اسلام آباد: نیشنل کمپیوٹر ایمرجنسی رسپانس ٹیم نے پاکستان کے سرکاری اور نجی اداروں کے لیے سائبر سکیورٹی ایڈوائزری جاری کرتے ہوئے خبردار کیا ہے کہ تھرڈ پارٹی وینڈرز، سروس فراہم کرنے والے اور سپلائرز حملہ آوروں کے لیے مرکزی اداروں کے نیٹ ورکس تک بالواسطہ رسائی کا ذریعہ بن سکتے ہیں۔ ادارے نے سپلائی چین سے جڑے خطرات کی مسلسل نگرانی اور وینڈرز کے سکیورٹی کنٹرولز کی جانچ پر زور دیا ہے۔
ایڈوائزری کا بنیادی نکتہ یہ ہے کہ کسی ادارے کا اپنا نیٹ ورک مضبوط ہونے کے باوجود اس کے ساتھ منسلک بیرونی کمپنی کی کمزور سکیورٹی پورے نظام کے لیے خطرہ پیدا کرسکتی ہے۔ ایسے حملوں میں مجرم براہ راست بڑے ادارے کو نشانہ بنانے کے بجائے پہلے کسی نسبتاً کم محفوظ سافٹ ویئر فراہم کنندہ، کنٹریکٹر یا سروس پارٹنر کے اکاؤنٹس اور نظام سے سمجھوتا کرتے ہیں۔
نیشنل CERT نے اداروں کو مشورہ دیا ہے کہ وینڈرز کو نیٹ ورک اور حساس ڈیٹا تک صرف اتنی رسائی دی جائے جتنی کام کے لیے ضروری ہو، اکاؤنٹس پر مضبوط تصدیقی نظام نافذ کیے جائیں اور غیر معمولی سرگرمی کی نگرانی کی جائے۔ معاہدوں میں سائبر سکیورٹی ذمہ داریوں، واقعے کی فوری اطلاع اور سکیورٹی آڈٹ کے تقاضوں کو واضح کرنا بھی رسک مینجمنٹ کا اہم حصہ قرار دیا گیا ہے۔
سپلائی چین سائبر حملوں کی پیچیدگی یہ ہے کہ متاثرہ ادارے کو ابتدائی طور پر خطرہ اپنے نظام کے اندر نظر نہیں آتا۔ ایک قابل اعتماد بیرونی کنکشن یا سافٹ ویئر اپ ڈیٹ کے ذریعے داخل ہونے والا حملہ آور طویل عرصے تک رسائی برقرار رکھنے، ڈیٹا چوری کرنے یا مزید نظاموں تک پھیلنے کی کوشش کرسکتا ہے۔ اسی لیے صرف perimeter security کو کافی نہیں سمجھا جاتا۔
ایڈوائزری کسی مخصوص ادارے پر کامیاب حملے کی تصدیق نہیں بلکہ خطرے سے بچاؤ کے لیے پیشگی انتباہ ہے۔ نیشنل CERT نے اداروں کو اپنی vendor inventory، رسائی کے حقوق، لاگز، پیچ مینجمنٹ اور incident response arrangements کا جائزہ لینے کی ترغیب دی ہے تاکہ کسی تیسرے فریق کی کمزوری پورے ادارے کے لیے بڑے واقعے میں تبدیل نہ ہو۔
پاکستان میں سرکاری خدمات، مالیاتی نظام، ٹیلی کام اور نجی کاروبار تیزی سے باہم منسلک ڈیجیٹل پلیٹ فارمز پر منتقل ہو رہے ہیں۔ اس ماحول میں تھرڈ پارٹی رسک مینجمنٹ محض آئی ٹی مسئلہ نہیں بلکہ کاروباری تسلسل، شہری ڈیٹا اور قومی ڈیجیٹل انفراسٹرکچر کے تحفظ کا اہم حصہ بنتا جا رہا ہے۔
