স্টাফ WiFi কীভাবে আপনাকে ISO/IEC 27001 মেনে চলতে সাহায্য করে: আপনার ওয়্যারলেস নেটওয়ার্কে Annex A কন্ট্রোলস ম্যাপিং

IEEE 802.1X স্ট্যান্ডার্ডের উপর ভিত্তি করে তৈরি এবং Microsoft Entra ID-এর সাথে ইন্টিগ্রেটেড একটি স্টাফ WiFi নেটওয়ার্ক 12টি ISO/IEC 27001:2022 Annex A কন্ট্রোলের জন্য অডিট প্রমাণ তৈরি করে। এর মধ্যে রয়েছে A.5.15 অ্যাক্সেস কন্ট্রোল, A.8.5 সিকিউর অথেনটিকেশন এবং A.8.22 নেটওয়ার্ক সেগ্রিগেশন। ইন্ডিভিজুয়াল অথেনটিকেশন, রোল-ভিত্তিক VLAN অ্যাসাইনমেন্ট, এনক্রিপ্টেড ট্রান্সপোর্ট এবং সেন্ট্রালাইজড RADIUS লগগুলি এমন রেকর্ড তৈরি করে যা একজন অডিটর গ্রহণ করেন। একটি শেয়ার্ড WPA2-PSK পাসওয়ার্ড এর একটিও তৈরি করতে পারে না।

ISO 27001 আপনার স্টাফ WiFi থেকে কী চায়?

আপনার স্টাফ WiFi হলো যেকোনো ওয়্যারলেস কমপ্লায়েন্স কাঠামোর ভিত্তি। এটি এমন সব ডিভাইস বহন করে যা আপনার প্রোপার্টি ম্যানেজমেন্ট সিস্টেম, পয়েন্ট অফ সেল, রোটা সফটওয়্যার এবং ইমেইলে পৌঁছায়। Purple স্টাফ WiFi শেয়ার্ড পাসওয়ার্ডের বদলে আইডেন্টিটি-ভিত্তিক নেটওয়ার্ক প্রতিস্থাপন করে। প্রত্যেক ব্যক্তি তাদের নিজস্ব ক্রেডেনশিয়াল দিয়ে অথেনটিকেট করে এবং প্রতিটি কানেকশন একটি নামযুক্ত আইডেন্টিটির বিপরীতে লগ করা হয়। গেস্ট এবং টেন্যান্ট নেটওয়ার্কগুলি সেই ভিত্তির উপরে কাজ করে। তারা কখনই এটিকে প্রতিস্থাপন করে না।

ISO/IEC 27001:2022-এ ওয়্যারলেস নামটি সরাসরি উল্লেখ করা হয়নি। এর জন্য আপনাকে একটি ইনফরমেশন সিকিউরিটি ম্যানেজমেন্ট সিস্টেম (ISMS) পরিচালনা করতে হবে। আপনার স্টেটমেন্ট অফ অ্যাপ্লিকেবিলিটি (SoA)-তে আপনাকে প্রতিটি Annex A কন্ট্রোলকে যুক্তিযুক্ত প্রমাণ করতে হবে। Annex A-তে চারটি থিমের অধীনে 93টি কন্ট্রোলের তালিকা রয়েছে: অর্গানাইজেশনাল, পিপল, ফিজিক্যাল এবং টেকনোলজিক্যাল। আপনার স্টাফ WiFi অর্গানাইজেশনাল (5.x) এবং টেকনোলজিক্যাল (8.x) থিমগুলিকে সবচেয়ে সরাসরি স্পর্শ করে।

পলিসি বনাম প্রমাণ

আপনার স্টেজ 1 অডিট ডকুমেন্টেশন পর্যালোচনা করে। স্টেজ 2 এবং প্রতিটি সার্ভেইল্যান্স অডিটে, অডিটর পরীক্ষা করেন যে কন্ট্রোলগুলি আসলে কাজ করছে কিনা। একটি পলিসি যা বলে "স্টাফ WiFi অ্যাক্সেস অনুমোদিত কর্মীদের মধ্যে সীমাবদ্ধ" সেটি কেবল একটি ইচ্ছার বিবৃতি। একটি RADIUS লগ যা দেখায় যে একজন নামযুক্ত ব্যক্তি 08:14 মিনিটে অথেনটিকেট করেছেন এবং তাকে ফাইন্যান্স VLAN-এ রাখা হয়েছিল, তা প্রমাণ করে যে কন্ট্রোলটি কাজ করছে।

এই ব্যবধানটি অনেক সংস্থাকে সমস্যায় ফেলে। ওয়্যারলেস পলিসিটি সঠিক, কিন্তু নেটওয়ার্কটি কে কানেক্ট করেছে তার রেকর্ড তৈরি করতে পারে না। আপনি শেষ পর্যন্ত A.5.15 বা A.8.5 এর বিরুদ্ধে একটি ছোটখাটো ননকনফরমিটি এবং পরবর্তী ভিজিটের আগে জমা দেওয়ার জন্য একটি কারেক্টিভ অ্যাকশন প্ল্যান হাতে পান।

কেন একটি শেয়ার্ড WiFi পাসওয়ার্ড অডিটে ব্যর্থ হয়?

কীভাবে WPA2-PSK A.8.5 অথেনটিকেশন পরীক্ষায় ব্যর্থ হয়

A.8.5-এর জন্য অ্যাক্সেস সীমাবদ্ধতা এবং আপনার অ্যাক্সেস কন্ট্রোল পলিসির উপর ভিত্তি করে নিরাপদ অথেনটিকেশন প্রযুক্তি এবং পদ্ধতির প্রয়োজন। WPA2-Personal, যা সাধারণত WPA2-PSK নামে পরিচিত, একটি ডিভাইসকে অথেনটিকেট করে, কোনো ব্যক্তিকে নয়। প্রাক-শেয়ার্ড কী জানা প্রত্যেকে একই সিক্রেট থেকে এনক্রিপশন কী তৈরি করে। নেটওয়ার্কের পক্ষে একজন স্টোর ম্যানেজার এবং গত বসন্তে চলে যাওয়া একজন ঠিকাদারের মধ্যে পার্থক্য করার কোনো উপায় থাকে না।

সেই ডিজাইন থেকে তিনটি ব্যর্থতা তৈরি হয়:

