कस्टम साइबरसुरक्षा सेवा: स्कोप कैसे परिभाषित करें

Resposta direta: कस्टम साइबरसुरक्षा एंगेजमेंट के स्कोप के लिए परिसम्पत्तियाँ, उद्देश्यों और स्वीकृत क्रियाओं की लिखित परिभाषा आवश्यक है। NDA, लिखित अनुमति, परीक्षण की सीमाएँ और डाटा हैंडलिंग नियम पहले चरण में तय करें—इससे वैधता, गोपनीयता और परिणामकुशलता सुनिश्चित होती है।

क्यों स्कोपिंग व्यावसायिक रूप से जरूरी है

वाणिज्यिक क्लाइंट के नज़रिए से स्कोपिंग यह तय करती है कि आप क्या पाते हैं, हमें क्या करना है और किन सीमाओं के भीतर काम करना है। सही स्कोप:

• अधिग्रहण जोखिम को कम करता है।
• कानूनी/नियमित जोखिम को नियंत्रित करता है।
• रिपोर्टिंग और रिमीडिएशन अपेक्षाओं को स्पष्ट करता है।

संदर्भ फ्रेमवर्क: NIST Cybersecurity Framework 2.0 और NIST Privacy Framework का पालन परामर्श के दौरान उपयोगी सिद्धांत देता है: https://www.nist.gov/cyberframework और https://www.nist.gov/privacy-framework

व्यवसायिक (commercial) और जानकारीमूलक (informational) जरूरतें

H2: वाणिज्यिक दृष्टिकोण से पूछे जाने वाले प्रश्न

• क्या टेस्ट पेनेट्रेशन या केवल कॉन्फ़िगरेशन ऑडिट होगा?
• किस कस्टमर-एसेट (वेब-ऐप, क्लाउड, आईओटी) पर काम होगा?
• क्या क्लाइंट रिमीडिएशन समर्थन चाहता है?
• बजट और वर्क-ऑर्डर सीमाएँ क्या हैं?

H2: जानकारीमूलक लक्ष्य — क्या अनुमानित रिपोर्ट दिखेगी?

• जोखिम मैट्रिक्स, CVSS सारांशों (जहाँ उपयुक्त), और प्रायोरिटी रिमीडिएशन आइटम।
• तकनीकी तथ्यों के साथ बिजनेस-इम्पैक्ट सार।

सेवा-सारांश तालिका

सेवा प्रक्रिया — चरणबद्ध

1. प्रारंभिक परामर्श: व्यवसायिक उद्देश्य, प्राथमिक परिसम्पत्तियाँ और रुकावट सहमति पहचानें।
2. कानूनी और प्रशासनिक तैयारी: NDA, पहुँच परमिशन/ऑथराइज़ेशन पेपर, स्कोप डॉक्यूमेंट।
3. परीक्षक-समन्वय: टेस्ट-मार्गदर्शिका, टाइम-विंडो और रोल बैक प्लान तय करना।
4. निष्पादन (अनुमोदित एक्सेस तक सीमित): परीक्षण निष्पादन, सुरक्षित लॉगिंग और सत्र-निगरानी।
5. रिपोर्टिंग: तकनीकी विवरण, प्रभाव-आधारित संक्षेप, प्राथमिकता-आधार रिमीडिएशन प्लान।
6. रिमीडिएशन सहायता (यदि अनुरोध किया गया): परिवर्तनों का परामर्श और वैरिफिकेशन परीक्षण।
7. समापन: निष्कर्ष, ज्ञान हस्तांतरण और प्रमाणित स्कोप क्लोज़र।

स्कोप निर्धारण के मानदंड

• परिसम्पत्ति की पहचान (सीवियरिटी, संवेदनशीलता)
• कानूनी और नियामकीय प्रतिबंध
• परीक्षण विधि: ब्लैक/ग्रे/वाइट बॉक्स
• अनुमति स्तर: अकाउंट्स, API एक्सेस, नेटवर्क रेंज
• विंडो और कार्रवाई सीमाएँ (उदा. नाईट-टाइम स्कैन ना करने का अनुरोध)

गोपनीयता और सहमति (Privacy & Consent)

• लिखित सहमति आवश्यक है: परीक्षण आरंभ करने से पहले ग्राहक का स्पष्ट, हस्ताक्षरित अनुमति-पत्र।
• निजी पहचान योग्य जानकारी (PII) को कम से कम रखना; डेटा हैंडलिंग NIST Privacy Framework के अनुरूप होना चाहिए: https://www.nist.gov/privacy-framework
• लॉग, स्क्रीनशॉट और संवेदनशील सूचनाओं का एन्क्रिप्टेड भंडारण और सीमित एक्सेस
• तीसरे पक्ष (जैसे क्लाउड प्रोवाइडर) को सूचित करने की ज़रूरत होने पर क्लाइंट सहमति।

सीमाएँ — क्या हम नहीं करते

कोई वैध पेशेवर निम्नलिखित काम नहीं करेगा:

• किसी तीसरे पक्ष के खाते में बिना मालिक की स्पष्ट लिखित अनुमति के प्रवेश।
• पासवर्ड, OTP/2FA कोड इकट्ठा करना या जमा करना।
• प्रमाणिकेशन/मल्टी-फैक्टर सुरक्षा को बायपास करने के निर्देश या प्रक्रिया।
• मैलवेयर, रूटकिट या किसी भी तरह के स्थायी हानिकारक सॉफ़्टवेयर इंस्टॉल करना।
• उपयोगकर्ता गतिविधियों का जासूसी करना या संवेदनशील संचार रिकॉर्ड करना।
• किसी भी मामले में "गैर-वैध पहुँच" या निरंतर एक्सेस की सुविधा देना।
• गारंटीकृत डेटा रिकवरी या "100% सुरक्षा" का वादा।

इन सीमाओं का पालन नैतिकता, कानून और क्लाइंट-रिलेशनशिप को सुरक्षित रखने के लिए अनिवार्य है।

आधिकारिक प्लेटफ़ॉर्म सपोर्ट बनाम निजी सेवा बनाम अनधिकृत जांच

• आधिकारिक प्लेटफ़ॉर्म सपोर्ट: Google, Microsoft, AWS आदि के सत्यापित सपोर्ट चैनल को रिपोर्टिंग और ब्लॉक/रिस्टोर ऑप्शन के लिए प्राथमिक मानें; वे अकाउंट-लेवल टूल और रिकॉर्ड रखते हैं।
• निजी सेवा (हमारी सर्विस): अधिकृत परीक्षण, संवेदनशीलताओं की पहचान, और रिमीडिएशन सलाह। हम प्लेटफ़ॉर्म-सदस्यता, प्रशासनिक पहुँच या वैधता प्रदान नहीं करते।
• अनधिकृत जांच: क्लाइंट के बिना कोई गतिविधि अनधिकृत है और कानूनी परिणाम ला सकती है।
• आपराधिक घटना मिलने पर: यदि संदिग्ध अपराध या धोखाधड़ी है, तो हम प्रमाणों को सुरक्षित कर के क्लाइंट की अनुमति से प्रासंगिक अधिकारियों/फोरेंसिक स्पेशलिस्टों को रेफर करेंगे।

अक्सर पूछे जाने वाले प्रश्न (FAQ)

1. Q: क्या आप हमारे प्रोडक्शन पर पेन-टेस्ट कर सकते हैं? A: हाँ, केवल लिखित अनुमति और डाउनटाइम/रोलबैक प्लान के साथ। हम पेन-टेस्ट की श्रेणी (रिस्क-प्रोफाइल) और विंडो पहले से तय करते हैं।

2. Q: कितने समय में रिपोर्ट मिलती है? A: निर्भर करता है स्कोप और एसेट्स पर; छोटे वेब-एप के लिए आमतौर पर कुछ दिनों से कुछ सप्ताह। हम कोई निश्चित समयसीमा वादा नहीं करते बिना स्कोप पर सहमति के।

3. Q: क्या आप पासवर्ड/OTP लेकर हमरी मदद कर सकते हैं? A: नहीं। हम किसी भी खाते के क्रेडेंशियल्स नहीं मांगते या संग्रहित नहीं करते। एक्सेस ऑथराइज़ेशन क्लाइंट द्वारा प्रदान किए गए सीमित टेस्ट-एकाउंट्स के माध्यम से होगा।

4. Q: हम पाई गई कमजोरी पर क्या उम्मीद कर सकते हैं? A: विस्तृत तकनीकी विवरण, प्रभाव मूल्यांकन और प्राथमिकता-आधारित रिमीडिएशन सिफारिशें। कॉम्प्लायंस-संबंधी सुझाव भी दिए जा सकते हैं।

5. Q: क्या आप सीधे कानून-प्रवर्तन के साथ काम करते हैं? A: केवल क्लाइंट की लिखित अनुमति या कानूनी आवश्यकताओं के तहत। यदि अपराध का प्रमाण मिलता है, हम क्लाइंट को रिपोर्टिंग और बेहतर कानूनी/फोरेंसिक कदमों के लिए मार्गदर्शन देंगे।

6. Q: क्या आप क्लाउड प्रोवाइडर के साथ बातचीत कर सकते हैं? A: हाँ, परंतु क्लाइंट द्वारा आधिकारिक अनुमति और आवश्यक अकाउंट-रोल्स दिए जाने पर ही।

CTA — आगे कैसे बढ़ें

यदि आप एक अधिकृत, कस्टम साइबरसुरक्षा एंगेजमेंट शुरू करना चाहते हैं, तो सीधे हमारे सर्विस पेज पर विवरण भेजें: página do serviço। अधिक गाइड के लिए संबंधित लेख पढ़ें: artigo relacionado या हमारी होमपेज देखें: página inicial।

अंत में: स्कोप स्पष्ट होना सुरक्षा परियोजना की सफलता की नींव है। सही सहमति, सीमाएँ और गोपनीयता नियंत्रण सुनिश्चित करें ताकि परीक्षण वैध, नैतिक और प्रभावी हो।