मुख्य मजकुराकडे जा
मराठी

किरकोळ विक्रीसाठी स्टाफ WiFi पॉलिसी: बॅक ऑफ हाऊस नेटवर्क्स सुरक्षित करणे

या मार्गदर्शकामध्ये किरकोळ विक्रीच्या बॅक ऑफ हाऊस WiFi नेटवर्क्स सुरक्षित करण्यासाठीच्या महत्त्वाच्या तांत्रिक आणि पॉलिसी आवश्यकता समाविष्ट आहेत - VLAN सेगमेंटेशन आणि PCI DSS 4.0 अनुपालनापासून ते शॉप फ्लोअरवर कर्मचाऱ्यांच्या BYOD व्यवस्थापनापर्यंत. हे IT मॅनेजर्स, नेटवर्क आर्किटेक्ट्स आणि ऑपरेशन्स डायरेक्टर्सना या तिमाहीत अंमलात आणता येईल अशी एक व्यावहारिक, व्हेंडर-न्यूट्रल ब्लू प्रिंट प्रदान करते.

📖 8 मिनिट वाचन📝 1,809 शब्द🔧 2 सोडवलेली उदाहरणे❓ 4 सराव प्रश्न📚 10 महत्वाच्या व्याख्या

हे मार्गदर्शक ऐका

पॉडकास्ट ट्रान्सक्रिप्ट पहा
[INTRO - 1 minute] Purple Enterprise Briefing मध्ये आपले स्वागत आहे. आज आपण रिटेल IT डायरेक्टर्सना भेडसावणाऱ्या एका गंभीर समस्येवर चर्चा करत आहोत: बॅक-ऑफ-हाऊस WiFi नेटवर्क्स सुरक्षित करणे आणि कर्मचारी डिव्हाइस पॉलिसी व्यवस्थापित करणे. आम्ही नेहमीच्या शॉपर फ्लोपलीकडे जाऊन रिटेल ऑपरेशन्सच्या गुंतागुंतीच्या आणि बऱ्याचदा गोंधळात टाकणाऱ्या वास्तविकतेचा विचार करत आहोत. मोबाईल पॉईंट-ऑफ-सेल डिव्हाइसेस, इन्व्हेंटरी स्कॅनर्स आणि अर्थातच, कर्मचाऱ्यांच्या स्मार्टफोनचा अपरिहार्य पूर. प्रत्येक गोष्टीवर कडक निर्बंध न लादता, जेणेकरून कर्मचाऱ्यांना त्यांचे काम सहज करता येईल, तुम्ही नेटवर्क कसे सुरक्षित ठेवता, PCI DSS चे पालन कसे राखता आणि व्यवसाय सुरळीत सुरू ठेवण्याची खात्री कशी देता? आज आपण हेच कव्हर करत आहोत. चला जमिनीवरील वास्तविकतेपासून सुरुवात करूया. रिटेलचे वातावरण वेगाने बदलले आहे. दहा वर्षांपूर्वी, पॉईंट-ऑफ-सेल सिस्टम ही काउंटरला जोडलेली आणि वॉल पोर्टशी जोडलेली एक निश्चित कॅश रजिस्टर असायची. आज, रिटेल मोबाईल झाले आहे. कर्मचारी टॅब्लेटसह स्टोअरमध्ये फिरत आहेत, आयल्समध्ये स्टॉक तपासत आहेत आणि स्टोअरमध्ये कुठेही पेमेंट घेत आहेत. या मोबिलिटीसाठी मजबूत WiFi आवश्यक आहे, परंतु यामुळे सुरक्षेचा धोका देखील मोठ्या प्रमाणावर वाढतो. [TECHNICAL DEEP-DIVE - 5 minutes] आता तांत्रिक रचनेचा सखोल अभ्यास करूया. येथील सुवर्ण नियम अगदी साधा आहे, परंतु अनेकदा त्याकडे दुर्लक्ष केले जाते: एक सपाट (फ्लॅट) नेटवर्क म्हणजे सुरक्षेमध्ये कधीही बिघाड होण्याची शक्यता असणारे नेटवर्क होय. तुमचे पॉईंट-ऑफ-सेल ट्रॅफिक, तुमचे बॅक-ऑफिस ऑपरेशन्स आणि तुमच्या कर्मचाऱ्यांचे वैयक्तिक डिव्हाइसेस एकाच सबनेटवर असू शकत नाहीत - अगदी कोणत्याही परिस्थितीत असू शकत नाहीत. कर्मचाऱ्यांच्या विश्रांतीच्या वेळी जर त्यांच्या वैयक्तिक फोनमध्ये मालवेअरचा संसर्ग झाला आणि तो फोन फ्लॅट नेटवर्कवर असेल, तर तो मालवेअर थेट तुमच्या कार्डहोल्डर डेटा एनव्हायरनमेंटमध्ये प्रवेश करू शकतो. हा एक अत्यंत मोठा सुरक्षेचा बिघाड ठरेल. २०१३ मधील Target डेटा लीक, ज्यामध्ये कंपनीला सेटलमेंट्समध्ये १८.५ दशलक्ष डॉलर्सचा भुर्दंड सोसावा लागला होता, त्याची सुरुवात पॉईंट-ऑफ-सेल सिस्टम्स सारख्याच फ्लॅट नेटवर्कवर असलेल्या थर्ड-पार्टी HVAC सिस्टमद्वारे हॅकरने केलेल्या प्रवेशाने झाली होती. हा एक मोठा धडा आहे आणि याच कारणामुळे नेटवर्कचे वर्गीकरण (नेटवर्क सेगमेंटेशन) हा आता PCI DSS चा एक मुख्य स्तंभ बनला आहे. यावरील उपाय म्हणजे VLANs - व्हर्च्युअल लोकल एरिया नेटवर्क्सचा वापर करून कठोर लॉजिकल पृथक्करण करणे. आम्ही कोणत्याही एंटरप्राइझ रिटेल डेप्लॉयमेंटसाठी बेसलाइन म्हणून चार-झोन रचनेची शिफारस करतो. झोन एक म्हणजे तुमचे कार्डहोल्डर डेटा एनव्हायरनमेंट किंवा CDE. हे VLAN 10 आहे. यामध्ये POS टर्मिनल्स आणि पेमेंट गेटवेज असतात. हे नेटवर्क पूर्णपणे वेगळे असणे आवश्यक आहे. तुम्ही CDE जेवढे अधिक सुरक्षित ठेवाल, तेवढा तुमचा PCI DSS ऑडिटचा आवाका लहान होईल, ज्यामुळे तुमचा महत्त्वाचा वेळ आणि पैसा वाचेल. झोन दोन म्हणजे स्टाफ ऑपरेशन्स नेटवर्क. VLAN 20. हे पेमेंट डेटा हाताळत नसलेल्या परंतु व्यवसायासाठी अत्यंत महत्त्वाच्या असलेल्या डिव्हाइसेससाठी आहे - जसे की इन्व्हेंटरी स्कॅनर्स, बॅक-ऑफिस PCs, VoIP फोन्स. झोन तीन म्हणजे स्टाफ BYOD. VLAN 30. कर्मचाऱ्यांचे वैयक्तिक फोन येथे जोडले जातात. आणि झोन चार म्हणजे तुमचे पब्लिक गेस्ट WiFi, VLAN 40, जे कोणत्याही अंतर्गत सिस्टम्समध्ये प्रवेश न मिळवता थेट इंटरनेटशी जोडले गेले पाहिजे. आता, ऑथेंटिकेशनबद्दल बोलूया, विशेषतः त्या Zone two Operations Network साठी. बरेच किरकोळ विक्रेते अजूनही Pre-Shared Keys वापरत आहेत - एकच पासवर्ड जो सर्वांना माहीत असतो. हे एका एंटरप्राइझसाठी अस्वीacceptable आहे. जर एखादा कर्मचारी निघून गेला, किंवा एखादे डिव्हाइस चोरीला गेले, तर सुरक्षित राहण्यासाठी तांत्रिकदृष्ट्या तुम्हाला स्टोअरमधील प्रत्येक डिव्हाइसवर तो पासवर्ड बदलावा लागेल. असे प्रत्यक्षात कोणीही करत नाही, याचा अर्थ नेटवर्क कायमचे धोक्यात असते. तुम्हाला तैनात करण्याची आवश्यकता असलेले मानक म्हणजे RADIUS सर्व्हर वापरून IEEE 802.1X ऑथेंटिकेशन. यासाठी प्रत्येक वापरकर्त्याला किंवा डिव्हाइसला स्वतंत्रपणे ऑथेंटिकेट करणे आवश्यक आहे. कॉर्पोरेट मालकीच्या हार्डवेअरसाठी, जसे की ते इन्व्हेंटरी स्कॅनर्स, तुम्ही डिव्हाइसेसवर क्लायंट सर्टिफिकेट्स पुश करण्यासाठी मोबाईल डिव्हाइस मॅनेजमेंट, किंवा MDM वापरले पाहिजे. ही EAP-TLS पद्धत आहे. हे वापरकर्त्यासाठी अखंड आहे - कोणतेही पासवर्ड लक्षात ठेवण्याची गरज नाही - आणि जर एखादे डिव्हाइस गहाळ झाले, तर तुम्ही त्याचे सर्टिफिकेट फक्त रद्द करता, आणि ते नेटवर्कवर त्वरित निकामी होते. सर्वोच्च सुरक्षा स्थितीसाठी, 802.1X ला WPA3-Enterprise सोबत जोडा. हे 256-बिट एन्क्रिप्शन आणि अनिवार्य सर्व्हर सर्टिफिकेट व्हॅलिडेशन प्रदान करते, ज्याद्वारे डिव्हाइसेस कायदेशीर कॉर्पोरेट नेटवर्कशी जोडले जात आहेत आणि तुमच्या SSID चे अनुकरण करणाऱ्या एखाद्या फसव्या ॲक्सेस पॉइंटशी नाही याची खात्री होते. आता सर्वात कठीण मुद्द्याकडे वळूया: स्टाफ BYOD. Bring Your Own Device. तुमचे कर्मचारी शॉप फ्लोअरवर आहेत, आणि त्यांच्याकडे त्यांचे वैयक्तिक स्मार्टफोन्स आहेत. त्यांच्यावर