Cyber Essentials प्रमाणपत्र: WiFi ऑपरेटर्सना कशाची गरज आहे

तुमच्या हॉटेलचे गेस्ट WiFi व्यस्त आहे, रिसेप्शन टीम क्लाउड बुकिंग सिस्टीम वापरत आहे आणि एका कॉन्ट्रॅक्टरने ॲक्सेस पॉईंटचे ट्रबलशूट करण्यासाठी लॅपटॉप कनेक्ट केला आहे. कोणीतरी विचारते की संस्थेकडे Cyber Essentials सर्टिफिकेशन आहे का. आत्मविश्वासाने उत्तर देण्यापूर्वी, तुम्हाला हे माहित असणे आवश्यक आहे की त्या प्रमाणपत्रामध्ये नेटवर्क, त्याचे प्रशासन करणारे लोक आणि त्यामागील क्लाउड सेवा समाविष्ट आहेत की नाही.

इथेच सामायिक (शेअर केलेले) WiFi एका उघड्या डोळ्यांनी सोप्या वाटणाऱ्या सुरक्षा प्रश्नाला गुंतागुंतीचे बनवते. गेस्ट डिव्हाइस वेन्यूमधील प्रत्येक सिस्टीम आपोआप उघड करत नाही, परंतु खराबपणे वेगळे केलेले नेटवर्क त्याला असा ॲक्सेस देऊ शकते जो देण्याचा तुमचा कधीही हेतू नव्हता. उपयुक्त सुरुवात बॅजने होत नाही. तर तुम्ही कशाचे संरक्षण करत आहात आणि त्याची सीमा कुठे आहे हे समजून घेण्याने होते.

अनुक्रमणिका

• सार्वजनिक आणि अतिथी WiFi साठी Cyber Essentials का महत्त्वाचे आहे
  • वेन्यू ऑपरेटरने याकडे का लक्ष दिले पाहिजे
• प्रत्येक नेटवर्कला आवश्यक असलेली पाच नियंत्रणे
  • मार्ग सुरक्षित करा आणि असुरक्षित सेटिंग्ज हटवा
  • सॉफ्टवेअर अद्ययावत ठेवा आणि अधिकार मर्यादित ठेवा
  • एंडपॉइंट्सना नेटवर्कशी गोंधळात न घालता सुरक्षित करा
• WiFi नेटवर्कवरील प्रमाणन मर्यादा समजून घेणे
  • केवळ मालकीमुळे व्याप्ती निश्चित होत नाही
  • वेन्यूच्या पलीकडे असलेल्या प्रशासनाचे अनुसरण करा
• स्वयं-मूल्यांकनापासून Cyber Essentials Plus पर्यंत
  • कुणीतरी सिद्ध करू शकेल अशी उत्तरे तयार करा
  • तांत्रिक पडताळणीमध्ये काय समाविष्ट आहे यावर सहमत व्हा
• Cyber Essentials मध्ये कशाचा समावेश होत नाही
  • प्रमाणन, खात्री आणि लवचिकता वेगळी करा
  • अयशस्वी उत्तराला दुरुस्तीची सूचना म्हणून घ्या
• WiFi ऑपरेटर म्हणून पुरवठादार प्रमाणपत्र वाचणे
  • पुरवठादाराच्या Cyber Essentials प्रमाणपत्रावर काय पडताळायचे
  • खुद्द सेवेबद्दलच पुराव्याची मागणी करा
• २०२६ साठी एक व्यावहारिक सुरुवातीची चेकलिस्ट
  • तयारीचे रूपांतर नियुक्त केलेल्या कामात करा

सार्वजनिक आणि गेस्ट WiFi साठी Cyber Essentials का महत्त्वाचे आहे

अशा शाळेचा विचार करा जिथे भेट देणारे (visitors) आणि कर्मचारी एकाच वायरलेस पायाभूत सुविधांद्वारे जोडले जातात. कर्मचाऱ्यांना संस्थात्मक प्रणालींमध्ये प्रवेश आवश्यक आहे; भेट देणाऱ्यांना इंटरनेट प्रवेश आवश्यक आहे. नेटवर्क प्रशासकाने ते वापर योग्यरित्या वेगळे केले नसल्यास, भेट देणाऱ्याचा तडजोड केलेला लॅपटॉप अशा सेवांपर्यंत पोहोचू शकतो ज्या त्याच्यासाठी उपलब्ध नसाव्यात.

Cyber Essentials प्रमाणन मूलभूत सुरक्षेची तपासणी करण्यासाठी एक संरचनात्मक मार्ग प्रदान करते. हे अतिथी WiFi सुरक्षा प्रमाणपत्र नाही आणि ते प्रत्येक संभाव्य सुरक्षा धोक्याचे मूल्यांकन करत नाही. याचे मूल्य संस्थेला स्वतःच्या तंत्रज्ञानाचे रक्षण करणाऱ्या नियंत्रणांची तपासणी करण्यास लावण्यामध्ये आहे.