• কোনো ব্যক্তিগত আইডেন্টিটি নেই। লগগুলি একটি MAC অ্যাড্রেস দেখায়, কোনো ব্যক্তিকে নয়। বর্তমান iOS এবং Android রিলিজগুলিতে ডিফল্টরূপে MAC অ্যাড্রেসগুলি র্যান্ডমাইজ করা হয়, তাই এমনকি ডিভাইস অ্যাট্রিবিউশনও নির্ভরযোগ্য নয়।
• সহজে অ্যাক্সেস বাতিল করার সুবিধা নেই। একজন চলে যাওয়া কর্মীকে সরানোর অর্থ হলো সাইটের সবার জন্য কী পরিবর্তন করা। বেশিরভাগ টিম এটি স্থগিত রাখে, তাই কী-টি কর্মীদের চলে যাওয়ার পরও দীর্ঘকাল ধরে ব্যবহৃত হতে থাকে।- অফলাইন অ্যাটাকের ঝুঁকি। একজন আক্রমণকারী যে একটি WPA2 ফোর-ওয়ে হ্যান্ডশেক ক্যাপচার করে, সে অফলাইনে কী অনুমান করার চেষ্টা করতে পারে। দুর্বল বা দীর্ঘস্থায়ী কীগুলি সেই আক্রমণের শিকার হয়।

WPA3-Personal হ্যান্ডশেকটিকে সাইমালটেনিয়াস অথেন্টিকেশন অফ ইকুয়ালস (SAE) দিয়ে প্রতিস্থাপন করে, যা অফলাইন ডিকশনারি অ্যাটাক প্রতিরোধ করে। এটি এখনও একটি শেয়ার্ড পাসওয়ার্ড ব্যবহার করে। এটি ক্রিপ্টোগ্রাফি সংশোধন করে কিন্তু আইডেন্টিটি বা পরিচয়জনিত সমস্যার সমাধান করে না, তাই কর্মীদের অ্যাক্সেসের জন্য এটি এখনও A.5.16 এবং A.8.5 এ ব্যর্থ হয়।

কীভাবে 802.1X আপনাকে স্বতন্ত্র জবাবদিহিতা প্রদান করে

IEEE 802.1X হলো পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল। একটি অথেন্টিকেশন সার্ভার ডিভাইসটিকে অনুমোদন না করা পর্যন্ত অ্যাক্সেস পয়েন্ট ট্র্যাফিক ব্লক করে রাখে। সেই সার্ভারটি RADIUS (রিমোট অথেন্টিকেশন ডায়াল-ইন ইউজার সার্ভিস, RFC 2865) এ কাজ করে। ক্রেডেন্সিয়াল আদান-প্রদান একটি এক্সটেনসিবল অথেন্টিকেশন প্রোটোকল (EAP) মেথডের মধ্যে চলে।

আপনি যে দুটি মেথড সবচেয়ে বেশি দেখতে পাবেন:

• EAP-TLS। উভয় পক্ষই সার্টিফিকেট উপস্থাপন করে। এখানে ফিশিং বা শেয়ার করার মতো কোনো পাসওয়ার্ড নেই, তাই এটি সবচেয়ে শক্তিশালী আইডেন্টিটি প্রমাণ দেয়।
• EAP-TTLS। সার্ভার একটি সার্টিফিকেট উপস্থাপন করে এবং একটি TLS টানেল তৈরি করে। ক্লায়েন্ট তখন সেই টানেলের মধ্যে তার ক্রেডেন্সিয়াল পাঠায়। Juniper Mist এবং Cisco Meraki-এর জন্য Purple-এর প্রকাশিত স্টাফ WiFi কনফিগারেশনগুলি EAP-TTLS ব্যবহার করে।

যেভাবেই হোক না কেন, RADIUS সার্ভার প্রতিটি সেশনের জন্য একটি আইডেন্টিটি রেকর্ড করে। RADIUS অ্যাকাউন্টিং (RFC 2866) সেশন শুরু, অন্তর্বর্তীকালীন আপডেট এবং শেষ হওয়ার রেকর্ড যুক্ত করে। প্রতিটি রেকর্ডে অথেন্টিকেটেড নাম, অ্যাক্সেস পয়েন্ট আইডেন্টিফায়ার, ডিভাইস MAC এবং অ্যাসাইন করা IP অ্যাড্রেস থাকে। এগুলোকে আপনার ফায়ারওয়াল লগের সাথে যুক্ত করুন এবং আপনি একটি নির্দিষ্ট নামধারী ব্যক্তির সাথে একটি সংযোগ মিলিয়ে নিতে পারবেন। এই সূত্রটিই হলো সেই জবাবদিহিতা যা একজন অডিটর খোঁজেন।

কোন অথেন্টিকেশন মেথড কোন কন্ট্রোল পাস করে?

মেথড	স্বতন্ত্র আইডেন্টিটি (A.5.16)	সুরক্ষিত অথেন্টিকেশন (A.8.5)	একক-ব্যক্তি প্রত্যাহার	ভূমিকা-ভিত্তিক পৃথকীকরণ (A.8.22)	এটি কোথায় উপযুক্ত
WPA2-PSK	না - শেয়ার্ড কী	ব্যর্থ	না - সবার জন্য কী পরিবর্তন করতে হয়	প্রতি ভূমিকার জন্য আলাদা SSID	শুধুমাত্র লেগ্যাসি ডিভাইস, বিচ্ছিন্ন VLAN
WPA3-Personal (SAE)	না - শেয়ার্ড পাসওয়ার্ড	কর্মীদের অ্যাক্সেসের জন্য ব্যর্থ	না - সবার জন্য পাসওয়ার্ড পরিবর্তন করতে হয়	প্রতি ভূমিকার জন্য আলাদা SSID	কোনো RADIUS না থাকা ছোট সাইট
iPSK (প্রতি-ডিভাইস বা প্রতি-গ্রুপ কী)	প্রতি কী হোল্ডার অনুযায়ী	আংশিক - কী, ব্যক্তি নয়	হ্যাঁ - একটি কী মুছে দিন	হ্যাঁ - প্রতি কী-তে VLAN	টেন্যান্ট আইসোলেশন, হেডলেস ডিভাইস
WPA2-Enterprise (802.1X)	হ্যাঁ - নামযুক্ত আইডেন্টিটি	পাস	হ্যাঁ - অ্যাকাউন্টটি নিষ্ক্রিয় করুন	হ্যাঁ - ডাইনামিক VLAN	স্টাফ WiFi-এর জন্য ডিফল্ট
WPA3-Enterprise (802.1X)	হ্যাঁ - নামযুক্ত আইডেন্টিটি	পাস	হ্যাঁ - অ্যাকাউন্টটি নিষ্ক্রিয় করুন	হ্যাঁ - ডাইনামিক VLAN	উচ্চ-নিশ্চয়তা সম্পন্ন এস্টেট, নতুন নির্মাণ

কীভাবে স্টাফ WiFi প্রতিটি Annex A কন্ট্রোলের সাথে মানানসই হয়?

