UPSC पाठ्यक्रम से संबंध: GS-III — साइबर सुरक्षा, विज्ञान एवं प्रौद्योगिकी, ऊर्जा सुरक्षा और महत्त्वपूर्ण अवसंरचना; GS-II — शासन, नियामक संस्थाएँ और डिजिटल डेटा संरक्षण।

चर्चा में क्यों?

भारत की महत्वपूर्ण राष्ट्रीय अवसंरचना  की सुरक्षा अब उसकी भौतिक दीवारों  तक सीमित नहीं रह गई है। 15 जुलाई, 2026 को सामने आई एक रिपोर्ट के अनुसार, ‘वर्ल्ड लीक्स’  नामक समूह द्वारा कुडनकुलम परमाणु ऊर्जा संयंत्र  से संबंधित लगभग 19,000 फाइलों (14.3 GB डेटा) को डार्क वेब पर लीक कर दिया गया। इस लीक में संयंत्र की यूनिट 3 और 4 के इंजीनियरिंग चित्र, निरीक्षण रिकॉर्ड और खरीद से जुड़े बेहद संवेदनशील दस्तावेज शामिल थे। यह डेटा मुख्य परमाणु नियंत्रण प्रणाली से अलग एक थर्ड-पार्टी वेंडर (Yotta डेटा सेंटर) के सर्वर से चुराया गया था, जिसने भारत की साइबर सुरक्षा नीतियों में ‘सप्लाई चेन जोखिमों’ पर एक नई राष्ट्रीय बहस छेड़ दी है।

साइबर हमला क्या है और साइबर सुरक्षा क्यों ज़रूरी है?

• साइबर हमला (Cyber Attack): यह किसी कंप्यूटर नेटवर्क, सिस्टम, डिजिटल डिवाइस या डेटाबेस को अनधिकृत रूप से एक्सेस करने, उसे नुकसान पहुँचाने, डेटा चोरी करने या पूरी प्रणाली को ठप (Encrypt) करने का एक दुर्भावनापूर्ण प्रयास है। इसे व्यक्तिगत हैकर्स, आपराधिक सिंडिकेट या दुश्मन देशों द्वारा अंजाम दिया जाता है।
• साइबर सुरक्षा क्यों ज़रूरी है?
  • राष्ट्रीय सुरक्षा की रक्षा: परमाणु संयंत्र, मिसाइल डिफेंस सिस्टम और रक्षा संचार प्रणालियाँ पूरी तरह डिजिटल नेटवर्क पर निर्भर हैं। इनमें एक चूक देश की संप्रभुता को खतरे में डाल सकती है।
  • आर्थिक स्थिरता: बैंकिंग, वित्तीय लेनदेन और शेयर बाजार पर एक बड़ा साइबर हमला देश की अर्थव्यवस्था को कुछ ही घंटों में पंगु बना सकता है।
  • नागरिकों की गोपनीयता (Privacy): आधार, पैन, चिकित्सा इतिहास और बायोमेट्रिक डेटा का लीक होना नागरिकों की व्यक्तिगत सुरक्षा और वित्तीय धोखाधड़ी के जोखिम को बढ़ाता है।
  • महत्वपूर्ण नागरिक सेवाओं की निरंतरता: बिजली ग्रिड, जल आपूर्ति, रेलवे सिग्नलिंग और आपातकालीन स्वास्थ्य सेवाएं इंटरनेट और डिजिटल तकनीक से संचालित होती हैं। इनकी सुरक्षा सामाजिक व्यवस्था बनाए रखने के लिए अनिवार्य है।

साइबर हमलों से संबंधित महत्वपूर्ण आंकड़े

• वैश्विक लक्ष्य: वैश्विक साइबर सुरक्षा रिपोर्टों के अनुसार, भारत इस समय दुनिया के शीर्ष 3 सबसे अधिक लक्षित देशों में शामिल है।
• वैश्विक घटनाओं में हिस्सेदारी: वैश्विक स्तर पर होने वाली कुल साइबर सुरक्षा घटनाओं का लगभग 13.7% हिस्सा अकेले भारत में दर्ज किया जा रहा है।
• हमलों की आवृत्ति: भारत में प्रति मिनट औसतन 702 नए साइबर खतरों का पता लगाया जा रहा है।
• क्षेत्रवार संवेदनशीलता: भारत में स्वास्थ्य सेवा क्षेत्र साइबर हमलों का सबसे बड़ा शिकार बना हुआ है, जो कुल हमलों का 21.82% वहन करता है। इसके बाद बैंकिंग, वित्तीय सेवाएं और ऊर्जा क्षेत्र का स्थान है।

भारत में हुए प्रमुख ऐतिहासिक साइबर हमले

भारत की महत्वपूर्ण अवसंरचना समय-समय पर परिष्कृत राज्य-प्रायोजित और रैनसमवेयर हमलों का शिकार बनती रही है:

