کینیڈا کی حکومت نے سائبر سیکیورٹی کے شعبے میں انقلابی تبدیلی لاتے ہوئے نیا قانون بل C-8 (Bill C-8) منظور کیا ہے، جو ملک کے اہم بنیادی ڈھانچے (Critical Infrastructure) اور کاروباری اداروں کو سائبر حملوں سے بچانے کے لیے سخت ترین قانونی فریم ورک فراہم کرتا ہے۔ اس بل کی منظوری کا بنیادی مقصد ٹیلی کمیونیکیشن، مالیاتی اداروں، توانائی اور نقل و حمل جیسے نازک شعبوں کو ملکی اور غیر ملکی سائبر خطرات، رینسم ویئر (Ransomware) حملوں اور ڈیٹا کی چوری سے محفوظ بنانا ہے۔ اس نئے قانون کے نافذ ہونے کے بعد، اب سائبر سیکیورٹی محض ایک اختیاری یا تجویزی عمل نہیں رہا، بلکہ یہ قانونی طور پر لازمی پاسداری کا روپ دھار چکا ہے۔
بل C-8 کیا ہے اور اس کا بنیادی پس منظر
بل C-8 کینیڈا کا ایک اہم اور تاریخی سائبر سیکیورٹی ایکٹ ہے، جس کا سرکاری نام "An Act respecting cyber security" ہے۔ یہ بل بنیادی طور پر کریٹیکل سائبر سسٹمز پروٹیکشن ایکٹ (CCSPA) کو جنم دیتا ہے اور کینیڈا کے پرانے ٹیلی کمیونیکیشن ایکٹ میں اہم ترمیمات پیش کرتا ہے۔ گزشتہ دہائی کے دوران دنیا بھر میں سرکاری و نجی اداروں پر سائبر حملوں کی تعداد اور شدت میں بے پناہ اضافہ ہوا ہے، جس کی وجہ سے قومی سلامتی اور عوامی تحفظ کو شدید خدشات لاحق ہو گئے تھے۔
ماضی میں زیادہ تر کمپنیاں سائبر تحفظ کے لیے رضاکارانہ گائیڈ لائنز اور اندرونی پالیسیوں پر عمل کرتی تھیں، لیکن بل C-8 نے اس پرانے نظام کو بالکل ختم کر دیا ہے۔ اس بل کا بنیادی مقصد وفاقی طور پر منظم تمام اہم شعبوں میں کام کرنے والی کمپنیوں کے لیے ایک یکساں، سخت اور قانونی طور پر پابند فریم ورک قائم کرنا ہے۔ اس کے تحت حکومتی اداروں کو یہ اختیار دیا گیا ہے کہ وہ خطرات کی صورت میں کمپنیوں کو براہ راست قانونی ہدایات جاری کر سکیں اور ان پر عدم تعمیل کی صورت میں بھاری جرمانے عائد کر سکیں۔
کون سے کاروباری ادارے اس قانون سے متاثر ہوں گے؟
بل C-8 کا دائرہ کار صرف چند گنے چنے اداروں تک محدود نہیں ہے بلکہ یہ کینیڈا کے معاشی اور ملکی ڈھانچے میں اہم کردار ادا کرنے والی تمام بڑی صنعتوں کا احاطہ کرتا ہے۔ ان میں ٹیلی کمیونیکیشن سروس فراہم کرنے والے ادارے، بینکاری اور مالیاتی خدمات (Banks & Financial Systems)، توانائی اور بجلی فراہم کرنے والی کمپنیاں، تیل و گیس کی پائپ لائنز، ایئر، ریل اور سمندری نقل و حمل کی سروسز، نیز واٹر اور ویسٹ واٹر مینجمنٹ شامل ہیں۔
