SaaS सुरक्षा: पानी आपके सिस्टम के बारे में क्या सिखाता है

आपके सिस्टम का कोई पैनल अभी इंटरनेट पर खुला है। शायद आपको पता नहीं कौन सा। हो सकता है स्टॉक का एडमिन हो, पुराने वेंडर का बनाया CRM डैशबोर्ड हो, या वह शेयर की गई स्प्रेडशीट जो "लिंक वाले किसी के लिए भी" खुली है। SaaS सुरक्षा ठीक यहीं फेल होती है: जीनियस हैकरों से नहीं, बल्कि उन दरवाजों से जो कोई खुला छोड़ गया।

अगस्त 2026 में NSA के पूर्व प्रमुख Paul Nakasone ने अमेरिका के जल प्रणालियों पर ईरान से जुड़े संदिग्ध हमलों की एक श्रृंखला के बाद एक सीधी बात कही: जल संयंत्र के कंट्रोलर इंटरनेट पर नहीं होने चाहिए। बस। यह उन्नत एन्क्रिप्शन की समस्या नहीं थी। लोग वाल्व खोलने-बंद करने वाला उपकरण सार्वजनिक नेटवर्क पर रख रहे थे, अक्सर डिफ़ॉल्ट पासवर्ड के साथ।

अगर एक जल शोधन संयंत्र यह गलती करता है, तो आपका अपॉइंटमेंट SaaS भी कर सकता है। फर्क बस इतना है कि आपके बारे में कोई खबर नहीं लिखेगा। नुकसान सिर्फ आपका होगा।

पानी के सिस्टम इंटरनेट पर पहुंचे कैसे

जवाब उबाऊ है: सुविधा। ऑपरेटर रात 11 बजे घर से फोन पर टंकी का स्तर देखना चाहता था। कंट्रोलर के वेंडर ने रिमोट एक्सेस दिया। किसी ने राउटर पर एक पोर्ट खोला और हो गया। सालों तक चला। कोई बंद करने वापस नहीं आया।

रिपोर्ट किए गए मामलों में हमलावरों को किसी परिष्कृत तकनीक की जरूरत भी नहीं पड़ी। उन्होंने इंटरनेट पर जाने-पहचाने डिवाइस खोजे, फैक्ट्री पासवर्ड आजमाया और अंदर घुस गए। कुछ नगरपालिकाओं में उन्होंने सेटिंग्स बदलीं और मैनुअल मोड में काम करने पर मजबूर किया। कुछ में बस स्क्रीन पर एक संदेश छोड़ दिया।

आपके लिए यही हिस्सा मायने रखता है: असली हमला लगभग कभी फिल्म जैसा नहीं होता। कोई सड़क के हर दरवाजे का हैंडल आजमाता है और जो खुला मिलता है उसमें घुस जाता है।

आपके बिज़नेस में वही कमजोरी है

"वाल्व कंट्रोलर" की जगह कोई भी सिस्टम रख दीजिए जो आपकी कंपनी चलाता है। छोटे और मध्यम क्लाइंट्स में मैं यह हर वक्त देखता हूं:

• वेबसाइट का एडमिन पैनल /admin पर खुला, यूज़र admin और वही पासवर्ड जो डेवलपर ने 2019 में रखा था।
• क्लाउड डेटाबेस जिसका पोर्ट किसी भी IP के लिए खुला है, क्योंकि "प्रोग्रामर को घर से एक्सेस चाहिए था"।
• n8n या Make में ऑटोमेशन जिसका पब्लिक वेबहुक कोई भी रिक्वेस्ट स्वीकार करता है, बिना किसी टोकन के।
• WhatsApp इंटीग्रेशन जिसकी API key एक फ़ाइल में चिपकी है और वह फ़ाइल GitHub पर पब्लिक है।
• कैमरे, टर्नस्टाइल, अटेंडेंस सिस्टम, सब रिमोट एक्सेस चालू और फैक्ट्री पासवर्ड के साथ।

