B، جو کمپنی A کے اکاؤنٹنگ ڈیپارٹمنٹ میں معلوماتی سیکیورٹی لیڈر ہیں، ڈیپارٹمنٹ کے مشترکہ فولڈرز کے رسائی کے حقوق کے سالانہ جائزے کے ذمہ دار ہیں۔ B کو انفارمیشن سسٹمز ڈیپارٹمنٹ سے موجودہ سیٹنگز کی فہرست ملی۔ سیلز ڈیپارٹمنٹ کو ہر عملے کے رکن کے اپنے گاہکوں کی بلنگ کی صورتحال دیکھنے کے لیے انوائس فولڈر دیکھنے کی ضرورت ہے۔ ہیومن ریسورسز ڈیپارٹمنٹ کے تنخواہ کے ذمہ دار کو تنخواہ کے حساب کے لیے تنخواہ فولڈر میں لکھنے کی رسائی درکار ہے۔ اکاؤنٹنگ ڈیپارٹمنٹ انوائسز اور جرنل اندراجات تیار کرتا ہے، اور دونوں کے لیے لکھنے کی رسائی درکار ہے۔ تنخواہ فولڈر میں ہر ملازم کی تنخواہ کی رقم اور ان کے انفرادی نمبر سے متعلق دستاویزات محفوظ ہیں۔ کم سے کم اختیار کے اصول کی روشنی میں، B کو سب سے پہلے کس سیٹنگ کی اصلاح کی درخواست کرنی چاہیے؟
قطار 3۔ اکاؤنٹنگ ڈیپارٹمنٹ کی جرنل اندراج فولڈر پر پڑھنے/لکھنے کی رسائی کو اس طرح بدلنا کہ وہ صرف مہینے کے آخر میں فعال ہو
قطار 5۔ تمام ملازمین کے لیے تنخواہ فولڈر دیکھنے کی سہولت ختم کرنا، اور اسے صرف ہیومن ریسورسز کے تنخواہ کے عملے تک محدود کرنا جنہیں اپنے کام کے لیے اس کی ضرورت ہے
قطار 1۔ اکاؤنٹنگ ڈیپارٹمنٹ کی انوائس فولڈر پر پڑھنے/لکھنے کی رسائی ضرورت سے زیادہ مضبوط اختیار ہے، اس لیے اسے صرف پڑھنے تک بدل دینا
قطار 2۔ سیلز ڈیپارٹمنٹ کے لیے انوائس فولڈر دیکھنے کی سہولت ختم کرنا، اور جب بھی ضرورت ہو انہیں اکاؤنٹنگ ڈیپارٹمنٹ سے پوچھنے کا پابند کرنا
درست جوابB. قطار 5۔ تمام ملازمین کے لیے تنخواہ فولڈر دیکھنے کی سہولت ختم کرنا، اور اسے صرف ہیومن ریسورسز کے تنخواہ کے عملے تک محدود کرنا جنہیں اپنے کام کے لیے اس کی ضرورت ہے
قطار 5 ہر ملازم کو دوسروں کی تنخواہ کی رقم اور انفرادی نمبر (マイナンバー) سے متعلق دستاویزات پڑھنے کے قابل چھوڑ دیتی ہے؛ یہ ایسا اختیار ہے جس کی کوئی کاروباری ضرورت نہیں، اس لیے اسے فوراً ختم کرنا چاہیے۔ قطار 1 اور 3 لکھنے کے وہ اختیارات ہیں جو اکاؤنٹنگ ڈیپارٹمنٹ کو اپنے کام کے لیے واقعی درکار ہیں، اور قطار 2 دیکھنے کا وہ اختیار ہے جو سیلز ڈیپارٹمنٹ کو اپنے کام کے لیے درکار ہے؛ ہر ایک کا جواز موجود ہے اور اصلاح کی ضرورت انہیں نہیں۔ کم سے کم اختیار (最小権限) کا مطلب ہر اختیار کو یکساں طور پر کمزور کرنا نہیں، بلکہ ان اختیارات کو ختم کرنا ہے جن کے پیچھے کوئی ضرورت نہ ہو۔