सामान्य इंटरनेट-आधारित हल्ल्यांविरुद्ध परवडणारे, व्यावहारिक मानक स्थापित करण्यासाठी UK सरकारने 5 जून 2014 रोजी उद्योगासह ही योजना सुरू केली. 1 ऑक्टोबर 2014 पासून संवेदनशील माहिती किंवा विशिष्ट तांत्रिक उत्पादने आणि सेवांचा समावेश असलेल्या काही सरकारी कंत्राटांसाठी बोली लावणाऱ्या पुरवठादारांसाठी प्रमाणपत्र अनिवार्य झाले, जसे की सरकारच्या Cyber Essentials योजनेच्या माहितीमध्ये वर्णन केले आहे.

वेन्यू ऑपरेटर्सनी याकडे लक्ष का दिले पाहिजे

NCSC तांत्रिक आवश्यकता प्रकाशित करते ज्या या योजनेला तिची सुरक्षा बेसलाईन देतात. हॉटेल्स, शाळा, रुग्णालये आणि सार्वजनिक क्षेत्रातील वेन्यूसाठी, त्या आवश्यकता ऑपरेशन्स टीम्स, IT प्रदाते आणि खरेदीदार यांच्यातील चर्चेसाठी एक समान शब्दसंग्रह प्रदान करतात.

• हॉस्पिटॅलिटी टीम्सना बुकिंग सिस्टीम, कर्मचारी डिव्हाइसेस आणि नेटवर्क प्रशासनापासून अतिथी कनेक्टिव्हिटी वेगळी करण्याची आवश्यकता आहे. हॉस्पिटॅलिटी WiFi सुरक्षा संदर्भ हा फरक विशेषतः संबंधित बनवतो.
• शिक्षण टीम्सना विद्यार्थ्यांची डिव्हाइसेस, कर्मचाऱ्यांची खाती आणि क्लाउड प्लॅटफॉर्म कशी परस्परांशी संवाद साधतात हे समजून घेणे आवश्यक आहे.
• आरोग्यसेवा आणि सार्वजनिक क्षेत्रातील टीम्सना कोणती सिस्टीम सार्वजनिक प्रवेशास समर्थन देतात आणि कोणती संस्थात्मक सेवांना समर्थन देतात हे ओळखणे आवश्यक आहे.

सुधारित मूल्यमापन भाषेचे तयारी योजनेत भाषांतर करणाऱ्या वाचकांसाठी, Networking2000 ची Danzell अपडेट अनुपालन मार्गदर्शिका ही अधिकृत आवश्यकतांऐवजी वापरण्यासाठी एक पूरक संसाधन आहे.

व्यवहारीक नियम: गेस्ट कनेक्टिव्हिटी आणि संस्थात्मक IT कडे एकाच नेटवर्कचे अदलाबदल करण्यायोग्य भाग म्हणून न पाहता, वेगवेगळ्या विश्वासार्हता पातळी असलेल्या संबंधित प्रणाली म्हणून पहा.

प्रमाणीकरण मिळवण्यासाठी तुम्हाला भेट देणाऱ्यांचे कनेक्शन तोडण्याची गरज नाही. भेट देणारे कशापर्यंत पोहोचू शकतात, कर्मचारी कशाचे प्रशासन करू शकतात आणि तुम्ही प्रमाणित करत असलेल्या प्रणालींना कोणते संरक्षण लागू होते याचे समर्थनीय स्पष्टीकरण तुम्हाला हवे आहे.

प्रत्येक नेटवर्कला आवश्यक असलेली पाच नियंत्रणे

तांत्रिक बेसलाइनमध्ये फायरवॉल, सुरक्षित कॉन्फिगरेशन, सुरक्षा अपडेट व्यवस्थापन, वापरकर्ता ॲक्सेस नियंत्रण आणि मालवेअर संरक्षण यांचा समावेश होतो. IT इन्फ्रास्ट्रक्चरसाठी NCSC च्या गरजा हे नियंत्रणे परिभाषित करतात; ते लागू उच्च-जोखीम आणि गंभीर सुरक्षा अपडेट्ससाठी 14-दिवसांची आवश्यकता आणि सपोर्ट असलेल्या क्लाउड सेवांसाठी MFA ची अपेक्षा देखील स्थापित करतात.

तुम्ही वेन्यूवर नियंत्रणे मॅप करण्यापूर्वी हे आकृती एक उपयुक्त विहंगावलोकन देते.

रस्त्यांचे रक्षण करा आणि असुरक्षित सेटिंग्ज काढून टाका

फायरवॉल (Firewalls) परवानगी दिलेल्या नेटवर्क कनेक्शनचे नियंत्रण करतात. हॉटेलमध्ये, व्यावहारिक प्रश्न असा आहे की अतिथी फायरवॉलच्या अॅडमिनिस्ट्रेशन इंटरफेस किंवा कर्मचारी प्रणालीपर्यंत पोहोचू शकतो का. फायरवॉलचे अस्तित्व ते ब्लॉक केले असल्याचे सिद्ध करते असे गृहीत धरण्याऐवजी त्या मार्गांचे नियमन करणाऱ्या नियमांचे पुनरावलोकन करा.