इनमें से कुछ भी अनोखा नहीं है। ये सब मैंने ऐसे क्लाइंट्स के ऑडिट में पाए हैं जो खुद को "सुरक्षित" मानते थे। एक मरीजों के डेटा वाला क्लिनिक था। अपॉइंटमेंट सिस्टम का API बिना ऑथेंटिकेशन के खुला था। URL वाला कोई भी व्यक्ति नाम, फोन और अपॉइंटमेंट का समय देख सकता था।

सुरक्षा का मतलब अच्छा ताला लगाना नहीं है। मतलब है दरवाजा सड़क पर न छोड़ना।

"इंटरनेट पर नहीं होना चाहिए" का व्यवहार में मतलब

Nakasone की सलाह का तर्क किसी भी सिस्टम पर लागू होता है। "मैं इसे कैसे सुरक्षित करूं?" पूछने से पहले पूछिए "क्या इसे बाहर से एक्सेस होना जरूरी है?"।

ज्यादातर मामलों में जवाब है नहीं। डेटाबेस को सिर्फ एप्लिकेशन से बात करनी है। आंतरिक पैनल को सिर्फ टीम को एक्सेस करना है। वेबहुक को सिर्फ एक खास वेंडर की कॉल स्वीकार करनी है।

ऐसे सोचने पर उन चीज़ों की सूची बहुत छोटी हो जाती है जिन्हें सच में बाहर खुला रहना चाहिए। बचती है कंपनी की वेबसाइट, क्लाइंट एरिया और ज्यादा से ज्यादा एक-दो इंटीग्रेशन पॉइंट। बाकी सब VPN के पीछे, अनुमत IP की सूची के पीछे, या बस बंद रह सकता है।

यह महंगा नहीं है। डेटाबेस का दरवाजा सिर्फ एप्लिकेशन सर्वर के लिए खोलना किसी भी क्लाउड प्रोवाइडर पर दस मिनट की सेटिंग है। वेबहुक में टोकन लगाना एक लाइन है। महंगा है बाद में होने वाला लीक।

आज अपने वेंडर से पूछने के चार सवाल

इसके लिए आपको फ़ायरवॉल समझने की जरूरत नहीं। जरूरत है सही सवाल पूछने की, उससे जो आपका सिस्टम संभालता है, चाहे फ्रीलांसर हो, एजेंसी हो या वह भतीजा जो "कंप्यूटर समझता है"।

1. कंपनी की कौन सी सेवाएं बिना लॉगिन के इंटरनेट से एक्सेस होती हैं? सूची मांगिए। अगर व्यक्ति जवाब नहीं दे पाता, तो यही समस्या है।
2. क्या अब भी कोई डिफ़ॉल्ट या साझा पासवर्ड इस्तेमाल में है? राउटर, पैनल, डेटाबेस, WordPress एडमिन। हर व्यक्ति का अपना पासवर्ड, और महत्वपूर्ण सिस्टम में टू-फैक्टर।
3. अगर पिछला डेवलपर आज चला जाए, क्या वह अब भी कहीं घुस सकता है? पूर्व वेंडर का एक्सेस लीक के सबसे आम तरीकों में से है। मैंने इस पर ब्लॉग पर पहले लिखा है।
4. मुझे कैसे पता चलेगा कि मुझ पर हमला हुआ? बिना लॉग और बिना अलर्ट के आपको तभी पता चलता है जब क्लाइंट शिकायत करता है या डेटा बिकते हुए दिखता है।

अगर चारों जवाब साफ और भरोसेमंद हैं, बढ़िया। अगर अस्पष्ट हैं, तो आपने अभी पता लगा लिया कि महीने का अगला घंटा कहां लगाना है।

जो SaaS आप खरीदते हैं वह भी गिनती में आता है

एक दूसरा पहलू भी है। आपके बिज़नेस का बड़ा हिस्सा थर्ड-पार्टी SaaS पर चलता है: CRM, ERP, मैसेजिंग टूल, अपॉइंटमेंट सिस्टम। उनका सर्वर आप नियंत्रित नहीं करते, लेकिन उसका इस्तेमाल कैसे करते हैं, वह करते हैं।