নীচের টেবিলটি একটি ওয়্যারলেস নেটওয়ার্কের সবচেয়ে বেশি ব্যবহৃত ১২টি কন্ট্রোলকে নির্দেশ করে। আপনার SoA-তে ওয়্যারলেস রো-এর জন্য এটিকে প্রারম্ভিক বিন্দু হিসেবে ব্যবহার করুন।

Annex A কন্ট্রোল	ওয়্যারলেস বাস্তবায়ন	যে আর্টিফ্যাক্টটি অডিটর গ্রহণ করবেন
A.5.15 Access control	স্টাফ SSID-এ 802.1X, নেটওয়ার্ক অ্যাক্সেসের সাথে ভূমিকা লিঙ্ক করার নীতি	অ্যাক্সেস কন্ট্রোল পলিসি এবং সেই সাথে RADIUS গ্রহণ এবং প্রত্যাখ্যান লগ
A.5.16 Identity management	আপনার আইডেন্টিটি প্রোভাইডার থেকে নেওয়া অ্যাকাউন্ট, ব্যক্তি প্রতি একটি একক পরিচয়	RADIUS পরিচয়ের সাথে মেলানো জয়নার, মুভার এবং লিভার রেকর্ড
A.5.17 Authentication information	সার্টিফিকেট বা ডিরেক্টরি শংসাপত্র, কোনো শেয়ার করা WiFi পাসওয়ার্ড নেই	শংসাপত্র প্রদানের পদ্ধতি, সার্টিফিকেট ইনভেন্টরি
A.8.2 Privileged access rights	সাধারণ স্টাফদের থেকে আলাদা একটি ম্যানেজমেন্ট VLAN-এর সাথে ম্যাপ করা অ্যাডমিন গ্রুপ	অ্যাডমিন ভূমিকা এবং এর সদস্যদের প্রদর্শনকারী RADIUS পলিসি এক্সপোর্ট
A.8.3 Information access restriction	রোল-টু-VLAN ম্যাপিং, প্রতি VLAN-এ ফায়ারওয়াল ACL	VLAN এবং ACL কনফিগারেশন, কানেক্টিভিটি টেস্টের ফলাফল
A.8.5 Secure authentication	WPA2-Enterprise বা WPA3-Enterprise-এর সাথে EAP-TLS বা EAP-TTLS	WLAN কনফিগারেশন এক্সপোর্ট, ব্যবহারে থাকা EAP পদ্ধতি
A.8.16 Monitoring activities	অন্তর্বর্তী আপডেট সহ RADIUS অ্যাকাউন্টিং, লগইন ব্যর্থতার সতর্কতা	নমুনা অ্যাকাউন্টিং রেকর্ড, সতর্কতার নিয়ম, পর্যালোচনার অনুমোদন
A.8.20 Networks security	কন্ট্রোলার-নিয়ন্ত্রিত SSIDs, রোগ অ্যাক্সেস পয়েন্ট সনাক্তকরণ	নেটওয়ার্ক ডায়াগ্রাম, WLAN ইনভেন্টরি, রোগ AP রিপোর্ট
A.8.21 Security of network services	শংসাপত্রপ্রাপ্ত সরবরাহকারীর কাছ থেকে ক্লাউড RADIUS, RadSec ট্রান্সপোর্ট	সরবরাহকারীর ISO 27001 সার্টিফিকেট, পরিষেবা চুক্তি
A.8.22 Segregation of networks	পৃথক VLAN-এ স্টাফ, গেস্ট এবং ডিভাইসের ট্রাফিক	VLAN ডিজাইন, ব্লক করা ট্রাফিক প্রদর্শনকারী ইন্টার-VLAN টেস্ট
A.8.23 Web filtering	আপনার ফায়ারওয়াল বা DNS ফিল্টারের মাধ্যমে রাউট করা স্টাফ VLAN সমূহ	VLAN বা পরিচয়ের সাথে যুক্ত ফিল্টারিং পলিসি এবং লগ
A.8.24 Use of cryptography	বাতাসে AES এনক্রিপশন, RADIUS ট্রান্সপোর্টের জন্য TLS	ক্রিপ্টোগ্রাফি পলিসি, WLAN সাইফার সেটিংস, RadSec সার্টিফিকেট

আইডেন্টিটি এবং অথেনটিকেশন: A.5.15, A.5.16, A.5.17 এবং A.8.5

এই চারটি নিয়ন্ত্রণ একসাথে কাজ করে। অডিটর আপনার HR সিস্টেম থেকে বিদায়ী কর্মীদের (leavers) একটি নমুনা বেছে নেন এবং তাদের WiFi অ্যাক্সেস শেষ হয়েছে কিনা তা দেখাতে বলেন। আপনার ডিরেক্টরির সাথে 802.1X যুক্ত থাকলে, অ্যাকাউন্টটি নিষ্ক্রিয় করার সাথে সাথেই ভবিষ্যতের অথেনটিকেশন শেষ হয়ে যায়। Purple-এর সাথে Microsoft Entra ID, Okta এবং Google Workspace ইন্টিগ্রেট করা যায়, তাই নতুন যোগদানকারী (joiners), বিভাগ পরিবর্তনকারী (movers) এবং বিদায়ী কর্মীদের তথ্য আপনার ইতিমধ্যে পরিচালিত সিস্টেম থেকেই প্রবাহিত হয়।

সেই নমুনাভুক্ত বিদায়ী কর্মীদের জন্য RADIUS রিজেক্ট লগগুলি নিয়ে আসুন। বিদায় নেওয়ার তারিখের পরের একটি টাইমস্ট্যাম্প সহ রিজেক্ট হওয়া একটি স্পষ্ট প্রমাণ।