• कुडनकुलम परमाणु संयंत्र रिसाव (2026): एक वेंडर के सब-कॉन्ट्रेक्टर के माध्यम से डेटा लीक हुआ, जिसमें संयंत्र के संवेदनशील दस्तावेज डार्क वेब पर आए।
• एम्स (AIIMS) दिल्ली रैनसमवेयर हमला (2022): अखिल भारतीय आयुर्विज्ञान संस्थान के सर्वरों को चीनी हैकर्स द्वारा हैक कर लिया गया, जिससे स्वास्थ्य सेवाएं हफ्तों ठप रहीं और करोड़ों नागरिकों का संवेदनशील वीवीआईपी डेटा दांव पर लग गया।
• मुंबई पावर ग्रिड विफलता (2020): मुंबई में बड़े पैमाने पर बिजली ठप होने के पीछे चीनी राज्य-प्रायोजित समूह ‘शैडो पैड’  का संदिग्ध साइबर हमला था, जिसने भारत के लोड डिस्पैच सेंटरों को निशाना बनाया था।
• कुडनकुलम ‘Dtrack’ हमला (2019): उत्तर कोरिया के लाज़ारस समूह से जुड़े ‘Dtrack’ मैलवेयर ने संयंत्र के प्रशासनिक नेटवर्क में घुसपैठ की थी।
• कोविन  डेटा उल्लंघन (2023): भारत के टीकाकरण पोर्टल से नागरिकों के व्यक्तिगत डेटा (आधार, पासपोर्ट नंबर) के टेलीग्राम बॉट पर लीक होने की खबरें आईं।

वर्तमान में भारत के पास मौजूद साइबर सुरक्षा खतरे

• सप्लाई चेन (आपूर्ति श्रृंखला) जोखिम: हैकर्स अब मुख्य ग्रिड या परमाणु संयंत्र में सीधे घुसने के बजाय उनके निजी ठेकेदारों, उप-ठेकेदारों और क्लाउड सेवा प्रदाताओं को निशाना बनाते हैं, जो सुरक्षा के लिहाज से सबसे कमजोर कड़ी साबित हो रहे हैं।
• एआई-संचालित मैलवेयर: हमलावर अब आर्टिफिशियल इंटेलिजेंस (AI) का उपयोग करके ‘पॉलीमॉर्फिक मैलवेयर’ बना रहे हैं, जो पारंपरिक एंटी-वायरस सॉफ़्टवेयर को चकमा देने के लिए अपना कोड स्वचालित रूप से बदल लेते हैं।
• रैनसमवेयर-एज-ए-सर्विस (RaaS): डार्क वेब पर रैनसमवेयर किट व्यावसायिक रूप से उपलब्ध हैं, जिससे कम तकनीकी समझ रखने वाले अपराधी भी बड़े बुनियादी ढांचों को पंगु बना रहे हैं।
• आईटी (IT) और ओटी (OT) का अभिसरण: अतीत में बिजली ग्रिड, रेलवे और पानी की आपूर्ति ‘ऑपरेशनल टेक्नोलॉजी’ (OT) पर चलती थीं जो इंटरनेट से अलग थीं। आज इंटरनेट ऑफ थिंग्स (IoT) के कारण ये प्रणालियाँ इंटरनेट (IT) से जुड़ चुकी हैं, जिससे भौतिक तबाही का खतरा बढ़ गया है।
• विदेशी हार्डवेयर पर निर्भरता: दूरसंचार और पावर ग्रिड में उपयोग होने वाले राउटर्स और स्विचों के लिए भारत आज भी काफी हद तक विदेशी (विशेषकर चीनी) आयात पर निर्भर है, जिनमें गुप्त ‘बैकडोर’ या ट्रोजन होने का संदेह हमेशा रहता है।

भारत की साइबर सुरक्षा व्यवस्था

भारत सरकार ने साइबर खतरों से निपटने के लिए एक बहुस्तरीय संस्थागत और कानूनी ढांचा तैयार किया है:

• संस्थागत तंत्र:
  • CERT-In (भारतीय कंप्यूटर आपातकालीन प्रतिक्रिया दल): साइबर सुरक्षा घटनाओं पर प्रतिक्रिया देने, चेतावनी जारी करने और संकट प्रबंधन के लिए नोडल एजेंसी है।
  • NCIIPC (राष्ट्रीय महत्वपूर्ण सूचना अवसंरचना संरक्षण केंद्र): आईटी अधिनियम, 2000 की धारा 70A के तहत स्थापित। इसका विशेष कार्य देश के 5 संवेदनशील क्षेत्रों (पावर, बैंकिंग, ट्रांसपोर्ट, टेलीकॉम, स्ट्रेटेजिक सेक्टर्स) की रक्षा करना है।
  • I4C (भारतीय साइबर अपराध समन्वय केंद्र): गृह मंत्रालय के तहत यह विंग कानून प्रवर्तन एजेंसियों को साइबर अपराधों से लड़ने में मदद करती है।
• कानूनी और नीतिगत ढांचा:
  • सूचना प्रौद्योगिकी (IT) अधिनियम, 2000: साइबर अपराधों और इलेक्ट्रॉनिक कॉमर्स से निपटने वाला मुख्य कानून।
  • डिजिटल व्यक्तिगत डेटा संरक्षण (DPDP) अधिनियम, 2023: डेटा उल्लंघनों पर भारी वित्तीय जुर्माने का प्रावधान कर नागरिकों की गोपनीयता सुनिश्चित करने का कानूनी प्रयास।
  • राष्ट्रीय साइबर सुरक्षा नीति (NCSS): साइबर स्पेस की सुरक्षा के लिए दिशानिर्देश प्रदान करती है।

