RBI Direction: आरबीआई ने बैंकों के आईटी गवर्नेंस से जुड़े नए दिशा-निर्देश जारी किए, अप्रैल 2024 से होगा लागू

इन निर्देशों को भारतीय रिजर्व बैंक (सूचना प्रौद्योगिकी शासन, जोखिम, नियंत्रण और आश्वासन प्रथाओं) निर्देश, 2023 कहा जाएगा और 1 अप्रैल, 2024 से प्रभावी होगा। नवीनतम निर्देशों में कहा गया है, "आरई (विनियमित संस्थाएं) अपने पूरे आईटी वातावरण (डीआर साइटों सहित) के परिचालन लचीलापन को सुनिश्चित करने के लिए और अपनी सूचना प्रणाली व बुनियादी ढांचे का समर्थन करने के लिए एक मजबूत आईटी सेवा प्रबंधन ढांचा स्थापित करेंगे।"

इसमें आगे कहा गया है कि आरई के पास एक प्रलेखित डेटा माइग्रेशन नीति होगी जो डेटा माइग्रेशन के लिए एक व्यवस्थित प्रक्रिया को निर्दिष्ट करेगी और डेटा अखंडता, पूर्णता व स्थिरता सुनिश्चित करेगी। रिजर्व बैंक ने कहा, "नीति में अन्य बातों के साथ-साथ माइग्रेशन के प्रत्येक चरण में कारोबारी उपयोगकर्ताओं और एप्लिकेशन मालिकों से साइनऑफ, ऑडिट ट्रेल्स के रखरखाव आदि से संबंधित प्रावधान शामिल होंगे।"

आरबीआई के दिशा-निर्देशों के अनुसार प्रत्येक आईटी एप्लिकेशन जो महत्वपूर्ण या संवेदनशील जानकारी तक पहुंच सकता है या प्रभावित कर सकता है, उसमें आवश्यक ऑडिट और सिस्टम लॉगिंग क्षमता होनी चाहिए और ऑडिट ट्रेल्स प्रदान करना चाहिए।

इन दिशा निर्देशों से ट्रांसमिशन चैनल, डेटा के प्रसंस्करण और प्रमाणीकरण उद्देश्य में उपयोग किए जाने वाले प्रमुख लंबाई, एल्गोरिदम, सिफर सूट और लागू प्रोटोकॉल मजबूत होंगे। आरई अंतरराष्ट्रीय स्तर पर स्वीकृत और प्रकाशित मानकों को अपनाएंगे जो असुरक्षित/असुरक्षित नहीं हैं और ऐसे नियंत्रणों को लागू करने में शामिल विन्यास मौजूदा कानूनों और नियामक निर्देशों के अनुरूप होंगे।

निर्देशों के अनुसार डेटा के अनधिकृत संशोधन को रोकने के लिए, आरई को यह सुनिश्चित करना चाहिए कि महत्वपूर्ण अनुप्रयोगों के संबंध में डेटा को एक प्रक्रिया से दूसरी प्रक्रिया में या एक एप्लिकेशन से दूसरे एप्लिकेशन में स्थानांतरित करते समय इसमें कोई मैनुअल हस्तक्षेप या मैनुअल संशोधन न हो।

नवीनतम निर्देशों में यह भी कहा गया है कि आरई की जोखिम प्रबंधन नीति में साइबर सुरक्षा से संबंधित जोखिमों सहित आईटी से संबंधित जोखिम शामिल होंगे और बोर्ड की जोखिम प्रबंधन समिति (आरएमसीबी) आईटीएससी के परामर्श से समय-समय पर कम से कम वार्षिक आधार पर इसकी समीक्षा करेगी।

आरई को साइबर घटनाओं (यदि आवश्यक हो तो फोरेंसिक विश्लेषण के माध्यम से) का विश्लेषण करना चाहिए, ताकि उनकी गंभीरता, प्रभाव और मूल कारण का पता लगाया जा सके। केंद्रीय बैंक ने कहा कि आरई को व्यावसायिक संचालन पर घटनाओं के प्रतिकूल प्रभाव को कम करने के लिए सुधारात्मक और निवारक उपाय करने चाहिए।