सुरक्षा नीति
एनआईएसई वेबसाइट को संरक्षित सुरक्षा क्षेत्रों में स्थापित किया गया है तथा फ़ायरवॉल, घुसपैठ पहचान प्रणाली (आईडीएस) और उच्च-उपलब्धता समाधानों के कार्यान्वयन के माध्यम से सुरक्षित किया गया है। वेबसाइट के आरंभ से पूर्व संभावित सुरक्षा कमज़ोरियों की पहचान हेतु सिम्युलेटेड पेनिट्रेशन परीक्षण किया गया था। निरंतर सुरक्षा एवं सुदृढ़ता सुनिश्चित करने के लिए वर्ष में कम से कम एक बार आवधिक पेनिट्रेशन परीक्षण भी किया जाता है। वेबसाइट के आरंभ से पूर्व ज्ञात एप्लिकेशन-स्तरीय कमज़ोरियों हेतु उसका लेखा-परीक्षण किया गया था तथा पहचानी गई सभी कमज़ोरियों का निवारण किया गया था। इसके अतिरिक्त, वेबसाइट को होस्ट करने वाले सर्वरों को साइबर सुरक्षा प्रभाग द्वारा जारी दिशानिर्देशों के अनुसार सुदृढ़ (हार्डन) किया गया था।
एनआईएसई वेबसाइट को होस्ट करने वाले वेब सर्वरों तक पहुँच, यथासंभव, भौतिक एवं नेटवर्क-आधारित दोनों प्रकार के नियंत्रणों के माध्यम से प्रतिबंधित है। वेबसाइट सर्वरों तक अधिकृत भौतिक पहुँच के लॉग दो पृथक स्थानों पर रखे जाते हैं। वेब सर्वर आईडीएस एवं घुसपैठ रोकथाम प्रणाली (आईपीएस) समाधानों के पीछे विन्यस्त हैं तथा सिस्टम-स्तरीय फ़ायरवॉल द्वारा अतिरिक्त रूप से संरक्षित हैं। समस्त विकास गतिविधियाँ एक पृथक विकास परिवेश में की जाती हैं तथा प्रोडक्शन परिवेश में स्थापित करने से पूर्व स्टेजिंग सर्वर पर उनका भली-भाँति परीक्षण किया जाता है। सफल परीक्षण एवं अनुमोदन के उपरांत, एप्लिकेशन को नियंत्रित एकल-बिंदु पहुँच व्यवस्था का उपयोग करते हुए एसएसएच एवं वीपीएन के माध्यम से प्रोडक्शन सर्वर पर स्थानांतरित किया जाता है।
दूरस्थ स्थानों से प्राप्त या योगदान की गई सामग्री का विधिवत प्रमाणीकरण किया जाता है और उसे सीधे प्रोडक्शन सर्वर पर प्रकाशित नहीं किया जाता है। ऐसी सभी सामग्री को अंतिम प्रकाशन से पूर्व उपयुक्त मॉडरेशन एवं सत्यापन प्रक्रिया से गुज़रना होता है। इसके अतिरिक्त, वेब सर्वर पर अपलोड करने से पूर्व सभी वेब पृष्ठों की सामग्री की किसी भी जानबूझकर या अनजाने में शामिल दुर्भावनापूर्ण तत्वों हेतु जाँच की जाती है। ऑपरेटिंग सिस्टम, सिस्टम पहुँच और एप्लिकेशन पहुँच से संबंधित गतिविधियों के व्यापक लेखा-परीक्षा लॉग रखे एवं संग्रहीत किए जाते हैं। अस्वीकृत पहुँच प्रयासों एवं सेवाओं को भी लॉग किया जाता है तथा आगे की समीक्षा एवं जाँच हेतु अपवाद रिपोर्टों में शामिल किया जाता है।
आईटी प्रभाग, एनआईएसई की वेबसाइट टीम प्रतिदिन वेबसाइट की निगरानी करती है, ताकि यह सुनिश्चित किया जा सके कि सभी वेब पृष्ठ कार्यशील हैं, कोई अनधिकृत संशोधन नहीं किया गया है और कोई अनधिकृत लिंक नहीं जोड़ा गया है। नए जारी किए गए सिस्टम सॉफ़्टवेयर पैच, त्रुटि सुधार और उन्नयन की नियमित रूप से तथा बिना अनावश्यक विलंब के समीक्षा की जाती है और उन्हें वेब सर्वरों पर स्थापित किया जाता है। प्रोडक्शन वेब सर्वरों पर इंटरनेट ब्राउज़िंग, ई-मेल सेवाएँ और अन्य डेस्कटॉप एप्लिकेशन निष्क्रिय हैं, तथा इन प्रणालियों का उपयोग केवल सर्वर प्रशासन एवं संबंधित परिचालन गतिविधियों के लिए किया जाता है।