भारत के लिए प्रमुख चुनौतियाँ

• नियामक कमियाँ: वर्तमान का DPDP अधिनियम मुख्य रूप से व्यक्तिगत डेटा की रक्षा करता है। इसमें इंजीनियरिंग चित्र, रणनीतिक ब्लूप्रिंट या गैर-व्यक्तिगत तकनीकी डेटा  की आपूर्ति श्रृंखला में सुरक्षा के लिए कड़े कानूनी नियमों का अभाव है।
• कौशल का भारी अभाव: अत्याधुनिक खतरों और एआई-हैकिंग से निपटने के लिए भारत में विश्व स्तरीय प्रशिक्षित साइबर सुरक्षा योद्धाओं की भारी कमी है।
• विरासत प्रणालियाँ (Legacy Systems): भारत के कई सरकारी विभाग और पीएसयू (PSUs) आज भी पुराने ऑपरेटिंग सिस्टम और सॉफ्टवेयर का उपयोग कर रहे हैं, जिनके सुरक्षा पैच जारी होना बंद हो चुके हैं।
• जवाबदेही का संकट: जब डेटा किसी तीसरे पक्ष के डेटा सेंटर से चोरी होता है, तो मुख्य ऑपरेटर और वेंडर एक-दूसरे पर दोषारोपण करते हैं, जिससे कानूनी जवाबदेही तय करना कठिन हो जाता है।

आगे की राह

• ‘डेटा फ़ॉलो द मिशन’ नीति: सुरक्षा की जिम्मेदारी केवल मुख्य संगठन की नहीं होनी चाहिए। रणनीतिक डेटा जहां भी जाएगा (चाहे उप-ठेकेदार या थर्ड-पार्टी क्लाउड के पास), सुरक्षा मानक और दायित्व कानूनी रूप से खरीद अनुबंधों का हिस्सा होने चाहिए।
• कठोर डेटा वर्गीकरण: भारत को अपने राष्ट्रीय तकनीकी और रणनीतिक डेटा का कड़ा वर्गीकरण करना चाहिए। बाहरी वेंडर्स को केवल ‘जानने की आवश्यकता’  के आधार पर और एक निश्चित समय सीमा के लिए ही एक्सेस दिया जाना चाहिए।
• ‘जीरो ट्रस्ट’ आर्किटेक्चर: इस धारणा को पूरी तरह छोड़ना होगा कि ‘आंतरिक नेटवर्क सुरक्षित है’। इसका मूल सिद्धांत है: “कभी भरोसा न करें, हमेशा सत्यापित करें” (Never Trust, Always Verify)।
• रेड-टीमिंग और वास्तविक ऑडिट: केवल कागजी अनुपालन के बजाय, स्वतंत्र सुरक्षा विशेषज्ञों द्वारा ‘रेड-टीमिंग’ (कृत्रिम साइबर हमले करके प्रणालियों की जांच करना) को हर छह महीने में अनिवार्य किया जाना चाहिए।
• एकीकृत राष्ट्रीय ढांचा: CERT-In, NCIIPC और सेक्टोरल रेगुलेटर्स को मिलकर महत्वपूर्ण बुनियादी ढांचे की आपूर्ति श्रृंखला के लिए एक व्यापक, कानूनी रूप से बाध्यकारी राष्ट्रीय ढांचा तैयार करना चाहिए।

निष्कर्ष

डिजिटल युग में किसी महत्वपूर्ण प्रतिष्ठान की सुरक्षा केवल उसकी भौतिक बाड़ या दीवारों से तय नहीं होती। साइबर सुरक्षा अब केवल एक आईटी विभाग का मुद्दा नहीं है, बल्कि यह राष्ट्रीय संप्रभुता और आर्थिक स्थिरता का मुख्य स्तंभ है। यदि भारत को $1 ट्रिलियन की डिजिटल अर्थव्यवस्था और एक वैश्विक महाशक्ति बनना है, तो उसे अपने डिजिटल किले को अभेद्य बनाना होगा। कुडनकुलम की हालिया घटनाएं यह चेतावनी देती हैं कि डिजिटल दुनिया में सुरक्षा एक बार की कवायद नहीं, बल्कि एक निरंतर चलने वाली रणनीतिक सतर्कता है।