सुरक्षित कॉन्फिगरेशन ही प्रणाल्या कशा सेट केल्या जातात याशी संबंधित आहे. अनावश्यक सेवा किंवा न बदललेला डीफॉल्ट अॅडमिनिस्ट्रेटर पासवर्ड राखून देखील अॅक्सेस पॉइंट पूर्णपणे कार्य करू शकतो. अॅडमिनिस्ट्रेटरने अनावश्यक कार्यक्षमता काढून टाकली पाहिजे, असुरक्षित डीफॉल्ट पर्याय बदलले पाहिजेत आणि संस्थेला आवश्यक असलेल्या कॉन्फिगरेशनचे दस्तऐवजीकरण केले पाहिजे.

हे नियंत्रणे एकमेकांना पूरक आहेत. काळजीपूर्वक कॉन्फिगर केलेला मॅनेजमेंट इंटरफेस तरीही पाहुण्यांना उघड केला जाऊ नये आणि मर्यादित इंटरफेसला अद्याप सुरक्षित सेटिंग्जची आवश्यकता असते.

सॉफ्टवेअर अद्ययावत ठेवा आणि अधिकार मर्यादित ठेवा

सुरक्षा अपडेट चुकल्यास वेगळी समस्या निर्माण होते: सेटिंग्ज योग्य असू शकतात, परंतु सॉफ्टवेअरमध्ये एखादी ज्ञात त्रुटी असू शकते. सुरक्षा अपडेट व्यवस्थापनासाठी (Security update management) केवळ अपडेट चेकबॉक्स सुरु असणे पुरेसे नाही, तर एका योग्य कार्यप्रणालीची गरज असते.

अनेक ठिकाणे असलेल्या स्थळासाठी (multi-site venue), अद्ययावत माहिती कोणाच्या लक्षात येते, तिचे रोलआउट कोण मंजूर करते आणि ती प्रत्येक संबंधित उपकरणापर्यंत पोहोचली आहे की नाही हे कोण तपासते याबद्दल विचारणा करा. इव्हेंट दरम्यान साठवून ठेवलेला लॅपटॉप किंवा मेंटेनन्स विंडोची वाट पाहणारे उपकरण अन्यथा या प्रक्रियेतून सुटू शकते.

• पॅचची मालकी नियुक्त करा: वेन्यू, आऊटसोर्स केलेली IT प्रदाता आणि क्लाउड पुरवठादार यांच्या जबाबदाऱ्या वेगळ्या करा.
• पूर्ततेची पडताळणी करा: केवळ डिप्लॉयमेंट सूचनाच नाही, तर इन्स्टॉल केलेल्या अपडेट्सचे पुरावे देखील ठेवा.
• असमर्थित सिस्टीम्सवर उपाय करा: ज्या उपकरणांना किंवा सॉफ्टवेअरला आता आवश्यक सुरक्षा दुरुस्त्या (सुरक्षा पॅचेस) मिळू शकत नाहीत ती ओळखा.

वापरकर्ता प्रवेश नियंत्रण (User access control) मर्यादा ठरवते की कोण काय करू शकते. रिसेप्शनिस्टला नेटवर्क सेटिंग्ज बदलण्याच्या अधिकाराची आवश्यकता नसताना बुकिंग प्रवेशाची आवश्यकता असू शकते. कर्मचारी आणि कंत्राटदारांमध्ये सामायिक केलेल्या क्रेडेंशियल्सपेक्षा नाव असलेले प्रशासकीय खाती व्यवस्थापित करणे आणि तपासणे सोपे आहे; क्लाउड खात्यांना देखील आवश्यकतांमध्ये वर्णन केलेल्या प्रमाणीकरण संरक्षणाची आवश्यकता आहे.

एंडपॉइंट्सचे संरक्षण करा, त्यांना नेटवर्कशी गोंधळात टाकू नका

मॅलवेअर संरक्षण (Malware protection) हे मूल्यांकनाच्या मर्यादेतील उपकरणे आणि सॉफ्टवेअरशी संबंधित असते. फायरवॉल योग्यरित्या कॉन्फिगर केलेली असली तरीही व्यवस्थापित कर्मचाऱ्यांच्या लॅपटॉपला योग्य संरक्षणाची आवश्यकता असते.

भेट देणाऱ्याच्या फोनमुळे एक वेगळे कार्यात्मक आव्हान निर्माण होते कारण त्यावर सॉफ्टवेअर इन्स्टॉल किंवा व्यवस्थापित करण्याचा तुम्हाला कोणताही अधिकार नसतो. उपकरणाची मालकी, व्यावसायिक वापर आणि नेटवर्क ॲक्सेस यातील फरक हा BYOD security planning च्या केंद्रस्थानी असतो. नेटवर्क फिल्टरिंग एंडपॉइंट कंट्रोल्सला पूरक ठरू शकते, परंतु ते त्यांना अनावश्यक बनवत नाही.