सर्वर पासवर्ड प्रत्येक तीन माह में बदले जाते हैं और नामित अधिकृत कर्मियों, अर्थात् आईटी प्रमुख, एनआईएसई तथा सिस्टम प्रशासक, आईटी प्रभाग, एनआईएसई के बीच सुरक्षित रूप से साझा किए जाते हैं। आईटी प्रमुख, एनआईएसई तथा सिस्टम प्रशासक, आईटी प्रभाग, एनआईएसई को एनआईएसई वेबसाइट के लिए तथा सभी वेब सर्वरों पर इस सुरक्षा नीति के कार्यान्वयन को सुनिश्चित करने के लिए उत्तरदायी प्रशासकों के रूप में नामित किया गया है। नामित प्रशासक सर्वरों के आवश्यक लेखा-परीक्षण के संचालन हेतु लेखा-परीक्षा टीम के साथ समन्वय के लिए भी उत्तरदायी हैं।
एप्लिकेशन में किसी बड़े संशोधन या महत्वपूर्ण विकास गतिविधि के उपरांत, जहाँ लागू हो, एप्लिकेशन-स्तरीय कमज़ोरियों हेतु एनआईएसई वेबसाइट का पुनः लेखा-परीक्षण किया जाता है। वेबसाइट का लेखा-परीक्षण उसके आरंभ से पूर्व किया गया था और यह साइबर सुरक्षा समूह द्वारा जारी नीतियों में निर्दिष्ट लागू आवश्यकताओं एवं प्रावधानों के अनुरूप पाई गई थी। इसके अतिरिक्त, एनआईएसई वेबसाइट का स्थापना से पूर्व एवं पश्चात, दोनों समय, कमज़ोरी पहचान उपकरणों का उपयोग करते हुए स्वचालित जोखिम मूल्यांकन किया जाता है। इन मूल्यांकनों के माध्यम से पहचानी गई किसी भी ज्ञात कमज़ोरी की समीक्षा की जाती है और वेबसाइट की सुरक्षा, अखंडता एवं उपलब्धता बनाए रखने के लिए उसका उचित निवारण किया जाता है।
सूचना एवं प्रकटीकरण
एनआईएसई वेबसाइट अपने उपयोगकर्ताओं की व्यक्तिगत पहचान योग्य जानकारी किसी भी अनधिकृत तृतीय पक्ष को न तो बेचेगी, न उसका व्यापार करेगी और न ही उसे प्रकट करेगी।
डेटा गुणवत्ता एवं पहुँच
एनआईएसई यह सुनिश्चित करने के लिए सभी उचित उपाय करता है कि उसकी वेबसाइट पर प्रकाशित जानकारी सटीक, विश्वसनीय और अद्यतन हो। यदि वेबसाइट की समीक्षा के दौरान कोई गलत या त्रुटिपूर्ण जानकारी पाई जाती है, तो एनआईएसई उस जानकारी को यथाशीघ्र सुधारने का हर संभव प्रयास करेगा। यदि संपूर्ण वेबसाइट प्रणाली में कोई त्रुटि या अशुद्धि पाई जाती है, तो किसी भी व्यवधान को न्यूनतम करने तथा सुगम उपयोगकर्ता अनुभव सुनिश्चित करने के लिए तत्काल उचित सुधारात्मक उपाय किए जाएँगे।
उपयोगकर्ता खाते में किए गए परिवर्तन अगले कार्य दिवस तक वेबसाइट पर प्रदर्शित नहीं हो सकते हैं। एनआईएसई बिना किसी पूर्व सूचना के किसी भी समय वेबसाइट पर उपलब्ध जानकारी को संशोधित, अद्यतन या परिवर्तित करने का अधिकार सुरक्षित रखता है।
