কোনো কর্মী চাকরি ছেড়ে চলে গেলে কীভাবে তার WiFi অ্যাক্সেস বাতিল করবেন

কর্মচারী চলে যাওয়ার পর WiFi অ্যাক্সেস বাতিল করার বিষয়ে এই টেকনিক্যাল ব্রিফিংয়ে আপনাকে স্বাগত জানাই। সমস্যাটি প্রায়শই যতটা বড়, তার চেয়ে ছোট মনে হয়। কেউ একজন শুক্রবার চলে গেলেন। তাদের ম্যানেজার ইমেল নিষ্ক্রিয় করে দিলেন এবং ল্যাপটপটি ফেরত নিয়ে নিলেন। তবুও সোমবার তাদের ফোন বা ব্যক্তিগত ডিভাইসটি Staff WiFi-এ যুক্ত হতে পারে। একটি হোটেলে, এটি একজন প্রাক্তন কর্মীকে অপারেশনাল সিস্টেমের কাছাকাছি নিয়ে যেতে পারে। একটি রিটেল এস্টেটে, এটি অনেক স্টোর জুড়ে স্টাফ নেটওয়ার্কে অ্যাক্সেস দিতে পারে। একটি স্টেডিয়াম বা কনফারেন্স সেন্টারে, এটি একটি ব্যস্ত ইভেন্টের দিন পরিচালনা করা আরও কঠিন করে তুলতে পারে। তাৎক্ষণিক প্রশ্নটি এটি নয় যে চলে যাওয়া ব্যক্তিটি কোনো পাসওয়ার্ড জানেন কিনা। প্রশ্নটি হলো, আপনার WiFi কি সেই ব্যক্তিকে একটি স্বতন্ত্র পরিচয় হিসেবে শনাক্ত করতে পারে এবং অন্য সবাইকে বিরক্ত না করে সেই পরিচয়কে অস্বীকার করতে পারে। একটি একক শেয়ার্ড WPA2 পাসফ্রেজ তা করতে পারে না। প্রতিটি ব্যক্তির কাছে একই ক্রেডেনশিয়াল থাকে। একবার সেই পাসফ্রেজটি চলে যাওয়া ব্যক্তির সাথে শেয়ার করা হলে, নেটওয়ার্কের কাছে সেই চলে যাওয়া ব্যক্তিকে অন্য প্রতিটি অনুমোদিত কর্মচারী, যিনি এটি জানেন, তাদের থেকে আলাদা করার কোনো সহজ উপায় থাকে না। এর বাস্তবসম্মত প্রতিক্রিয়া হলো কোম্পানি-ব্যাপী পাসফ্রেজ পরিবর্তন করা, যার পরে প্রতিটি অনুমোদিত ডিভাইসে এটি আপডেট করতে হয়। এটি পরিচালনাগতভাবে ব্যয়বহুল, সাপোর্ট টিকিট তৈরি করে এবং প্রায়শই বিলম্বিত হয়। এটি একটি বিস্তৃত ভেন্যু এস্টেটের জন্য একই দিনে অফবোর্ডিং করার মতো কোনো নির্ভরযোগ্য নিয়ন্ত্রণ নয়। তিনটি নির্ভরযোগ্য পদ্ধতি রয়েছে। প্রথমটি হলো প্রতি ব্যক্তির জন্য EAP-TLS সহ 802.1X। দ্বিতীয়টি হলো iPSK, যাকে কখনও কখনও ইন্ডিভিজুয়াল প্রি-শেয়ার্ড কি বলা হয়। তৃতীয়টি হলো SCIM ব্যবহার করে আইডেন্টিটি-প্রোভাইডার-চালিত ডিপ্রোভিশনিং। আপনি এই পদ্ধতিগুলো একত্রিত করতে পারেন। মূল ডিজাইনের পছন্দটি এখনও একই: অ্যাক্সেস ক্রেডেনশিয়ালটিকে একজন ব্যক্তি বা একটি পরিচালিত ডিভাইসের সাথে যুক্ত করুন, তারপর এটি অপসারণকে একটি নিয়ন্ত্রিত, লগ করা ইভেন্টে পরিণত করুন। আসুন 802.1X এবং EAP-TLS দিয়ে শুরু করি। IEEE 802.1X হলো নেটওয়ার্ক অ্যাক্সেস-কন্ট্রোল ফ্রেমওয়ার্ক। এটি যুক্ত হতে চাওয়া ডিভাইস, নেটওয়ার্কের