বাংলাদেশের ছোট ব্যবসা এখন Facebook page, WhatsApp, email, cloud storage, mobile banking, e-commerce ও website-এর ওপর আগের চেয়ে বেশি নির্ভরশীল। এই সুবিধার সঙ্গে account takeover, phishing, malware, দুর্বল password, data loss এবং website compromise-এর ঝুঁকিও আসে। আলাদা security team না থাকলেও কয়েকটি অগ্রাধিকারভিত্তিক পদক্ষেপ নিয়ে ঝুঁকি উল্লেখযোগ্যভাবে কমানো যায়।
এই checklist-টি কোনো নির্দিষ্ট software বিক্রি করার জন্য নয়। এটি NIST Cybersecurity Framework 2.0-এর Small Business Quick Start Guide এবং CISA Secure Our World-এর মূল নীতির ভিত্তিতে বাংলাদেশের ছোট প্রতিষ্ঠান, online shop, agency, clinic, training centre ও service business-এর জন্য সহজভাবে সাজানো।
Table of Contents
প্রথমে ব্যবসার সবচেয়ে গুরুত্বপূর্ণ digital asset চিহ্নিত করুন
সবকিছু একসঙ্গে সুরক্ষিত করতে গেলে কাজ জটিল হয়ে যায়। প্রথমে একটি ছোট তালিকা তৈরি করুন:
- প্রধান business email ও recovery email
- domain, hosting এবং website admin account
- Facebook page, advertising account এবং WhatsApp Business
- mobile financial service, payment gateway ও online banking
- customer, employee, order ও accounting data
- laptop, desktop, mobile এবং router
- cloud storage, backup এবং গুরুত্বপূর্ণ third-party service
প্রতিটি asset-এর পাশে owner, login location, backup status এবং access কার কাছে আছে লিখুন। কোনো কর্মী চলে গেলে তার access কীভাবে বন্ধ হবে, সেটিও নির্ধারণ করুন। NIST CSF 2.0 এই পুরো risk-management lifecycle-কে ছয়টি অংশে দেখে: Govern, Identify, Protect, Detect, Respond এবং Recover।
১. সব গুরুত্বপূর্ণ account-এ MFA চালু করুন
Password ফাঁস হলেও multi-factor authentication বা MFA account takeover ঠেকাতে একটি অতিরিক্ত বাধা তৈরি করে। প্রথমে email, domain registrar, hosting, website admin, Facebook/Meta Business, cloud storage ও financial account-এ MFA চালু করুন। সম্ভব হলে authenticator app, passkey বা hardware security key ব্যবহার করুন। SMS OTP ছাড়া ভালো বিকল্প থাকলে সেটিকে অগ্রাধিকার দিন।
Recovery code নিরাপদ offline স্থানে রাখুন। একজন কর্মীর ব্যক্তিগত ফোন বা email-কে প্রতিষ্ঠানের একমাত্র recovery option বানাবেন না।
সম্পর্কিত গাইড: পাসওয়ার্ড কীভাবে চুরি হয় এবং account সুরক্ষিত রাখবেন
২. আলাদা password ও password manager ব্যবহার করুন
একই password email, Facebook, hosting ও banking-এ ব্যবহার করলে একটি service-এর data breach অন্য সব account-কে ঝুঁকিতে ফেলে। প্রতিটি গুরুত্বপূর্ণ account-এর জন্য দীর্ঘ ও আলাদা password তৈরি করুন। Team access দরকার হলে chat বা spreadsheet-এ password পাঠানোর বদলে reputable business password manager বিবেচনা করুন।
Default router, CCTV, control panel এবং WordPress admin password বদলানোও জরুরি। সম্ভব হলে admin-এর মতো অনুমানযোগ্য username এড়িয়ে চলুন।
৩. Phishing যাচাইয়ের সহজ নিয়ম তৈরি করুন
CISA-এর Secure Our World চারটি অগ্রাধিকারের একটি হিসেবে phishing শনাক্ত ও report করার ওপর জোর দেয়। কর্মীদের জন্য একটি সহজ rule লিখে দিন:
- জরুরি payment, password reset বা account suspension message সরাসরি বিশ্বাস করবেন না।
- email-এর link দিয়ে login না করে পরিচিত website বা app নিজে খুলুন।
- sender name নয়, সম্পূর্ণ email address ও domain দেখুন।
- অপ্রত্যাশিত attachment খুলবেন না।
- bank, supplier বা manager-এর payment instruction অন্য channel-এ যাচাই করুন।
- সন্দেহজনক message delete করার আগে নির্ধারিত ব্যক্তিকে report করুন।
একটি ১৫ মিনিটের মাসিক phishing drill দীর্ঘ annual lecture-এর চেয়ে বেশি ব্যবহারিক হতে পারে। লক্ষ্য ভয় দেখানো নয়; যাচাই করার অভ্যাস তৈরি করা।
৪. Software, plugin ও device update নিয়মিত করুন
পুরোনো operating system, browser, WordPress plugin, theme, router firmware বা accounting software পরিচিত vulnerability বহন করতে পারে। যেসব device ও service automatic security update সমর্থন করে সেখানে সেটি চালু করুন।
Website-এর ক্ষেত্রে unused plugin/theme সরিয়ে দিন, কিন্তু active component update করার আগে tested backup রাখুন। কোনো plugin দীর্ঘদিন update না পেলে maintained alternative বিবেচনা করুন। Pirated theme বা nulled plugin ব্যবহার করবেন না।
৫. Backup রাখুন—এবং restore পরীক্ষা করুন
Backup আছে বললেই recovery নিশ্চিত হয় না। একটি কার্যকর backup plan-এ থাকতে হবে:
- গুরুত্বপূর্ণ data-এর একাধিক copy