ان تمام اہم شعبوں میں کام کرنے والی کمپنیوں کو اس قانون کے تحت "نامزد آپریٹرز" (Designated Operators) قرار دیا گیا ہے۔ اگرچہ براہ راست یہ قانون بڑی وفاقی کمپنیوں پر نافذ ہوتا ہے، لیکن اس کے اثرات چھوٹے اور درمیانے درجے کے تمام ان کاروباری اداروں (SMEs) پر بھی مرتب ہوں گے جو ان بڑی کمپنیوں کو سافٹ ویئر، آئی ٹی سروسز، یا کوئی بھی سپلائی چین کی سہولت فراہم کرتے ہیں۔ لہٰذا، ہر وہ کاروبار جو کسی بھی طرح اہم قومی انفراسٹرکچر سے جڑا ہے، اسے اس قانون کے تحت اپنے تحفظات بڑھانے ہوں گے۔
کمپنیوں کے لیے 4 اہم ترین قانونی الزامات اور ذمہ داریاں
بل C-8 کے تحت نامزد اداروں اور ان سے منسلک کاروباری اداروں پر چار بنیادی ذمہ داریاں عائد کی گئی ہیں جن پر عمل کرنا قانونی طور پر لازمی ہے:
1. لازمی سائبر سیکیورٹی پروگرام (Cyber Security Program - CSP) کی تشکیل: ہر نامزد ادارے کو اطلاع ملنے کے 90 دنوں کے اندر ایک جامع اور تحریری سائبر سیکیورٹی پروگرام مرتب کر کے کینیڈین سینٹر فار سائبر سیکیورٹی (CCCS) کو جمع کروانا ہوگا۔ اس پروگرام میں اندرونی اور بیرونی سائبر خطرات سے نمٹنے کے منصوبے، خطرات کی شناخت اور بحالی کے عمل کو واضح طور پر شامل کرنا لازمی ہوگا۔
2. سائبر واقعات کی فوری رپورٹنگ (72 Hours Mandatory Incident Reporting): اگر کسی بھی کمپنی پر سائبر حملہ، ڈیٹا ہیکنگ یا سسٹمز پر سیکیورٹی کی خلاف ورزی ہوتی ہے، تو ادارے کے لیے لازمی ہے کہ وہ 72 گھنٹوں کے اندر اندر وفاقی حکام اور سائبر سیکیورٹی سینٹر کو اس کی اطلاع دے۔ ماضی میں اکثر کمپنیاں اپنی بدنامی سے بچنے کے لیے ہیکنگ کی خبریں چھپاتی تھیں، لیکن اب ایسا کرنا سنگین جرم تصور ہوگا۔
3. وفاقی سیکیورٹی ہدایات پر فوری عمل درآمد (Cyber Security Directives): وفاقی حکومت اور صنعت کے وزیر کو یہ قانونی اختیار دیا گیا ہے کہ وہ قومی سلامتی کے پیش نظر کسی بھی کمپنی کو مخصوص سیکیورٹی اقدامات اٹھانے کی خفیہ یا علانیہ ہدایت جاری کر سکتے ہیں۔ اس میں کسی خاص ہارڈ ویئر، سافٹ ویئر، یا سروس فراہم کنندہ پر پابندی لگانا یا اسے فوری طور پر سسٹم سے ہٹانا بھی شامل ہو سکتا ہے۔
4. سپلائی چین کے خطرات کی نگرانی (Supply Chain Risk Management): بل C-8 کمپنیوں کو پابند کرتا ہے کہ وہ محض اپنے اندرونی نیٹ ورک کی حفاظت تک محدود نہ رہیں بلکہ اپنے ساتھ منسلک تمام تھرڈ پارٹی وینڈرز، سپلائرز اور کلاؤڈ سروسز کے سیکیورٹی معیار کو بھی باقاعدگی سے جانچیں اور کنٹرول کریں۔
عدم تعمیل اور قانون کی خلاف ورزی پر سنگین سزائیں اور جزا
