Remote work data security & risk posture calculator
Score your remote workforce across access, WiFi, sign-in and devices, and get a remediation plan ordered by impact.
Below the baseline most insurers and auditors expect for remote access to company data.
- 1Replace network-level VPN access with zero trust network access (ZTNA) and per-application policies. (+18 points)
- 2Ask staff to switch home routers to WPA3 (or WPA2 with a long password) and use 802.1X with EAP-TLS in offices and hubs. (+15 points)
- 3Enrol every device in MDM with EDR, and block sign-in from devices without disk encryption (BitLocker or FileVault) or current patches. (+14 points)
- 4Move from SMS codes and push approvals to FIDO2 passkeys or certificate-based sign-in. (+9 points)
- 5Automate leaver offboarding in Entra ID or Okta so network and SaaS access is revoked at once.
- 6Run regular phishing simulations and keep an incident contact route that works outside the VPN.
Purple connects to Microsoft Entra ID, Okta and Google Workspace for 802.1X certificate provisioning, BYOD onboarding and per-user network access, with cloud RADIUS instead of on-premises servers.
হাইব্রিড এবং রিমোট কাজের দিকে রূপান্তর ঐতিহ্যগত কর্পোরেট নেটওয়ার্কের সীমানাকে স্থায়ীভাবে বিলুপ্ত করেছে। কর্মচারীরা যখন হোম অফিস, সহ-কার্যকরী স্থান এবং পাবলিক ভেন্যু থেকে কাজ করেন, তখন কোম্পানির গুরুত্বপূর্ণ ডেটা IT এবং নিরাপত্তা টিমের প্রত্যক্ষ নিয়ন্ত্রণের বাইরের নেটওয়ার্কের মধ্য দিয়ে যাতায়াত করে। এই বিতরণ করা মডেলটি জটিল দুর্বলতা তৈরি করে: এনক্রিপ্ট না করা হোম নেটওয়ার্ক, অননুমোদিত পাবলিক হটস্পট, অরক্ষিত মোবাইল ডিভাইস এবং অত্যাধুনিক ক্রেডেনশিয়াল-সংগ্রহকারী আক্রমণ।
UK National Cyber Security Centre (NCSC) এবং NIST SP 800-63B-এর সাইবার নিরাপত্তা মানদণ্ড অনুসারে, একটি রিমোট কর্মীবাহিনীকে সুরক্ষিত করার জন্য স্ট্যাটিক পেরিমিটার ডিফেন্সের বাইরে গিয়ে একটি জিরো-ট্রাস্ট মডেলের দিকে এগিয়ে যাওয়া প্রয়োজন। একটি জিরো-ট্রাস্ট আর্কিটেকচারে, কোনো ব্যবহারকারী, ডিভাইস বা নেটওয়ার্ককে পরোক্ষভাবে বিশ্বাস করা হয় না, তা অফিসের ভিতরেই হোক বা পাবলিক ইন্টারনেট সংযোগের মাধ্যমেই পরিচালিত হোক না কেন।