WiFi नेटवर्कवरील प्रमाणपत्राची व्याप्ती (Certification Boundary) समजून घेणे

प्रमाणन मर्यादा ही मूल्यांकन केल्या जाणाऱ्या संस्थेचा परिभाषित भाग आहे. याने संबंधित पायाभूत सुविधा, डिव्हाइसेस, सॉफ्टवेअर, क्लाउड सेवा, खाती आणि इंटरनेट गेटवे ओळखले पाहिजेत. वर उद्धृत केलेल्या NCSC आवश्यकता स्पष्ट करतात त्याप्रमाणे, अनुपालन तपासण्यापूर्वी स्कोप येतो.

एखाद्या ठिकाणासाठी, उपकरणांच्या खरेदी यादीऐवजी नेटवर्क मॅपने सुरुवात करा. कर्मचारी वायरलेस नेटवर्क, गेस्ट नेटवर्क, कंत्राटदार ॲक्सेस, व्यवस्थापन इंटरफेस आणि क्लाउड ॲडमिनिस्ट्रेशन प्लॅटफॉर्म चिन्हांकित करा. नंतर प्रत्येक घटकाचा वापर कोण करते आणि त्याचे नियंत्रण कोणाकडे आहे याची नोंद करा.

हे आकृती एक सामान्य व्यवस्थापित-विरुद्ध-गेस्ट फरक दर्शवते, परंतु त्याच्या लेबलला पात्रतेची आवश्यकता आहे.

केवळ मालकीमुळे स्कोप ठरत नाही

डायग्रामची "स्कोपच्या बाहेर" (out of scope) लेबल्स हे सार्वत्रिक नियम नाहीत. केवळ वैयक्तिक ब्राउझिंगसाठी वापरला जाणारा अतिथीचा फोन आणि संस्थात्मक डेटा अॅक्सेस करण्यासाठी वापरला जाणारा स्वतःच्या मालकीचा फोन यामध्ये फरक असतो. त्याचप्रमाणे, कनेक्ट केलेले डिव्हाइस केवळ कोणीही डिव्हाइस मॅनेजमेंटमध्ये समाविष्ट केले नाही म्हणून वगळले जाऊ नये.

SSID हे वायरलेस नेटवर्कचे नाव आहे. VLAN हा लॉजिकल नेटवर्कचा एक भाग आहे. यापैकी कोणतेही स्वतःहून वैध प्रमाणीकरण वगळणे स्थापित करत नाही: तुम्हाला घटकांमधील परवानगी असलेले कनेक्शन समजून घेणे आणि ते प्रदर्शित करणे आवश्यक आहे.

वेन्यू घटक	निराकरण करायचा प्रश्न
कर्मचारी SSID	याचा वापर कोणते संस्थात्मक डिव्हाइसेस आणि सेवा करतात?
गेस्ट SSID	पाहुणे (गेस्ट्स) संस्थात्मक सिस्टम्स किंवा व्यवस्थापन इंटरफेसपर्यंत पोहोचू शकतात का?
कंत्राटदार (Contractor) कनेक्शन	कंत्राटदार इन-स्कोप सिस्टम्सचे प्रशासन किंवा त्यात ॲक्सेस करतो का?
क्लाउड WiFi कन्सोल	याचे अकाउंट्स, ऑथेंटिकेशन आणि परवानग्या कोण नियंत्रित करते?
कनेक्ट केलेले साहित्य	हे कशात ॲक्सेस करते, आणि ते का वगळले जाईल?

वेन्यूच्या पलीकडे असलेल्या प्रशासनाचे अनुसरण करा

एखादी शाळा कंत्राटदाराला क्लाउड कन्सोलद्वारे ॲक्सेस पॉइंट्स व्यवस्थापित करण्याची अनुमती देत असताना तिचे व्हिजिटर नेटवर्क वेगळे करू शकते. व्हिजिटरचे हे पृथक्करण उपयुक्त आहे, परंतु ते कन्सोल, कंत्राटदाराचा ॲक्सेस किंवा बदलांना अनुमती देणाऱ्या खात्यांबद्दलच्या प्रश्नांची उत्तरे देत नाही.

अॅडमिनिस्ट्रेशन आउटसोर्स केल्याने त्या जबाबदाऱ्या समजून घेण्याची गरज संपत नाही. ते कोणती नियंत्रणे चालवतात आणि कोणता पुरावा ते पुरवू शकतात हे प्रदात्याला विचारा.

एक वेगळे वायरलेस नेटवर्क नाव हे केवळ एक लेबल आहे. मूल्यांकन मर्यादेसाठी वेगळेपण आणि परवानगी असलेल्या ॲक्सेसचे दस्तऐवजीकरण केलेले स्पष्टीकरण आवश्यक असते.

बाउंड्री स्टेटमेंट, ॲसेट इन्व्हेंटरी, नेटवर्क डायग्राम, क्लाउड सर्व्हिस रजिस्टर आणि अपवादांची (exclusions) लिखित कारणे ठेवा. जर पुरवठादाराच्या प्रमाणपत्रातून तुमच्या सेवेला सपोर्ट करणारे वातावरण वगळले गेले असेल, तर तो बॅज तुमच्या अपेक्षेपेक्षा कमी संबंधित हमी देऊ शकतो. निर्णयाचा मुख्य प्रश्न हा आहे की मूल्यमापन केलेला स्कोप तुम्ही अवलंबून असलेल्या सेवेशी जुळतो की नाही.