سوال 2 | فرائض کی علیحدگی
کمپنی A میں کاروباری سسٹم کے یوزر ID جاری کرنے کا کام انفارمیشن سسٹمز ڈیپارٹمنٹ کا ایک ہی شخص، C، کرتا ہے۔ موجودہ طریقۂ کار میں جب کسی ڈیپارٹمنٹ سے ای میل کے ذریعے درخواست آتی ہے تو C اسے دیکھ کر ضرورت کا فیصلہ کرتا ہے اور براہِ راست سسٹم میں رجسٹر کر دیتا ہے۔ درخواست کی ای میلز ذاتی طور پر C کے نام آتی ہیں، اور ریکارڈ رکھنے کا کوئی قاعدہ نہیں۔ حالیہ اندرونی آڈٹ میں پتا چلا کہ ایک غیر موجود صارف کا ID رجسٹر کیا گیا تھا، لیکن یہ معلوم نہ ہو سکا کہ یہ کس کی درخواست پر ہوا۔ C کئی سالوں سے محنت سے کام کر رہا ہے، اور کوئی بھی ذاتی طور پر C پر شک نہیں کرتا۔ اس طریقۂ کار پر نظرِ ثانی کرتے ہوئے کون سا اقدام سب سے موزوں ہے؟
یوزر ID جاری کرنے کے طریقۂ کار کو اس طرح بدلنا کہ ڈیپارٹمنٹ کا سربراہ درخواست دے، معلومات کے انتظام کا ذمہ دار منیجر منظوری دے، اور رجسٹریشن کوئی دوسرا عملے کا رکن کرے، اور درخواست، منظوری اور رجسٹریشن کا ریکارڈ رکھا جائے
درخواست کی ای میلز کسی فرد کے بجائے انفارمیشن سسٹمز ڈیپارٹمنٹ کے مشترکہ میل باکس کے پتے پر منگوانا، اور آنے والی ای میلز کو ایک سال تک قابلِ تلاش صورت میں محفوظ رکھنا
C سے رازداری اور فرائض کی درست انجام دہی کے بارے میں حلف نامہ جمع کروانا، اور اسے سال میں ایک بار معلوماتی سیکیورٹی کی تربیت دلوانا
C کا کام کا بوجھ کم کرنے کے لیے رجسٹریشن کے عملے کو دو افراد تک بڑھانا، اور انہیں باری باری درخواست کے جائز ہونے کا فیصلہ اور رجسٹریشن کرنے دینا
درست جوابA. یوزر ID جاری کرنے کے طریقۂ کار کو اس طرح بدلنا کہ ڈیپارٹمنٹ کا سربراہ درخواست دے، معلومات کے انتظام کا ذمہ دار منیجر منظوری دے، اور رجسٹریشن کوئی دوسرا عملے کا رکن کرے، اور درخواست، منظوری اور رجسٹریشن کا ریکارڈ رکھا جائے
مسئلے کی جڑ یہ ہے کہ درخواست کے جائز ہونے کا فیصلہ اور رجسٹریشن ایک ہی شخص کرتا ہے، اور کوئی ریکارڈ بالکل نہیں رکھا جاتا۔ درخواست، منظوری اور رجسٹریشن کو الگ الگ کرداروں میں بانٹنے اور ریکارڈ رکھنے سے بے بنیاد رجسٹریشن شامل نہیں ہو پائے گی اور بعد میں اس کا سراغ بھی لگایا جا سکے گا (فرائض کی علیحدگی (職務分掌))۔ عملے کو دو افراد تک بڑھانے سے یہ ڈھانچہ نہیں بدلتا کہ ایک ہی شخص پورا عمل اکیلے مکمل کر سکتا ہے، اور حلف نامہ یا تربیت بددیانتی کے موقع کو بذاتِ خود کم نہیں کرتے۔ مشترکہ میل باکس اپنانا اور پیغامات محفوظ رکھنا صرف سراغ لگانے کی صلاحیت بہتر کرتا ہے اور منظوری کے غائب مرحلے کو درست نہیں کرتا۔