दो चीज़ें सच में फर्क डालती हैं। पहली: जहां भी संभव हो टू-फैक्टर ऑथेंटिकेशन चालू कीजिए। यह सबसे सस्ती सुरक्षा है और ज्यादातर हैक हुए अकाउंट में यह नहीं थी। दूसरी: कम से कम हर तिमाही समीक्षा कीजिए कि किसके पास किसका एक्सेस है। जा चुके लोगों के अकाउंट सालों तक सक्रिय रहते हैं, और उनमें से हर एक इंटरनेट से जुड़ा वह वाटर कंट्रोलर है जिसका पासवर्ड लेबल पर लिखा है।

अगर SaaS वेंडर 2026 में टू-फैक्टर नहीं देता, तो यह उसकी परिपक्वता के बारे में कुछ कहता है। रिन्यूअल में इसे तौलिए।

पागल होने की जरूरत नहीं, दरवाजे बंद करने की है

इसमें से किसी के लिए आपको सुरक्षा समझने की जरूरत नहीं। जरूरत है कि कोई सही सवाल के साथ आपके सिस्टम को देखे: क्या खुला है और खुला होना जरूरी नहीं था? जिन कंपनियों के साथ मैं काम करता हूं, उनमें से ज्यादातर में इस विश्लेषण का पहला दौर एक दोपहर में हो जाता है और सबसे स्पष्ट जोखिम बिना सिस्टम बदले या नया टूल खरीदे हल हो जाते हैं।

जल संयंत्र पर हमला इसलिए नहीं हुआ कि वह महत्वपूर्ण था। हमला इसलिए हुआ कि वह दिख रहा था। आपका सिस्टम उससे बहुत कम महत्वपूर्ण हो सकता है और फिर भी उतना ही दिख सकता है।

अगर आप चाहते हैं कि कोई आपके सिस्टम, आपके ऑटोमेशन या आपके बनाए SaaS की बारीकी से जांच करे, तो देखिए मैं कैसे काम करता हूं। यह बातचीत अक्सर आपकी सोच से छोटी होती है।

आपके सिस्टम का कोई पैनल अभी इंटरनेट पर खुला है। आपको बस पता नहीं कौन सा।

अगस्त में NSA के पूर्व प्रमुख ने अमेरिका के जल संयंत्रों पर हुए हमलों की लहर को एक वाक्य में समेटा: वाल्व कंट्रोलर इंटरनेट पर नहीं होना चाहिए। कोई जीनियस हैकर नहीं था। फैक्ट्री पासवर्ड और भूला हुआ खुला पोर्ट था।

"वाल्व" की जगह 2019 का /admin पैनल, किसी भी IP के लिए खुला क्लाउड डेटाबेस या बिना टोकन वाला n8n वेबहुक रख दीजिए। ये सब मैंने उन क्लाइंट्स में पाए हैं जो खुद को "सुरक्षित" मानते थे, जिनमें मरीजों का डेटा खुला रखने वाला एक क्लिनिक भी था।

सुरक्षा का मतलब अच्छा ताला लगाना नहीं है। मतलब है दरवाजा सड़क पर न छोड़ना।

"मैं इसे कैसे सुरक्षित करूं?" पूछने से पहले पूछिए "क्या इसे बाहर से एक्सेस होना जरूरी है?"। ज्यादातर मामलों में जवाब है नहीं, और सुधार एक दोपहर में हो जाता है।

जानना चाहते हैं आपके सिस्टम में क्या बेवजह खुला है? मुझसे बात कीजिए, यह बातचीत अक्सर आपकी सोच से छोटी होती है।

#सूचनासुरक्षा #SaaS #साइबरसुरक्षा #छोटेव्यवसाय #ऑटोमेशन