রিমোট এবং হাইব্রিড কাজের পরিবেশে কর্পোরেট ডেটা সুরক্ষিত রাখার জন্য এখানে ছয়টি এন্টারপ্রাইজ সেফগার্ড দেওয়া হলো।
১. লিগ্যাসি পেরিমিটার VPN থেকে Zero Trust Network Access (ZTNA)-এ স্থানান্তর করুন
কয়েক দশক ধরে, এন্টারপ্রাইজ রিমোট কানেক্টিভিটি সম্পূর্ণ-টানেল ভার্চুয়াল প্রাইভেট নেটওয়ার্ক (VPN)-এর উপর নির্ভরশীল ছিল। যদিও VPN ক্লায়েন্ট ডিভাইস এবং কর্পোরেট গেটওয়ের মধ্যে ট্রানজিট করা ডেটা এনক্রিপ্ট করে, তবে এটি একটি বিপজ্জনক আর্কিটেকচারাল ত্রুটি তৈরি করে: একবার অথেন্টিকেটেড হয়ে গেলে, রিমোট ক্লায়েন্টকে সম্পূর্ণ অভ্যন্তরীণ সাবনেটে ব্যাপক ব্রডকাস্ট অ্যাক্সেস দেওয়া হয়।
যদি কোনো আক্রমণকারী একটি একক রিমোট ল্যাপটপ হ্যাক করে বা VPN ক্রেডেনশিয়াল চুরি করে, তবে তারা অভ্যন্তরীণ ডেটাবেস, ফাইল শেয়ার এবং প্রশাসনিক ড্যাশবোর্ড জুড়ে সহজেই প্রবেশ করতে পারে। Zero Trust Network Access (ZTNA) ফ্ল্যাট নেটওয়ার্ক সীমানাকে মাইক্রো-সেগমেন্টেড, অ্যাপ্লিকেশন-নির্দিষ্ট সংযোগ দ্বারা প্রতিস্থাপনের মাধ্যমে এই ঝুঁকি দূর করে:
- ন্যূনতম-সুবিধাপ্রাপ্ত অ্যাপ্লিকেশন অ্যাক্সেস: রিমোট কর্মীরা মূল নেটওয়ার্ক টপোলজির কোনো দৃশ্যমানতা না পেয়েই শুধুমাত্র অনুমোদিত অ্যাপ্লিকেশনগুলিতে (যেমন CRM বা ERP প্ল্যাটফর্ম) সরাসরি সংযোগ করতে পারেন।
- ক্রমাগত কনটেক্সট-অ্যাওয়ার মূল্যায়ন: ZTNA গেটওয়েগুলি সক্রিয় সেশন চলাকালীন এবং তার আগে ক্রমাগত ব্যবহারকারীর আইডেন্টিটি, ডিভাইসের কমপ্লায়েন্স, ভৌগোলিক অবস্থান এবং থ্রেট টেলিমেট্রি মূল্যায়ন করে।
- লুকানো ইনফ্রাস্ট্রাকচার: অভ্যন্তরীণ পরিষেবাগুলি শুধুমাত্র আউটবাউন্ড রিভার্স টানেলের পিছনে লুকানো থাকে, যা বাইরের আক্রমণকারীদের দ্বারা পোর্ট স্ক্যানিং এবং ইন্টারনেট-ব্যাপী অনুসন্ধান প্রতিরোধ করে।
২. ফিশিং-প্রতিরোধী মাল্টি-ফ্যাক্টর অথেনটিকেশন (FIDO2 এবং PKI সার্টিফিকেট) বাধ্যতামূলক করুন
রিমোট এন্টারপ্রাইজ লঙ্ঘনের ক্ষেত্রে আপোষকৃত পরিচয়পত্রই প্রধান প্রাথমিক অ্যাক্সেস ভেক্টর হিসেবে রয়ে গেছে। শুধুমাত্র স্ট্যাটিক পাসওয়ার্ডের উপর নির্ভর করা অগ্রহণযোগ্য ঝুঁকি তৈরি করে। তবে, সমস্ত মাল্টি-ফ্যাক্টর অথেনটিকেশন (MFA) মেকানিজম সমান সুরক্ষা প্রদান করে না।
লিগ্যাসি MFA পদ্ধতি - বিশেষ করে SMS টেক্সট কোড এবং স্বয়ংক্রিয় ভয়েস কলগুলি - SIM সোয়াপিং, SS7 টেলিকমিউনিকেশন ইন্টারসেপশন এবং অ্যাডভারসারি-ইন-দ্য-মিডল (AiTM) প্রক্সি ফিশিং সহ পরিচিত দুর্বলতার কারণে NIST SP 800-63B নির্দেশিকা দ্বারা স্পষ্টভাবে অবমূল্যায়িত করা হয়েছে। আধুনিক সংস্থাগুলিকে অবশ্যই সমস্ত রিমোট অ্যাক্সেস পয়েন্ট জুড়ে ফিশিং-প্রতিরোধী প্রমাণীকরণ প্রয়োগ করতে হবে:
- FIDO2 / WebAuthn পাসকি: ক্রিপ্টোগ্রাফিকভাবে অথেন্টিকেশন ক্রেডেনশিয়ালগুলিকে বৈধ ডোমেন অরিজিনের সাথে সংযুক্ত করে, যার ফলে ক্রেডেনশিয়াল-হার্ভেস্টিং ফিশিং সাইটগুলি সম্পূর্ণ নিষ্ক্রিয় হয়ে পড়ে।
- 802.1X EAP-TLS ক্লায়েন্ট সার্টিফিকেট: পাবলিক কি ইনফ্রাস্ট্রাকচার (PKI) এর মাধ্যমে পরিচালিত ডিজিটাল ডিভাইস সার্টিফিকেট ইস্যু করে যাতে এটি নিশ্চিত করা যায় যে শুধুমাত্র আগে থেকে অনুমোদিত কর্পোরেট এন্ডপয়েন্টগুলিই নেটওয়ার্ক হ্যান্ডশেক শুরু করতে পারে।
- আইডেন্টিটি প্রভাইডার সিঙ্ক্রোনাইজেশন: অথেন্টিকেশন ফ্লো সরাসরি এন্টারপ্রাইজ আইডেন্টিটি ডিরেক্টরি যেমন Microsoft Entra ID, Okta, বা Google Workspace-এর সাথে সংযুক্ত করে।
৩. WPA3-Enterprise এবং ক্লাউড RADIUS-এর সাহায্যে ওয়্যারলেস সংযোগ সুরক্ষিত করুন
রিমোট কর্মচারীরা নিয়মিতভাবে আবাসিক ব্রডব্যান্ড রাউটার, পাবলিক এয়ারপোর্ট নেটওয়ার্ক এবং আতিথেয়তা হটস্পটের সাথে সংযোগ স্থাপন করেন। সাধারণ হোম এবং কফি শপের নেটওয়ার্কগুলি গুরুতর নিরাপত্তা ঘাটতি তৈরি করে, যার মধ্যে রয়েছে ডিফল্ট রাউটার পাসওয়ার্ড, শত শত অতিথির মধ্যে শেয়ার করা পুরানো WPA2-PSK পাসফ্রেজ এবং ইভিল টুইন অ্যাক্সেস পয়েন্ট স্পুফিংয়ের ঝুঁকি।
ওয়্যারলেস ট্রাফিকের উপর ইভসড্রপিং এবং ম্যান-ইন-দ্য-মিডল আক্রমণ প্রতিরোধ করতে, IT লিডারদের enterprise WiFi security এবং ক্লাউড RADIUS প্রোটোকল প্রয়োগ করা উচিত:
- WPA3-Enterprise এনক্রিপশন: প্রতিটি সংযুক্ত ক্লায়েন্টের জন্য অনন্য, সেশন-নির্দিষ্ট এনক্রিপশন কী নিশ্চিত করতে ১৯২-বিট ক্রিপ্টোগ্রাফিক স্যুট এবং Galois/Counter Mode Protocol (GCMP-256) ব্যবহার করে।
- ক্লাউড RADIUS ওভার TLS (RadSec): এনক্রিপ্ট করা TLS টানেল (RFC 6614)-এর মাধ্যমে প্রমাণীকরণ ট্রাফিক সুরক্ষিত করে, যা ঝুঁকিপূর্ণ অন-প্রেমিসেস RADIUS সার্ভার রক্ষণাবেক্ষণ না করেই দূরবর্তী ব্রাঞ্চ অফিস এবং হাইব্রিড কর্মীদের কেন্দ্রীয় ডিরেক্টরি পরিষেবার বিরুদ্ধে প্রমাণীকরণের সুবিধা দেয়।
- স্বয়ংক্রিয় নেটওয়ার্ক প্রোফাইল প্রোভিশনিং: Mobile Device Management (MDM) এর মাধ্যমে কর্মীদের ডিভাইসে আগে থেকে কনফিগার করা ওয়্যারলেস নিরাপত্তা প্রোফাইল সরবরাহ করে, যা ম্যানুয়াল পাসওয়ার্ড এন্ট্রি দূর করে এবং ক্ষতিকারক SSID সমূহের সাথে সংযোগ প্রতিরোধ করে।