سوال 3 | مشترکہ ID
کمپنی A کے ایک ریٹیل اسٹور پر POS رجسٹر کے کام کے لیے پورے اسٹور کا ایک ID، “shop01”، استعمال ہوتا ہے جس کا پاس ورڈ اسٹور منیجر سمیت تمام آٹھ ملازمین جانتے ہیں۔ ایک دن ہیڈ آفس کی سیلز جانچ میں پتا چلا کہ فروخت کی منسوخی، جو عام طور پر تقریباً کبھی نہیں ہوتی، ایک ہی دن میں بار بار درج کی گئی تھی۔ ہیڈ آفس نے اسٹور کا آپریشن لاگ طلب کیا تو درج ذیل ریکارڈ ملا۔ اسٹور میں کوئی سیکیورٹی کیمرا نہیں، اور شفٹ شیڈول میں صرف کام کے اوقات درج ہوتے ہیں، یہ نہیں کہ رجسٹر پر کون تھا۔ ہیڈ آفس یہ معلوم نہ کر سکا کہ یہ کارروائی کس نے کی۔ دوبارہ ایسا ہونے سے روکنے کے لیے سب سے پہلے کیا کرنا چاہیے؟
POS ٹرمینلز کو کم کر کے صرف ایک، POS-1، رکھنا، اور رجسٹر کی کارروائیوں کی جگہ اور وقت کو پہلے سے محدود کر دینا
لاگ محفوظ رکھنے کی مدت کو موجودہ تین ماہ سے بڑھا کر تین سال کرنا، اور پرانے ریکارڈ میں جا کر اسی طرح کی تمام کارروائیاں تلاش کرنا
ہر ملازم کو انفرادی ID جاری کرنا، مشترکہ ID ختم کرنا، اور لاگ سے یہ معلوم کرنا ممکن بنانا کہ کس نے کون سی کارروائی کی
مشترکہ ID “shop01” کا پاس ورڈ ہر مہینے بدلنا لازمی کرنا، اور اسٹور منیجر کا نیا پاس ورڈ تمام ملازمین کو زبانی بتانا
درست جوابC. ہر ملازم کو انفرادی ID جاری کرنا، مشترکہ ID ختم کرنا، اور لاگ سے یہ معلوم کرنا ممکن بنانا کہ کس نے کون سی کارروائی کی
چونکہ لاگ میں صرف مشترکہ ID ظاہر ہوتا ہے، اس لیے ریکارڈ موجود ہونے کے باوجود کارروائی کرنے والے شخص کی شناخت نہیں ہو سکتی (جواب دہی کی کمی (責任追跡性の欠如))۔ انفرادی ID اپنانے سے کارروائی کرنے والے کی شناخت ممکن ہو جاتی ہے، اور نگرانی کے احساس سے روک تھام کا اثر بھی پیدا ہوتا ہے۔ محفوظ رکھنے کی مدت بڑھانا، ٹرمینلز کم کرنا یا وقتاً فوقتاً پاس ورڈ بدلنا اصل وجہ کو حل نہیں کرتے، یعنی یہ کہ مشترکہ ID برقرار رہنے تک یہ معلوم نہیں ہو سکتا کہ کارروائی کس کی تھی۔
سوال 4 | خصوصی اختیارات والے اکاؤنٹ کا انتظام