প্রিভিলেজড এবং রেস্ট্রিক্টেড অ্যাক্সেস: A.8.2 এবং A.8.3

আপনার নেটওয়ার্ক ইঞ্জিনিয়ারদের সুইচ এবং কন্ট্রোলার ম্যানেজমেন্ট ইন্টারফেসে অ্যাক্সেসের প্রয়োজন রয়েছে। ফ্রন্ট-ডেস্ক কর্মীদের তা প্রয়োজন নেই। IT অ্যাডমিনিস্ট্রেটর গ্রুপটিকে একটি ম্যানেজমেন্ট VLAN-এর সাথে ম্যাপ করুন এবং অন্য প্রতিটি ভূমিকাকে এমন একটি VLAN-এ ম্যাপ করুন যা ম্যানেজমেন্ট অ্যাড্রেসে পৌঁছাতে পারে না। RADIUS নীতিটি নিজেই আপনার প্রিভিলেজড অ্যাক্সেসের প্রমাণ হয়ে ওঠে, কারণ এটি ঠিক কোন গ্রুপ কোন নেটওয়ার্ক পাবে তা তালিকাভুক্ত করে।

নেটওয়ার্ক নিয়ন্ত্রণ: A.8.20, A.8.21 এবং A.8.22

A.8.21 আপনার নির্ভর করা পরিষেবাগুলিকে কভার করে, যার মধ্যে ক্লাউড RADIUS অন্তর্ভুক্ত। UDP-এর উপর স্ট্যান্ডার্ড RADIUS শুধুমাত্র MD5-ভিত্তিক স্কিম ব্যবহার করে পাসওয়ার্ড অ্যাট্রিবিউট সুরক্ষিত করে। RadSec (RFC 6614) সম্পূর্ণ RADIUS এক্সচেঞ্জকে TLS-এ মোড়ানো বা র‍্যাপ করে। Purple-এর Staff WiFi কনফিগারেশনগুলি আপনার অ্যাক্সেস পয়েন্ট এবং Purple-এর ক্লাউড RADIUS-এর মধ্যে RadSec ব্যবহার করে। Juniper Mist-এ আপনি অর্গানাইজেশন স্তরে একটি RadSec সার্টিফিকেট যোগ করেন, যেমনটি Staff WiFi - Juniper Mist সাপোর্ট আর্টিকেলে বর্ণনা করা হয়েছে।

A.8.21-এর সরবরাহকারী পক্ষের জন্য, Purple-এর ISO 27001 এবং Cyber Essentials সার্টিফিকেশন রয়েছে। Purple প্ল্যাটফর্মের আপটাইম ৯৯.৯৯৯% রিপোর্ট করে। বর্তমান সার্টিফিকেটের জন্য অনুরোধ করুন এবং এটি আপনার সরবরাহকারী রেকর্ডের সাথে সংরক্ষণ করুন।

একটি একক SSID-এ সেগ্রিগেশন প্রমাণ করা (A.8.22)

অডিটররা প্রায়শই ধরে নেন সেগ্রিগেশন মানে প্রতি নেটওয়ার্কে একটি করে SSID। এটি তা নয়। 802.1X-এর ক্ষেত্রে, RFC 3580-এ সংজ্ঞায়িত করা অনুযায়ী RADIUS সার্ভার Access-Accept মেসেজে VLAN অ্যাট্রিবিউট ফিরিয়ে দেয়। অ্যাক্সেস পয়েন্ট প্রতিটি ব্যক্তিকে তাদের রোলের VLAN-এ স্থাপন করে, যদিও সবাই একই SSID-এ যুক্ত হয়েছিল।

এটি প্রমাণ করতে, তিনটি জিনিস প্রস্তুত রাখুন:

১. আপনার RADIUS পলিসি থেকে রোল-টু-VLAN ম্যাপিং টেবিল। ২. ফায়ারওয়াল নিয়মাবলী যা দেখায় কোন VLAN-গুলি কোনটির সাথে যোগাযোগ করতে পারে। ৩. একটি তারিখযুক্ত পরীক্ষা: সাধারণ স্টাফ VLAN-এর একটি ডিভাইস ফাইন্যান্স সাবনেটে পৌঁছানোর চেষ্টা করে এবং ব্যর্থ হয়।

একটি একক SSID বীকন থেকে এয়ারটাইম ওভারহেডও কমায়। কম ব্রডকাস্ট নেটওয়ার্ক ঘনবসতিপূর্ণ স্থানগুলিতে ক্যাপাসিটি প্ল্যানিং-এ সহায়তা করে।

মনিটরিং, ফিল্টারিং এবং ক্রিপ্টোগ্রাফি: A.8.16, A.8.23 এবং A.8.24

A.8.16-এর জন্য, RADIUS অ্যাকাউন্টিং আপনাকে সেশন-লেভেল রেকর্ড সরবরাহ করে। Purple-এর Staff WiFi - Cisco Meraki কনফিগারেশন অন্তর্বর্তীকালীন আপডেট সহ অ্যাকাউন্টিং সার্ভার সক্ষম করে। এই রেকর্ডগুলিকে একটি ডকুমেন্টেড পর্যালোচনার সাথে যুক্ত করুন: কে বারবার ব্যর্থ হওয়া অথেনটিকেশন দেখে, কত ঘন ঘন দেখে এবং কীসের ভিত্তিতে পরবর্তী পদক্ষেপ নেওয়া হয়। A.8.15 লগিং এই নিয়ন্ত্রণের পাশাপাশি অবস্থান করে এবং একই রেকর্ডের উপর নির্ভর করে।

A.8.23 ওয়েব ফিল্টারিং আপনার ফায়ারওয়াল বা DNS ফিল্টারে ঘটে, WiFi-এ নয়। Staff WiFi সেই VLAN বা আইডেন্টিটি প্রদান করে যা আপনার ফিল্টার শনাক্ত করতে ব্যবহার করে, যাতে রান্নাঘরের ট্যাবলেট এবং হেড অফিসের ল্যাপটপের জন্য পলিসি আলাদা হতে পারে।