एनआईएसई वेबसाइट का उपयोग करते समय कुछ गैर-व्यक्तिगत जानकारी, जैसे उपयोगकर्ता का इंटरनेट प्रोटोकॉल (आईपी) पता और अलग-अलग वेब पृष्ठों पर बिताया गया समय, स्वतः एकत्र की जा सकती है। ऐसी जानकारी का उपयोग मुख्य रूप से निगरानी, सुरक्षा तथा वेबसाइट तक किसी भी अनधिकृत पहुँच या उसके दुरुपयोग की पहचान के लिए किया जाता है।
एनआईएसई वेबसाइट को बाधित करने, क्षति पहुँचाने, उसका दुरुपयोग करने, उस तक अनधिकृत पहुँच प्राप्त करने या उससे अवैध रूप से जानकारी प्राप्त करने का प्रयास करते पाए जाने वाले किसी भी व्यक्ति के विरुद्ध लागू कानूनों के अनुसार उचित कानूनी कार्रवाई एवं अभियोजन किया जा सकता है।
एप्लिकेशन सुरक्षा लेखा-परीक्षण
एनआईएसई वेबसाइट उपयोगकर्ताओं के अनुरोधों के आधार पर जानकारी को गतिशील रूप से प्रदर्शित करने के लिए सामग्री प्रबंधन प्रणाली (सीएमएस) का उपयोग करती है। वेबसाइट के आरंभ से पूर्व, लागू सर्ट-इन दिशानिर्देशों, एनआईसी दिशानिर्देशों, ओवास्प मानकों तथा अन्य मान्यता प्राप्त सुरक्षा सर्वोत्तम प्रथाओं के अनुसार ज्ञात एप्लिकेशन-स्तरीय कमज़ोरियों की पहचान हेतु एप्लिकेशन का व्यापक सुरक्षा लेखा-परीक्षण किया गया था। वेबसाइट को उपयोगकर्ताओं के लिए उपलब्ध कराने से पूर्व पहचानी गई सभी सुरक्षा कमज़ोरियों का उचित निवारण किया गया था।
लागू सुरक्षा आवश्यकताओं के निरंतर अनुपालन को सुनिश्चित करने के लिए एनआईएसई वेबसाइट का सर्ट-इन द्वारा सूचीबद्ध एजेंसी द्वारा आवधिक लेखा-परीक्षण किया जाएगा। सुरक्षा लेखा-परीक्षण सुरक्षा प्रमाणपत्र जारी होने की तिथि से प्रत्येक वर्ष में एक बार, अथवा वेबसाइट की गतिशील सामग्री या कार्यक्षमता में महत्वपूर्ण परिवर्तन किए जाने पर उससे पहले, किया जाएगा। इसके अतिरिक्त, वेबसाइट की कार्यक्षमता, अवसंरचना या परिचालन परिवेश में पर्याप्त परिवर्तन होने पर, नवीनीकृत या अद्यतन सुरक्षा प्रमाणपत्र की आवश्यकता का आवधिक आकलन करने की अनुशंसा वेब सूचना प्रबंधक को की जाती है।
सर्वर लेखा-परीक्षण
एनआईएसई वेबसाइट और उससे संबद्ध डेटाबेस को होस्ट करने वाले एप्लिकेशन एवं डेटाबेस सर्वरों का उचित सुरक्षा लेखा-परीक्षण किया गया है। सर्वरों को लागू सुरक्षा दिशानिर्देशों के अनुसार सुदृढ़ किया गया है, तथा उन तक पहुँच, यथासंभव, भौतिक एवं नेटवर्क-आधारित दोनों प्रकार के नियंत्रणों के माध्यम से प्रतिबंधित है। निगरानी एवं लेखा-परीक्षा प्रयोजनों हेतु एनआईएसई सर्वर अवसंरचना तक अधिकृत भौतिक पहुँच के लॉग रखे जाते हैं।
सर्वरों को बाहरी उपयोगकर्ताओं के सीधे संपर्क और अनधिकृत पहुँच प्रयासों से बचाने के लिए एप्लिकेशन फ़ायरवॉल के पीछे स्थापित किया गया है। समस्त एप्लिकेशन विकास गतिविधियाँ एक पृथक विकास परिवेश में की जाती हैं तथा प्रोडक्शन परिवेश में स्थापित करने से पूर्व स्टेजिंग सर्वर पर उनका भली-भाँति परीक्षण किया जाता है। एनआईएसई डेटा सेंटर के सर्वरों पर होस्ट की गई वेबसाइट सामग्री को नियंत्रित एकल-बिंदु पहुँच व्यवस्था का उपयोग करते हुए सुरक्षित एसएसएच एवं वीपीएन कनेक्शनों के माध्यम से अपलोड किया जाता है।