Self-Assessment पासून Cyber Essentials Plus पर्यंत

एखाद्या ठिकाणी काम करणारा व्यवस्थापक अशी अपेक्षा करू शकतो की मूल्यांककाने इमारतीला भेट देऊन प्रमाणीकरण सुरू करावे. मानक स्तर त्याऐवजी संस्थेद्वारे त्याच्या व्याप्तीचे वर्णन करून आणि त्याच्या नियंत्रणांबद्दलच्या प्रश्नांची उत्तरे देऊन सुरू होतो. Cyber Essentials Plus हे मूळ बेसलाइन बदलण्याऐवजी स्वतंत्र तांत्रिक पडताळणी जोडते.

हे प्रक्रिया आकृती तयारीपासून पडताळणीपर्यंतची व्यापक प्रगती दर्शवते.

एखादी व्यक्ती सिद्ध करू शकेल अशी उत्तरे तयार करा

प्रश्नावली पूर्ण करण्यापूर्वी एक प्रमाणन संस्था निवडा आणि इच्छित व्याप्तीवर सहमती द्या. सिस्टीम माहिती असलेल्या लोकांना यामध्ये समाविष्ट करा: अंतर्गत IT, मॅनेज्ड-सर्व्हिस प्रदाता, क्लाउड ॲडमिनिस्ट्रेटर आणि ज्यांच्याकडे ठिकाणाच्या नेटवर्क कॉन्फिगरेशनची मालकी आहे.

एखाद्या पुरवठादाराने ते सहसा नियंत्रण सक्षम करते असे सांगितल्यामुळे होय म्हणू नका. ते तुमच्या वातावरणात सक्षम आहे की नाही ते निश्चित करा.

• सादर केलेले मूल्यमापन जपून ठेवा: उत्तरे आणि स्कोपचे वर्णन एकत्र ठेवा.
• सहाय्यक नोंदी गोळा करा: संबंधित इन्व्हेंटरी, कॉन्फिगरेशन पुरावे, खाते पुनरावलोकने आणि अपडेट नोंदी जतन करा.
• विसंगतींचे निवारण करा: जर दस्तऐवजीकरण आणि लाईव्ह सेटिंग्ज यामध्ये तफावत असेल, तर सबमिशन करण्यापूर्वी तपास करा.

NCSC च्या Cyber Essentials विहंगावलोकन नुसार, प्रवेश-स्तरीय प्रमाणीकरण किंमत £320 अधिक VAT पासून सुरू होते आणि संस्थेच्या आकारानुसार बदलते. त्या सुलभ सुरुवातीच्या किंमतीचा कसून सुरक्षा ऑडिटच्या खर्चाशी किंवा कव्हरेजशी गैरसमज होऊ नये.

तांत्रिक पडताळणीमध्ये कशाचा समावेश आहे यावर सहमती द्या

Plus साठी, प्रमाणन संस्थेला त्यांच्या चाचणी योजनेचे स्पष्टीकरण देण्यास सांगा, ज्यामध्ये व्हल्नरॅबिलिटी स्कॅनिंग, डिव्हाइस ॲक्सेस आणि ऑन-साइट किंवा रिमोर्ट पडताळणीच्या कोणत्याही व्यवस्थांचा समावेश आहे. हे इन्फोग्राफिक एक सुलभ विहंगावलोकन आहे, प्रत्येक मूल्यांकन समान लॉजिस्टिक्सचे अनुसरण करते याची हमी नाही.

मल्टी-साइट इस्टेटसाठी कोणताही उपयुक्त सार्वत्रिक पूर्णतेचा वेळ नाही. तुमची इन्व्हेंटरी किती स्पष्ट आहे, नियंत्रणे आधीच कार्य करतात की नाही आणि मूल्यांकनकर्ता कोणती दुरुस्ती ओळखतो यावर तयारी अवलंबून असते. पुरावा गोळा करणे, मूल्यांकन आणि कोणत्याही दुरुस्तीच्या कामात फरक दर्शवणाऱ्या वेळेचे नियोजन मागा.

प्रमाणपत्र प्रवासाचा अतिरिक्त परिचय मिळवण्यासाठी, खालील व्हिडिओ दुसरा फॉरमॅट प्रदान करतो.

पूर्वी नमूद केलेल्या NCSC आवश्यकतांमध्ये नमूद केल्यानुसार प्रमाणपत्र दर 12 महिन्यांनी नूतनीकरण करणे आवश्यक आहे. ते मुदत संपल्यास, संस्था यापुढे प्रमाणित राहत नाही. प्रमाणपत्र, प्रमाणन संस्था तपशील आणि नूतनीकरणाची जबाबदारी फाइलवर ठेवा जेणेकरून खात्री राखणे हे जुने ईमेल आठवण्यावर अवलंबून राहणार नाही.