A.8.24-এর জন্য, WPA2-Enterprise এবং WPA3-Enterprise বাতাসে বা ওভার-দ্য-এয়ার ট্রাফিক AES দিয়ে এনক্রিপ্ট করে। WPA3-Enterprise প্রোটেক্টেড ম্যানেজমেন্ট ফ্রেম (IEEE 802.11w) ব্যবহার করাও বাধ্যতামূলক করে। এর ১৯২-বিট মোড সর্বোচ্চ নিশ্চয়তার জন্য EAP-TLS-এর সাথে GCMP-256 ব্যবহার করে। আপনার ক্রিপ্টোগ্রাফি পলিসিতে সাইফার স্যুটটি নোট করে রাখুন।

RFC 5176 CoA-এর মাধ্যমে প্রত্যাহার (Revocation)

একটি অ্যাকাউন্ট নিষ্ক্রিয় করলে তা পরবর্তী অথেনটিকেশন বন্ধ করে দেয়। এটি সর্বদা চলমান কোনো লাইভ সেশন শেষ করে না। RFC 5176-এ সংজ্ঞায়িত RADIUS Change of Authorization (CoA), সার্ভারকে অবিলম্বে একটি সেশন শেষ করতে Disconnect-Request পাঠানোর অনুমতি দেয়। এটি সেশনটিকে অন্য একটি VLAN-এ স্থানান্তর করতে একটি CoA-Request-ও পাঠাতে পারে।আপনার ডেপ্লয়মেন্ট আসলে কী করে তা পরীক্ষা করুন। Purple-এর প্রকাশিত Cisco Meraki কনফিগারেশনে RADIUS CoA সাপোর্ট নিষ্ক্রিয় থাকে। আপনার নিয়ন্ত্রণে এটি লেখার আগে আপনার এস্টেটে কীভাবে অবিলম্বে প্রত্যাহার পরিচালনা করা হয় তা Purple-এর সাথে নিশ্চিত করুন। অডিটররা আপনার দাবির সত্যতা পরীক্ষা করেন, তাই কেবল সেটাই দাবি করুন যা সচল আছে।

লাইভ এস্টেটে এটি দেখতে কেমন লাগে?

কার্যকারী দৃশ্যপট: একটি তিন-সম্পত্তির হোটেল গ্রুপ

পরিস্থিতি। প্রায় ২০০টি রুম বিশিষ্ট তিনটি সম্পত্তি পরিচালনাকারী একটি হোটেল গ্রুপ নজরদারির সময় একটি ছোটখাটো নন-কনফরমিটি পায়। স্টাফ WiFi-এ সমস্ত সাইট জুড়ে একটি WPA2-PSK কী ব্যবহার করা হতো, যা ১৮ মাস ধরে পরিবর্তন করা হয়নি। এজেন্সি হাউসকিপার সহ প্রায় ১৪০ জন স্টাফ এটি জানতেন।

যা করা হয়েছিল। গ্রুপটি তার বিদ্যমান অ্যাক্সেস পয়েন্টগুলিতে 802.1X সহ স্টাফ WiFi-কে WPA2-Enterprise-এ স্থানান্তরিত করে, সাথে ক্লাউড RADIUS-এ RadSec যুক্ত করে। অ্যাকাউন্টগুলি গ্রুপের ডিরেক্টরি থেকে নেওয়া হয়েছিল। রিসেপশন, হাউসকিপিং, ফাইন্যান্স এবং IT প্রতিটি একটি একক SSID-এ নিজস্ব VLAN-এ ম্যাপ করা হয়েছিল। গেস্ট নেটওয়ার্ক আলাদা রাখা হয়েছিল।

ফলাফল। ফলো-আপ অডিটে, নমুনা হিসেবে নেওয়া ১০০% স্টাফ সেশন একটি নির্দিষ্ট ব্যক্তির সাথে সনাক্ত করা গেছে। অডিটর পাঁচজন চাকরি ছেড়ে দেওয়া ব্যক্তির নমুনা পরীক্ষা করেছিলেন এবং প্রত্যেকের ক্ষেত্রে তাদের চলে যাওয়ার তারিখের পরে একটি RADIUS রিজেক্ট দেখা গেছে। নন-কনফরমিটি বন্ধ হয়েছে। একজন চাকরি ছেড়ে দেওয়া ব্যক্তিকে সরিয়ে দেওয়ার জন্য তিনটি সাইটের কী পুনরায় পরিবর্তন করার ঝামেলা কমে এখন একটি অ্যাকাউন্ট নিষ্ক্রিয় করতে হয়। Hotels জুড়ে Purple কীভাবে কাজ করে তা দেখুন।

কার্যকারী দৃশ্যপট: একটি ৬০-দোকানের রিটেইল চেইন

পরিস্থিতি। একটি ৬০-দোকানের চেইনের ISO 27001 সার্টিফিকেশন ছিল এবং এটি PCI-DSS v4.0-এর আওতাভুক্তও ছিল। প্রতিটি দোকান তিনটি স্টাফ SSID ব্রডকাস্ট করত: একটি হ্যান্ডহেল্ড স্ক্যানারদের জন্য, একটি ম্যানেজার ল্যাপটপের জন্য, একটি স্টাফ ফোনের জন্য। পৃথকীকরণের প্রমাণ হিসেবে একটি ডায়াগ্রাম ছিল যা কেউ কখনও পরীক্ষা করেনি।

যা করা হয়েছিল। চেইনটি তিনটি SSID-কে ডায়নামিক VLAN অ্যাসাইনমেন্ট সহ একটি 802.1X স্টাফ SSID-এ একীভূত করে। লেগ্যাসি স্ক্যানার যা 802.1X চালাতে পারত না সেগুলোকে কঠোর ফায়ারওয়াল নিয়ম সহ একটি আইসোলেটেড VLAN-এ স্থানান্তরিত করা হয়েছিল। সিকিউরিটি টিম কিছু দোকানে একটি ডেটেড পৃথকীকরণ পরীক্ষা চালিয়েছিল।

ফলাফল। প্রতি দোকানে স্টাফ SSID তিনটি থেকে কমে একটিতে নেমে এসেছে। একই পৃথকীকরণ পরীক্ষার ফলাফল A.8.22 প্রমাণ প্যাক এবং Requirement 11.4.5-এর অধীনে PCI-DSS সেগমেন্টেশন টেস্টিংয়ে কাজ করেছে। একটি পরীক্ষা এখন দুটি অডিট পূরণ করেছে। Retail ডেপ্লয়মেন্ট সম্পর্কে আরও পড়ুন।

অন্যান্য নিয়ন্ত্রিত এস্টেটেও এই প্যাটার্নের পুনরাবৃত্তি ঘটে। Healthcare-এর ওয়ার্ড স্টাফ এবং Trains-এর অনবোর্ড ক্রুদের একই নাম-পরিচয়ের প্রমাণের প্রয়োজন হয়।

গেস্ট এবং মাল্টি-ট্যানেন্ট নেটওয়ার্কের পাশাপাশি স্টাফ WiFi কোথায় অবস্থান করে?