पूर्णपणे बंदी घालणे अनेकदा सांस्कृतिकदृष्ट्या अशक्य असते, आणि प्रामाणिकपणे सांगायचे तर, यामुळे मनोबल खचते. परंतु त्यांना ऑपरेशन्स नेटवर्कवर प्रवेश देणे हा एक मोठा सुरक्षा धोका आहे. शिवाय, जर तुम्ही पन्नास कर्मचाऱ्यांना तुमच्या पॉइंट-ऑफ-सेल सिस्टमसारख्याच बँडविड्थ पूलवर ब्रेक रूममध्ये हाय-डेफिनिशन व्हिडिओ स्ट्रीम करू दिले, तर तुमच्या सर्वात व्यस्त ट्रेडिंग कालावधीत व्यवहार ठप्प होतील. सर्वात प्रभावी दृष्टिकोन म्हणजे स्टाफ BYOD ला विशिष्ट, वेगळ्या VLAN वर Guest WiFi सारखेच वागणूक देणे. BYOD नेटवर्कसाठी एक Captive Portal सेट अप करा. कर्मचाऱ्यांना त्यांच्या कॉर्पोरेट क्रेडेंशियलचा वापर करून लॉग इन करणे आवश्यक करा - जे Microsoft Entra ID, Okta, किंवा Google Workspace सोबत इंटिग्रेट होते. हे तुम्हाला कोण कनेक्टेड आहे आणि कधी आहे याचा ऑडिट ट्रेल देते. सर्वात महत्त्वाचे म्हणजे, तुम्ही बँडविड्थ व्यवस्थापन लागू केले पाहिजे. येथेच Purple Shield अमूल्य ठरते. तुम्ही कठोर बँडविड्थ कॅप्स लागू करू शकता - समजा, प्रति वापरकर्ता दोन मेगाबिट्स प्रति सेकंद - आणि व्हिडिओ स्ट्रीमिंगसारख्या हाय-बँडविड्थ ॲप्लिकेशन्सना ब्लॉक करू शकता. हे सुनिश्चित करते की वैयक्तिक डिव्हाइसचा वापर कोर रिटेल ऑपरेशन्सना काम करण्यासाठी आवश्यक असलेल्या बँडविड्थपासून कधीही वंचित ठेवत नाही. Captive Portal अनुपालनाचे (compliance) कार्य देखील करते. GDPR अंतर्गत, कर्मचाऱ्यांच्या डेटावर प्रक्रिया करण्यासाठी तुम्हाला कायदेशीर आधाराची आवश्यकता आहे. कर्मचाऱ्यांना पोर्टलद्वारे Acceptable Use Policy स्वीकारणे आवश्यक केल्याने संमतीची स्पष्ट, दस्तऐवजीकरण केलेली नोंद तयार होते. [अंमलबजावणी आणि धोके - २ मिनिटे] चला अनुपालनावर अधिक तपशीलात बोलूया. PCI-DSS व्हर्जन 4.0 आता देशाचा कायदा आहे, जो मार्च २०२५ पासून पूर्णपणे लागू झाला आहे. व्हर्जन 4.0 मधील सर्वात मोठा बदल म्हणजे वार्षिक ऑडिट ऐवजी सततच्या अनुपालनाकडे (continuous compliance) झालेले संक्रमण होय. आवश्यकता 11.4.5 स्पष्टपणे सांगते की सेगमेंटेशन कंट्रोल्सची किमान दर सहा महिन्यांनी चाचणी केली पाहिजे. तुम्ही फक्त तुमचे VLANs सेट करून ते विसरून जाऊ शकत नाही. पॅनिट्रेशन टेस्टिंगद्वारे तुम्हाला हे सिद्ध करावे लागेल की ट्रॅफिक Guest किंवा BYOD नेटवर्कमधून CDE मध्ये जाऊ शकत नाही. आम्ही वारंवार स्विच पोर्टवरील साध्या चुकीच्या कॉन्फिगरेशनमुळे किंवा फर्मवेअर अपडेट दरम्यान अनवधानाने बदललेल्या राउटर नियमामुळे VLAN ब्लीड झालेला पाहतो. तुमच्या ॲक्सेस कंट्रोल लिस्ट्सचे नियमित ऑडिटिंग करणे बंधनकारक आहे. PCI DSS 4.0 विशेषाधिकारप्राप्त ॲडमिन खात्यांसाठी अधिक मजबूत मल्टिफॅक्टर ऑथेंटिकेशन आवश्यकता देखील सादर करते. जर तुमचे नेटवर्क इंजिनिअर्स वायरलेस इन्फ्रास्ट्रक्चर व्यवस्थापित करत असतील, तर त्यांनी मॅनेजमेंट कन्सोलमध्ये प्रवेश करण्यासाठी MFA चा वापर केलाच पाहिजे. कोणतीही सवलत नाही. दुसरी मोठी अडचण म्हणजे रोग ॲक्सेस पॉइंट्स (rogue access points). सिग्नल कमकुवत असल्यामुळे कर्मचारी स्टोकरूमच्या इथरनेट पोर्टमध्ये स्वस्त ग्राहक राउटर प्लग करतो. ते डिव्हाइस तुमच्या सर्व एंटरप्राइझ सुरक्षा नियंत्रणांना पूर्णपणे बायपास करते. हे स्वयंचलितपणे शोधण्यासाठी आणि ब्लॉक करण्यासाठी तुम्हाला वायरलेस इंट्रुजन प्रिव्हेंशन सिस्टम्स - WIPS - ची आवश्यकता आहे. Cisco Meraki, HPE Aruba आणि Ruckus यासह हार्डवेअर विक्रेते त्यांच्या एंटरप्राइझ ॲक्सेस पॉइंट्समध्ये WIPS क्षमता समाविष्ट करतात. [रॅपिड-फायर प्रश्नोत्तरे - १ मिनिट] आम्हाला फील्डमध्ये दिसणाऱ्या सामान्य परिस्थितींवर आधारित एक द्रुत रॅपिड-फायर प्रश्नोत्तरे करूया. प्रश्न एक: आमच्या स्टोअर मॅनेजरला स्टोकरूमच्या इथरनेट पोर्टमध्ये ग्राहक WiFi राउटर प्लग करायचा आहे कारण सिग्नल कमकुवत आहे. हे ठीक आहे का? बिलकुल नाही. तो एक रोग ॲक्सेस पॉइंट आहे. हे तुमच्या सर्व वायरलेस सुरक्षा नियंत्रणांना पूर्णपणे बायपास करते. हे स्वयंचलितपणे शोधण्यासाठी आणि ब्लॉक करण्यासाठी WIPS तैनात करा. प्रश्न दोन: आम्ही आमच्या नवीन मोबाईल पॉईंट-ऑफ-सेल टॅब्लेटसाठी WPA2 प्री-शेअर्ड की वापरू शकतो का? नाही. सर्व कॉर्पोरेट मालकीच्या डिव्हाइसेससाठी WPA3-Enterprise आणि 802.1X प्रमाणपत्र-आधारित ऑथेंटिकेशन वापरा. प्रश्न तीन: आमचे एक लहान, सिंगल-साइट बुटीक आहे. आम्हाला खरोखरच सर्व चार VLANs ची गरज आहे का? किमान, तुम्हाला दोन हवेत: एक तुमच्या पॉईंट-ऑफ-सेलसाठी आणि एक इतर सर्व गोष्टींसाठी. CDE नेहमी वेगळा ठेवला पाहिजे. [सारांश आणि पुढील पावले - १ मिनिट] आजच्या ब्रीफिंगचा सारांश सांगायचा तर: रिटेल बॅक-ऑफ-हाउस WiFi सुरक्षित ठेवण्यासाठी तीन स्तंभांवर तयार केलेल्या स्तरित दृष्टिकोनाची आवश्यकता आहे. पहिला, वेगळे करा (Isolate). कार्डहोल्डर डेटा एन्व्हायरनमेंटचे रक्षण करण्यासाठी आणि वैयक्तिक डिव्हाइसेसपासून ऑपरेशनल ट्रॅफिक वेगळे करण्यासाठी कडक VLAN सेगमेंटेशन वापरा. दुसरा, ऑथेंटिकेट करा (Authenticate). कॉर्पोरेट डिव्हाइसेससाठी 802.1X आणि प्रमाणपत्र-आधारित ऑथेंटिकेशन तैनात करा, सामायिक पासवर्डचा वापर कायमचा बंद करा. तिसरा, नियमन करा (Regulate). वैयक्तिक डिव्हाइसेससाठी कॅप्टिव्ह पोर्टल आणि Purple Shield सारखी बँडविड्थ व्यवस्थापन साधने वापरा, जेणेकरून कर्मचाऱ्यांना एक मंजूर पर्याय मिळेल ज्यामुळे ऑपरेशन्स किंवा अनुपालनाशी तडजोड होणार नाही. या चरणांची अंमलबजावणी केल्याने केवळ PCI DSS 4.0 चे अनुपालन सुनिश्चित होत नाही तर तुमच्या गंभीर रिटेल ऑपरेशन्सना महसूल वाढवण्यासाठी आवश्यक असलेली सुरक्षित, विश्वासार्ह कनेक्टिव्हिटी मिळते याची हमी देखील मिळते. डेटा ब्रीचचा खर्च - रिटेल क्षेत्रात सरासरी ३० लाख डॉलर्सपेक्षा जास्त - योग्य नेटवर्क आर्किटेक्चरमधील कोणत्याही गुंतवणुकीपेक्षा खूप मोठा आहे.हे Purple Enterprise Briefing ऐकल्याबद्दल धन्यवाद. अधिक तपशीलवार तांत्रिक मार्गदर्शकांसाठी आणि तुमच्या संपूर्ण रिटेल इस्टेटमध्ये सुरक्षित, सुसंगत WiFi तैनात करण्यासाठी Purple तुम्हाला कशी मदत करू शकते हे जाणून घेण्यासाठी, purple dot ai ला भेट द्या.