প্রান্তে থাকা অথেনটিকেটর এবং ব্যাক-এন্ড অথেনটিকেশন সার্ভিসকে আলাদা করে। EAP-TLS হলো একটি Extensible Authentication Protocol পদ্ধতি যা পারস্পরিক অথেনটিকেশন এবং কি ডেরিভেশনের জন্য সার্টিফিকেট ব্যবহার করে। সহজ বাংলায়, ডিভাইসটি একটি সার্টিফিকেটের অধিকার প্রমাণ করে এবং নেটওয়ার্ক একই অথেনটিকেশন এক্সচেঞ্জে নিজের পরিচয় প্রমাণ করে। এই মডেলটি পরিচালিত স্টাফ ডিভাইস এবং উচ্চ-সুরক্ষিত নেটওয়ার্কের জন্য উপযুক্ত। চলে যাওয়া ব্যক্তির ক্ষেত্রে করণীয় কাজ কোনো শেয়ার্ড পাসওয়ার্ড পরিবর্তন করা নয়। এটি হলো পরিচয়টি নিষ্ক্রিয় করা এবং সার্টিফিকেটের অথেনটিকেট করার অধিকার বাতিল, অস্বীকার বা অন্য কোনো উপায়ে অপসারণ করা। ডিভাইসটি যখন অথেনটিকেট করবে, তখন আপনার RADIUS এবং সার্টিফিকেট-ভ্যালিডেশন ডিজাইনকে অবশ্যই সেই পরিবর্তনটি শনাক্ত করতে সক্ষম হতে হবে। সার্টিফিকেটের মেয়াদ শেষ হওয়াকে (expiry) সার্টিফিকেট বাতিলের (revocation) সাথে গুলিয়ে ফেলবেন না। মেয়াদ শেষ হওয়া একটি নির্ধারিত বিষয়। বাতিল করা হলো অফবোর্ডিংয়ের পদক্ষেপ যা আপনি নির্ধারিত শেষ তারিখের আগে গ্রহণ করেন। \nটাইমিং অত্যন্ত গুরুত্বপূর্ণ। সার্টিফিকেট-ভিত্তিক WiFi অ্যাক্সেসটি প্রমাণীকরণের সময় যাচাই করা হয়। তাই আপনার ব্যবহারিক লক্ষ্য পরিষ্কার: পরবর্তী প্রমাণীকরণের প্রচেষ্টায় সার্টিফিকেটটি যাতে সফল না হয় তা প্রতিরোধ করা এবং সেই ফলাফলটি পরীক্ষা করা। কর্মচারীর যদি ইতিমধ্যেই একটি সক্রিয় সেশন থাকে, তবে আপনার নীতিতে সেশন সংযোগ বিচ্ছিন্ন করার প্রয়োজন আছে কিনা তা আলাদাভাবে সিদ্ধান্ত নিন। এটি একটি নেটওয়ার্ক অপারেশনাল পছন্দ, পরিচয় প্রত্যাহার করার বিকল্প নয়। এছাড়াও আপনার ডিজাইন এবং পরীক্ষা প্রক্রিয়ার সময় দ্রুত পুনঃসংযোগের আচরণ এবং ক্যাশ করা সেশনের বিষয়টি বিবেচনায় রাখুন। ল্যাবে যে ডিজাইনটি সঠিক মনে হয়, সেটি একটি ব্লাইন্ড স্পট তৈরি করতে পারে যদি আপনার প্রোডাকশন প্রমাণীকরণ পাথটি অভিপ্রায় অনুযায়ী পরিবর্তনটি যাচাই না করে। EAP-TLS এর অপারেশনাল চেকলিস্টটি সহজ। প্রথমত, ব্যক্তির পরিচয়ের রেকর্ড এবং শেষ কাজের সময় নিশ্চিত করুন। দ্বিতীয়ত, সোর্স আইডেন্টিটি নিষ্ক্রিয় করুন। তৃতীয়ত, আপনার সার্টিফিকেট অথরিটি এবং RADIUS প্রক্রিয়া অনুযায়ী প্রাসঙ্গিক সার্টিফিকেটটি প্রত্যাহার বা অস্বীকার করুন। চতুর্থত, আপনার নীতি অনুযায়ী প্রয়োজন হলে একটি সক্রিয় সেশন সরিয়ে ফেলুন বা শেষ করুন। পঞ্চমত, সাবেক কর্মচারীর ম্যানেজড ডিভাইস বা একটি নিয়ন্ত্রিত