৪. সেন্ট্রালাইজড এন্ডপয়েন্ট পোসচার চেকিং এবং ফুল-ডিস্ক এনক্রিপশন প্রয়োগ করুন
একটি সুরক্ষিত নেটওয়ার্ক টানেল খুব কমই সুরক্ষা দিতে পারে যদি এটির সাথে সংযুক্ত এন্ডপয়েন্টটি কিলগার বা র্যানসমওয়্যার দ্বারা সংক্রমিত হয়। রিমোট কাজের মডেলে, কোম্পানিগুলোর রিসোর্স অ্যাক্সেসকারী সমস্ত ফিজিক্যাল এন্ডপয়েন্টের উপর কঠোর দৃশ্যমানতা এবং নিয়ন্ত্রণ বজায় রাখা আবশ্যক।
এন্টারপ্রাইজ IT টিমগুলির ইউনিফাইড এন্ডপয়েন্ট ম্যানেজমেন্ট (UEM) এবং এন্ডপয়েন্ট ডিটেকশন অ্যান্ড রেসপন্স (EDR) প্ল্যাটফর্মগুলি প্রয়োগ করা উচিত:
- বাধ্যতামূলক ফুল-ডিস্ক এনক্রিপশন: Windows-এ BitLocker এবং macOS-এ FileVault প্রয়োগ করুন যাতে হারিয়ে যাওয়া বা চুরি হওয়া ল্যাপটপ থেকে শারীরিকভাবে ডেটা বের করা না যায়।
- ক্রমাগত পোস্টার ভ্যালিডেশন: কর্পোরেট অ্যাপ্লিকেশনগুলিতে অ্যাক্সেস দেওয়ার আগে রিমোট ডিভাইসগুলি সর্বশেষ অপারেটিং সিস্টেম সিকিউরিটি প্যাচ, সক্রিয় ফায়ারওয়াল এবং সার্টিফাইড EDR এজেন্ট চালাচ্ছে কিনা তা স্বয়ংক্রিয়ভাবে যাচাই করুন।
- রিমোট ওয়াইপ এবং আইসোলেশন ক্ষমতা: সিকিউরিটি অ্যাডমিনিস্ট্রেটরদের হারিয়ে যাওয়া, চুরি হওয়া বা আপোসকৃত ডিভাইসে কর্পোরেট কন্টেইনারগুলি অবিলম্বে লক, আইসোলেট বা দূরবর্তীভাবে ওয়াইপ করার সুবিধা দিন।
৫. Data Loss Prevention (DLP) এবং Cloud Access Security Brokers (CASB) স্থাপন করুন
রিমোট কাজের কারণে অননুমোদিত ব্যক্তিগত ক্লাউড পরিষেবা, অনিয়ন্ত্রিত USB ড্রাইভ এবং অননুমোদিত ফাইল শেয়ারিং (Shadow IT)-এর মাধ্যমে ডেটা ফাঁসের ঝুঁকি বৃদ্ধি পায়। সংবেদনশীল বুদ্ধিবৃত্তিক সম্পত্তি এবং গ্রাহকের ব্যক্তিগত শনাক্তকরণযোগ্য তথ্য (PII) সুরক্ষিত রাখতে সক্রিয় ডেটা সুরক্ষা পলিসির প্রয়োজন।
Cloud Access Security Brokers (CASB) এবং Data Loss Prevention (DLP) সমাধানগুলো প্রয়োজনীয় দৃশ্যমানতা প্রদান করে:
- গ্র্যানুলার আপলোড/ডাউনলোড সীমাবদ্ধতা: রিমোট কর্মীদের সংবেদনশীল ডেটাবেস এক্সপোর্ট স্থানীয় ব্যক্তিগত ড্রাইভে ডাউনলোড করা বা কোম্পানির নথি ব্যক্তিগত ক্লাউড স্টোরেজে আপলোড করা থেকে বিরত রাখুন।
- প্রাসঙ্গিক ক্লিপবোর্ড এবং স্ক্রিনশট নিয়ন্ত্রণ: ভার্চুয়াল ডেস্কটপ পরিবেশের মধ্যে অত্যন্ত নিয়ন্ত্রিত আর্থিক এবং চিকিৎসা ডেটার জন্য ক্লিপবোর্ড কপি, স্ক্রিন ক্যাপচার এবং প্রিন্টিং সীমাবদ্ধ করুন।
