CII ऑपरेटरों के लिए मुख्य बदलाव

1. नेटवर्क के अलग-अलग हिस्सों में सरकारी थ्रेट-डिटेक्शन सिस्टम

CII के मालिकों को Cyber Security Agency of Singapore (CSA) के साथ मिलकर अपने संबंधित नेटवर्क सेगमेंट में स्थानीय रूप से विकसित थ्रेट-डिटेक्शन सिस्टम तैनात करने होंगे। इसका उद्देश्य केवल औपचारिक रूप से नामित CII सिस्टम के भीतर ही नहीं, बल्कि उससे जुड़े व्यापक ऑपरेटिंग वातावरण में भी संदिग्ध गतिविधियों को पहचानना और दृश्यता बढ़ाना है।

इसका महत्व इसलिए है क्योंकि हमलावर अक्सर कम सुरक्षित सिस्टम को प्रवेश-द्वार की तरह इस्तेमाल कर सकते हैं। सिंगापुर ने कहा है कि खतरा पैदा करने वाले समूह इसी कारण गैर-CII सिस्टमों को भी निशाना बना रहे हैं।

2. साइबर सुरक्षा अब पूरे बोर्ड की जिम्मेदारी होगी

नई व्यवस्था साइबर सुरक्षा की जिम्मेदारी केवल IT विभाग या किसी एक नामित अधिकारी तक सीमित नहीं रखती। पूरे बोर्ड और वरिष्ठ प्रबंधन से साइबर जोखिम तथा हमले के बाद रिकवरी की निगरानी की अपेक्षा की जाएगी।

बोर्ड को एक लिखित साइबर-रेजिलिएंस फ्रेमवर्क बनाए रखना होगा, जिसमें शामिल होंगे:

• संगठन की साइबर जोखिम सहने की सीमा;
• जोखिम कम करने और उसका प्रबंधन करने के उपाय;
• जोखिम को दूसरी पार्टी को हस्तांतरित करने की संभावित व्यवस्था; और
• रिकवरी की प्राथमिकताएं तथा क्षमताएं।

इस फ्रेमवर्क की समीक्षा कम-से-कम साल में एक बार करनी होगी।

इससे साइबर-रेजिलिएंस एक बार की अनुपालन प्रक्रिया के बजाय नियमित कॉरपोरेट गवर्नेंस जिम्मेदारी बन जाती है। निदेशकों को यह तय करने में भी अधिक स्पष्ट भूमिका मिलेगी कि संगठन कितना जोखिम स्वीकार कर सकता है और गंभीर हमले के बाद आवश्यक सेवाएं कैसे जारी रखेगा।

3. निगरानी CII से जुड़े सिस्टमों तक भी पहुंचेगी

CII मालिकों को उन सिस्टमों पर निगरानी रखनी होगी जो CII से जुड़ते हैं, उसके साथ संचार करते हैं या उसे सपोर्ट करते हैं। अपडेटेड नियमों में बेहतर नेटवर्क आर्किटेक्चर, निगरानी और डिटेक्शन प्रबंधन के साथ-साथ समन्वित घटना-प्रतिक्रिया के लिए व्यापक साइबर सुरक्षा अभ्यास योजनाओं की भी मांग की गई है।

व्यवहार में इसका अर्थ है कि ऑपरेटरों को अपनी डिजिटल निर्भरता का अधिक पूरा नक्शा तैयार करना होगा। कोई सिस्टम औपचारिक रूप से CII के रूप में नामित न हो, फिर भी अगर वह महत्वपूर्ण सेवा तक पहुंच का रास्ता बन सकता है या हमले के बाद रिकवरी को प्रभावित कर सकता है, तो उसकी अधिक कड़ी जांच करनी होगी।

4. सपोर्टिंग गैर-CII सिस्टमों के लिए Cyber Trust Mark Level 5

CII मालिकों को अपने नियंत्रण वाले उन गैर-CII सिस्टमों के लिए 2027 के अंत तक Cyber Trust Mark (CTM) Level 5 हासिल करना होगा, जो उनके कारोबारी संचालन या सेवाओं को सपोर्ट करते हैं। इससे सुरक्षा का दायरा उन सिस्टमों से आगे बढ़ता है जिन्हें औपचारिक रूप से CII घोषित किया गया है।

Level 5 सिंगापुर के Cyber Trust फ्रेमवर्क का सबसे ऊंचा स्तर है। यह व्यापक प्रमाणन कार्यक्रम पारंपरिक साइबर सुरक्षा के अलावा क्लाउड सुरक्षा, operational technology (OT) सुरक्षा और AI सुरक्षा जैसे क्षेत्रों को भी कवर करता है।

लक्ष्य यह है कि अत्यधिक सुरक्षित CII सिस्टम और उसके आसपास के कॉरपोरेट इंफ्रास्ट्रक्चर के बीच सुरक्षा का बड़ा अंतर न रहे—खासकर तब, जब दोनों साझा क्रेडेंशियल, प्रशासनिक टूल, नेटवर्क या रिकवरी प्रक्रियाओं पर निर्भर हों।

सिंगापुर ने नियम क्यों कड़े किए?

