CDSL SEBI Penalty: भारतीय शेयर बाजार की प्रमुख डिपॉजिटरी सेंट्रल डिपॉजिटरी सर्विसेज (इंडिया) लिमिटेड (CDSL) पर मार्केट रेगुलेटर SEBI ने साइबर सिक्योरिटी नियमों का पालन नहीं करने के मामले में 1 करोड़ रुपये का जुर्माना लगाया है। यह कार्रवाई नवंबर 2022 में हुए मालवेयर साइबर अटैक की जांच के बाद की गई है। सेबी का कहना है कि यदि CDSL ने अनिवार्य साइबर सुरक्षा मानकों का सही तरीके से पालन किया होता तो इस हमले को रोका जा सकता था।
SEBI ने अपने 88 पन्नों के विस्तृत आदेश में कहा कि CDSL की साइबर सुरक्षा व्यवस्था में कई गंभीर कमियां थीं, जिनके कारण हैकर्स लंबे समय तक कंपनी के नेटवर्क में सक्रिय रहे। जांच में यह भी सामने आया कि साइबर हमलावर नवंबर 2021 से ही नेटवर्क के अंदर मौजूद थे, लेकिन इसका पता करीब एक साल बाद चला।
CDSL पर क्यों लगाया गया 1 करोड़ रुपये का जुर्माना?
SEBI ने अपने आदेश में SEBI Act के तहत 90 लाख रुपये और Depositories Act के तहत 10 लाख रुपये का जुर्माना लगाया है। रेगुलेटर के अनुसार CDSL एक महत्वपूर्ण Market Infrastructure Institution (MII) है, इसलिए उससे उच्च स्तर की साइबर सुरक्षा व्यवस्था बनाए रखने की अपेक्षा की जाती है।
हालांकि, जांच के दौरान यह पाया गया कि कंपनी कई अनिवार्य सुरक्षा मानकों का पालन करने में विफल रही। यही कारण है कि सेबी ने इसे गंभीर नियामकीय उल्लंघन माना।
CDSL की दलील को SEBI ने किया खारिज
जांच के दौरान CDSL ने अपनी सफाई में कहा कि नवंबर 2022 का मालवेयर हमला एक दुर्भाग्यपूर्ण साइबर घटना थी और इसे पूरी तरह रोक पाना संभव नहीं था।
लेकिन SEBI इस तर्क से सहमत नहीं हुआ। रेगुलेटर ने स्पष्ट कहा कि यह हमला अचानक नहीं हुआ, बल्कि कंपनी की कमजोर साइबर सुरक्षा व्यवस्था और सुरक्षा प्रक्रियाओं में मौजूद खामियों का परिणाम था। यदि समय पर जरूरी सुरक्षा उपाय अपनाए गए होते तो इस घटना को रोका जा सकता था।
जांच में सामने आईं कई बड़ी साइबर सुरक्षा खामियां
SEBI की फोरेंसिक जांच में CDSL के साइबर सुरक्षा सिस्टम में कई गंभीर कमियां सामने आईं। इनमें प्रमुख रूप से शामिल हैं—
- इंटरनेट से जुड़े Active Directory Federation Services (ADFS) सर्वर को ‘क्रिटिकल एसेट’ घोषित नहीं किया गया।
- इस कारण सर्वर की अनिवार्य सुरक्षा जांच और नियमित मॉनिटरिंग नहीं हुई।
- कमजोर पासवर्ड (Weak Password) नीति का इस्तेमाल।
- साइबर सिक्योरिटी पॉलिसी का सही तरीके से पालन नहीं किया गया।
- सुरक्षा अलर्ट और संदिग्ध गतिविधियों की प्रभावी निगरानी नहीं की गई।
- साइबर सर्विलांस सिस्टम अपेक्षित स्तर का नहीं था।
SEBI ने कहा कि इतनी महत्वपूर्ण संस्था में इस तरह की बुनियादी सुरक्षा कमियां स्वीकार्य नहीं हैं।
एक साल तक नेटवर्क में मौजूद रहे साइबर हमलावर
फोरेंसिक जांच का सबसे चौंकाने वाला खुलासा यह रहा कि साइबर अटैकर्स नवंबर 2021 में ही CDSL के नेटवर्क में प्रवेश कर चुके थे। इसके बावजूद कंपनी को इसकी जानकारी 18 नवंबर 2022 को मिली।
यानी करीब एक साल तक हैकर्स कंपनी के नेटवर्क में सक्रिय रहे, जो यह दर्शाता है कि CDSL की साइबर मॉनिटरिंग और थ्रेट डिटेक्शन सिस्टम पर्याप्त मजबूत नहीं थी।
किन सेवाओं पर पड़ा था असर?
मालवेयर हमले का प्रभाव CDSL की कई महत्वपूर्ण सेवाओं पर देखने को मिला। इनमें शामिल थीं—
- शेयर सेटलमेंट
- शेयर ट्रांसफर
- प्लेज ट्रांजैक्शन
- अन्य डिपॉजिटरी सेवाएं
इन सेवाओं में व्यवधान आने से बाजार से जुड़े कई प्रतिभागियों को अस्थायी परेशानी का सामना करना पड़ा था।
CISO और पूर्व CTO को मिली राहत
इस मामले में CDSL के तत्कालीन Chief Information Security Officer (CISO) राजेश नाडकर्णी और पूर्व Chief Technology Officer (CTO) अमित महाजन के खिलाफ भी कार्रवाई शुरू की गई थी।
हालांकि, SEBI ने दोनों अधिकारियों के खिलाफ कार्यवाही का निपटारा बिना किसी मौद्रिक (Monetary) पेनल्टी के कर दिया। यानी व्यक्तिगत स्तर पर उन पर कोई आर्थिक जुर्माना नहीं लगाया गया।
निवेशकों के लिए इसका क्या मतलब है?
यह कार्रवाई बताती है कि SEBI अब मार्केट इंफ्रास्ट्रक्चर संस्थानों की साइबर सुरक्षा को लेकर बेहद सख्त रुख अपना रहा है। डिजिटल लेनदेन और डिमैट सिस्टम पर बढ़ती निर्भरता के बीच रेगुलेटर चाहता है कि एक्सचेंज, डिपॉजिटरी और अन्य वित्तीय संस्थाएं अंतरराष्ट्रीय स्तर के साइबर सुरक्षा मानकों का पालन करें।
विशेषज्ञों का मानना है कि इस आदेश के बाद बाजार की अन्य संस्थाएं भी अपने साइबर सुरक्षा ढांचे की समीक्षा करेंगी ताकि भविष्य में ऐसे साइबर हमलों और नियामकीय कार्रवाई से बचा जा सके।