- স্বয়ংক্রিয় ডেটা শ্রেণীবদ্ধকরণ: GDPR, HIPAA, এবং ISO 27001 ডেটা সুরক্ষা মানগুলির সাথে সম্মতি নিশ্চিত করতে ট্রানজিটে থাকা ফাইলগুলি স্বয়ংক্রিয়ভাবে স্ক্যান এবং শ্রেণীবদ্ধ করুন।
৬. ব্যবহারকারীর লাইফসাইকেল প্রভিশনিং এবং তাৎক্ষণিক অ্যাক্সেস প্রত্যাহার স্বয়ংক্রিয় করুন
রিমোট কর্মীদের ক্ষেত্রে সবচেয়ে উপেক্ষিত নিরাপত্তা ঝুঁকির মধ্যে একটি হলো কর্মী চলে যাওয়ার পর বা তার ভূমিকা পরিবর্তনের পর অ্যাক্সেসের পরিচয়পত্র বাতিল করতে বিলম্ব হওয়া। শিল্প গবেষণা দেখায় যে ২০%-এরও বেশি প্রাক্তন কর্মী কোনো প্রতিষ্ঠান ছেড়ে যাওয়ার পরেও অন্তত একটি কর্পোরেট অ্যাপ্লিকেশনে অ্যাক্সেস বজায় রাখেন।
অনাথ অ্যাকাউন্ট এবং পুরানো অনুমতিগুলো দূর করতে প্রতিষ্ঠানগুলোকে অবশ্যই স্বয়ংক্রিয় আইডেন্টিটি লাইফসাইকেল পাইপলাইন স্থাপন করতে হবে:
- SCIM ডিরেক্টরি অটোমেশন: রিয়েল টাইমে আইডেন্টিটি প্রভাইডার এবং SaaS প্ল্যাটফর্মের সাথে এইচআর ম্যানেজমেন্ট সিস্টেম সরাসরি সিঙ্ক্রোনাইজ করতে সিস্টেম ফর ক্রস-ডোমেন আইডেন্টিটি ম্যানেজমেন্ট (SCIM) প্রয়োগ করুন।
- তাত্ক্ষণিক সিঙ্গেল-ক্লিক ডি-প্রোভিশনিং: কোনো কর্মচারী চলে গেলে, তার সেন্ট্রাল আইডেন্টিটি নিষ্ক্রিয় করার সাথে সাথে সমস্ত সক্রিয় SSO সেশন বাতিল হয়, 802.1X সার্টিফিকেট বাতিল হয়, VPN/ZTNA টানেল বন্ধ হয় এবং একটি স্বয়ংক্রিয় ডিভাইস ওয়াইপ চালু হয়।
- নিয়মিত অ্যাক্সেস পর্যালোচনা: কর্মীরা যেন শুধুমাত্র তাদের বর্তমান ভূমিকার জন্য প্রয়োজনীয় ন্যূনতম সুবিধাপ্রাপ্ত অ্যাক্সেস পান তা নিশ্চিত করতে ত্রৈমাসিক পারমিশন অডিট শিডিউল করুন।
লিগ্যাসি রিমোট সিকিউরিটি বনাম জিরো-ট্রাস্ট এন্টারপ্রাইজ আর্কিটেকচার
একটি স্থিতিস্থাপক বিতরণকৃত নিরাপত্তা ব্যবস্থা গড়ে তোলা
রিমোট কাজ সুরক্ষিত করা কোনো এককালীন IT চেকলিস্ট নয় - এটি একটি অবিচ্ছিন্ন, পরিচয়-কেন্দ্রিক নিরাপত্তা ব্যবস্থা। Zero Trust Network Access, ফিশিং-প্রতিরোধী প্রমাণীকরণ, কেন্দ্রীভূত এন্ডপয়েন্ট ম্যানেজমেন্ট এবং WPA3-Enterprise ওয়্যারলেস এনক্রিপশনের সমন্বয় করে, সংস্থাগুলি তাদের সংবেদনশীল সম্পদ রক্ষা করে এবং একই সাথে বিতরণ করা টিমকে যেকোনো স্থান থেকে দক্ষতার সাথে কাজ করার ক্ষমতা প্রদান করে।
ক্লাউড আইডেন্টিটি ম্যানেজমেন্ট এবং স্বয়ংক্রিয় 802.1X নেটওয়ার্ক অ্যাক্সেস কীভাবে হাইব্রিড প্রতিষ্ঠানগুলোকে সুরক্ষিত রাখে তা জানতে Purple-এর Enterprise WiFi Security Guide দেখুন।