- অন্তত একটি copy primary device বা hosting থেকে আলাদা
- প্রয়োজন অনুযায়ী daily/weekly schedule
- backup encryption ও access control
- মাসে অন্তত একবার sample restore test
- কে restore করবে এবং কত সময়ের মধ্যে করবে তার দায়িত্ব
Ransomware বা accidental deletion-এর সময় একই account-এর সঙ্গে সব backup connected থাকলে সেগুলোও ক্ষতিগ্রস্ত হতে পারে। তাই একটি offline বা logically separated copy রাখা গুরুত্বপূর্ণ।
৬. প্রয়োজনের বেশি access দেবেন না
প্রত্যেক কর্মীকে কাজের জন্য যতটুকু access দরকার শুধু ততটুকুই দিন। সবার administrator permission থাকা উচিত নয়। Shared login বাদ দিয়ে individual account দিন, যাতে activity trace করা যায় এবং কর্মী চলে গেলে শুধু তার access বন্ধ করা যায়।
প্রতি তিন মাসে access review করুন:
- সাবেক কর্মীর account আছে কি না
- agency/freelancer-এর temporary access এখনো চালু কি না
- একই কাজে অপ্রয়োজনীয় একাধিক admin আছে কি না
- recovery phone/email সঠিক কি না
- API key, app password বা integration আর প্রয়োজন আছে কি না
৭. Website ও hosting আলাদাভাবে সুরক্ষিত করুন
Website security শুধু WordPress password-এর বিষয় নয়। Domain registrar, DNS, hosting panel, database, admin users এবং backup—সবগুলো একই chain-এর অংশ।
- registrar ও hosting account-এ MFA দিন
- SSL/HTTPS চালু ও certificate renewal যাচাই করুন
- নিয়মিত backup ও restore test করুন
- security log এবং uptime alert চালু রাখুন
- অপ্রয়োজনীয় admin user সরান
- login ও file change-এর অস্বাভাবিক activity পর্যবেক্ষণ করুন
- hosting provider-এর support ও incident process আগে থেকে জানুন
Server পরিচালনার দায়িত্ব নিজের হলে VPS control panel বাছাইয়ের guide দেখে update, backup, compatibility ও support বিবেচনা করুন।
৮. Customer data কম সংগ্রহ করুন
যে data ব্যবসার প্রয়োজন নেই সেটি সংগ্রহ না করাই নিরাপদ। Customer NID, card information, password বা sensitive document অপ্রয়োজনে রাখবেন না। প্রয়োজনীয় data কতদিন রাখা হবে এবং কে access করবে—একটি সহজ retention rule লিখুন।
Google Drive link “Anyone with the link” করে রাখার আগে data sensitivity দেখুন। Client list বা employee document personal chat account-এ স্থায়ীভাবে জমা রাখবেন না। আইনগত বা contractual requirement থাকলে উপযুক্ত professional advice নিন।
৯. অস্বাভাবিক activity ধরার ব্যবস্থা রাখুন
Attack ঠেকানোর পাশাপাশি দ্রুত শনাক্ত করাও গুরুত্বপূর্ণ। অন্তত নিচের alertগুলো চালু রাখুন:
- নতুন device বা location থেকে login
- password/MFA/recovery information পরিবর্তন
- website admin user তৈরি
- বড় file download বা sharing change
- payment beneficiary বা transaction change
- domain/DNS record পরিবর্তন
- malware বা endpoint security alert
Alert কে দেখবে এবং ছুটির দিনেও জরুরি alert কীভাবে escalate হবে সেটি লিখে রাখুন।
১০. এক পৃষ্ঠার incident response plan তৈরি করুন
Incident হলে কে কী করবে আগে থেকে লেখা না থাকলে সময় নষ্ট হয়। এক পৃষ্ঠার plan-এ রাখুন:
- কোন ঘটনা incident হিসেবে ধরা হবে
- কাকে প্রথমে জানাতে হবে
- আক্রান্ত device/account কীভাবে isolate করতে হবে
- password reset ও session revoke-এর ক্রম
- hosting, bank, payment provider বা platform support contact
- evidence—সময়, screenshot, log—কীভাবে সংরক্ষণ হবে
- customer বা partner notification প্রয়োজন কি না তা কে সিদ্ধান্ত নেবে
- backup থেকে recovery এবং service verification ধাপ
আক্রান্ত device দ্রুত format করলে evidence হারাতে পারে; আবার connected রাখলে ক্ষতি বাড়তে পারে। পরিস্থিতি গুরুতর হলে qualified incident-response professional-এর সহায়তা নিন।
৩০ দিনের বাস্তব Action Plan
প্রথম ৭ দিন
- সব গুরুত্বপূর্ণ account ও device-এর inventory করুন
- email, hosting, domain ও financial account-এ MFA চালু করুন
- reused/default password বদলান
- former employee ও unused admin access বন্ধ করুন
৮–১৪ দিন
- automatic update ও security alert চালু করুন
- website, customer data ও accounting data-এর backup নিন
- একটি restore test করুন
- phishing verification rule team-কে দিন
১৫–২১ দিন
- access review ও data-sharing review করুন
- router, CCTV, laptop ও mobile update করুন
- hosting এবং third-party provider-এর emergency contact লিখুন
২২–৩০ দিন
- এক পৃষ্ঠার incident response plan লিখুন
- একটি tabletop exercise করুন: “Business email hack হলে প্রথম ৩০ মিনিটে কী করব?”