کمپنی A میں کاروباری سسٹم پر ایڈمنسٹریٹر کے حقوق والا ایک خصوصی اختیارات والا اکاؤنٹ انفارمیشن سسٹمز ڈیپارٹمنٹ کے تین عملے کے ارکان کو مستقل طور پر تفویض ہے۔ یہ تینوں روزمرہ ای میل دیکھنے اور دستاویزات تیار کرنے کا کام بھی اسی خصوصی اکاؤنٹ سے لاگ اِن آلات پر کرتے ہیں۔ حال ہی میں تینوں میں سے ایک نے غلط کارروائی کر کے پروڈکشن ڈیٹا کا کچھ حصہ حذف کر دیا۔ اسے بیک اپ سے بحال کر لیا گیا، لیکن آڈٹ ڈیپارٹمنٹ نے نشاندہی کی کہ خصوصی اختیارات والے اکاؤنٹ کے انتظام پر نظرِ ثانی ضروری ہے۔ تینوں کو دیکھ بھال کے کام کے لیے ایڈمنسٹریٹر کے حقوق درکار ہیں، لیکن یہ کام مہینے میں صرف چند بار ہوتا ہے۔ خصوصی اختیارات والے اکاؤنٹ کو چلانے کا سب سے موزوں طریقہ درج ذیل میں سے کون سا ہے؟
خصوصی اکاؤنٹ کو پہلے کی طرح تینوں کے مشترکہ انتظام میں رکھنا، لیکن یہ طریقہ اپنانا کہ جب بھی ایڈمنسٹریٹر کا کام ہو، کم از کم دو افراد ساتھ موجود رہ کر ایک دوسرے کی کارروائی جانچیں، اور یہ بات کام کے لاگ میں درج کی جائے
خصوصی اکاؤنٹ کو تینوں کو جیسے تفویض ہے ویسا ہی رکھنا، اور ہر ایک سے مہینے کے آخر میں اپنے کیے ہوئے ایڈمنسٹریٹر کام کی خود رپورٹ اور ریکارڈ کروانا
عام حالات میں خصوصی اکاؤنٹ کسی کو تفویض نہ کرنا؛ ہر دیکھ بھال کے کام کے لیے درخواست اور منظوری کے بعد ہی اسے عارضی طور پر دینا؛ کام کے بعد واپس لے کر پاس ورڈ بدلنا؛ اور اجرا کے ریکارڈ کا آپریشن لاگ سے موازنہ کرنا
خصوصی اکاؤنٹ کا پاس ورڈ 32 حروف کی پیچیدہ لڑی میں بدلنا، اور اسے ایسی جگہ محفوظ کرنا جہاں صرف تینوں عملے کے ارکان دیکھ سکیں
درست جوابC. عام حالات میں خصوصی اکاؤنٹ کسی کو تفویض نہ کرنا؛ ہر دیکھ بھال کے کام کے لیے درخواست اور منظوری کے بعد ہی اسے عارضی طور پر دینا؛ کام کے بعد واپس لے کر پاس ورڈ بدلنا؛ اور اجرا کے ریکارڈ کا آپریشن لاگ سے موازنہ کرنا
صرف ضرورت کے وقت اکاؤنٹ دینے، اور کام کے بعد واپس لے کر پاس ورڈ بدلنے سے روزمرہ کام کے دوران غلط کارروائی کا موقع ختم ہو جاتا ہے، اور اجرا کے ریکارڈ کا آپریشن لاگ سے موازنہ کرنے سے وہ خصوصی کارروائیاں بھی سامنے آ سکتی ہیں جو کبھی درج نہیں ہوئیں۔ لمبا پاس ورڈ اس حقیقت کو نہیں بدلتا کہ اکاؤنٹ ہر وقت قابلِ استعمال رہتا ہے، اور غلط کارروائی کو نہیں روکتا۔ ساتھ موجود رہ کر باہمی جانچ صرف ایک ضمنی اقدام ہے اور مستقل تفویض کا مسئلہ (常時割当ての問題) برقرار رکھتی ہے۔ خود رپورٹنگ میں یہ خطرہ ہے کہ اپنے لیے ناگوار کارروائی درج ہی نہ ہو، اور یہ حقیقی جانچ نہیں بنتی۔