গেস্ট WiFi-এর ক্ষেত্রেও কি একই কন্ট্রোল সেট প্রযোজ্য?

আংশিকভাবে। যদি গেস্ট WiFi আপনার স্টাফ নেটওয়ার্কের সাথে ফিজিক্যাল ইনফ্রাস্ট্রাকচার শেয়ার করে, তবে এটি A.8.20 এবং A.8.22-এর জন্য আপনার ISMS স্কোপের মধ্যে পড়ে। অডিটর প্রমাণ চাইবেন যে একজন গেস্ট স্টাফ বা পেমেন্ট সিস্টেমে পৌঁছাতে পারবেন না। এটি একটি পৃথকীকরণের প্রশ্ন, যার উত্তর একই VLAN এবং ফায়ারওয়ালের প্রমাণ দিয়ে দেওয়া হয়।গোপনীয়তা এবং ব্যক্তিগত তথ্যের সুরক্ষার কারণে guest WiFi এর সাথে A.5.34 জড়িত, কারণ এটি ভিজিটরের ডেটা সংগ্রহ করে। GDPR সেই ডেটা নিয়ন্ত্রণ করে। Purple এর SecurePass অ্যাড-অন গেস্ট নেটওয়ার্কগুলিকে এনক্রিপ্ট করা, ব্যক্তিগতভাবে প্রমাণীকৃত অ্যাক্সেস দেয়, যা একই অডিটের গেস্ট সাইডকে আরও শক্তিশালী করে। অডিটররা সাধারণত এক বসাতেই উভয় নেটওয়ার্ক সম্পর্কে জিজ্ঞাসা করেন, তাই উভয় এভিডেন্স প্যাক একসাথে প্রস্তুত করুন।

যদি বেশ কয়েকটি আইনি সত্তা একটিমাত্র স্টেট শেয়ার করে তবে কী হবে?

কনফারেন্স সেন্টার, বিমানবন্দর বা মিশ্র-ব্যবহারের ভবনের স্টাফ WiFi প্রায়শই একাধিক সংস্থাকে পরিষেবা দেয়। প্রতিটি সংস্থা নিজস্ব ISMS চালাতে পারে। Identity PSK (iPSK) প্রতিটি ভাড়াটে সংস্থাকে নিজস্ব কী দেয় এবং RADIUS সেই কী-কে ভাড়াটের VLAN এর সাথে ম্যাপ করে। Purple এর Multi-Tenant WiFi আইসোলেশন মেকানিজম হিসেবে iPSK ব্যবহার করে।

এর ভালো-মন্দ দিকগুলো জেনে নিন। iPSK ভাড়াটেদের একে অপরের থেকে স্পষ্টভাবে আলাদা করে, যা A.8.22 এর প্রমাণ দেয়। একটি ভাড়াটে সংস্থার মধ্যে এটি একটি কী সনাক্ত করে, কোনো ব্যক্তিকে নয়। কোনো ভাড়াটে সংস্থার নিজস্ব কর্মীদের জন্য, A.8.5 এর শক্তিশালী সমাধান হিসেবে 802.1X রয়ে গেছে।

আপনার কোন সীমাবদ্ধতাগুলো সম্পর্কে জানা উচিত?

EAP-TTLS সার্টিফিকেট যাচাইকরণের ওপর নির্ভর করে। একটি TTLS টানেলে, টানেল চালু হওয়ার পরে ক্লায়েন্ট তার ক্রেডেন্সিয়াল পাঠায়। যদি ডিভাইসগুলি যেকোনো সার্ভার সার্টিফিকেট গ্রহণ করে, তবে একটি প্রতারণামূলক অ্যাক্সেস পয়েন্ট চালানো কোনো আক্রমণকারী ক্রেডেন্সিয়াল সংগ্রহ করতে পারে। আপনার মোবাইল ডিভাইস ম্যানেজমেন্ট প্ল্যাটফর্মের মাধ্যমে বিশ্বস্ত সার্ভার সার্টিফিকেটটি ম্যানেজড ডিভাইসে পুশ করুন। এটি আপনার A.8.5 এভিডেন্সে রেকর্ড করুন।

WPA2 এখনও প্রকাশিত কনফিগারেশনে রয়েছে। Purple এর নথিভুক্ত Juniper Mist এবং Cisco Meraki সেটআপগুলি WPA2-Enterprise নির্দেশ করে। একটি সঠিক EAP মেথডের সাথে যুক্ত করা হলে WPA2-Enterprise A.8.5 কে সন্তুষ্ট করে। আপনার ঝুঁকি মূল্যায়নে যদি WPA3-Enterprise এর প্রয়োজন হয়, তবে প্রথমে আপনার হার্ডওয়্যার এবং ক্লায়েন্ট বেসের জন্য এর সাপোর্ট নিশ্চিত করুন।

স্টাফ WiFi প্রতিটি নিয়ন্ত্রণ কভার করে না। এটি প্রযুক্তিগত নিয়ন্ত্রণের প্রমাণ দেয়। শারীরিক নিয়ন্ত্রণ যেমন A.7.8, সরঞ্জাম বসানো এবং কর্মীদের নিয়ন্ত্রণ যেমন A.6.3, নিরাপত্তা সচেতনতা প্রশিক্ষণ, এগুলোর জন্য নিজস্ব প্রমাণের প্রয়োজন।

লগ হলো ব্যক্তিগত ডেটা। RADIUS রেকর্ডে নাম, ডিভাইসের আইডেন্টিফায়ার এবং টাইমস্ট্যাম্প থাকে। একটি রিটেনশন পিরিয়ড, GDPR এর অধীনে একটি আইনি ভিত্তি এবং লগের জন্য একটি অ্যাক্সেস তালিকা নির্ধারণ করুন। ISO 27001 কোনো নির্দিষ্ট রিটেনশন পিরিয়ড নির্ধারণ করে না, তাই আপনাকে একটি সেট করতে হবে এবং সেটি অনুসরণ করতে হবে।

আপনার সরবরাহকারীর সার্টিফিকেট আপনার নিজের নয়। Purple এর ISO 27001 সার্টিফিকেশন আপনার A.8.21 সরবরাহকারীর প্রমাণকে সমর্থন করে। এটি আপনার ISMS কে প্রত্যয়িত করে না।

আপনার স্টেজ ২ অডিটের আগে কী করা উচিত?