- অসম্পূর্ণ কাজের owner ও deadline ঠিক করুন
- পরবর্তী quarterly review-এর তারিখ calendar-এ রাখুন
দ্রুত Checklist
- ☐ Critical asset ও owner তালিকাভুক্ত
- ☐ Email/domain/hosting/finance account-এ MFA
- ☐ সব গুরুত্বপূর্ণ account-এ unique password
- ☐ Former staff ও unused access বন্ধ
- ☐ Device, router, website এবং plugin updated
- ☐ আলাদা ও tested backup আছে
- ☐ Phishing/payment verification rule লেখা
- ☐ Customer data collection ও sharing সীমিত
- ☐ Login, DNS, admin ও payment alert চালু
- ☐ Incident response contact ও recovery steps লেখা
প্রায় জিজ্ঞাসিত প্রশ্ন
ছোট ব্যবসার জন্য সবচেয়ে জরুরি cybersecurity পদক্ষেপ কোনটি?
একটি পদক্ষেপ যথেষ্ট নয়। শুরুতে business email, domain/hosting এবং financial account-এ MFA; প্রতিটি account-এ unique password; tested backup; নিয়মিত update; এবং phishing verification rule—এই পাঁচটি অগ্রাধিকার দিন।
Antivirus থাকলে কি ব্যবসা নিরাপদ?
Antivirus একটি layer মাত্র। Phishing, stolen password, ভুল access permission, exposed cloud file, দুর্বল backup বা fraudulent payment instruction শুধু antivirus দিয়ে ঠেকানো যায় না।
Cybersecurity-এর জন্য আলাদা কর্মী নিয়োগ করতেই হবে?
সব ছোট প্রতিষ্ঠানের full-time specialist প্রয়োজন বা সামর্থ্য নাও থাকতে পারে। NIST-এর small-business guidance অনুযায়ী business risk ও obligation বুঝে existing staff-কে প্রশিক্ষণ দেওয়া, নির্দিষ্ট কাজ outsource করা বা qualified service provider ব্যবহার করা যেতে পারে। তবে দায়িত্ব, access এবং response ownership প্রতিষ্ঠানের ভেতরে স্পষ্ট থাকতে হবে।
কতদিন পরপর security review করা উচিত?
Critical alert নিয়মিত দেখুন এবং অন্তত প্রতি তিন মাসে account access, backup restore, software update, supplier access ও incident contact review করুন। বড় staff change, নতুন payment system বা website migration হলে অতিরিক্ত review করুন।
শেষ কথা
ছোট ব্যবসার cybersecurity মানে সবচেয়ে দামি tool কেনা নয়; বরং গুরুত্বপূর্ণ asset চেনা, দায়িত্ব নির্ধারণ, basic protection ধারাবাহিকভাবে প্রয়োগ এবং incident হলে দ্রুত recovery করা। NIST CSF 2.0-এর Govern, Identify, Protect, Detect, Respond ও Recover—এই ছয়টি দৃষ্টিভঙ্গি ব্যবহার করলে ছোট একটি team-ও বাস্তবসম্মত security roadmap তৈরি করতে পারে।
আরও সাধারণ ধারণার জন্য পড়ুন: সাইবার সিকিউরিটি কী—প্রধান ক্ষেত্র ও সুরক্ষা
Authoritative sources
- NIST — Cybersecurity Framework 2.0 for Small Business
- NIST — CSF 2.0 Quick-Start Guides
- CISA — Secure Our World