कुडनकुलम परमाणु ऊर्जा संयंत्र डेटा लीक: साइबर सुरक्षा और महत्वपूर्ण बुनियादी ढांचा

विषय: आंतरिक सुरक्षा एवं विज्ञान-प्रौद्योगिकी (सामान्य अध्ययन प्रश्न पत्र- III)

हाल ही में एक रैनसमवेयर समूह (वर्ल्ड लीक्स) द्वारा कुडनकुलम परमाणु ऊर्जा संयंत्र (KKNPP) से जुड़ी अत्यधिक संवेदनशील फाइलों के लीक होने की खबर सामने आई है। किसी ठेकेदार के सर्वर से हुए इस डेटा लीक ने भारत के ‘महत्वपूर्ण सूचना बुनियादी ढांचे’ (Critical Information Infrastructure – CII) की साइबर सुरक्षा चिंताओं को एक बार फिर से उजागर कर दिया है।

प्रमुख बिंदु

• डेटा लीक की प्रकृति और स्रोत:
  • लीक हुई लगभग 19,000 फाइलें संयंत्र के नियंत्रण (Control), शीतलन (Cooling), वेंटिलेशन सिस्टम के इंजीनियरिंग ब्लूप्रिंट और वेंडरों/आपूर्तिकर्ताओं की सूची से संबंधित हैं।
  • यह लीक KKNPP के ठेकेदार (रिलायंस ग्रुप) से जुड़े और एक थर्ड-पार्टी प्रदाता (Yotta) द्वारा होस्ट किए गए सर्वर से हुआ है।
• NPCIL का स्पष्टीकरण (Nuclear Safety vs. Conventional Plant):
  • न्यूक्लियर पावर कॉरपोरेशन ऑफ इंडिया लिमिटेड (NPCIL) ने स्पष्ट किया है कि लीक हुई जानकारी संयंत्र की ‘पारंपरिक/सामान्य सेवा सुविधाओं’ (Conventional balance of plant common service facilities) से संबंधित है।
  • NPCIL के अनुसार, यह डेटा किसी भी तरह से परमाणु सुरक्षा या रिएक्टर कोर से जुड़ी ‘परमाणु सुरक्षा प्रणालियों’ (Nuclear safety systems) से संबंधित नहीं है।
• सुरक्षा जोखिम और निहितार्थ (Security Implications):
  • यद्यपि मुख्य परमाणु प्रणाली सुरक्षित बताई गई है, फिर भी इस तरह के ब्लूप्रिंट लीक होने से किसी विरोधी (Adversary) को संयंत्र के सपोर्ट सिस्टम का खाका (Map) तैयार करने और सिस्टम की कमजोरियों की पहचान करने में मदद मिल सकती है।
  • यह घटना ‘सप्लाई चेन साइबर अटैक’ (Supply Chain Cyber Attack) के बढ़ते खतरे को दर्शाती है, जहां मुख्य नेटवर्क के बजाय थर्ड-पार्टी ठेकेदारों के कम सुरक्षित नेटवर्क को निशाना बनाया जाता है।
• पूर्व की साइबर घटनाएं और जांच:
  • वर्तमान मामले की जांच NPCIL और इंडियन कंप्यूटर इमरजेंसी रिस्पांस टीम (CERT-In) द्वारा की जा रही है।
  • इससे पहले वर्ष 2019 में भी KKNPP में एक बड़ा साइबर हमला हुआ था, जब एक उत्तर कोरियाई मालवेयर (Dtrack) ने इसके प्रशासनिक नेटवर्क को संक्रमित कर दिया था। तब भी NPCIL ने मुख्य परमाणु नियंत्रण प्रणाली के ‘स्टैंडअलोन/एयर-गैप्ड नेटवर्क’ (Air-gapped network) होने का दावा किया था, जिसे इंटरनेट से नहीं जोड़ा गया है।

महत्वपूर्ण सूचना बुनियादी ढांचे

• परिभाषा: सूचना प्रौद्योगिकी अधिनियम, 2000 (IT Act, 2000) की धारा 70 के अनुसार, CII का अर्थ उन कंप्यूटर संसाधनों, नेटवर्क या प्रणालियों से है, जिनके नष्ट होने या अक्षम होने से राष्ट्रीय सुरक्षा, अर्थव्यवस्था, सार्वजनिक स्वास्थ्य या सुरक्षा पर गंभीर (Debilitating) प्रभाव पड़ेगा।
• प्रमुख क्षेत्र: इसके अंतर्गत ऊर्जा (जैसे कुडनकुलम परमाणु संयंत्र, पावर ग्रिड), बैंकिंग और वित्त, दूरसंचार, परिवहन (रेलवे/उड्डयन), और रक्षा जैसे रणनीतिक क्षेत्र आते हैं।
• नोडल एजेंसी: भारत में CII की सुरक्षा सुनिश्चित करने की प्राथमिक जिम्मेदारी ‘राष्ट्रीय महत्वपूर्ण सूचना अवसंरचना संरक्षण केंद्र’ (NCIIPC) की है, जो राष्ट्रीय तकनीकी अनुसंधान संगठन (NTRO) के अधीन कार्य करता है।