সমতুল্য ডিভাইস দিয়ে একটি নতুন সংযোগের চেষ্টা করুন। সবশেষে, অনুরোধ, পরিবর্তন, ফলাফল, সময় এবং দায়বদ্ধ মালিকের বিবরণ সংরক্ষণ করুন। দ্বিতীয় প্যাটার্নটি হলো iPSK। পুরো কর্মীবাহিনীর দ্বারা শেয়ার করা একটি পাসফ্রেজের পরিবর্তে, একই স্টাফ WiFi নেটওয়ার্কে প্রতিটি ব্যক্তি বা ডিভাইসের একটি পৃথক কী থাকে। এটি অপসারণের প্রক্রিয়াটিকে সুনির্দিষ্ট করে তোলে। চলে যাওয়া ব্যক্তির সাথে সম্পর্কিত কীটি মুছে দিন, একটি নতুন সংযোগের প্রচেষ্টা ব্যর্থ হয়েছে কিনা তা নিশ্চিত করুন এবং অন্য প্রতিটি কী অপরিবর্তিত রাখুন। যেখানে আপনার এমন ডিভাইস রয়েছে যা সার্টিফিকেট ব্যবহার করতে পারে না, যেখানে একটি ম্যানেজড ডিভাইস প্রোগ্রাম এখনও তৈরি হচ্ছে, বা যেখানে আপনার একটি শেয়ার করা পাসফ্রেজ থেকে ব্যবহারিক রূপান্তরের প্রয়োজন রয়েছে, সেখানে iPSK ভাল কাজ করতে পারে। iPSK একটি ভিন্ন নামের সাধারণ স্টাফ পাসওয়ার্ডের মতো নয়। কীটি অবশ্যই একটি পরিচয় বা ডিভাইস রেকর্ডের সাথে সংযুক্ত থাকতে হবে। কী-এর মালিক, ইস্যুর তারিখ, ডিভাইস বা ব্যক্তির সংযোগ, নেটওয়ার্ক ভূমিকা এবং অপসারণের অবস্থার একটি তালিকা রাখুন। কীটিকে এমনভাবে আলাদা রাখুন যাতে একটি মুছে ফেলার ঘটনাটি চলে যাওয়া ব্যক্তির সাথে মেলানো যায়। যদি একই iPSK একটি দল, ঠিকাদার গ্রুপ বা শিফটের দ্বারা পুনরায় ব্যবহৃত হয়, তবে আপনি একটি ছোট আকারে সেই শেয়ারড-সিক্রেট সমস্যাটিই পুনরায় তৈরি করছেন। তৃতীয় প্যাটার্নটি হলো SCIM চালিত ডিপ্রোভিশনিং। SCIM হলো সিস্টেমজুড়ে পরিচয় ডেটা প্রোভিশনিং এবং পরিচালনা করার জন্য একটি স্ট্যান্ডার্ড HTTP-ভিত্তিক প্রোটোকল। একটি ভালো জয়নার-মুভার-লিভার প্রক্রিয়ায়, HR বা IT আপনার আইডেন্টিটি প্রোভাইডারে অ্যাকাউন্টটি নিষ্ক্রিয় করে, নিষ্ক্রিয় অবস্থাটি WiFi অ্যাক্সেস সার্ভিসে চলে যায় এবং পরবর্তী WiFi প্রমাণীকরণটি প্রত্যাখ্যান করা হয়। Purple, SCIM এর মাধ্যমে আইডেন্টিটি প্রোভাইডারের সাথে WiFi অ্যাক্সেস সংযুক্ত করে। প্রাসঙ্গিক আইডেন্টিটি প্রোভাইডারগুলো হলো Microsoft Entra ID, Okta এবং Google Workspace। এর অপারেশনাল সুবিধাটি কোনো জাদু নয়। এটি তথ্যের একটি একক উৎস বা সিঙ্গেল সোর্স অব ট্রুথ: যে ইভেন্টটি কর্মসংস্থান শেষ করে, সেটিই WiFi অপসারণের প্রক্রিয়া শুরু করে। SCIM-কে একটি কন্ট্রোল পাথ হিসেবে বিবেচনা করুন, কোনো স্লোগান হিসেবে নয়। আপনার একটি অনন্য আইডেন্টিফায়ার প্রয়োজন যা আইডেন্টিটি-প্রোভাইডার অ্যাকাউন্টকে WiFi অ্যাক্সেস