অডিটর আসার ছয় থেকে আট সপ্তাহ আগে এই তালিকাটি ধরে কাজ করুন:

১. স্টেটের প্রতিটি SSID এর তালিকা তৈরি করুন, সাথে এর সিকিউরিটি টাইপ এবং VLAN উল্লেখ করুন। যেকোনো শেয়ার্ড-কী স্টাফ SSID বন্ধ করুন অথবা SoA-তে এর যুক্তি দেখান। ২. প্রতিটি রোল, এর VLAN এবং এর মেম্বারদের দেখিয়ে RADIUS পলিসি এক্সপোর্ট করুন। ৩. HR থেকে পাঁচজন চাকরি ছেড়ে দেওয়া কর্মীর রেকর্ড নিন এবং চাকরি ছাড়ার তারিখের পর প্রতিটি রেকর্ডের সাথে একটি RADIUS রিজেক্টের মিল দেখান। ৪. স্টাফ, গেস্ট এবং ডিভাইস VLAN থেকে একটি তারিখযুক্ত সেগ্রিগেশন টেস্ট চালান এবং ব্লক করা প্রচেষ্টার স্ক্রিনশট নিন। ৫. এক সপ্তাহের অ্যাকাউন্টিং রেকর্ডের নমুনা নিন এবং পরবর্তী পর্যালোচনাটি প্রদর্শন করুন।6. ISO 27001 সার্টিফিকেট সহ আপনার ক্লাউড RADIUS প্রদানকারীর জন্য সরবরাহকারীর প্রমাণ ফাইল করুন। 7. পরিচালিত ডিভাইসগুলির একটি নমুনা পরীক্ষা করে ক্লায়েন্ট সার্টিফিকেট যাচাইকরণ চেক করুন।

আপনি যদি এখনও একটি শেয়ার্ড পাসওয়ার্ড ব্যবহার করেন, তবে WLAN পরিবর্তন দিয়ে শুরু করুন। Purple এখানে ধাপে ধাপে নির্দেশিকা প্রকাশ করেছে: Juniper Mist এবং Cisco Meraki। অন্যান্য ভেন্ডরদের ক্ষেত্রে আরও বিস্তারিত এন্টারপ্রাইজ প্যাটার্ন দেখতে, How to Configure WPA2-Enterprise on Common Access Point Platforms (Cisco, Aruba, Ubiquiti) দেখুন।

আরও দেখুন: Purple Staff WiFi, যা আপনার ওয়্যারলেস কমপ্লায়েন্স কাঠামোর ভিত্তি, সাথে রয়েছে গেস্ট নেটওয়ার্কের জন্য SecurePass এবং শেয়ার্ড এস্টেটের জন্য Multi-Tenant WiFi।

প্রায়শই জিজ্ঞাসিত প্রশ্নাবলী

Purple Staff WiFi কি আমাদের ইতিমধ্যে মালিকানাধীন অ্যাক্সেস পয়েন্টগুলির সাথে কাজ করে?

হ্যাঁ। Purple সম্পূর্ণ হার্ডওয়্যার-নিরপেক্ষ এবং এটি Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet এর উপর একটি ক্লাউড ওভারলে হিসেবে কাজ করে। আপনি শুধু WLAN প্রোফাইলটি WPA2-Enterprise-এ পরিবর্তন করেন এবং এটিকে RadSec এর মাধ্যমে Purple-এর ক্লাউড RADIUS-এর দিকে নির্দেশ করেন। Purple এখানে Juniper Mist এবং Cisco Meraki এর জন্য ধাপে ধাপে Staff WiFi নির্দেশিকা প্রকাশ করেছে। কোনো প্রকার হার্ডওয়্যার প্রতিস্থাপনের প্রয়োজন নেই, তাই কোনো হার্ডওয়্যার প্রজেক্ট ছাড়াই আপনার অডিট প্রমাণ উন্নত হয়।

একটি শেয়ার্ড WPA2-PSK স্টাফ পাসওয়ার্ড কি আমাদের ISO 27001 অডিটে ব্যর্থ হবে?

এটি A.8.5 বা A.5.16 এর বিরুদ্ধে একটি নন-কনফরমিটি তৈরি করার সম্ভাবনা প্রবল। একটি শেয়ার্ড কী ডিভাইসকে প্রমাণীকরণ করে, কোনো ব্যক্তিকে নয়, তাই কোন নির্দিষ্ট ব্যক্তি সংযুক্ত হয়েছেন তা আপনি দেখাতে পারবেন না। এছাড়াও সবার জন্য কী পরিবর্তন না করে আপনি একজন প্রস্থানকারী ব্যক্তির অ্যাক্সেস বাতিল করতে পারবেন না। কিছু প্রতিষ্ঠান লেগ্যাসি ডিভাইসের জন্য একটি PSK নেটওয়ার্ক বজায় রাখে যা 802.1X চালাতে পারে না। এটি শুধুমাত্র একটি বিচ্ছিন্ন VLAN-এ কাজ করে, যার ব্যতিক্রম আপনার Statement of Applicability-তে যুক্তিযুক্ত করা থাকে।

Purple কি নিজে ISO 27001 সার্টিফাইড?

হ্যাঁ। Purple-এর ISO 27001 সার্টিফিকেশন রয়েছে, পাশাপাশি Cyber Essentials-ও রয়েছে এবং এটি একটি GDPR-সম্মত প্ল্যাটফর্ম হিসেবে কাজ করে। এটি A.8.21 (নেটওয়ার্ক পরিষেবার নিরাপত্তা) এবং A.5.19 (সরবরাহকারী সম্পর্কের তথ্য নিরাপত্তা) এর অধীনে আপনার সরবরাহকারী প্রমাণকে সমর্থন করে। বর্তমান সার্টিফিকেট এবং এর আওতা সম্পর্কে Purple-এর কাছে জিজ্ঞাসা করুন এবং এটি আপনার সরবরাহকারী রেকর্ডের সাথে ফাইল করুন। মনে রাখবেন যে একজন সরবরাহকারীর সার্টিফিকেট আপনার ISMS-কে সমর্থন করে তবে এটিকে সরাসরি প্রত্যয়িত করে না।

অডিট পাস করার জন্য আমাদের কি WPA3-Enterprise প্রয়োজন?