سوال 5 | تبادلے کے بعد کے حقوق
D، جو کمپنی A کے سیلز ڈیپارٹمنٹ میں تھے، 1 اپریل سے اکاؤنٹنگ ڈیپارٹمنٹ میں منتقل ہو گئے۔ اکاؤنٹنگ سیکشن چیف کی درخواست پر انفارمیشن سسٹمز ڈیپارٹمنٹ نے D کو اکاؤنٹنگ سسٹم میں اندراج کے حقوق دے دیے۔ دوسری طرف، سیلز ڈیپارٹمنٹ میں استعمال ہونے والے کسٹمر مینجمنٹ سسٹم پر D کے حقوق ختم کرنے کی کسی نے درخواست نہیں کی، اس لیے وہ جوں کے توں رہ گئے۔ اکاؤنٹنگ کے کام میں D کو کسٹمر مینجمنٹ سسٹم استعمال کرنے کی کوئی ضرورت نہیں۔ کمپنی A ماضی میں بھی یہی طریقہ اپناتی رہی ہے، اور دس سال سے زیادہ ملازمت والے کچھ ملازمین کے پاس پانچ مختلف ڈیپارٹمنٹس کے حقوق ہیں۔ اس صورتحال میں سب سے موزوں اقدام درج ذیل میں سے کون سا ہے؟
چونکہ جب تک وہ شخص پچھلے ڈیپارٹمنٹ کے حقوق استعمال نہ کرے کوئی حقیقی نقصان نہیں ہوتا، اس لیے اگلی سالانہ انوینٹری تک معاملہ جوں کا توں چھوڑ دینا
جس ملازم کے حقوق جمع ہو گئے ہوں، اسے اس کے موجودہ حقوق کی فہرست دینا اور اس سے خود بتوانا کہ وہ کون سے حقوق غیر ضروری سمجھتا ہے
حوالگی کے لیے ضرورت پڑنے کی صورت میں پچھلے ڈیپارٹمنٹ کے حقوق تبادلے کے بعد تین ماہ تک برقرار رکھنا، اور تین ماہ بعد اگر وہ شخص درخواست کرے تو انہیں ختم کرنا
یہ قاعدہ بنانا کہ تبادلے کے طریقۂ کار میں پچھلے ڈیپارٹمنٹ کے حقوق کا خاتمہ اور نئے ڈیپارٹمنٹ کے حقوق کی فراہمی ایک ساتھ ہو، اور طریقہ یہ کرنا کہ حقوق دینے سے پہلے خاتمے کی تصدیق کی جائے
درست جوابD. یہ قاعدہ بنانا کہ تبادلے کے طریقۂ کار میں پچھلے ڈیپارٹمنٹ کے حقوق کا خاتمہ اور نئے ڈیپارٹمنٹ کے حقوق کی فراہمی ایک ساتھ ہو، اور طریقہ یہ کرنا کہ حقوق دینے سے پہلے خاتمے کی تصدیق کی جائے
تبادلے کے وقت متعلقہ خاتمے کے بغیر حقوق دیتے رہنے سے حقوق جمع ہوتے جاتے ہیں، جس سے غلطی یا اندرونی بددیانتی (内部不正) سے ہونے والا ممکنہ نقصان بڑھ جاتا ہے۔ خاتمے اور فراہمی کو ایک ہی طریقۂ کار میں باندھنے سے پرانے حقوق کسی کے درخواست یاد رکھنے پر انحصار کیے بغیر یقینی طور پر ختم ہو جاتے ہیں۔ حوالگی کے لیے حقوق برقرار رکھنے کا طریقہ، یا یہ خیال کہ استعمال نہ ہوں تو کوئی حرج نہیں، دونوں کم سے کم اختیار کے اصول (最小権限の原則) کے خلاف ہیں۔ متعلقہ شخص کی خود رپورٹ پر چھوڑ دینا انوینٹری (棚卸し) کا متبادل نہیں، کیونکہ اس کا فیصلہ کرنے کی ذمہ داری فرد پر نہیں بلکہ کاروباری ڈیپارٹمنٹ کے منیجر پر ہے۔