রেকর্ডের সাথে ম্যাপ করে। আপনার একটি সম্মত নিষ্ক্রিয়করণ ইভেন্ট প্রয়োজন। কোনো নিষ্ক্রিয়করণ অনুরোধ ব্যর্থ হলে রিসিভিং সার্ভিস কী ত্রুটি তৈরি করে তা আপনাকে জানতে হবে। এবং আপনার একটি টেস্ট আইডেন্টিটি প্রয়োজন যা প্রমাণ করে যে আপনার মনিটরিং সেই ব্যর্থতাটিকে সনাক্ত করতে পারছে। এখন ডিজাইন থেকে ইমপ্লিমেন্টেশনে যান। একটি অ্যাক্সেস ইনভেন্টরি দিয়ে শুরু করুন। প্রতিটি স্টাফ WiFi নেটওয়ার্ক, এর সিকিউরিটি মোড, আইডেন্টিটি সোর্স, উপস্থিত থাকলে RADIUS পাথ, উপস্থিত থাকলে সার্টিফিকেট অথরিটি, উপস্থিত থাকলে iPSK অনার রেকর্ড, সেশন-ডিসকানেক্ট ক্ষমতা এবং লগ ডেস্টিনেশন তালিকাভুক্ত করুন। এটি ভেন্যু গ্রুপ অনুসারে করুন, পুরো কোম্পানির একটি সাধারণ তালিকা হিসেবে নয়। একটি হোটেল, একটি হাই-স্ট্রিট স্টোর এবং একটি স্টেডিয়াম ভিন্ন ভিন্ন অপারেশনাল টিম এবং হার্ডওয়্যার ব্যবহার করার পাশাপাশি একই পলিসি শেয়ার করতে পারে। এরপর, এমন কন্ট্রোলটি বেছে নিন যা কর্মী চলে যাওয়ার প্রক্রিয়া থেকে সবচেয়ে বেশি ম্যানুয়াল কাজ দূর করে। ম্যানেজড কর্পোরেট ডিভাইসের জন্য, যেখানে আপনার সার্টিফিকেট অথরিটি, RADIUS ডিজাইন এবং ডিভাইস ম্যানেজমেন্ট এটি সমর্থন করতে পারে সেখানে EAP-TLS সহ 802.1X ব্যবহার করুন। মিশ্র এস্টেট এবং যে ডিভাইসগুলো সার্টিফিকেট ব্যবহার করতে পারে না সেগুলোর জন্য, iPSK কেবল তখনই ব্যবহার করুন যখন প্রতিটি কী অনন্যভাবে মালিকানাধীন এবং মুছে ফেলার যোগ্য হয়। ইতোমধ্যে Microsoft Entra ID, Okta বা Google Workspace ব্যবহার করছে এমন একটি এস্টেটের জন্য, WiFi অপসারণের ট্রিগার হিসেবে অ্যাকাউন্ট নিষ্ক্রিয়করণকে সেট করতে SCIM-চালিত ডিপ্রোভিশনিং ব্যবহার করুন। Purple সেই আইডেন্টিটি ইভেন্টটিকে WiFi অ্যাক্সেস স্ট্যাটাসের সাথে সংযুক্ত করতে পারে। কোনো ব্যতিক্রমী পাথ না হলে দ্বিতীয় কোনো ম্যানুয়াল টিকিট যোগ করবেন না। একই দিনের অফবোর্ডিং রানবুক তৈরি করুন। HR শেষ সময় নিশ্চিত করবে। আইডেন্টিটি অনার অ্যাকাউন্টটি নিষ্ক্রিয় করবে। নেটওয়ার্ক অনার নিশ্চিত করবে যে সংশ্লিষ্ট সার্টিফিকেট, iPSK বা WiFi অ্যাক্সেস রেকর্ডটি আর বৈধ নয়। সচল সেশন ডিসকানেক্ট করার প্রয়োজন আছে কিনা তা অপারেশনস টিম সিদ্ধান্ত নেবে। একজন নির্দিষ্ট টেস্টার একটি নতুন প্রমাণীকরণের চেষ্টা করবেন। ফলাফল রেকর্ড করার পরেই কেবল কেসটি বন্ধ হবে। এটি ইচ্ছাকৃতভাবেই সাধারণ রাখা হয়েছে। এটি এমন একটি অংশ যা একজন অ্যাসেসর পুনর্গঠন করতে পারেন। ISO 27001 বা SOC 2-এর প্রমাণের