📚 आमच्या मुख्य मालिकेचा भाग: Enterprise WiFi Security Guide →

header_image.png

कार्यकारी सारांश (Executive summary)

रिटेल बॅक-ऑफ-हाऊस WiFi सुरक्षित करणे हे एक गंभीर ऑपरेशनल कर्तव्य आहे. रिटेलचे वातावरण जसजसे अधिक जोडले जात आहे, तसतसे शॉप फ्लोअर आणि बॅक ऑफिसमधील सीमा धूसर होत आहेत. कर्मचारी त्यांच्या स्वतःच्या वैयक्तिक स्मार्टफोन्ससह मोबाईल पॉईंट-ऑफ-सेल (mPOS) डिव्हाइसेस, हँडहेल्ड इन्व्हेंटरी स्कॅनर्स त्याच प्रत्यक्ष जागेत वापरतात जिथे ग्राहक Guest WiFi वापरतात. कठोर नेटवर्क विभाजन (segmentation) नसल्यास, या एकत्रिकरणामुळे सायबर हल्ल्याचा धोका मोठ्या प्रमाणावर वाढतो.

PCI DSS 4.0, जे मार्च २०२५ पासून पूर्णपणे लागू झाले आहे, त्याअंतर्गत अधिक कठोर नियंत्रणे, सतत देखरेख आणि दर सहा महिन्यांनी दस्तऐवजीकरण केलेल्या विभाजन चाचणीची (segmentation testing) आवश्यकता आहे. एकच चुकीचे कॉन्फिगर केलेले ॲक्सेस पॉईंट किंवा तडजोड केलेले कर्मचाऱ्याचे डिव्हाइस कार्डधारक डेटा पर्यावरण (CDE) उघड करू शकते, ज्यामुळे डेटा लीक आणि गंभीर आर्थिक दंड होऊ शकतो. २०१३ मधील Target चा डेटा लीक - ज्यामध्ये सेटलमेंटसाठी $१८.५ दशलक्ष खर्च आला होता - त्याची सुरुवात POS सिस्टम्ससारख्याच एका साध्या फ्लॅट नेटवर्कवर असलेल्या थर्ड-पार्टी HVAC सिस्टममधून हल्लेखोराने प्रवेश केल्यामुळे झाली होती. तो धडा आजही लागू पडतो.

हे मार्गदर्शक मजबूत कर्मचारी WiFi धोरणे लागू करण्यासाठी एक व्यावहारिक, व्हेंडर-निरपेक्ष ब्लू प्रिंट प्रदान करते. आम्ही बॅक-ऑफ-हाऊस सिस्टम्स वेगळे करण्यासाठी, कर्मचाऱ्यांच्या BYOD ॲक्सेसचे व्यवस्थापन करण्यासाठी आणि ऑपरेशनल कार्यक्षमतेला बाधा न आणता अनुपालन (compliance) राखण्यासाठी आवश्यक असलेल्या तांत्रिक आर्किटेक्चरचा समावेश केला आहे. एंटरप्राइझ सुरक्षा आर्किटेक्चरच्या विस्तृत दृष्टिकोनासाठी, आमचे Enterprise WiFi Security: A Complete Guide for 2026 पहा.

तांत्रिक सखोल विश्लेषण: आर्किटेक्चर आणि विभाजन (segmentation)

सुरक्षित रिटेल WiFi चा पाया म्हणजे लॉजिकल विलगता (logical isolation) होय. एक सपाट (flat) नेटवर्क हे तडजोड केलेले नेटवर्क असते. सर्वोत्तम पद्धतींनुसार एका स्तरावरील (layered) आर्किटेक्चरची आवश्यकता असते जे वेगवेगळ्या नेटवर्क झोनमध्ये जबाबदाऱ्या वेगळ्या करते.

चार-झोन रिटेल नेटवर्क मॉडेल

रिटेल स्टोअर नेटवर्क्स ट्रॅफिकचे प्रकार वेगळे करण्यासाठी Virtual Local Area Networks (VLANs) चा वापर करून विभाजित केले पाहिजेत. मानक उपयोजनासाठी (deployment) किमान चार स्वतंत्र झोन आवश्यक आहेत.

झोन १ - कार्डधारक डेटा पर्यावरण (CDE), VLAN १०. हा सर्वात गंभीर विभाग आहे. यामध्ये निश्चित POS टर्मिनल्स, पेमेंट गेटवे आणि क्रेडिट कार्ड डेटावर प्रक्रिया करणारे किंवा प्रसारित करणारे कोणतेही डिव्हाइस असते. हे VLAN इतर सर्व नेटवर्क्सपासून काटेकोरपणे वेगळे केले पाहिजे. तुम्ही CDE जितके घट्टपणे लॉक कराल, तितकी तुमची PCI DSS ऑडिटची व्याप्ती कमी होईल - ज्यामुळे वार्षिक मूल्यमापनावरील लक्षणीय वेळ आणि खर्च वाचेल.

झोन २ - स्टाफ ऑपरेशन्स नेटवर्क, VLAN २०. हा विभाग व्यवसाय-गंभीर डिव्हाइसेसना सपोर्ट करतो जे पेमेंट डेटा हाताळत नाहीत: इन्व्हेंटरी स्कॅनर्स, बॅक-ऑफिस PCs, मॅनेजर टॅब्लेट्स आणि VoIP फोन्स. 802.1X ऑथेंटिकेशन वापरून ॲक्सेसवर काटेकोरपणे नियंत्रण ठेवले पाहिजे. झोन ३ - कर्मचारी BYOD / वैयक्तिक उपकरणे, VLAN ३०. कर्मचाऱ्यांचे वैयक्तिक स्मार्टफोन आणि टॅब्लेट येथे समाविष्ट आहेत. हे नेटवर्क केवळ इंटरनेट प्रवेश प्रदान करणारे असावे, आणि ते सर्व अंतर्गत कॉर्पोरेट संसाधनांपासून पूर्णपणे वेगळे असावे. कर्मचाऱ्यांच्या स्ट्रीमिंगमुळे कार्यरत नेटवर्कच्या कामगिरीवर परिणाम होऊ नये म्हणून बँडविड्थ नियंत्रणे आवश्यक आहेत.