سوال 6 | حقوق کی انوینٹری
کمپنی A ہر چھ ماہ بعد اپنے اکاؤنٹنگ سسٹم کے رسائی کے حقوق کی انوینٹری کرتی ہے۔ اکاؤنٹنگ ڈیپارٹمنٹ کے معلوماتی سیکیورٹی لیڈر E انفارمیشن سسٹمز ڈیپارٹمنٹ کی تیار کردہ فہرست کا جائزہ لیتے ہیں۔ اس بار کی فہرست درج ذیل ہے۔ "Otsu" جون میں اکاؤنٹنگ ڈیپارٹمنٹ سے سیلز ڈیپارٹمنٹ میں منتقل ہوئے، اور اسی وقت اکاؤنٹنگ سسٹم کے حقوق ختم کر دیے گئے؛ Otsu اب صرف سیلز ڈیپارٹمنٹ کا سسٹم استعمال کرتے ہیں۔ "Hei" 31 مئی کو ملازمت چھوڑ چکے ہیں، لیکن فہرست میں ان کے حقوق اب بھی فعال دکھائے گئے ہیں۔ "Tei" اب بھی اکاؤنٹنگ ڈیپارٹمنٹ میں ہیں لیکن فروری سے زچگی اور بچے کی دیکھ بھال کی چھٹی پر ہیں، اور ان کی کام پر واپسی طے ہے۔ E کو سب سے پہلے درج ذیل میں سے کس معاملے سے نمٹنا چاہیے؟
چونکہ u101 روزانہ لاگ اِن کرتا ہے اور کام میں ماہر ہے، اس لیے اندراج کے حقوق کے ساتھ منظوری کے حقوق بھی نئے سرے سے دے دینا
u103 کو غیر فعال کرنا، اور یہ معلوم کر کے درست کرنا کہ ملازمت چھوڑنے کے وقت اکاؤنٹ حذف کرنے کا طریقۂ کار کیوں نہیں اپنایا گیا
چونکہ u102 کی آخری لاگ اِن کی تاریخ پرانی ہے اور حالیہ استعمال کی تصدیق نہیں ہو سکتی، اس لیے اکاؤنٹ ہی حذف کر دینا
چونکہ u104 کا چھ ماہ سے زیادہ کوئی لاگ اِن ریکارڈ نہیں، اس لیے اس کے تمام حقوق ختم کر کے متعلقہ شخص کو مطلع کرنا
درست جوابB. u103 کو غیر فعال کرنا، اور یہ معلوم کر کے درست کرنا کہ ملازمت چھوڑنے کے وقت اکاؤنٹ حذف کرنے کا طریقۂ کار کیوں نہیں اپنایا گیا
اگر ملازمت چھوڑ دینے والے ملازم کا اکاؤنٹ فعال رہ جائے تو کسی تیسرے فریق کا غلط استعمال جائز استعمال جیسا نظر آ سکتا ہے اور زیادہ دیر تک پکڑا نہیں جاتا۔ انوینٹری (棚卸し) کا مقصد پہلے u103 کو غیر فعال کرنا اور پھر اس وجہ کو درست کرنا ہے جس کی بنا پر ملازمت چھوڑنے کا طریقۂ کار کام نہیں آیا۔ u104 کی کام پر واپسی طے ہے، اس لیے چھٹی کی بنیاد پر یکساں طور پر حقوق ختم کرنا مناسب نہیں۔ u102 کے اکاؤنٹنگ حقوق پہلے ہی ختم ہو چکے ہیں اور وہ سیلز ڈیپارٹمنٹ کا سسٹم استعمال کرنے والے موجودہ ملازم ہیں، اس لیے حذف کرنے کا ہدف نہیں۔ u101 کو منظوری کے حقوق دینا حقوق میں اضافہ ہے، جو انوینٹری کے مقصد کے خلاف ہے۔