Cyber Essentials कशामध्ये समाविष्ट नाही

प्रमाणपत्र हे एका निश्चित केलेल्या बेसलाइनचा पुरावा आहे, संस्था प्रत्येक धोक्यापासून सुरक्षित असल्याचा पुरावा नाही. हे वेगळेपण तेव्हा महत्त्वाचे ठरते जेव्हा तुमचे नेटवर्क तुम्ही व्यवस्थापित न करत असलेल्या लोकांच्या आणि उपकरणांच्या ट्रॅफिकची हाताळणी करते.

सरकारचे Cyber Essentials प्रभाव मूल्यांकन अशा संशोधनाचा संदर्भ देते ज्यामध्ये नियंत्रणांनी मूल्यमापन केलेल्या डेटासेटमधील 99% इंटरनेट-आधारित असुरक्षितता कमी केल्या. तो निष्कर्ष एका परिभाषित डेटासेटशी संबंधित आहे, सर्व हल्ले, सर्व असुरक्षितता किंवा प्रत्येक प्रमाणित संस्थेच्या डेटा सुरक्षेच्या उल्लंघनाच्या (breach) लाभाशी नाही.

सुरक्षा डॅशबोर्ड ऑपरेटरना चालू असलेल्या क्रियाकलापांचे परीक्षण करण्यात मदत करू शकते, परंतु ते प्रमाणपत्रापेक्षा वेगवेगळ्या प्रश्नांची उत्तरे देते.

प्रमाणपत्र, अश्युरन्स आणि लवचिकता वेगळी ठेवा

प्रमाणन (Certification) हे परिभाषित आवश्यकता आणि स्कोपच्या विरूद्ध यशस्वी मूल्यांकनाची नोंद करते. खात्री (Assurance) हा त्या मूल्यांकनातून आणि इतर संबंधित पुराव्यांमधून तुम्हाला मिळणारा विश्वास आहे. लवचिकता (Resilience) मध्ये समस्या शोधणे, प्रतिसाद देणे आणि पूर्ववत करण्याची तुमची क्षमता समाविष्ट असते.

प्रभाव मूल्यांकन हे एका प्रतिबंधात्मक बेसलाइनचे वर्णन करते, मॉनिटरिंग, इन्सिडेंट रिस्पॉन्स, बॅकअप चाचणी, सुरक्षित विकास किंवा पुरवठादार-जोखीम नियंत्रणे याला तो पर्याय नाही.

बेसलाइन नियंत्रण	सामायिक नेटवर्कसाठी उर्वरित समस्या
फायरवॉल	अनुमती दिलेल्या कनेक्शनद्वारे अद्याप हानीकारक क्रियाकलाप होऊ शकतात.
सुरक्षित कॉन्फिगरेशन	सोशल इंजिनिअरिंगद्वारे कर्मचाऱ्यांची फसवणूक केली जाऊ शकते.
सुरक्षा अपडेट व्यवस्थापन	पॅचिंग केल्याने कोणतीही तडजोड झाली नाही हे सिद्ध होत नाही.
वापरकर्ता प्रवेश नियंत्रण (User access control)	हल्ला करणारा कायदेशीर खात्याचा गैरवापर करू शकतो.
मालवेअर संरक्षण	अनमॅनेज्ड भेट देणाऱ्यांची डिव्हाइसेस तुमच्या थेट एंडपॉइंट नियंत्रणाबाहेर राहतात.

ऑपरेशनल साधने त्या उर्वरित धोक्याच्या भागांना संबोधित करू शकतात. उदाहरणार्थ, थ्रेट इंटेलिजन्स फीड्स शोध किंवा फिल्टरिंगच्या निर्णयांना माहिती देऊ शकतात, परंतु ते प्रतिसाद प्रक्रिया किंवा काळजीपूर्वक अॅक्सेस व्यवस्थापनाची जागा घेत नाहीत.

अयशस्वी उत्तर दुरुस्तीची सूचना म्हणून घ्या

मूल्यांकनात अयशस्वी ठरलेल्या उत्तराचा विशिष्ट तपास केला पाहिजे. प्रभावित प्रणाली ओळखा, नियंत्रण का अयशस्वी झाले हे स्थापित करा आणि ही त्रुटी निर्माण होण्यास कारणीभूत ठरलेली प्रक्रिया सुधारा.

सुधारणात्मक मानसिकता: केवळ कोणीतरी तपासलेल्या उपकरणावरच नाही, तर संपूर्ण संबंधित नेटवर्क मालमत्तेवर नियंत्रणे सुधारा.

कंत्राटदाराच्या अकाउंटला जास्त ॲक्सेस असल्यास, केवळ ते अकाउंट बदलण्याऐवजी तत्सम अकाउंट्सचे पुनरावलोकन करा. एखादे अपडेट चुकले असल्यास, डिप्लॉयमेंट रिपोर्टिंगद्वारे इतर राहिलेल्या गोष्टी ओळखता येतात का ते तपासा.