झोन ४ - अतिथी / खरेदीदार WiFi, VLAN ४०. हे ग्राहकांसाठीचे सार्वजनिक नेटवर्क आहे. हे सर्व अंतर्गत सिस्टीमपासून लॉजिकली वेगळे असणे आणि थेट इंटरनेटवर राउट करणे आवश्यक आहे. या लेयरचा वापर करण्याबाबतच्या सविस्तर मार्गदर्शकासाठी, आमची Retail उद्योग संसाधने पहा.

network_architecture_overview.png

VLAN झोन उपकरणे ऑथेंटिकेशन इंटरनेट अंतर्गत प्रवेश
10 CDE / POS POS टर्मिनल्स, कार्ड रीडर्स WPA3-Enterprise + 802.1X नाही केवळ पेमेंट गेटवे
20 कर्मचारी ऑपरेशन्स स्कॅनर्स, बॅक-ऑफिस PCs, टॅब्लेट WPA3-Enterprise + 802.1X प्रतिबंधित इन्व्हेंटरी DB, VoIP
30 कर्मचारी BYOD वैयक्तिक स्मार्टफोन, वैयक्तिक लॅपटॉप Captive Portal + कॉर्पोरेट SSO होय काहीही नाही
40 अतिथी WiFi खरेदीदारांची उपकरणे Captive Portal होय काहीही नाही

ऑथेंटिकेशन प्रोटोकॉल्स

कर्मचारी ऑपरेशन्स नेटवर्क सुरक्षित ठेवण्यासाठी मजबूत ऑथेंटिकेशन आवश्यक आहे. एंटरप्राइझ वातावरणासाठी Pre-Shared Keys (PSKs) अपुरे आहेत. एखादा कर्मचारी नोकरी सोडून गेल्यास, सर्व उपकरणांवर PSK बदलणे आवश्यक ठरते. प्रत्यक्षात असे कोणीही करत नाही, ज्याचा अर्थ असा की नेटवर्क कायमचे असुरक्षित राहते.

त्याऐवजी, RADIUS सर्व्हर वापरून IEEE 802.1X ऑथेंटिकेशन तैनात करा. हे मानक पोर्ट-आधारित नेटवर्क प्रवेश नियंत्रण प्रदान करते, ज्यामुळे केवळ अधिकृत उपकरणे आणि वापरकर्तेच कॉर्पोरेट VLAN ला कनेक्ट होऊ शकतात. सर्वोच्च सुरक्षा स्थितीसाठी, WPA3-Enterprise लागू करा, जे २५६-बिट एन्क्रिप्शन आणि सर्व्हर प्रमाणपत्र प्रमाणीकरण अनिवार्य करते.

mPOS टॅब्लेट किंवा इन्व्हेंटरी स्कॅनर यांसारख्या कॉर्पोरेटच्या मालकीच्या उपकरणांचा संच व्यवस्थापित करताना, प्रत्येक उपकरणावर अनन्य क्लायंट प्रमाणपत्रे पाठवण्यासाठी मोबाईल डिव्हाइस व्यवस्थापन (MDM) वापरा. ही EAP-TLS पद्धत आहे. हे पासवर्ड पूर्णपणे काढून टाकते आणि केवळ व्यवस्थापित उपकरणेच ऑपरेशन्स नेटवर्कमध्ये प्रवेश करू शकतात याची खात्री करते. एखादे उपकरण हरवल्यास किंवा चोरीला गेल्यास, नेटवर्कवरील इतर कोणत्याही उपकरणावर परिणाम न करता MDM कन्सोलमधून त्याचे प्रमाणपत्र त्वरित रद्द करा.

ज्या वातावरणात अद्याप EAP-TLS व्यवहार्य नाही, तिथे MSCHAPv2 सह PEAP (Protected Extensible Authentication Protocol) हा एक योग्य मधला मार्ग प्रदान करतो, ज्यामध्ये TLS सेशनमध्ये टनेल केलेल्या युझरनेम आणि पासवर्ड क्रेडेंशियल्सचा वापर केला जातो.

अंमलबजावणी मार्गदर्शक: कर्मचारी BYOD धोरणे लागू करणे

स्टोअरमध्ये कर्मचाऱ्यांच्या वैयक्तिक उपकरणांचे व्यवस्थापन करणे हे एक मोठे आव्हान आहे. त्यांच्यावर पूर्णपणे बंदी घालणे अनेकदा व्यावहारिकदृष्ट्या अशक्य असते, परंतु अनियंत्रित प्रवेश देणे हा सुरक्षेचा धोका आहे.

Captive Portal दृष्टिकोन

बहुतांश रिटेल वातावरणासाठी, Staff BYOD साठी सर्वात व्यावहारिक दृष्टिकोन म्हणजे captive portal द्वारे समर्थित समर्पित SSID आहे, जे Guest WiFi उपयोजनासारखेच आहे परंतु कर्मचाऱ्यांसाठी तयार केलेले आहे.

पायरी १ - अलगीकरण. BYOD SSID एका समर्पित VLAN (VLAN 30) शी मॅप केले पाहिजे जे केवळ इंटरनेटवर मार्गस्थ होते. त्याला CDE किंवा Staff Operations Network वर शून्य प्रवेश असावा. तुमच्या ACLs मधील स्पष्ट नकाराच्या नियमांसह (deny rules) हे लागू करा.

पायरी २ - प्रमाणीकरण. कर्मचाऱ्यांना त्यांच्या कॉर्पोरेट क्रेडेंशियलचा वापर करून captive portal द्वारे प्रमाणित करणे आवश्यक करा. सिंगल साइन-ऑन प्रदान करण्यासाठी Microsoft Entra ID, Okta, किंवा Google Workspace सोबत समाकलित करा. हे कोण कधी कनेक्ट झाले आहे याचा ऑडिट ट्रेल तयार करते - जे सुरक्षा तपासणी आणि GDPR अनुपालन या दोन्हीसाठी महत्त्वपूर्ण आहे.

पायरी ३ - बँडविड्थ व्यवस्थापन. BYOD नेटवर्कवर कठोर बँडविड्थ मर्यादा लागू करण्यासाठी Purple Shield तैनात करा. वैयक्तिक वापरकर्ता गती मर्यादित करा - सहसा वैयक्तिक वापरासाठी २-५ Mbps पुरेशी असते - आणि व्हिडिओ स्ट्रीमिंगसारख्या उच्च-बँडविड्थ ॲप्लिकेशन श्रेणी ब्लॉक करा. हे हमी देते की वैयक्तिक डिव्हाइसचा वापर पेमेंट प्रक्रियेसाठी आणि इन्व्हेंटरी सिंक करण्यासाठी आवश्यक असणाऱ्या मुख्य रिटेल ऑपरेशन्सची बँडविड्थ कधीही कमी करणार नाही.

पायरी ४ - धोरण स्वीकृती. प्रवेश मंजूर करण्यापूर्वी captive portal ने कर्मचाऱ्यांना कंपनीचे Acceptable Use Policy (AUP) स्पष्टपणे स्वीकारणे आवश्यक केले पाहिजे. GDPR अंतर्गत, हे नेटवर्क प्रवेशाशी संबंधित कोणत्याही डेटा प्रक्रियेसाठी संमतीचा एक दस्तऐवजीकरण केलेला रेकॉर्ड तयार करते.

byod_policy_comparison.png

हार्डवेअर समाकलन

तुमचे निवडलेले ॲक्सेस पॉइंट्स आणि नियंत्रक डायनॅमिक VLAN असाइनमेंट आणि मजबूत QoS धोरणांना समर्थन देतात याची खात्री करा. Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks, आणि Fortinet मधील एंटरप्राइझ हार्डवेअर या सर्व क्षमतांना समर्थन देतात. Purple एक हार्डवेअर-अज्ञेयवादी क्लाउड ओव्हरले म्हणून काम करते, जे तुमच्या संपूर्ण इस्टेटमध्ये सुसंगत धोरण अंमलबजावणी आणि विश्लेषणे वितरीत करण्यासाठी या सर्व प्लॅटफॉर्मसह समाकलित होते.

रिटेल वातावरणासाठी सर्वोत्तम पद्धती

सतत अनुपालन देखरेख. PCI-DSS ४.० हे लक्ष वार्षिक ऑडिटवरून सततच्या अनुपालनाकडे वळवते. अनधिकृत प्रवेशाचे प्रयत्न किंवा कॉन्फिगरेशनमधील बदल शोधण्यासाठी स्वयंचलित लॉगिंग आणि केंद्रीकृत देखरेख लागू करा. VLAN १० वरील प्रत्येक ॲक्सेस इव्हेंटने लॉग एंट्री जनरेट केली पाहिजे.

नियमित विभाजन चाचणी. PCI-DSS ४.० ची आवश्यकता ११.४.५ अशी मँडेट देते की विभाजन नियंत्रणे किमान दर सहा महिन्यांनी तपासली पाहिजेत. तुमचे VLANs सुरक्षित आहेत असे गृहीत धरू नका; पेनिट्रेशन टेस्टिंगद्वारे ते सिद्ध करा. VLAN ब्लीड - जिथे चुकीच्या कॉन्फिगर केलेल्या स्विच पोर्ट किंवा ACL मुळे ट्रॅफिक नकळत झोनच्या सीमा ओलांडते - हे PCI ऑडिट अयशस्वी होण्याचे सर्वात सामान्य कारण आहे. लेगसी प्रोटोकॉल्स अक्षम करा (Disable legacy protocols). सर्व ऍक्सेस पॉईंट्स WEP आणि WPA/WPA2-TKIP सारख्या कालबाह्य, असुरक्षित प्रोटोकॉल्स नाकारतील याची खात्री करा. किमान WPA2-AES सक्तीचे करा आणि जिथे जिथे हार्डवेअर सपोर्ट करत असेल तिथे WPA3 वर स्थलांतरित व्हा. लेगसी प्रोटोकॉल सपोर्ट ही एक सामान्य चुकीची कॉन्फिगरेशन आहे जी अनावश्यक सुरक्षा धोके निर्माण करते.