AI हमलावरों को अधिक तेज और सक्षम बना रहा है

CSA के अनुसार, अपडेटेड कोड का उद्देश्य APT और AI-सक्षम खतरों से निपटना है। AI हमलावरों को अधिक गति, बड़े पैमाने और बेहतर तकनीकी क्षमता के साथ काम करने में मदद कर सकता है। इससे संगठनों पर संदिग्ध गतिविधि को जल्दी पहचानने और पूरे वातावरण में प्रतिक्रिया देने का दबाव बढ़ता है, क्योंकि केवल पारंपरिक नेटवर्क सीमा की सुरक्षा पर्याप्त नहीं रह जाती।

इसीलिए नीति प्रतिक्रिया केवल एक अतिरिक्त तकनीकी सुरक्षा उपाय तक सीमित नहीं है। इसमें डिटेक्शन, गवर्नेंस, प्रमाणन और साइबर अभ्यासों को एक साथ जोड़ा गया है, ताकि ऑपरेटर खतरे को पहचान सकें, तेजी से निर्णय ले सकें और सुरक्षा विफल होने पर भी महत्वपूर्ण सेवाएं बहाल कर सकें।

UNC3886 ने टेलीकॉम इंफ्रास्ट्रक्चर का रणनीतिक महत्व दिखाया

2025 के अभियान में UNC3886 ने सिंगापुर की चार प्रमुख टेलीकॉम कंपनियों को निशाना बनाया। सिंगापुर ने इसे उन्नत क्षमताओं वाले समूह का जानबूझकर किया गया, लक्षित और सुनियोजित अभियान बताया।

CSA ने UNC3886 को राज्य-समर्थित APT समूह के रूप में पहचाना है। इसके तरीकों में living-off-the-land तकनीक और zero-day exploits जैसे उन्नत उपाय शामिल हैं। यह समूह महत्वपूर्ण इंफ्रास्ट्रक्चर जैसे उच्च-मूल्य वाले रणनीतिक ठिकानों को निशाना बनाता है।

सिंगापुर ने इसके जवाब में Operation CYBER GUARDIAN शुरू किया। इसमें सरकारी एजेंसियों और टेलीकॉम कंपनियों ने मिलकर काम किया। अधिकारियों के अनुसार, घटना को इस तरह नियंत्रित किया गया कि टेलीकॉम सेवाओं में कोई व्यवधान नहीं आया और ग्राहक डेटा के प्रभावित होने का कोई प्रमाण नहीं मिला।

सेवा बाधित न होने का अर्थ यह नहीं है कि घटना अन्य क्षेत्रों के लिए अप्रासंगिक है। इससे स्पष्ट होता है कि टेलीकॉम, ऊर्जा, स्वास्थ्य, वित्त और परिवहन जैसी आवश्यक सेवाएं रणनीतिक निशाने पर रहती हैं। यही वजह है कि सिंगापुर CII के आसपास मौजूद सिस्टमों और सप्लायर्स पर भी नियंत्रण बढ़ा रहा है।

क्लाउड और थर्ड-पार्टी सुरक्षा अगली बड़ी परत

सिंगापुर 2026 के उत्तरार्ध में Cloud Services के लिए एक अलग, कानूनी रूप से बाध्यकारी Cybersecurity Code of Practice लाने की योजना बना रहा है। इसमें क्लाउड वातावरण में होस्ट किए गए CII सिस्टमों की सुरक्षित तैनाती, संचालन और प्रबंधन से जुड़े नियम शामिल होने की उम्मीद है।

CSA ने AWS, Google Cloud और Microsoft Azure के साथ मिलकर प्रदाता-विशिष्ट इंप्लीमेंटेशन गाइड भी तैयार किए हैं। इनमें उपयुक्त कॉन्फिगरेशन और क्लाउड-नेटिव सुरक्षा क्षमताओं के इस्तेमाल पर मार्गदर्शन शामिल है।