اس نئے سائبر قانون کو انتہائی سخت بنانے والی چیز اس میں شامل مالیاتی جرمانوں اور قانونی نتائج کی شدت ہے۔ حکومت نے عدم تعمیل پر انتہائی بھاری سزائیں طے کی ہیں تاکہ کمپنیاں سیکیورٹی معیار کو ہلکا نہ لیں۔ اگر کوئی کمپنی قانون کے مطابق سائبر سیکیورٹی پلان جمع نہیں کرواتی یا حملے کی اطلاع وقت پر دینے میں ناکام رہتی ہے تو اسے روزانہ کی بنیاد پر جرمانوں کا سامنا کرنا پڑ سکتا ہے۔
کارپوریٹ اداروں کے لیے جرمانے کی رقم 15 ملین ڈالر (1.5 کروڑ ڈالر) یومیہ تک جا سکتی ہے، جبکہ انفرادی طور پر ذمہ دار بورڈ ممبران یا چیف ایگزیکٹوز پر 1 ملین ڈالر (10 لاکھ ڈالر) یومیہ تک کا جرمانہ عائد کیا جا سکتا ہے۔ مزید برآں، قصدا ً قانون شکنی کرنے یا حقائق چھپانے پر بورڈ ڈائریکٹرز کے خلاف فوجداری مقدمات، قید کی سزا اور عوامی سطح پر نام کی تشہیر (Public Naming) بھی ہو سکتی ہے، جس سے ادارے کی ساکھ اور شیئرز کو ناقابل تلافی نقصان پہنچ سکتا ہے۔
کاروباری آپریشنز اور بجٹ پر پڑنے والے عملی اثرات
بل C-8 کے نفاذ کے بعد ہر سائز کے کاروباری اداروں کو اپنے آئی ٹی بجٹ، قانونی مشاورت اور اندرونی انتظامی ڈھانچے میں فوری تبدیلیاں لانی ہوں گی۔ کمپنیوں کو اب محض اینٹی وائرس انسٹال کرنے یا فائر وال لگانے تک محدود نہیں رہنا ہوگا بلکہ مستقل بنیادوں پر پینٹسٹنگ (Penetration Testing)، اینکرپشن سسٹمز اور 24/7 سیکیورٹی مانیٹرنگ سینٹرز (SOC) پر پیسہ خرچ کرنا پڑے گا۔
اس کے علاوہ، قانونی اور پاسداری (Legal & Compliance) کی ٹیموں کا کردار اب بے حد اہم ہو گیا ہے۔ ہر ادارے کو اپنے قانونی مشیروں اور تکنیکی ماہرین کے درمیان بہتر رابطہ قائم کرنا ہو گا تاکہ 72 گھنٹوں کے مختصر ترین وقت میں کسی بھی سائبر حملے کا درست تجزیہ کر کے حکومت کو قانونی رپورٹس جمع کرائی جا سکیں۔ اس سے آپریشنل اخراجات میں اضافہ ضرور ہوگا لیکن یہ طویل المدتی معاشی تحفظ کے لیے ایک ضروری سرمایہ کاری ثابت ہوگی۔
سپلائی چین اور تھرڈ پارٹی وینڈرز کے لیے چیلنجز
بل C-8 کا ایک اہم اور نمایاں پہلو سپلائی چین کی سیکیورٹی پر زور دینا ہے۔ ماضی کے ڈیٹا بریکس کے جائزے سے معلوم ہوا ہے کہ اکثر ہیکرز بڑی کمپنیوں کے مرکزی سسٹمز میں براہ راست داخل ہونے کے بجائے ان کے سستے یا کم سیکیور تھرڈ پارٹی وینڈرز کے نیٹ ورک کا استعمال کرتے ہیں۔
اس قانون کے نافذ ہونے کے بعد، بڑی نامزد کمپنیاں اب ایسے کسی بھی سپلائر، سافٹ ویئر فراہم کنندہ یا کنٹریکٹر کے ساتھ کام کرنا بند کر دیں گی جو C-8 کے سیکیورٹی معیار پر پورا نہیں اترتا۔ اس کا مطلب یہ ہے کہ اگر آپ ایک چھوٹا یا درمیانے درجے کا سافٹ ویئر ہاؤس یا آئی ٹی سروس پرووائیڈر چلا رہے ہیں اور اپنے بڑے کلائنٹس کے ساتھ کاروبار برقرار رکھنا چاہتے ہیں، تو آپ کو بھی اپنے سسٹمز کو بل C-8 کے معیار کے مطابق ڈھالنا پڑے گا، ورنہ آپ اہم معاہدوں اور کلائنٹس سے محروم ہو سکتے ہیں۔