शारीरिक सुरक्षा (Physical security). शारीरिक ऍक्सेस पॉईंट्स सुरक्षित करा. स्टॉक रूममधील उघड्या असलेल्या इथरनेट पोर्टमध्ये प्लग केलेले अनधिकृत डिव्हाइस सर्व वायरलेस सुरक्षा नियंत्रणांना बायपास करू शकते. अनधिकृत ऍक्सेस पॉईंट्स आपोआप शोधण्यासाठी आणि निष्प्रभ करण्यासाठी Wireless Intrusion Prevention Systems (WIPS) लागू करा. Cisco Meraki आणि HPE Aruba सह इतर हार्डवेअर विक्रेते त्यांच्या एंटरप्राइझ ऍक्सेस पॉईंट्समध्ये WIPS क्षमता समाविष्ट करतात.

ॲडमिन्ससाठी मल्टिफॅक्टर ऑथेंटिकेशन (Multifactor authentication for admins). PCI DSS 4.0 नुसार सर्व विशेषाधिकार प्राप्त ॲडमिन खात्यांसाठी MFA आवश्यक आहे. जर तुमचे नेटवर्क इंजिनिअर्स वायरलेस इन्फ्रास्ट्रक्चर व्यवस्थापित करत असतील, तर त्यांनी मॅनेजमेंट कन्सोलमध्ये प्रवेश करण्यासाठी MFA चा वापर करणे आवश्यक आहे.

ट्रबलशूटिंग आणि जोखीम कमी करणे

सामान्य बिघाड प्रकार

VLAN ब्लीड (VLAN bleed). चुकीच्या पद्धतीने कॉन्फिगर केलेले स्विच पोर्ट्स किंवा राउटर नियम ट्रॅफिकला VLANs दरम्यान जंप करण्याची परवानगी देऊ शकतात. PCI ऑडिट अपयशाचे हे सर्वात सामान्य कारण आहे. एक्सेस कंट्रोल लिस्ट्सचे नियमितपणे ऑडिट करा आणि कोणत्याही फर्मवेअर अपडेट्स किंवा इन्फ्रास्ट्रक्चर बदलांनंतर सेगमेंटेशनची पुन्हा चाचणी घ्या.

अनधिकृत ऍक्सेस पॉईंट्स (Rogue access points). कर्मचारी ब्रेक रूममधील सिग्नल सुधारण्यासाठी कॉर्पोरेट इथरनेट पोर्ट्समध्ये ग्राहक-दर्जाचे WiFi राउटर प्लग करू शकतात. हे एंटरप्राइझ सुरक्षा नियंत्रणांना पूर्णपणे बायपास करते. हे आपोआप शोधण्यासाठी आणि ब्लॉक करण्यासाठी WIPS तैनात करा. कर्मचाऱ्यांना शिक्षित करा की ही केवळ IT ची अडचण नसून शिस्तभंगाची बाब आहे.

क्रेडेन्शियल्स शेअरिंग (Credential sharing). कर्मचाऱ्यांच्या कामकाजासाठी सिंगल PSK वापरत असल्यास, क्रेडेन्शियल्स शेअरिंग अपरिहार्य आहे. वैयक्तिक वापरकर्त्याच्या ओळखीशी किंवा डिव्हाइस प्रमाणपत्रांशी ऑथेंटिकेशन जोडण्यासाठी 802.1X वर स्थलांतरित व्हा. हे PCI DSS द्वारे आवश्यक असणारा ऑडिट ट्रेल देखील प्रदान करते.

प्रमाणपत्र कालबाह्यता (Certificate expiry). EAP-TLS वापरताना, क्लायंट प्रमाणपत्रांची कालबाह्यता तारीख असते. कालबाह्य झालेले प्रमाणपत्र ऑथेंटिकेशन अयशस्वी करेल, ज्यामुळे डिव्हाइसेस नेटवर्कवरून लॉक होतील. तुमच्या MDM द्वारे स्वयंचलित प्रमाणपत्र नूतनीकरण लागू करा आणि 30 दिवसांच्या आत कालबाह्य होणाऱ्या प्रमाणपत्रांसाठी अलर्ट सेट करा.

बँडविड्थ संघर्ष (Bandwidth contention). QoS पॉलिसीशिवाय, 4K व्हिडिओ स्ट्रीम करणारा एकच कर्मचारी सामायिक रेडिओ फ्रिक्वेन्सी सॅच्युरेट करू शकतो आणि POS ट्रान्झॅक्शनचा वेग कमी करू शकतो. Purple Shield BYOD VLAN वर प्रति-वापरकर्ता आणि प्रति-श्रेणी बँडविड्थ मर्यादा लागू करून थेट याचे निराकरण करते.

ROI आणि व्यावसायिक प्रभाव

एक मजबूत कर्मचारी WiFi पॉलिसी लागू करण्यासाठी एंटरप्राइझ-दर्जाचे हार्डवेअर आणि व्यवस्थापन सॉफ्टवेअरमध्ये गुंतवणूक करणे आवश्यक आहे, परंतु याचा परतावा स्पष्ट आणि मोजता येण्याजोगा आहे.

दंड, उपाययोजना आणि प्रतिष्ठेचे नुकसान लक्षात घेता रिटेल डेटा चोरीचा सरासरी खर्च $3 मिलियन पेक्षा जास्त आहे. या जोखमीविरुद्ध योग्य सेगमेंटेशन हे सर्वात प्रभावी नियंत्रण आहे. PCI SSC चा अंदाज आहे की दस्तऐवजीकरण आणि चाचणी केलेले सेगमेंटेशन असलेल्या संस्था त्यांच्या ऑडिटची व्याप्ती 60% पर्यंत कमी करतात, ज्यामुळे वार्षिक अनुपालन मूल्यांकनाचा खर्च थेट कमी होतो.Purple Shield द्वारे बँडविड्थ व्यवस्थापन हे सुनिश्चित करते की गंभीर रिटेल ऑपरेशन्स - पेमेंट प्रक्रिया करणे, इन्व्हेंटरी सिंक करणे, mPOS उपकरणे चालवणे - ब्रेक रूममध्ये कर्मचाऱ्यांच्या स्ट्रीमिंगमुळे कधीही विलंबित होणार नाहीत. हे पीक ट्रेडिंग तासांमध्ये कमाईचे संरक्षण करते.

एक संरचित BYOD पॉलिसी कर्मचाऱ्यांचे मनोबल देखील सुधारते. थेट बंदी घालण्याऐवजी वैयक्तिक डिव्हाइस वापरासाठी मंजूर, नियंत्रित पर्याय प्रदान करणे - संघर्ष कमी करते आणि हे दर्शवते की संस्था तंत्रज्ञान धोरणाबाबत संतुलित दृष्टीकोन स्वीकारते.

त्यांच्या WiFi गुंतवणुकीवर व्यापक परतावा मोजणाऱ्या संस्थांसाठी, आमचे मार्गदर्शक पहा Measuring the Business ROI of Guest WiFi and Location Analytics .

Purple 80,000+ पेक्षा जास्त लाइव्ह वेन्यूमध्ये कार्यरत आहे आणि 2024 मध्ये 440 दशलक्ष लॉगइन्सवर प्रक्रिया केली आहे, ज्या धोरणांना केवळ सिद्धांतातच नाही तर प्रत्यक्षात कार्य करण्यासाठी स्केल आणि डेटा प्रदान करते. आमचे प्लॅटफॉर्म ISO 27001 प्रमाणित, GDPR आणि CCPA सुसंगत आणि Cyber Essentials प्रमाणित आहे - जे तुम्हाला खात्री देते की तुमच्या नेटवर्क धोरणांना पूरक असणारी पायाभूत सुविधा तुम्ही लागू करू पाहत असलेल्या मानकांची पूर्तता करते.

संदर्भ

[1] BizTech Magazine, "Understanding PCI DSS 4.0: A Guide for IT Leaders in Retail" (May 2024). https://biztechmagazine.com/article/2024/05/pci-dss-40-guide-for-retail-it-leaders-perfcon

[2] PDI Technologies, "Enterprise Retail Network Architecture: Build a Scalable, Secure Foundation for Growth". https://security.pditechnologies.com/blog/enterprise-retail-network-architecture/

[3] SecureW2, "What Is 802.1X? IEEE 802.1X Authentication". https://securew2.com/protocols/802-1x-authentication-configuration

[4] Cloud4Wi, "5 best practices for strengthening enterprise WiFi security" (March 2024). https://cloud4wi.ai/resources/enterprise-wifi-security-best-practices-revealed/

[5] OpenMetal, "Building PCI DSS Compliant Infrastructure for Payment Processors" (April 2026). https://openmetal.io/resources/blog/building-pci-dss-compliant-infrastructure-for-payment-processors/

महत्वाच्या व्याख्या

VLAN (Virtual Local Area Network)

नेटवर्क डिवायसेसचा एक लॉजिकल गट जो Layer 2 वर ट्रॅफिक आयसोलेट करतो, जरी ते समान फिजिकल स्विचेस आणि ॲक्सेस पॉईंट्स शेअर करत असले तरीही. VLANs मधील ट्रॅफिक राउटर किंवा फायरवॉलमधून जाणे आवश्यक आहे, जिथे ॲक्सेस कंट्रोल नियम लागू केले जाऊ शकतात.