संबंधित साइबर सुरक्षा चिंता

• सप्लाई चेन और थर्ड-पार्टी जोखिम: KKNPP मामले में मुख्य परमाणु नेटवर्क सुरक्षित था, लेकिन ठेकेदार (रिलायंस ग्रुप) और थर्ड-पार्टी सर्वर (Yotta) की कमजोरियों का फायदा उठाया गया। यह ‘सप्लाई चेन वल्नरेबिलिटी’ का एक ज्वलंत उदाहरण है।
• SCADA और ICS प्रणालियों की मैपिंग: परमाणु या ऊर्जा संयंत्र ‘सुपरवाइजरी कंट्रोल एंड डेटा एक्विजिशन’ (SCADA) और ‘औद्योगिक नियंत्रण प्रणालियों’ (ICS) पर निर्भर करते हैं। ब्लूप्रिंट या वेंडर लिस्ट के लीक होने से हैकर्स इन प्रणालियों का खाका (Mapping) तैयार कर सकते हैं और भविष्य में सटीक हमला (Targeted attack) कर सकते हैं।
• रैनसमवेयर और डार्क वेब खतरे: रैनसमवेयर समूहों (जैसे वर्ल्ड लीक्स) द्वारा महत्वपूर्ण डेटा की चोरी और उसे डार्क वेब पर बेचना ब्लैकमेलिंग और राष्ट्रीय सुरक्षा से समझौते का जोखिम पैदा करता है।
• राज्य-प्रायोजित साइबर युद्ध (State-Sponsored Cyber Warfare): महत्वपूर्ण बुनियादी ढांचे पर साइबर हमले अक्सर विरोधी राष्ट्रों (जैसे चीन या उत्तर कोरिया) द्वारा प्रायोजित होते हैं, जिनका उद्देश्य युद्ध के बिना ही किसी देश की ऊर्जा या आर्थिक रीढ़ को पंगु बनाना होता है (जैसे 2019 में KKNPP पर Dtrack मालवेयर हमला)।

किए गए उपाय

• संस्थागत ढांचा: NCIIPC के अलावा, देश में साइबर सुरक्षा घटनाओं (Cyber incidents) पर प्रतिक्रिया देने के लिए CERT-In (इंडियन कंप्यूटर इमरजेंसी रिस्पांस टीम) सक्रिय रूप से कार्य कर रही है।
• नेटवर्क एयर-गैपिंग (Air-Gapping): NPCIL ने यह सुनिश्चित किया है कि भारत के सभी परमाणु ऊर्जा संयंत्रों की मुख्य नियंत्रण प्रणालियां (Control Systems) ‘एयर-गैप्ड’ हैं। इसका अर्थ है कि वे किसी भी बाहरी नेटवर्क या इंटरनेट (Standalone network) से भौतिक और तार्किक रूप से नहीं जुड़े हैं।
• राष्ट्रीय साइबर सुरक्षा नीति, 2013: यह नीति साइबर खतरों से निपटने के लिए एक सुरक्षित और लचीला साइबर स्पेस बनाने की रूपरेखा प्रदान करती है।
• साइबर सुरक्षा अभ्यास और ऑडिट: सरकार द्वारा समय-समय पर ‘साइबर स्वच्छता केंद्र’ पहल और महत्वपूर्ण बुनियादी ढांचे के लिए अनिवार्य साइबर सुरक्षा ऑडिट (ISO 27001 मानकों के तहत) आयोजित किए जाते हैं।

भविष्य की रणनीति

• जीरो-ट्रस्ट आर्किटेक्चर (Zero-Trust Architecture): CII प्रणालियों को “कभी भरोसा मत करो, हमेशा सत्यापित करो” (Never trust, always verify) के सिद्धांत पर काम करना चाहिए। विशेष रूप से थर्ड-पार्टी ठेकेदारों के नेटवर्क एक्सेस के लिए इसे अनिवार्य रूप से लागू किया जाना चाहिए।
• सप्लाई चेन साइबर सुरक्षा ऑडिट: केवल मुख्य संयंत्र की नहीं, बल्कि उससे जुड़े सभी वेंडरों, ठेकेदारों और थर्ड-पार्टी सर्वरों की नियमित और कठोर साइबर सुरक्षा ऑडिट सुनिश्चित की जानी चाहिए। ठेकों (Contracts) में साइबर सुरक्षा अनुपालन को कानूनी रूप से बाध्यकारी बनाया जाना चाहिए।
• AI और उन्नत निगरानी का उपयोग: साइबर हमलों की वास्तविक समय (Real-time) में पहचान करने और प्रतिक्रिया समय को कम करने के लिए आर्टिफिशियल इंटेलिजेंस (AI) और मशीन लर्निंग (ML) आधारित ‘थ्रेट इंटेलिजेंस’ (Threat Intelligence) प्रणालियों को तैनात किया जाना चाहिए।
• राष्ट्रीय साइबर सुरक्षा रणनीति का अद्यतनीकरण: 2013 की नीति पुरानी हो चुकी है; इसलिए भारत को उभरती प्रौद्योगिकियों (जैसे क्वांटम कंप्यूटिंग और IoT) से निपटने के लिए जल्द ही एक ‘नई राष्ट्रीय साइबर सुरक्षा रणनीति’ जारी करनी चाहिए।
• क्षमता निर्माण (Capacity Building): साइबर सुरक्षा पेशेवरों के एक समर्पित कैडर का निर्माण करना और कर्मचारियों के बीच सोशल इंजीनियरिंग/फ़िशिंग (Phishing) हमलों के प्रति निरंतर जागरूकता अभियान चलाना आवश्यक है।