साइबर सुरक्षा सप्लाई चेन पर भी समयसीमा लागू होगी:

• CII ऑडिटर को 2026 के अंत तक CTM Level 5 हासिल करना होगा।
• लाइसेंस प्राप्त penetration-testing और managed security operations centre प्रदाताओं को 2026 के अंत तक CTM Level 3 हासिल करना होगा।
• CII मालिकों को संबंधित सपोर्टिंग सिस्टमों के लिए 2027 के अंत तक CTM Level 5 हासिल करना होगा।

इन उपायों से एक व्यापक सिद्धांत सामने आता है: किसी महत्वपूर्ण ऑपरेटर की सुरक्षा केवल उसके अपने नियंत्रणों पर निर्भर नहीं करती। ऑडिट, निगरानी, परीक्षण और होस्टिंग करने वाली बाहरी संस्थाओं की सुरक्षा भी उतनी ही महत्वपूर्ण है।

अभी क्या स्पष्ट नहीं है?

CSA ने अपडेटेड CII आवश्यकताओं को प्रकाशित कर दिया है, लेकिन अलग से आने वाले क्लाउड कोड के विस्तृत दायित्व अभी विकसित हो रहे हैं। सार्वजनिक जानकारी में क्लाउड नियमों की समयसीमा और व्यापक दिशा बताई गई है, पर क्लाउड प्रदाताओं, सब-कॉन्ट्रैक्टरों और shared-responsibility व्यवस्था के लिए सटीक शर्तें अभी पूरी तरह तय या प्रकाशित नहीं हुई हैं।

इसलिए CII ऑपरेटरों की तत्काल प्राथमिकता पूरी निर्भरता-श्रृंखला का आकलन करना होनी चाहिए—जिसमें नामित CII, जुड़े हुए सिस्टम, क्लाउड वर्कलोड, रिकवरी वातावरण, सप्लायर्स और आउटसोर्स की गई सुरक्षा सेवाएं शामिल हैं। सिंगापुर की नीति की दिशा स्पष्ट है: अब सुरक्षित सीमा केवल वह सिस्टम नहीं है जिस पर CII का लेबल लगा हो, बल्कि पूरा ऑपरेटिंग इकोसिस्टम है।

CII ऑपरेटरों के लिए मुख्य बदलाव

1. नेटवर्क के अलग-अलग हिस्सों में सरकारी थ्रेट-डिटेक्शन सिस्टम

CII के मालिकों को Cyber Security Agency of Singapore (CSA) के साथ मिलकर अपने संबंधित नेटवर्क सेगमेंट में स्थानीय रूप से विकसित थ्रेट-डिटेक्शन सिस्टम तैनात करने होंगे। इसका उद्देश्य केवल औपचारिक रूप से नामित CII सिस्टम के भीतर ही नहीं, बल्कि उससे जुड़े व्यापक ऑपरेटिंग वातावरण में भी संदिग्ध गतिविधियों को पहचानना और दृश्यता बढ़ाना है।

इसका महत्व इसलिए है क्योंकि हमलावर अक्सर कम सुरक्षित सिस्टम को प्रवेश-द्वार की तरह इस्तेमाल कर सकते हैं। सिंगापुर ने कहा है कि खतरा पैदा करने वाले समूह इसी कारण गैर-CII सिस्टमों को भी निशाना बना रहे हैं।

2. साइबर सुरक्षा अब पूरे बोर्ड की जिम्मेदारी होगी

नई व्यवस्था साइबर सुरक्षा की जिम्मेदारी केवल IT विभाग या किसी एक नामित अधिकारी तक सीमित नहीं रखती। पूरे बोर्ड और वरिष्ठ प्रबंधन से साइबर जोखिम तथा हमले के बाद रिकवरी की निगरानी की अपेक्षा की जाएगी।

बोर्ड को एक लिखित साइबर-रेजिलिएंस फ्रेमवर्क बनाए रखना होगा, जिसमें शामिल होंगे:

• संगठन की साइबर जोखिम सहने की सीमा;
• जोखिम कम करने और उसका प्रबंधन करने के उपाय;
• जोखिम को दूसरी पार्टी को हस्तांतरित करने की संभावित व्यवस्था; और
• रिकवरी की प्राथमिकताएं तथा क्षमताएं।