वेबसाइट पर प्रकाशन से पूर्व सभी सामग्री की समीक्षा एवं अनुमोदन नामित अनुमोदन प्राधिकारी द्वारा किया जाता है। इसके अतिरिक्त, प्रोडक्शन परिवेश में अपलोड करने से पूर्व वेब पृष्ठों की सामग्री की किसी भी जानबूझकर या अनजाने में शामिल दुर्भावनापूर्ण तत्वों हेतु जाँच की जाती है। ऑपरेटिंग सिस्टम, सिस्टम पहुँच और एप्लिकेशन पहुँच से संबंधित गतिविधियों के व्यापक लेखा-परीक्षा ट्रेल एवं लॉग रखे जाते हैं और सुरक्षित रूप से संग्रहीत किए जाते हैं। सभी अस्वीकृत पहुँच प्रयासों एवं सेवाओं को भी लॉग किया जाता है तथा आगे की समीक्षा एवं जाँच हेतु अपवाद रिपोर्टों में दर्ज किया जाता है।
सर्वर परिवेश की सुरक्षा एवं स्थिरता बनाए रखने के लिए सिस्टम सॉफ़्टवेयर पैच, त्रुटि सुधार और सुरक्षा अद्यतनों की नियमित रूप से समीक्षा की जाती है और उन्हें समय पर लागू किया जाता है। मैलवेयर एवं अन्य सुरक्षा खतरों से निरंतर सुरक्षा प्रदान करने के लिए सर्वरों पर एंटीवायरस सॉफ़्टवेयर स्थापित किया गया है, जिसे ऑनलाइन अद्यतनों के माध्यम से नियमित रूप से अद्यतन किया जाता है।
डेटा सुरक्षा
एनआईएसई सुरक्षा को अत्यंत गंभीरता से लेता है और इसलिए उसने उपयोगकर्ताओं की जानकारी को सुरक्षित रखने के लिए हर संभव सावधानी बरती है। उपयोगकर्ता की जानकारी को सुरक्षित रखने के लिए एनआईएसई ने किसी भी उपयोगकर्ता डेटा की हानि, चोरी या दुरुपयोग को रोकने हेतु अनेक सुरक्षा उपाय लागू किए हैं।
वेबसाइट पहुँच अधिकार
एनआईएसई वेबसाइट भारत एवं विदेश के उपयोगकर्ताओं के लिए सुलभ है, तथा प्रणाली में आवश्यक फ़ायरवॉल नियम लागू किए गए हैं। वेब सूचना प्रबंधक (डब्ल्यूआईएम), आईटी प्रभाग के परामर्श से, साइबर हमलों के निवारण को ध्यान में रखते हुए, समय-समय पर उन देशों की पहचान करता है जहाँ से वेबसाइट को सुलभ होना आवश्यक है, और तदनुसार फ़ायरवॉल नियमों को अद्यतन किया जाता है।
वेबसाइट संरचना
एनआईएसई वेबसाइट (nise.res.in) राष्ट्रीय सौर ऊर्जा संस्थान का द्विभाषी (अंग्रेज़ी/हिंदी) सार्वजनिक पोर्टल है। यह संस्थान नवीन और नवीकरणीय ऊर्जा मंत्रालय (एमएनआरई) के अंतर्गत एक स्वायत्त संस्थान है। वेबसाइट पर संस्थागत जानकारी, विभागों के पृष्ठ, रिपोर्ट, सूचनाएँ, निविदाएँ और करियर संबंधी जानकारी प्रकाशित की जाती है। यह सबडोमेन पर होस्ट किए गए आठ पृथक सेवा पोर्टलों का प्रवेश द्वार भी है।
यह दस्तावेज़ साइट की सूचना संरचना (साइटमैप) और उसकी तार्किक स्तरीय संरचना को दर्ज करता है। साइटमैप वर्तमान (लाइव) नेविगेशन से लिया गया है। सीएमएस और डेटा स्तरों का अनुमान साइट के यूआरएल पैटर्न के आधार पर लगाया गया है और इनकी पुष्टि एनआईएसई आईटी टीम से की जानी चाहिए।