سوال 7 | پاس ورڈ
کمپنی A تمام ملازمین سے ہر 90 دن بعد اندرونی سسٹم کا پاس ورڈ بدلوانا لازمی کرتی ہے۔ طریقۂ کار کے جائزے سے پتا چلا کہ بہت سے ملازمین ہر بار صرف آخری ہندسے میں ایک کا اضافہ کر دیتے ہیں، اور ہر تبدیلی کے ساتھ انفارمیشن سسٹمز ڈیپارٹمنٹ میں "پاس ورڈ بھول گیا" کی پوچھ گچھ کا سیلاب آ جاتا ہے۔ کمپنی A نے حال ہی میں اخراجات کی واپسی کا کام ایک کلاؤڈ سروس پر منتقل کیا ہے، جس میں کمپنی کے باہر سے صرف ID اور پاس ورڈ کے ذریعے لاگ اِن ممکن ہے۔ ایک حریف کمپنی نے رپورٹ کیا ہے کہ دوسری سائٹس سے لیک ہونے والے ID/پاس ورڈ کے جوڑوں کو استعمال کرنے والے کریڈنشل اسٹفنگ حملے کی وجہ سے باہر سے غیر مجاز لاگ اِن ہوئے۔ پاس ورڈ کے طریقۂ کار میں سب سے موزوں ترمیم درج ذیل میں سے کون سی ہے؟
تبدیلی کا وقفہ 90 دن سے کم کر کے 30 دن کرنا، اور جو صارفین مقررہ تاریخ تک پاس ورڈ نہ بدلیں ان کے اکاؤنٹ خودکار طور پر معطل کرنا
پاس ورڈ میں کم از کم ایک علامت شامل کرنے کی شرط بڑھانا، 90 دن کی باقاعدہ تبدیلی برقرار رکھنا، اور کلاؤڈ سروس کو باہر سے صرف ID اور پاس ورڈ کے ذریعے استعمال کرنے کی اجازت جاری رکھنا
باقاعدہ تبدیلی کی لازمی شرط ختم کرنا، کافی لمبا اور دوبارہ استعمال نہ کیا جانے والا پاس ورڈ لازمی کرنا، باہر سے استعمال ہونے والی کلاؤڈ سروس کے لیے کثیر عنصری تصدیق نافذ کرنا، اور لیک کا شبہ ہونے پر فوری تبدیلی لازمی کرنا
ہر شخص سے اپنا پاس ورڈ کاغذ پر لکھ کر اپنی مقفل دراز میں رکھوانا، تاکہ بھول جانے پر وہاں دیکھا جا سکے
درست جوابC. باقاعدہ تبدیلی کی لازمی شرط ختم کرنا، کافی لمبا اور دوبارہ استعمال نہ کیا جانے والا پاس ورڈ لازمی کرنا، باہر سے استعمال ہونے والی کلاؤڈ سروس کے لیے کثیر عنصری تصدیق نافذ کرنا، اور لیک کا شبہ ہونے پر فوری تبدیلی لازمی کرنا
