর্মসম্পাদন ইত্যাদি)।

সরকারের প্রতি অবিচার করা হবে, যদি আমি ৩২ ধারাটির ব্যাপারে আমার ব্যক্তিগত সমর্থন না দিই। বাংলাদেশ সরকারের হোমপেজে ‘অফিসিয়াল সিক্রেট অ্যাক্ট’ পড়ে যদ্দূর বুঝলাম এটি ডিফেন্সের মধ্যেই সীমাবদ্ধ।

এই আইন থাকার পরও আমাদের সাংবাদিকরা অনুসন্ধানী প্রতিবেদন করতে পেরেছেন। সুতরাং ৩২ ধারায় নতুন করে উল্লেখের কারণে এটি মিডিয়ার ওপর দায়িত্ব পালনে ‘নতুনভাবে’ ব্যাঘাত সৃষ্টি করবে ভাবা অযৌক্তিক।

সেই সঙ্গে এটিও যোগ করি, ডিজিটাল সিকিউরিটি আইনে এটি উল্লেখ না করে সরাসরি অফিসিয়াল সিক্রেট আইনটিতে শব্দ-সংযোগের মাধ্যমে করলে অহেতুক বিতর্ক সৃষ্টি হতো না।

আরেকটি কথা না বললে সরকারের লক্ষ্য ও দৃষ্টিভঙ্গির ব্যাপারে এতক্ষণ যে কথা বললাম, তা অসম্পূর্ণ থাকবে। সরকারপ্রধান নিজেই অভিযোগ করেছেন, মিডিয়া ১/১১-র জরুরি অবস্থাকালীন তথ্যের ভেরিফিকেশন না করে তৎকালীন সরকারের কিছু তৈরি করা নিউজ ছাপিয়ে বা মিডিয়ায় এনে জনগণকে বিভ্রান্ত করেছিল, এরকম ভুল তথ্য প্রচারের মতো অপরাধ দমনের কঠিন আইন না থাকলে এর সমাধান কীভাবে সম্ভব (আমরা তথ্যপ্রযুক্তির ক্ষেত্রে এটিকে ডিটারেন্স অবজেক্টিভ বলি)।

প্রশ্ন হল, ডিজিটাল সিকিউরিটি আইন ২০১৮-তে এই ডিটারেন্স অবজেক্টিভ অর্জন করা কি সম্ভব? এ আইন বলবৎ হওয়ার পরও আমরা দেখছি, ব্যক্তিগত আলাপের রেকর্ড মিডিয়ায় প্রকাশ পাচ্ছে। যারা এ ধরনের তথ্যকে সোর্সিং করছে, সেটিকে ব্যাহত করার বিধান সরকার রাখেনি বলেই ডিজিটাল সিকিউরিটি আইন এখানে কার্যকারিতা হারিয়েছে।

তাহলে সংক্ষেপে এর সমাধান কী? এক. ডিজিটাল নিরাপত্তা শব্দটিকে সংজ্ঞায়িত করে এ নিরাপত্তাকে নিশ্চিতকরণের যে লক্ষ্য আইনটিতে উল্লেখ আছে, সে লক্ষ্য অর্জন করার প্রয়োজনীয় বিধানগুলো উপরে বর্ণিত উপায়ে যুক্ত করা। দুই. যেসব ফৌজদারি অপরাধ আগেই অন্য কোনো আইন বা পেনাল কোড দিয়ে সংজ্ঞায়িত হয়ে আছে, সেগুলো এই ডিজিটাল সিকিউরিটি আইন থেকে সরিয়ে ফেলে অন্য আইনটিতে ‘ডিজিটাল উপায়’ শব্দ সংযুক্ত করে সামঞ্জস্য আনা। তিন. ডিজিটাল নিরাপত্তার ধারণার সঙ্গে সংশ্লিষ্ট সাইবার ক্রাইমগুলোকে রেখে দেয়া, পারলে বাংলাদেশ ব্যাংকের ঘটনা থেকে শিক্ষা নিয়ে আরও কিছু যোগ করা।

আশা করি, এ উপায়ে সরকারের উদ্বেগের নিরসন যেমন সহজ হবে, তেমনি সাধারণ মানুষ ও মিডিয়াকর্মীদের কড়াই থেকে উনুনে পড়ার আশঙ্কাও দূর হবে এবং সেই সঙ্গে ডিজিটাল বাংলাদেশ গড়ে মানুষের জীবনকে আরও উন্নত করার প্রধানমন্ত্রীর স্বপ্ন ও প্রচেষ্টাও সফল হবে। ডিজিটাল সিকিউরিটি এক অর্থে আমার-আপনার ভবিষ্যৎ সামাজিক-অর্থনৈতিক জীবনের সিকিউরিটি।

সায়নুল হোসেন : গ্লোবাল ডিরেক্টর, এটিঅ্যান্ডটি, লন্ডন

hossain-sainul@yahoo.co.jp