प्रत्येक ठिकाणी स्वतंत्र फिजिकल हार्डवेअर डिप्लॉय न करता PCI DSS आवश्यकता पूर्ण करण्यासाठी POS सिस्टीम्सना स्टाफ आणि गेस्ट नेटवर्क्सपासून वेगळे करण्याचे प्राथमिक साधन.

PCI DSS 4.0

पेमेंट कार्ड इंडस्ट्री डेटा सिक्युरिटी स्टँडर्डची नवीन आवृत्ती, जी मार्च २०२५ पासून पूर्णपणे लागू करण्यात आली आहे. यामध्ये ६४ नवीन आवश्यकता सादर केल्या आहेत ज्या सतत देखरेख ठेवण्यावर, अधिक कडक मल्टिफॅक्टर ऑथेंटिकेशनवर आणि दर सहा महिन्यांनी दस्तऐवजीकरण केलेल्या सेगमेंटेशन चाचणीवर लक्ष केंद्रित करतात.

क्रेडिट किंवा डेबिट कार्ड पेमेंट प्रोसेस करणाऱ्या कोणत्याही रिटेलरने याचे पालन करणे बंधनकारक आहे. याचे पालन न केल्यास कार्ड नेटवर्क्सकडून दंड आकारला जातो आणि डेटा लीक झाल्यास लक्षणीयरीत्या जास्त दायित्व येते.

802.1X

पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोलसाठी एक IEEE स्टँडर्ड. नेटवर्क ॲक्सेस मिळण्यापूर्वी डिव्हाइसेसना RADIUS सर्व्हरद्वारे ऑथेंटिकेट करणे आवश्यक असते, ज्यासाठी EAP-TLS (प्रमाणपत्रे) किंवा PEAP (वापरकर्तानाव आणि पासवर्ड) सारख्या पद्धती वापरल्या जातात.

एंटरप्राइझ WiFi साठी शेअर केलेल्या PSKs च्या जागी वापरले जाते. नेटवर्क ॲक्सेस वैयक्तिक वापरकर्ता किंवा डिव्हाइसच्या ओळखीशी जोडते, ज्यामुळे त्वरित ॲक्सेस रद्द करता येतो आणि PCI DSS द्वारे आवश्यक असलेली ऑडिट ट्रेल मिळते.

CDE (कार्डधारक डेटा एन्व्हायर्नमेंट)

नेटवर्कचा तो विशिष्ट भाग जो पेमेंट कार्ड डेटा साठवतो, त्यावर प्रक्रिया करतो किंवा ट्रान्समिट करतो. PCI DSS द्वारे अनुपालन मूल्यमापनाची प्राथमिक कक्षा म्हणून परिभाषित केलेले.

CDE ला स्वतःच्या स्वतंत्र VLAN वर आयसोलेट केल्यामुळे PCI ऑडिटच्या कक्षेत येणाऱ्या सिस्टम्सची संख्या कमी होते, ज्यामुळे थेट अनुपालन खर्च आणि गुंतागुंत कमी होते.

Captive portal

एक वेब पृष्ठ जे नेटवर्क ॲक्सेस मिळण्यापूर्वी वापरकर्त्यांनी पाहणे आणि त्यावर क्रिया करणे आवश्यक असते. सहसा लॉगिन करण्यासाठी, सेवेच्या अटी दर्शवण्यासाठी किंवा संमती गोळा करण्यासाठी वापरले जाते.

ऑथेंटिकेशन लागू करण्यासाठी, GDPR अंतर्गत संमती मिळवण्यासाठी आणि नेटवर्क ॲक्सेसची ऑडिट ट्रेल देण्यासाठी Guest WiFi आणि कर्मचारी BYOD या दोन्ही नेटवर्क्ससाठी वापरले जाते.

WPA3-Enterprise

एंटरप्राइझ एन्व्हायर्नमेंट्ससाठी नवीन WiFi सुरक्षा प्रोटोकॉल, जो मॅन-इन-द-मिडल हल्ले रोखण्यासाठी २५६-बिट एन्क्रिप्शन (GCMP-256) आणि अनिवार्य सर्व्हर प्रमाणपत्र पडताळणी प्रदान करतो.

रिटेल ऑपरेशन्स नेटवर्क्ससाठी शिफारस केलेले सुरक्षा स्टँडर्ड. कर्मचाऱ्यांचे क्रेडेंशियल्स चोरण्यासाठी हल्लेखोरांना समान SSID सह अनधिकृत ॲक्सेस पॉइंट तैनात करण्यापासून रोखते.

MDM (मोबाईल डिव्हाइस मॅनेजमेंट)

स्मार्टफोन्स, टॅब्लेट्स आणि इतर एंडपॉइंट्सवर पॉलिसी नियंत्रित, सुरक्षित आणि लागू करण्यासाठी आयटी टीम्सद्वारे वापरले जाणारे सॉफ्टवेअर. यामध्ये रिमोट वाइप, प्रमाणपत्र वितरण आणि ॲप्लिकेशन व्यवस्थापन यासारख्या क्षमता समाविष्ट आहेत.

कॉर्पोरेट-मालकीचे रिटेल स्कॅनर्स आणि mPOS डिव्हाइसेसवर मोठ्या प्रमाणावर EAP-TLS प्रमाणपत्रे तैनात करण्यासाठी आणि एखादे डिव्हाइस गहाळ झाल्यास किंवा कर्मचारी सोडून गेल्यास त्वरित ॲक्सेस रद्द करण्यासाठी आवश्यक आहे.

रॉग ॲक्सेस पॉइंट

कॉर्पोरेट नेटवर्कशी जोडलेला एक अनधिकृत वायरलेस राउटर, जो सहसा चांगल्या सिग्नल कव्हरेजसाठी कर्मचाऱ्याद्वारे जोडला जातो. हा फायरवॉल्स आणि VLAN सेगमेंटेशनसह सर्व एंटरप्राइझ सुरक्षा नियंत्रणांना बायपास करतो.

रिटेल बॅक-ऑफ-हाउस एन्व्हायर्नमेंट्समधील एक मोठा आणि सामान्य धोका. स्वयंचलितपणे शोधण्यासाठी आणि निष्प्रभ करण्यासाठी वायरलेस इंट्रूजन प्रिव्हेंशन सिस्टम्स (WIPS) आवश्यक आहे.

EAP-TLS (एक्सटेन्सिबल ऑथेंटिकेशन प्रोटोकॉल - ट्रान्सपोर्ट लेयर सिक्युरिटी)

802.1X मध्ये वापरली जाणारी प्रमाणपत्र-आधारित ऑथेंटिकेशन पद्धत. क्लायंट आणि सर्व्हर दोन्ही प्रमाणपत्रे सादर करतात, ज्यामुळे परस्पर ऑथेंटिकेशन मिळते आणि पासवर्ड-आधारित हल्ले दूर होतात.

कॉर्पोरेट डिव्हाइस फ्लीट्ससाठी उपलब्ध असलेली सर्वात मजबूत ऑथेंटिकेशन पद्धत. क्लायंट प्रमाणपत्रे वितरित करण्यासाठी MDM आवश्यक आहे परंतु यामुळे सर्वोच्च सुरक्षा मिळते.

RADIUS (रिमोट ऑथेंटिकेशन डायल-इन युझर सर्व्हिस)

एक नेटवर्किंग प्रोटोकॉल जो नेटवर्क ॲक्सेससाठी केंद्रीकृत ऑथेंटिकेशन, ऑथोरायझेशन आणि अकाउंटिंग (AAA) प्रदान करतो. 802.1X डिप्लॉयमेंटमध्ये ऑथेंटिकेशन सर्व्हर म्हणून काम करतो.

एंटरप्राइझ WiFi ऑथेंटिकेशनचा सर्व्हर-साइड घटक. विद्यमान कॉर्पोरेट क्रेडेंशियल्स वापरण्यासाठी Microsoft Entra ID, Okta आणि Google Workspace सारख्या आयडेंटिटी प्रोव्हाइडर्सशी समाकलित केले जाऊ शकते.