प्रारंभिक परीक्षा हेतु अभ्यास प्रश्न

प्रश्न: कुडनकुलम परमाणु ऊर्जा संयंत्र (KKNPP) और भारत के साइबर सुरक्षा ढांचे के संदर्भ में निम्नलिखित कथनों पर विचार कीजिए:

1. कुडनकुलम परमाणु ऊर्जा संयंत्र (KKNPP) रूस के तकनीकी सहयोग से विकसित किया गया है, जिसमें VVER (वाटर-वाटर एनर्जी रिएक्टर) तकनीक का उपयोग किया जाता है।
2. भारत में ‘महत्वपूर्ण सूचना बुनियादी ढांचे’ (Critical Information Infrastructure) की सुरक्षा की प्राथमिक जिम्मेदारी ‘इंडियन कंप्यूटर इमरजेंसी रिस्पांस टीम’ (CERT-In) की है।

उपर्युक्त कथनों में से कौन-सा/से सही है/हैं?

(a) केवल 1

(b) केवल 2

(c) 1 और 2 दोनों

(d) न तो 1 और न ही 2

उत्तर: (a) केवल 1

व्याख्या:

• कथन 1 सही है। KKNPP तमिलनाडु में स्थित है और यह रूसी VVER रिएक्टर तकनीक पर आधारित है।
• कथन 2 गलत है। भारत में ‘महत्वपूर्ण सूचना बुनियादी ढांचे’ (CII) की सुरक्षा के लिए राष्ट्रीय महत्वपूर्ण सूचना अवसंरचना संरक्षण केंद्र (NCIIPC) नोडल एजेंसी है, न कि CERT-In। CERT-In सामान्य साइबर सुरक्षा घटनाओं (Cyber security incidents) पर प्रतिक्रिया देने वाली राष्ट्रीय नोडल एजेंसी है।

मुख्य परीक्षा हेतु अभ्यास प्रश्न

प्रश्न: “परमाणु ऊर्जा संयंत्रों जैसे महत्वपूर्ण सूचना बुनियादी ढांचे (CII) पर साइबर हमले राष्ट्रीय सुरक्षा के लिए एक गंभीर और उभरता हुआ खतरा हैं।” कुडनकुलम परमाणु ऊर्जा संयंत्र (KKNPP) के हालिया डेटा लीक मामले के आलोक में, भारत के महत्वपूर्ण बुनियादी ढांचे की साइबर सुरक्षा के समक्ष मौजूद चुनौतियों का विश्लेषण कीजिए और आवश्यक उपाय सुझाइए। (250 शब्द)

दृष्टिकोण (Approach for Mains Answer):

• प्रस्तावना (Introduction): KKNPP डेटा लीक की हालिया घटना (रैनसमवेयर/थर्ड-पार्टी सर्वर ब्रीच) का संक्षिप्त उल्लेख करते हुए स्पष्ट करें कि महत्वपूर्ण सूचना बुनियादी ढांचा (CII) क्या है।
• मुख्य भाग 1 (चुनौतियां और खतरे):
  • थर्ड-पार्टी और सप्लाई चेन कमजोरियां (जैसे ठेकेदारों के सर्वर का हैक होना)।
  • सिस्टम ब्लूप्रिंट और सपोर्ट आर्किटेक्चर की जानकारी लीक होने से भविष्य के हमलों (जैसे- सबोटाज या ग्रिड फेलियर) का खतरा।
  • राज्य-प्रायोजित साइबर हमले (State-sponsored cyber warfare) और एयर-गैप्ड (Air-gapped) नेटवर्क को बायपास करने की नई तकनीकें।
• मुख्य भाग 2 (सुझाव और समाधान):
  • ठेकेदारों और थर्ड-पार्टी वेंडरों के लिए सख्त साइबर सुरक्षा मानक और ऑडिट अनिवार्य करना।
  • NCIIPC (National Critical Information Infrastructure Protection Centre) की क्षमता निर्माण और संस्थागत समन्वय (CERT-In के साथ)।
  • क्रिटिकल इंफ्रास्ट्रक्चर के लिए जीरो-ट्रस्ट आर्किटेक्चर (Zero-Trust Architecture) अपनाना।
• निष्कर्ष (Conclusion): साइबर सुरक्षा को अब केवल आईटी (IT) का मुद्दा न मानकर राष्ट्रीय सुरक्षा का मुख्य अंग मानने की आवश्यकता पर जोर देते हुए उत्तर समाप्त करें।