না। ISO 27001 কোনো নির্দিষ্ট WiFi নিরাপত্তা স্ট্যান্ডার্ডের নাম উল্লেখ করে না। এটি আপনাকে এমন নিয়ন্ত্রণগুলি বেছে নিতে বলে যা আপনার ঝুঁকি মূল্যায়নের সাথে খাপ খায়। 802.1X এবং একটি নির্ভরযোগ্য EAP পদ্ধতি সহ WPA2-Enterprise বেশিরভাগ ঝুঁকির প্রোফাইলে A.8.5 এবং A.8.24 কে সন্তুষ্ট করে। WPA3-Enterprise-এ বাধ্যতামূলক Protected Management Frames এবং একটি ঐচ্ছিক 192-bit মোড যুক্ত থাকে। যেখানে আপনার ঝুঁকি মূল্যায়ন বা সেক্টরের নিয়মগুলি উচ্চতর নিরাপত্তার দাবি করে সেখানে এটি বেছে নিন এবং আপনার ক্লায়েন্ট ডিভাইসগুলি এটি সমর্থন করে কিনা তা নিশ্চিত করুন।

গেস্ট WiFi কি আমাদের ISO 27001 আওতার মধ্যে থাকা প্রয়োজন?

হ্যাঁ, যেখানেই এটি আপনার স্টাফ নেটওয়ার্ক বা ব্যবসায়িক সিস্টেমের সাথে অবকাঠামো ভাগ করে নেয়। অডিটর পরীক্ষা করবেন যে অতিথিরা A.8.22-এর অধীনে স্টাফ, পেমেন্ট বা ম্যানেজমেন্ট নেটওয়ার্কগুলিতে পৌঁছাতে পারে না। Guest WiFi ব্যক্তিগত ডেটাও সংগ্রহ করে, যা GDPR এবং A.5.34-কে অন্তর্ভুক্ত করে। Purple-এর SecurePass অ্যাড-অন গেস্ট নেটওয়ার্কগুলিকে পৃথক, এনক্রিপ্ট করা প্রমাণীকরণ সরবরাহ করে। গেস্ট এবং স্টাফের প্রমাণ প্যাকগুলি একসাথে প্রস্তুত করুন, কারণ অডিটররা সাধারণত একই সেশনে উভয়ই পর্যালোচনা করেন।

একটি শেয়ার্ড পাসওয়ার্ড থেকে 802.1X-এ স্থানান্তরিত হতে কতটা প্রচেষ্টার প্রয়োজন হয়?

অ্যাক্সেস পয়েন্ট পরিবর্তনটি হলো আপনার কন্ট্রোলার ড্যাশবোর্ডের একটি WLAN প্রোফাইল, যা Purple-এর সহায়তা নির্দেশিকাগুলিতে ধাপে ধাপে নথিভুক্ত রয়েছে। বেশিরভাগ প্রচেষ্টা অন্য কোথাও থাকে। আপনি VLAN-এ ভূমিকাগুলি ম্যাপ করেন, আপনার আইডেন্টিটি প্রোভাইডারকে সংযুক্ত করেন এবং স্টাফ ডিভাইসগুলি অনবোর্ড করেন। আপনি সেইসব লেগ্যাসি ডিভাইসের জন্যও পরিকল্পনা করেন যা 802.1X চালাতে পারে না। একটি সাইটে একটি পাইলট চালান, এটি থেকে প্রমাণ সংগ্রহ করুন এবং প্যাটার্নটি ঠিকঠাক কাজ করলে বাকি এস্টেটে রোল আউট করুন।

একটি স্টাফ SSID কি একই সাইটে কয়েকটি কোম্পানিকে পরিষেবা দিতে পারে?

হ্যাঁ। প্রতিটি টেন্যান্ট সংস্থাকে নিজস্ব কী দেওয়ার জন্য আইডেন্টিটি PSK (iPSK) ব্যবহার করুন। RADIUS প্রতিটি কী-কে সেই টেন্যান্টের VLAN-এ ম্যাপ করে, যাতে একটি শেয়ার্ড SSID-তে ট্র্যাফিক বিচ্ছিন্ন থাকে। Purple-এর Multi-Tenant WiFi এই পদ্ধতিটি ব্যবহার করে। iPSK টেন্যান্টদের পরিষ্কারভাবে বিচ্ছিন্ন করে এবং A.8.22 প্রমাণ করে। প্রতিটি টেন্যান্টের মধ্যে এটি কোনও ব্যক্তির পরিবর্তে একটি কী চিহ্নিত করে, তাই পৃথক স্টাফ প্রমাণীকরণের জন্য 802.1X একটি শক্তিশালী বিকল্প হিসেবেই থেকে যায়।

কোনও কর্মী চলে যাওয়ার পর তার WiFi অ্যাক্সেস বন্ধ হয়ে গেছে তা আমরা কীভাবে প্রমাণ করব?

আপনার আইডেন্টিটি প্রোভাইডারে অ্যাকাউন্টটি নিষ্ক্রিয় করুন, তারপর চলে যাওয়ার তারিখের পরে যেকোনো প্রচেষ্টার জন্য RADIUS রিজেক্ট লগগুলি দেখান। Purple-এর সাথে Microsoft Entra ID, Okta এবং Google Workspace সংহত রয়েছে, তাই নতুন জয়েন করা, স্থানান্তরিত হওয়া বা চলে যাওয়া কর্মীদের পরিবর্তনগুলি আপনার ডিরেক্টরি থেকে নেটওয়ার্কে পৌঁছে যায়। অডিটররা সাধারণত HR রেকর্ড থেকে চলে যাওয়া বেশ কয়েকজন কর্মীর নমুনা নেন। চলে যাওয়ার তারিখের পরে একটি টাইমস্ট্যাম্পযুক্ত রিজেক্ট লগ তাদের A.5.16 এবং A.5.18-এর অধীনে পরিষ্কার এবং যাচাইযোগ্য প্রমাণ প্রদান করে।