জন্য, একটি ছোট কিন্তু সম্পূর্ণ চেইন বজায় রাখুন: অনুমোদিত অফবোর্ডিং অনুরোধ, আইডেন্টিটি প্রোভাইডার পরিবর্তন, WiFi পরিবর্তন, ভেরিফিকেশন ফলাফল, টাইমস্ট্যাম্প এবং প্রতিটি পদক্ষেপের দায়িত্বপ্রাপ্ত অনার। কন্ট্রোলের প্রয়োজনের চেয়ে বেশি ব্যক্তিগত ডেটা সংগ্রহ করা এড়িয়ে চলুন। অ্যাক্সেস রেকর্ডগুলো ব্যক্তিগত ডেটা হতে পারে, তাই আপনার রিটেনশন এবং অ্যাক্সেস-কন্ট্রোল সিদ্ধান্তে এগুলোকে অন্তর্ভুক্ত করুন। যদি স্টাফ WiFi পেমেন্ট সিস্টেমকে প্রভাবিত করতে পারে, তবে WiFi রিভোকেশনকে একটি একক কমপ্লায়েন্স দাবি হিসেবে বিবেচনা না করে PCI-DSS-এর জন্য দায়িত্বপ্রাপ্ত টিমের সাথে স্কোপ এবং সেগমেন্টেশন নিয়ে আলোচনা করুন। চারটি ফেইলর মোডের দিকে নজর রাখুন। প্রথমত, একটি উপেক্ষিত SSID-তে এখনও একটি শেয়ারড পাসওয়ার্ড ব্যবহার করা হচ্ছে। দ্বিতীয়ত, WiFi রেকর্ডটি একটি স্থায়ী আইডেন্টিটির পরিবর্তে একটি পরিবর্তনযোগ্য ইমেল ঠিকানার সাথে ম্যাপ করা হয়েছে। তৃতীয়ত, একটি নিষ্ক্রিয়করণ ইভেন্ট আইডেন্টিটি প্রোভাইডারে পৌঁছালেও WiFi অ্যাক্সেস সার্ভিসে পৌঁছায়নি। চতুর্থত, আপনি কেবল ড্যাশবোর্ড স্ট্যাটাস পরীক্ষা করছেন, কোনো বাস্তব নতুন যোগদানের চেষ্টা নয়। আপনি যদি কন্ট্রোলটি ইনভেন্টরি, মনিটর এবং টেস্ট করেন তবে প্রতিটি ফেইলর মোড প্রতিরোধ করা সম্ভব।দ্রুতগতির প্রশ্নোত্তর। একজন চাকরি ছেড়ে যাওয়া ব্যক্তির জন্য কী শেয়ার করা WPA2 পাসওয়ার্ড বাতিল করা যায়? না। এটি সবার জন্য পরিবর্তন করুন, অথবা প্রতি-ইউজার ভিত্তিক কন্ট্রোল দিয়ে এটি প্রতিস্থাপন করুন। EAP-TLS অ্যাক্সেস কত দ্রুত বাতিল করা যায়? পরবর্তী অথেন্টিকেশনের সময়, যদি আপনার সার্টিফিকেট এবং RADIUS ভ্যালিডেশন ডিজাইনটি এই বাতিলকরণ সনাক্ত করতে পারে। SCIM কি একটি সক্রিয় সেশন রিমুভ করে? নিজে থেকে নয়। সেশন কন্ট্রোলকে একটি পৃথক অপারেশনাল সিদ্ধান্ত হিসেবে বিবেচনা করুন। iPSK কি প্রতিটি ডিভাইসের জন্য উপযুক্ত? না। এটি একটি ব্যবহারিক আইডেন্টিটি-বাউন্ড কি মডেল যেখানে সার্টিফিকেট অথেন্টিকেশন উপযুক্ত নয়। পরবর্তী ধাপ হলো একটি সংক্ষিপ্ত ডিজাইন রিভিউ করা। যেকোনো একটি স্টাফ WiFi নেটওয়ার্ক বেছে নিন। HR নোটিফিকেশন থেকে শুরু করে অ্যাক্সেস ব্লক হওয়া পর্যন্ত প্রতিটি ধাপ লক্ষ্য করুন। যেখানে ম্যানুয়াল কাজ করতে হচ্ছে তা খুঁজে বের করুন। তারপর সেটি রিমুভ করুন। একজন কর্মী যখন চলে যাবেন তখনই তার WiFi ক্রেডেনশিয়াল বাতিল হওয়া উচিত, পরবর্তী পাসওয়ার্ড পরিবর্তনের প্রজেক্টের সময় নয়।