सुधारणांचा पुरावा जतन करा आणि तुमच्या प्रमाणीकरण संस्थेशी पुढील मूल्यांकन कारवाईवर सहमत व्हा. उत्तीर्ण होणे महत्त्वाचे आहे, परंतु मूल्यांकनांच्या दरम्यान विश्वासार्ह ऑपरेटिंग प्रक्रिया असणे देखील तितकेच महत्त्वाचे आहे.

WiFi ऑपरेटर म्हणून पुरवठादाराचे प्रमाणपत्र वाचणे

एखादा WiFi पुरवठादार त्याच्या प्रस्तावासोबत प्रमाणपत्र ईमेल करतो. खरेदी टीमला मान्यताप्राप्त योजना दिसते; परंतु नेटवर्किंग टीमला अद्याप हे निश्चित करणे आवश्यक असते की मूल्यांकन केलेली संस्था आणि प्रणाली खरेदी केलेल्या सेवेला समर्थन देतात की नाही.

या पूरक तपासण्या आहेत. तुम्ही पुरवठादाराच्या मूल्यांकनाची पुनरावृत्ती करण्याचा प्रयत्न करत नाही आहात. तुम्ही हे ठरवत आहात की त्याचा पुरावा तुमच्या उपयोजनासाठी (deployment) सुसंगत आहे की नाही.

पुरवठादाराच्या Cyber Essentials प्रमाणपत्रावर काय पडताळून पाहावे

तपासणी	Guest WiFi साठी हे का महत्त्वाचे आहे	मागवायचा पुरावा
कायदेशीर संस्था (Legal entity)	ग्रुप ब्रँड हा तुमची सेवा प्रदान करणाऱ्या संस्थेपेक्षा वेगळा असू शकतो.	कंत्राट करणाऱ्या संस्थेशी जुळणारे प्रमाणपत्राचे नाव.
व्याप्तीचे वर्णन (Scope statement)	मर्यादित मूल्यांकनातून सेवा ऑपरेशन्स वगळले जाऊ शकतात.	संबंधित प्रशासन आणि पायाभूत सुविधांचा समावेश असलेले व्याप्तीचे वर्णन.
जारी केल्याची आणि समाप्तीची तारीख	मुदत संपलेले प्रमाणपत्र सद्य प्रमाणीकरण सिद्ध करत नाही.	सध्याचे प्रमाणपत्र आणि नियुक्त नूतनीकरण मालक.
प्रमाणीकरण संस्था	तुम्हाला ओळखण्यायोग्य मूल्यांकन वितरक आवश्यक आहे.	वितरकाचा तपशील आणि प्रमाणपत्राची पुष्टी करण्याचा मार्ग.
अपवाद (Exclusions)	वगळलेल्या प्रणाली तुम्ही अवलंबून असलेल्या सेवेवर परिणाम करू शकतात.	लेखी अपवाद आणि त्यांचा सेवा वितरणाशी असलेला संबंध.
खात्रीची पातळी (Assurance level)	स्वयं-मूल्यांकन आणि स्वतंत्र पडताळणी वेगवेगळे पुरावे प्रदान करतात.	धारक असलेल्या पातळीची आणि तिच्या व्याप्तीची पुष्टी.

सेवेबद्दलच पुराव्याची मागणी करा

हे प्रमाणपत्र प्रत्येक तांत्रिक किंवा कार्यात्मक प्रश्नाचे उत्तर देणार नाही. DNS-फिल्टरिंग, WiFi किंवा मॅनेज्ड-सर्व्हिस पुरवठादारासाठी, तुमच्या वास्तविक धोक्यांचे निरसन करणारे पूरक पुरावे मागा.

• पॉलिसी आयसोलेशन: कर्मचारी, गेस्ट, वेन्यू आणि भाडेकरू (टेनंट) पॉलिसी कशा वेगळ्या ठेवल्या जातात, आणि त्या कोण बदलू शकते?
• लॉगिंग अखंडता आणि धारणा (Retention): कोणत्या घटना नोंदवल्या जातात, त्यात कोण ॲक्सेस करू शकते, आणि त्या किती काळ राखून ठेवल्या जातात?
• बिघाड झाल्यास वर्तन (Failure behaviour): फिल्टरिंग अनुपलब्ध झाल्यास काय होते? पुरवठादाराला त्याचे फेल-क्लोज्ड किंवा पर्यायी ऑपरेटिंग वर्तन स्पष्ट आणि प्रात्यक्षिक करून दाखवण्यास सांगा.
• प्रशासकीय ॲक्सेस: पुरवठादार ग्राहकांमध्ये ॲक्सेस कसा प्रतिबंधित करतो आणि कर्मचारी सोडून गेल्यावर ॲक्सेस कसा काढून घेतो?

प्रस्तावित उपयोजनाशी (deployment) उत्तरे जुळवा. सेंट्रल डॅशबोर्ड केवळ तेव्हाच उपयुक्त ठरतो जेव्हा त्याच्या परवानग्या आणि रिपोर्ट्स तुम्ही चालवत असलेल्या स्थळांशी आणि नेटवर्कशी सुसंगत असतात.