सोडवलेली उदाहरणे

४०० ठिकाणे असलेल्या एका राष्ट्रीय सुपरमार्केट साखळीला शॉप फ्लोअरवरील कर्मचाऱ्यांना मोबाईल इन्व्हेंटरी स्कॅनर वितरित करायचे आहेत. सध्या, हे स्टोअर्स सर्व ऑपरेशन्ससाठी एकाच WPA2-PSK नेटवर्कचा वापर करतात - POS, बॅक ऑफिस PCs आणि कर्मचाऱ्यांचे डिवायसेस सर्व एकच SSID शेअर करतात. त्यांनी नवीन स्कॅनर डिप्लॉयमेंटचे आर्किटेक्ट कसे करावे?

१. सध्याच्या ऑपरेशनल नेटवर्कपासून वेगळे, इन्व्हेंटरी स्कॅनरसाठी एक समर्पित SSID तयार करा. २. हा SSID एका नवीन VLAN (VLAN २० - स्टाफ ऑपरेशन्स) शी मॅप करा जो POS एन्व्हायरनमेंट (VLAN १० - CDE) पासून पूर्णपणे वेगळा असेल. ३. RADIUS सर्व्हरचा वापर करून 802.1X ऑथेंटिकेशन लागू करा. ४. प्रत्येक स्कॅनरवर युनिक क्लायंट सर्टिफिकेट्स (EAP-TLS) पुश करण्यासाठी MDM सोल्यूशन डिप्लॉय करा. ५. स्कॅनर्सना केवळ केंद्रीय इन्व्हेंटरी मॅनेजमेंट डेटाबेसशी संवाद साधण्याची परवानगी देण्यासाठी ACLs कॉन्फिगर करा, इतर सर्व अंतर्गत आणि इंटरनेट ट्रॅफिक ब्लॉक करा. ६. एकाच वेळी, POS सिस्टीम्सना कठोर आयसोलेशन नियमांसह त्यांच्या स्वतःच्या समर्पित VLAN १० वर मायग्रेट करा. ७. मायग्रेशन पूर्ण झाल्यावर जुने फ्लॅट WPA2-PSK नेटवर्क पूर्णपणे बंद करा.

परीक्षकाचे भाष्य: हा दृष्टिकोन शेअर केलेल्या PSK ची असुरक्षितता काढून टाकतो आणि हे सुनिश्चित करतो की हरवलेला किंवा चोरीला गेलेला स्कॅनर नेटवर्कच्या इतर कोणत्याही भागात प्रवेश करण्यासाठी वापरला जाऊ शकत नाही. कठोर ACLs स्कॅनर्सचा वापर लेटरल अटॅकमध्ये पिव्होट पॉईंट म्हणून होण्यापासून रोखतात. टप्प्याटप्प्याने मायग्रेशन करण्याचा दृष्टिकोन - जुने फ्लॅट नेटवर्क बंद करण्यापूर्वी नवीन VLANs तयार करणे - ४०० ठिकाणांवरील ऑपरेशनल व्यत्यय कमी करतो.

एका मोठ्या डिपार्टमेंटल स्टोअरमध्ये दुपारच्या जेवणाच्या वेळेत POS ट्रान्झॅक्शनची गती मंदावत आहे. तपासणीअंती समोर आले आहे की कर्मचारी व्हिडिओ स्ट्रीम करण्यासाठी वैयक्तिक स्मार्टफोन बॅक ऑफिस WiFi नेटवर्कशी कनेक्ट करत आहेत. IT टीमला वैयक्तिक डिवायसेसवर बंदी न घालता यावर तोडगा काढायचा आहे, कारण HR ने नमूद केले आहे की पूर्ण बंदी घातल्याने कर्मचाऱ्यांच्या मनोधैर्यावर परिणाम होईल.

१. आयसोलेटेड VLAN ३० शी मॅप केलेले एक समर्पित 'स्टाफ BYOD' SSID तयार करा जे केवळ इंटरनेट ॲक्सेस प्रदान करेल. २. कर्मचाऱ्यांना त्यांच्या Microsoft Entra ID क्रेडेंशियलसह ऑथेंटिकेट करणे आवश्यक असणारे Captive Portal लागू करा. ३. प्रति-वापरकर्ता २ Mbps ची बँडविड्थ मर्यादा लागू करण्यासाठी आणि व्हिडिओ स्ट्रीमिंग ॲप्लिकेशन कॅटेगरी ब्लॉक करण्यासाठी VLAN ३0 वर Purple Shield डिप्लॉय करा. ४. वैयक्तिक डिवायसेस ज्या PSK चा वापर ॲक्सेस मिळवण्यासाठी करत होते तो काढून टाकून, 802.1X ऑथेंटिकेशन वापरण्यासाठी बॅक ऑफिस SSID (VLAN २०) अपडेट करा. ५. अपडेट केलेल्या एक्सेप्टेबल युज पॉलिसीसह नवीन BYOD SSID बद्दल सर्व कर्मचाऱ्यांना माहिती द्या. ६. POS परफॉर्मन्स पूर्ववत झाला आहे याची खात्री करण्यासाठी डिप्लॉयमेंटनंतर दोन आठवडे दोन्ही VLANs वरील बँडविड्थ वापराचे निरीक्षण करा.

परीक्षकाचे भाष्य: हे सोल्यूशन बँडविड्थ मर्यादित करून आणि ट्रॅफिक आयसोलेट करून तात्काळ उद्भवलेल्या परफॉर्मन्सच्या समस्येचे निराकरण करते. हे ऑपरेशनल नेटवर्कवरून अनमॅनेज्ड वैयक्तिक डिवायसेस काढून टाकून सुरक्षा व्यवस्था देखील सुधारते. Microsoft Entra ID इंटिग्रेशन ऑडिट ट्रेल प्रदान करते. कम्युनिकेशन आणि मॉनिटरिंगच्या पायऱ्यांकडे सहसा दुर्लक्ष केले जाते परंतु यशस्वी रोलआउटसाठी त्या अत्यंत महत्त्वाच्या आहेत - कर्मचाऱ्यांना त्यांचे वैयक्तिक डिवायसेस कुठे कनेक्ट करायचे हे माहित असणे आवश्यक आहे, आणि IT कडे तो तोडगा यशस्वी ठरल्याचा पुरावा असणे आवश्यक आहे.

सराव प्रश्न

Q1. एक स्टोअर मॅनेजर त्यांचा वैयक्तिक लॅपटॉप स्टाफ ऑपरेशन्स नेटवर्क (VLAN 20) मध्ये जोडण्याची विनंती करतो जेणेकरून ते थेट बॅक-ऑफिस प्रिंटरवरून शेड्यूल्स प्रिंट करू शकतील. मॅनेजरचा युक्तिवाद आहे की ते एक विश्वासू कर्मचारी आहेत आणि लॅपटॉप फक्त कामासाठी वापरला जातो. आयटीने याला कसा प्रतिसाद दिला पाहिजे आणि त्यांनी कोणता पर्याय दिला पाहिजे?

टीप: मालकाच्या विश्वासार्हतेकडे दुर्लक्ष करून, ऑपरेशन्स VLAN वर अनमॅनेज्ड डिव्हाइसेसच्या धोक्यांचा विचार करा.

नमुना उत्तर पहा

विनंती नाकारा. वैयक्तिक, अनमॅनेज्ड डिव्हाइसेस कधीही Staff Operations नेटवर्कवर ठेवू नयेत. यामध्ये मॅनेजरच्या हेतूचा धोका नसून डिव्हाइसच्या सुरक्षिततेचा धोका असतो - एखाद्या अनमॅनेज्ड लॅपटॉपमध्ये एंडपॉईंट प्रोटेक्शन नसण्याची, सॉफ्टवेअर कालबाह्य असण्याची किंवा नकळत मालवेअर असण्याची शक्यता असते. ते VLAN 20 वर ठेवल्याने CDE मध्ये संभाव्य प्रवेश बिंदू (pivot point) तयार होऊ शकतो. यावरील योग्य पर्याय म्हणजे ऑपरेशनल कामांसाठी कॉर्पोरेट-मॅनेज्ड डिव्हाइस देणे (जे MDM मध्ये नोंदणीकृत असून त्यामध्ये सर्टिफिकेट्स तैनात असतील), किंवा BYOD VLAN वरून सुरक्षित क्लाउड प्रिंटिंगला सपोर्ट करण्यासाठी प्रिंटिंग आर्किटेक्चर अपडेट करणे, जे अंतर्गत सिस्टीम्सपासून वेगळे (isolated) असते.

Q2. नेटवर्क ऑडिट दरम्यान, तुम्हाला असे आढळते की Guest WiFi VLAN (VLAN 40) आणि POS VLAN (VLAN 10) एकाच फिजिकल स्विचचा वापर करतात, परंतु ते ACLs द्वारे लॉजिकली वेगळे केलेले आहेत. एक कनिष्ठ इंजिनिअर याला PCI DSS चे उल्लंघन मानतो आणि स्वतंत्र फिजिकल स्विचेस तैनात करण्याची शिफारस करतो. इंजिनिअरचे म्हणणे बरोबर आहे का?