इस फ्रेमवर्क की समीक्षा कम-से-कम साल में एक बार करनी होगी।

इससे साइबर-रेजिलिएंस एक बार की अनुपालन प्रक्रिया के बजाय नियमित कॉरपोरेट गवर्नेंस जिम्मेदारी बन जाती है। निदेशकों को यह तय करने में भी अधिक स्पष्ट भूमिका मिलेगी कि संगठन कितना जोखिम स्वीकार कर सकता है और गंभीर हमले के बाद आवश्यक सेवाएं कैसे जारी रखेगा।

3. निगरानी CII से जुड़े सिस्टमों तक भी पहुंचेगी

CII मालिकों को उन सिस्टमों पर निगरानी रखनी होगी जो CII से जुड़ते हैं, उसके साथ संचार करते हैं या उसे सपोर्ट करते हैं। अपडेटेड नियमों में बेहतर नेटवर्क आर्किटेक्चर, निगरानी और डिटेक्शन प्रबंधन के साथ-साथ समन्वित घटना-प्रतिक्रिया के लिए व्यापक साइबर सुरक्षा अभ्यास योजनाओं की भी मांग की गई है।

व्यवहार में इसका अर्थ है कि ऑपरेटरों को अपनी डिजिटल निर्भरता का अधिक पूरा नक्शा तैयार करना होगा। कोई सिस्टम औपचारिक रूप से CII के रूप में नामित न हो, फिर भी अगर वह महत्वपूर्ण सेवा तक पहुंच का रास्ता बन सकता है या हमले के बाद रिकवरी को प्रभावित कर सकता है, तो उसकी अधिक कड़ी जांच करनी होगी।

4. सपोर्टिंग गैर-CII सिस्टमों के लिए Cyber Trust Mark Level 5

CII मालिकों को अपने नियंत्रण वाले उन गैर-CII सिस्टमों के लिए 2027 के अंत तक Cyber Trust Mark (CTM) Level 5 हासिल करना होगा, जो उनके कारोबारी संचालन या सेवाओं को सपोर्ट करते हैं। इससे सुरक्षा का दायरा उन सिस्टमों से आगे बढ़ता है जिन्हें औपचारिक रूप से CII घोषित किया गया है।

Level 5 सिंगापुर के Cyber Trust फ्रेमवर्क का सबसे ऊंचा स्तर है। यह व्यापक प्रमाणन कार्यक्रम पारंपरिक साइबर सुरक्षा के अलावा क्लाउड सुरक्षा, operational technology (OT) सुरक्षा और AI सुरक्षा जैसे क्षेत्रों को भी कवर करता है।

लक्ष्य यह है कि अत्यधिक सुरक्षित CII सिस्टम और उसके आसपास के कॉरपोरेट इंफ्रास्ट्रक्चर के बीच सुरक्षा का बड़ा अंतर न रहे—खासकर तब, जब दोनों साझा क्रेडेंशियल, प्रशासनिक टूल, नेटवर्क या रिकवरी प्रक्रियाओं पर निर्भर हों।

सिंगापुर ने नियम क्यों कड़े किए?

AI हमलावरों को अधिक तेज और सक्षम बना रहा है

CSA के अनुसार, अपडेटेड कोड का उद्देश्य APT और AI-सक्षम खतरों से निपटना है। AI हमलावरों को अधिक गति, बड़े पैमाने और बेहतर तकनीकी क्षमता के साथ काम करने में मदद कर सकता है। इससे संगठनों पर संदिग्ध गतिविधि को जल्दी पहचानने और पूरे वातावरण में प्रतिक्रिया देने का दबाव बढ़ता है, क्योंकि केवल पारंपरिक नेटवर्क सीमा की सुरक्षा पर्याप्त नहीं रह जाती।

इसीलिए नीति प्रतिक्रिया केवल एक अतिरिक्त तकनीकी सुरक्षा उपाय तक सीमित नहीं है। इसमें डिटेक्शन, गवर्नेंस, प्रमाणन और साइबर अभ्यासों को एक साथ जोड़ा गया है, ताकि ऑपरेटर खतरे को पहचान सकें, तेजी से निर्णय ले सकें और सुरक्षा विफल होने पर भी महत्वपूर्ण सेवाएं बहाल कर सकें।

UNC3886 ने टेलीकॉम इंफ्रास्ट्रक्चर का रणनीतिक महत्व दिखाया

2025 के अभियान में UNC3886 ने सिंगापुर की चार प्रमुख टेलीकॉम कंपनियों को निशाना बनाया। सिंगापुर ने इसे उन्नत क्षमताओं वाले समूह का जानबूझकर किया गया, लक्षित और सुनियोजित अभियान बताया।