کاروباری سربراہان کے لیے 5 اہم اور عملی اقدامات
قانون کی پاسداری کو یقینی بنانے اور ممکنہ بھاری جرمانوں یا قانونی کارروائی سے بچنے کے لیے کاروباری اداروں اور ان کی سینئر انتظامیہ کو درج ذیل 5 بنیادی اقدامات پر فوری طور پر عمل کرنا چاہیے:
1. اپنے اثاثوں اور سسٹمز کی مکمل میپنگ: اپنے تمام ڈیجیٹل اثاثوں، ڈیٹا بیسز، کلاؤڈ سروسز اور آپریشنل ٹیکنالوجی کی فہرست بنائیں تاکہ معلوم ہو سکے کہ کون سے سسٹمز "اہم یا کریٹیکل" کے زمرے میں آتے ہیں۔
2. سائبر سیکیورٹی رسک اسیسمنٹ (Gap Analysis): اپنے موجودہ آئی ٹی انفراسٹرکچر کا آزادانہ سیکیورٹی آڈٹ کروا کر یہ پتہ لگائیں کہ موجودہ حفاظتی تدابیر اور بل C-8 کی لازمی شقوں میں کیا فرق (Gaps) موجود ہے۔
3. انسسیڈنٹ ریسپانس پلان (Incident Response Plan) کی تیاری: کسی بھی سائبر حملے کی صورت میں 72 گھنٹوں کے اندر رپورٹنگ کے فریم ورک کو فعال بنانے کے لیے ایک مربوط پلیے بک بنائیں، جس میں آئی ٹی، لیگل اور کمیونیکیشن ٹیموں کا کردار طے ہو۔
4. وینڈر اور سپلائی چین معاہدوں کی تجدید: اپنے تمام سپلائرز اور سروس پرووائیڈرز کے معاہدوں پر دوبارہ نظر ثانی کریں اور ان میں سائبر سیکیورٹی پاسداری اور ڈیٹا تحفظ کی سخت شقیں شامل کریں۔
5. بورڈ اور ملازمین کی باقاعدہ تربیت: سیکیورٹی کو صرف آئی ٹی شعبے کا کام نہ سمجھیں بلکہ بورڈ آف ڈائریکٹرز سے لے کر عام ملازمین تک تمام افراد کو سائبر حملوں کی شناخت اور قانونی ذمہ داریوں کی باقاعدہ تربیت فراہم کریں۔
سائبر سکیورٹی بل
کینیڈا کا نیا سائبر سیکیورٹی قانون بل C-8 ملکی اور عالمی سطح پر کام کرنے والے تمام اہم اداروں اور کاروباری طبقے کے لیے ایک بالکل نیا موڑ ثابت ہو رہا ہے۔ اس قانون نے سائبر سیکیورٹی کو محض بہترین ممارسات (Best Practices) سے اٹھا کر قانونی، مالیاتی اور آئینی پاسداری کے دائرے میں لا کھڑا کیا ہے۔ اگرچہ ابتداء میں اس پر عمل درآمد کمپنیوں کے لیے مالیاتی اور آپریشنل طور پر ایک بڑا چیلنج لگے گا، لیکن طویل المدتی نقطہ نظر سے یہ اقدام کاروباری تحفظ، گاہکوں کے اعتماد میں اضافے اور عالمی سطح پر ایک محفوظ معاشی ماحول کی تشکیل میں سنگ میل ثابت ہوگا۔ جو کمپنیاں بروقت تیاری کر کے اپنے فریم ورک کو اپ ڈیٹ کریں گی، وہ نہ صرف الجھنوں اور جرمانوں سے محفوظ رہیں گی بلکہ مارکیٹ میں حریفوں کے مقابلے میں ایک نمایاں اعتماد بھی حاصل کریں گی۔