टीप: लॉजिकल विरुद्ध फिजिकल सेगमेंटेशनच्या PCI DSS व्याख्येचे पुनरावलोकन करा.

नमुना उत्तर पहा

इंजिनिअरचे म्हणणे बरोबर नाही. PCI DSS सामायिक फिजिकल इन्फ्रास्ट्रक्चरवर VLANs चा वापर करून लॉजिकल सेगमेंटेशन करण्याची परवानगी देते, बशर्ते स्विच योग्यरित्या कडक ACLs सह कॉन्फिगर केलेला असावा जेणेकरून VLANs मधील ट्रॅफिक एकमेकांमध्ये जाणार नाही. फिजिकल अलगाव आवश्यक नाही. तथापि, हे आयसोलेशन टिकून आहे हे सिद्ध करण्यासाठी या कॉन्फिगरेशनला दर सहा महिन्यांनी कठोर, दस्तऐवजीकरण चाचणीची (PCI DSS 4.0 ची आवश्यकता 11.4.5 नुसार) आवश्यकता असते. ऑडिटमध्ये ACLs योग्यरित्या कॉन्फिगर केले आहेत आणि स्विच फर्मवेअर अद्ययावत आहे याची पडताळणी केली पाहिजे. लॉजिकल कंट्रोल्स योग्यरित्या लागू आणि टेस्ट केले असल्यास, स्वतंत्र फिजिकल स्विचेस तैनात केल्याने सुरक्षितता न वाढता केवळ खर्च वाढेल.

Q3. तुमची रिटेल साखळी ५० स्टोअर्समध्ये ५०० नवीन mPOS टॅब्लेट्स तैनात करत आहे. टॅब्लेट व्हेंडर तैनाती सुलभ करण्यासाठी सर्व ५०० डिव्हाइसेससाठी एकच, जटिल WPA3-PSK वापरण्याची सूचना करतो. तुमच्या सिक्युरिटी टीमला हे अयोग्य वाटत आहे. कोणाचे म्हणणे योग्य आहे आणि योग्य दृष्टिकोन कोणता आहे?

टीप: जेव्हा एखादा टॅब्लेट हरवतो किंवा एखाद्या कर्मचाऱ्याची नोकरी संपते तेव्हा काय होते याचा विचार करा.

नमुना उत्तर पहा

तुमची सिक्युरिटी टीम बरोबर आहे. मोठ्या संख्येने असलेल्या डिव्हाइसेससाठी एकच PSK वापरणे हा एक कायमस्वरूपी सुरक्षिततेचा धोका आहे. जर एक टॅब्लेट हरवला किंवा चोरीला गेला, तर सुरक्षितता राखण्यासाठी सर्व ५०० डिव्हाइसेसवर एकाच वेळी PSK बदलावा लागेल - जे व्यवस्थापित करणे अत्यंत कठीण असते आणि सहसा घडत नाही, ज्यामुळे नेटवर्क अनिश्चित काळासाठी असुरक्षित राहते. योग्य दृष्टिकोन म्हणजे WPA3-Enterprise सोबत 802.1X सर्टिफिकेट-बेस्ड ऑथेंटिकेशन (EAP-TLS) वापरणे, आणि MDM द्वारे प्रत्येक टॅब्लेटवर युनिक क्लायंट सर्टिफिकेट्स तैनात करणे. यामुळे उर्वरित डिव्हाइसेसना प्रभावित न करता वैयक्तिक डिव्हाइसेस त्वरित ब्लॉक (revoke) करता येतात. सुरुवातीच्या तैनातीसाठी जास्त प्रयत्न लागतील, परंतु दीर्घकालीन सुरक्षितता आणि ऑपरेशनल व्यवस्थापन लक्षणीयरीत्या सुधारते.

Q4. तुमचे फोर-झोन VLAN आर्किटेक्चर तैनात केल्यानंतर सहा महिन्यांनी, एका नियमित पेनिट्रेशन टेस्टमध्ये असे दिसून आले की VLAN 30 (Staff BYOD) वरील एखादे डिव्हाइस VLAN 20 (Staff Operations) वरील अंतर्गत फाइल सर्व्हरपर्यंत पोहोचू शकते. कोणीही मुद्दाम कॉन्फिगरेशन बदललेले नाही. याची सर्वात संभाव्य कारणे कोणती आहेत आणि तुम्ही याचे निवारण कसे कराल?

टीप: कोणत्या इव्हेंट्समुळे पॉलिसी बदल न करताही नेटवर्क कॉन्फिगरेशन बदलले असू शकते याचा विचार करा.

नमुना उत्तर पहा

याची सर्वात संभाव्य कारणे खालीलप्रमाणे आहेत: (१) कोअर स्विच किंवा फायरवॉलवरील फर्मवेअर अपडेट ज्यामुळे ACL नियम रीसेट झाले किंवा मूळ (default) स्थितीवर आले; (२) स्टोअर दुरुस्ती दरम्यान जोडलेला नवीन स्विच पोर्ट जो योग्य VLAN शी योग्यरित्या टॅग केला गेला नव्हता; किंवा (३) चुकीचे कॉन्फिगर केलेले ॲक्सेस पॉइंट जे BYOD SSID ब्रॉडकास्ट करत आहे परंतु डिव्हाइसेस चुकीच्या VLAN ला नियुक्त करत आहे. निवारणाचे टप्पे: ACL अपडेट करून त्वरित ओळखलेला ट्रॅफिक मार्ग ब्लॉक करा; दस्तऐवजीकरण केलेल्या बेसलाइनसह सर्व स्विच पोर्ट कॉन्फिगरेशनचे ऑडिट करा; कोणत्याही ACL-संबंधित बदलांसाठी फर्मवेअर अपडेट चेंजलॉगचे पुनरावलोकन करा; समस्येचे निवारण झाल्याची खात्री करण्यासाठी पुन्हा पेनिट्रेशन टेस्ट करा; आणि केवळ सहा महिन्यांच्या शेड्युलवर अवलंबून न राहता, कोणत्याही इन्फ्रास्ट्रक्चर बदलानंतर सेगमेंटेशन टेस्ट आवश्यक करण्यासाठी चेंज मॅनेजमेंट प्रोसेस अपडेट करा.

या मालिकेमध्ये पुढे वाचा

कर्मचारी आणि अतिथी WiFi नेटवर्क सुरक्षितपणे कसे वेगळे करावे

हे अधिकृत तांत्रिक मार्गदर्शक IT नेत्यांना VLAN आणि 802.1X चा वापर करून कर्मचारी, अतिथी आणि IoT WiFi नेटवर्क्स सुरक्षितपणे वेगळे करण्यासाठी कृतीयोग्य रणनीती प्रदान करते. हे एंटरप्राइझ इन्फ्रास्ट्रक्चर सुरक्षित कसे करावे, PCI DSS अनुपालन कसे राखायचे आणि फर्स्ट-पार्टी डेटा कॅप्चर करण्यासाठी कॅप्टिव्ह पोर्टलचा कसा फायदा घ्यावा याचे तपशील प्रदान करते.

मार्गदर्शिका वाचा →

सर्वोत्तम DNS filtering: व्यवसायांसाठी एक व्यापक मार्गदर्शक

हे तांत्रिक संदर्भ मार्गदर्शक स्पष्ट करते की कशा प्रकारे एंटरप्राइझ DNS filtering हे कनेक्शन स्थापित होण्यापूर्वीच - रिझोल्यूशन लेयरवर दुर्भावनापूर्ण डोमेन्स ब्लॉक करून सार्वजनिक नेटवर्क सुरक्षित करते. हे IT संचालक, नेटवर्क आर्किटेक्ट आणि वेन्यू ऑपरेशन्स टीम्सना डेव्हलपमेंट आर्किटेक्चर, फायरवॉल कॉन्फिगरेशन आणि अनुपालन संदर्भ प्रदान करते जे त्यांना हॉस्पिटॅलिटी, रिटेल आणि सार्वजनिक क्षेत्रातील वातावरणात Guest WiFi सुरक्षित करण्यासाठी आवश्यक आहे. Purple Shield हे ८०,००० पेक्षा जास्त थेट वेन्यूवर DNS स्तरावर मालवेअर, बॉटनेट्स आणि अयोग्य कंटेंट ब्लॉक करते.

मार्गदर्शिका वाचा →

Cisco SUDI समजून घेणे: Secure Network Access Control मधील Hardware-Anchored Identity

हे मार्गदर्शक स्पष्ट करते की Cisco SUDI कशा प्रकारे एंटरप्राइझ नेटवर्क इन्फ्रास्ट्रक्चरसाठी hardware-anchored, गुपित-सुरक्षित (cryptographically secure) ओळख प्रदान करते. तुमच्या वेन्यूच्या नेटवर्क ॲक्सेस कंट्रोल सुरक्षित करण्यासाठी स्पूफ करता येण्याजोग्या MAC ॲड्रेसेस ऐवजी अपरिवर्तनीय 802.1AR सर्टिफिकेट्स वापरण्याची पद्धत जाणून घ्या.

मार्गदर्शिका वाचा →