पुरवठादार रजिस्टरमध्ये प्रमाणपत्राचे तपशील नोंदवा आणि आधी वर्णन केलेल्या वार्षिक पडताळणीचे वेळापत्रक ठरवा. व्याप्ती किंवा सेवा प्रशासनातील महत्त्वपूर्ण बदलांच्या सूचनेची देखील विनंती करा. प्रमाणीकरण हा एक उपयुक्त खरेदी संकेत आहे, परंतु खरेदीच्या निर्णयासाठी संस्थात्मक खात्री आणि सेवा-विशिष्ट पुरावे दोन्ही आवश्यक असतात.

2026 साठी एक व्यावहारिक सुरुवातीची चेकलिस्ट

ठिकाणी परत आल्यावर, आठवणीवरून प्रश्नावली भरण्यास सुरुवात करणे ही सर्वात उत्पादक कृती नाही. नेटवर्क अॅडमिनिस्ट्रेटर, क्लाउड-सर्व्हिस मालक आणि आउटसोर्स केलेल्या IT संपर्काला एकाच नकाशाभोवती एकत्र आणा. अनिश्चित जोडण्या आणि जबाबदाऱ्या अनिश्चित मूल्यांकन उत्तरे बनण्यापूर्वी त्या सोडवा.

NCSC Cyber Essentials संसाधनांनुसार, आवृत्ती 3.3 ही 27 एप्रिल 2026 रोजी लागू झाली, तर आधी सुरू केलेले अर्ज आवृत्ती 3.2 अंतर्गत सुरू ठेवले जाऊ शकतात. सेव्ह केलेल्या चेकलिस्टवर अवलंबून राहण्याऐवजी तुमच्या प्रमाणन संस्थेकडे लागू आवृत्तीची खात्री करा.

तयारीचे नियुक्त केलेल्या कामात रूपांतर करा

• पुढील आठवड्यात, मर्यादा परिभाषित करा: संबंधित नेटवर्क, डिव्हाइसेस, क्लाउड प्लॅटफॉर्म आणि प्रशासक खात्यांची यादी करा. प्रस्तावित अपवादांची कारणे लिहून ठेवा आणि अस्पष्ट कंत्राटदार किंवा वैयक्तिक-डिव्हाइस वापराबाबत तुमच्या मूल्यांकनकर्त्याला विचारा.
• पुढील आठवड्यात, अपडेट प्रक्रियेची चाचणी घ्या: दुर्मिळपणे कनेक्ट केलेल्या उपकरणांसह सर्व ठिकाणी आधी वर्णन केलेली पॅचची अंतिम मुदत साध्य करण्यायोग्य आहे का ते तपासा.
• पुढील आठवड्यात, क्लाउड ऑथेंटिकेशनचे पुनरावलोकन करा: केवळ धोरण दस्तऐवजांमध्येच नाही, तर वास्तविक खाते सेटिंग्जमध्ये समर्थित MFA संरक्षणांची पडताळणी करा.
• पुढील तिमाहीत, पुराव्यांच्या पुनरावलोकनाचा सराव करा: दैनंदिन प्रशासन प्रक्रियेच्या बाहेरील कोणाकडून तरी इन्व्हेंटरी, सेटिंग्ज आणि नोंदींची तुलना करून घ्या. मूल्यांकनापूर्वी विसंगतींचे निवारण करा.
• पुढील नूतनीकरण चक्रात, बदलांची पुन्हा पाहणी करा: अपरिवर्तित वर्णन पुन्हा सबमिट करण्याऐवजी नवीन ठिकाणे, पुरवठादार, क्लाउड सेवा आणि नेटवर्क कनेक्शनचे पुनरावलोकन करा.

क्लाउड स्कोप, ऑथेंटिकेशन आणि विश्वासार्ह पॅचिंग हे प्रमाणीकरणाला वार्षिक कागदोपत्री व्यायामाऐवजी एक कार्यक्षम जबाबदारी बनवतात. सामायिक WiFi ऑपरेटर्ससाठी, नेटवर्क अपेक्षेप्रमाणे कार्य करते याच्या पुराव्यासह स्पष्ट मूल्यांकन सीमा एकत्र करणे ही सर्वात मजबूत सुरुवात आहे.

---

Purple Shield गेस्ट आणि सार्वजनिक WiFi साठी प्रोटेक्टिव्ह DNS आणि कंटेंट फिल्टरिंग प्रदान करते, ज्यामध्ये SSID, VLAN आणि वेन्यूनुसार पॉलिसीज तसेच ब्लॉक केलेल्या ॲक्टिव्हिटीचे रिपोर्टिंग समाविष्ट आहे. तुमच्या Cyber Essentials कंट्रोल्ससोबत अतिरिक्त नेटवर्क संरक्षण स्तर एक्सप्लोर करण्यासाठी आणि तुमच्या वेन्यूला आवश्यक असलेल्या पॉलिसी separation आणि रिपोर्टिंग पुराव्यांवर चर्चा करण्यासाठी भेट द्या.