CSA ने UNC3886 को राज्य-समर्थित APT समूह के रूप में पहचाना है। इसके तरीकों में living-off-the-land तकनीक और zero-day exploits जैसे उन्नत उपाय शामिल हैं। यह समूह महत्वपूर्ण इंफ्रास्ट्रक्चर जैसे उच्च-मूल्य वाले रणनीतिक ठिकानों को निशाना बनाता है।

सिंगापुर ने इसके जवाब में Operation CYBER GUARDIAN शुरू किया। इसमें सरकारी एजेंसियों और टेलीकॉम कंपनियों ने मिलकर काम किया। अधिकारियों के अनुसार, घटना को इस तरह नियंत्रित किया गया कि टेलीकॉम सेवाओं में कोई व्यवधान नहीं आया और ग्राहक डेटा के प्रभावित होने का कोई प्रमाण नहीं मिला।

सेवा बाधित न होने का अर्थ यह नहीं है कि घटना अन्य क्षेत्रों के लिए अप्रासंगिक है। इससे स्पष्ट होता है कि टेलीकॉम, ऊर्जा, स्वास्थ्य, वित्त और परिवहन जैसी आवश्यक सेवाएं रणनीतिक निशाने पर रहती हैं। यही वजह है कि सिंगापुर CII के आसपास मौजूद सिस्टमों और सप्लायर्स पर भी नियंत्रण बढ़ा रहा है।

क्लाउड और थर्ड-पार्टी सुरक्षा अगली बड़ी परत

सिंगापुर 2026 के उत्तरार्ध में Cloud Services के लिए एक अलग, कानूनी रूप से बाध्यकारी Cybersecurity Code of Practice लाने की योजना बना रहा है। इसमें क्लाउड वातावरण में होस्ट किए गए CII सिस्टमों की सुरक्षित तैनाती, संचालन और प्रबंधन से जुड़े नियम शामिल होने की उम्मीद है।

CSA ने AWS, Google Cloud और Microsoft Azure के साथ मिलकर प्रदाता-विशिष्ट इंप्लीमेंटेशन गाइड भी तैयार किए हैं। इनमें उपयुक्त कॉन्फिगरेशन और क्लाउड-नेटिव सुरक्षा क्षमताओं के इस्तेमाल पर मार्गदर्शन शामिल है।

साइबर सुरक्षा सप्लाई चेन पर भी समयसीमा लागू होगी:

• CII ऑडिटर को 2026 के अंत तक CTM Level 5 हासिल करना होगा।
• लाइसेंस प्राप्त penetration-testing और managed security operations centre प्रदाताओं को 2026 के अंत तक CTM Level 3 हासिल करना होगा।
• CII मालिकों को संबंधित सपोर्टिंग सिस्टमों के लिए 2027 के अंत तक CTM Level 5 हासिल करना होगा।

इन उपायों से एक व्यापक सिद्धांत सामने आता है: किसी महत्वपूर्ण ऑपरेटर की सुरक्षा केवल उसके अपने नियंत्रणों पर निर्भर नहीं करती। ऑडिट, निगरानी, परीक्षण और होस्टिंग करने वाली बाहरी संस्थाओं की सुरक्षा भी उतनी ही महत्वपूर्ण है।

अभी क्या स्पष्ट नहीं है?

CSA ने अपडेटेड CII आवश्यकताओं को प्रकाशित कर दिया है, लेकिन अलग से आने वाले क्लाउड कोड के विस्तृत दायित्व अभी विकसित हो रहे हैं। सार्वजनिक जानकारी में क्लाउड नियमों की समयसीमा और व्यापक दिशा बताई गई है, पर क्लाउड प्रदाताओं, सब-कॉन्ट्रैक्टरों और shared-responsibility व्यवस्था के लिए सटीक शर्तें अभी पूरी तरह तय या प्रकाशित नहीं हुई हैं।

इसलिए CII ऑपरेटरों की तत्काल प्राथमिकता पूरी निर्भरता-श्रृंखला का आकलन करना होनी चाहिए—जिसमें नामित CII, जुड़े हुए सिस्टम, क्लाउड वर्कलोड, रिकवरी वातावरण, सप्लायर्स और आउटसोर्स की गई सुरक्षा सेवाएं शामिल हैं। सिंगापुर की नीति की दिशा स्पष्ट है: अब सुरक्षित सीमा केवल वह सिस्टम नहीं है जिस पर CII का लेबल लगा हो, बल्कि पूरा ऑपरेटिंग इकोसिस्टम है।