کم وقفے پر جبری تبدیلی لاپروائی سے کی گئی تبدیلیوں کو جنم دیتی ہے اور کریڈنشل اسٹفنگ حملوں (リスト型攻撃) کے خلاف اس کا اثر کم ہے۔ لمبے اور دوبارہ استعمال نہ کیے گئے پاس ورڈ کو ملکیت پر مبنی عنصر کے ساتھ ملا کر کثیر عنصری تصدیق (多要素認証) اپنانے سے پاس ورڈ لیک ہونے کے باوجود غیر مجاز لاگ اِن روکا جا سکتا ہے۔ وقفہ کم کرنا یا علامتیں شامل کرنا صرف اسی مسئلے کو مزید بڑھاتا ہے اور کہیں اور سے لیک ہونے والے پاس ورڈز کے حملوں کے سامنے بے بس ہے۔ کاغذ پر لکھنا صرف یاد رکھنے کا بوجھ کم کرتا ہے اور نہ تصدیق کی مضبوطی بہتر کرتا ہے نہ باہر سے آنے والا خطرہ کم کرتا ہے۔
سوال 8 | لاگ کا انتظام
کمپنی A کے معلوماتی سیکیورٹی لیڈر F کو انفارمیشن سسٹمز ڈیپارٹمنٹ سے ایسا مواد ملا جس میں کاروباری سسٹم کے لاگ کے انتظام کی موجودہ صورتحال دکھائی گئی ہے۔ کمپنی A لاگ کو اندرونی بددیانتی کی روک تھام اور انسیڈنٹ ہونے پر وجوہات کی تحقیق کے لیے استعمال کرنا چاہتی ہے۔ جمع کیے جانے والے لاگ کے آئٹمز اور محفوظ رکھنے کی مدت اندرونی ضوابط کی شرائط پوری کرتے ہیں۔ جانچ سسٹم چلانے والا عملہ نہیں بلکہ اندرونی آڈٹ ڈیپارٹمنٹ کا عملہ کرتا ہے۔ تمام ملازمین کو کام کے ضوابط اور معلوماتی سیکیورٹی کے ضوابط کے ذریعے بتایا جا چکا ہے کہ لاگ جمع کیے جاتے ہیں۔ اندرونی بددیانتی کے خلاف حفاظتی اقدام کے طور پر اس مواد کا کون سا آئٹم نامناسب ہے؟
جمع کرنے کا دائرہ۔ ناکام لاگ اِن اور اجازتوں میں تبدیلی کے ریکارڈ بھی جمع کیے جاتے ہیں، اور جمع کیے جانے والے آئٹمز کی تعداد ضرورت سے زیادہ ہے
جانچ۔ مہینے میں ایک بار بہت کم ہے، اور اس کے علاوہ لاگ کی تمام جانچ کا فیصلہ کسی نظام کے ذریعے خودکار طور پر ہونا چاہیے
محفوظ رکھنے کی مدت۔ ضابطہ کم از کم 6 ماہ کا تقاضا کرتا ہے، پھر بھی لاگ پورا ایک سال رکھے جاتے ہیں، جو ضرورت سے زیادہ مدت ہے
محفوظ رکھنے کی جگہ۔ اگر سسٹم ایڈمنسٹریٹر خود لاگ میں ترمیم یا انہیں حذف کر سکتا ہے تو وہ ایڈمنسٹریٹر کی بددیانتی کے ثبوت کے طور پر کام نہیں آ سکتے
درست جوابD. محفوظ رکھنے کی جگہ۔ اگر سسٹم ایڈمنسٹریٹر خود لاگ میں ترمیم یا انہیں حذف کر سکتا ہے تو وہ ایڈمنسٹریٹر کی بددیانتی کے ثبوت کے طور پر کام نہیں آ سکتے
لاگ صرف جمع کرنے سے نہیں بلکہ چھیڑ چھاڑ اور حذف ہونے سے محفوظ ہونے کے بعد ہی ثبوت بنتے ہیں۔ اگر لاگ مقامی طور پر محفوظ ہوں اور ایڈمنسٹریٹر خود ان میں ترمیم یا انہیں حذف کر سکے تو اسی ایڈمنسٹریٹر کی اپنی بددیانتی کا سراغ نہیں لگایا جا سکتا، اس لیے لاگ کو کسی اور جگہ یکجا کر کے تبدیلی سے محفوظ رکھنا ضروری ہے۔ جمع کرنے کا دائرہ اندرونی بددیانتی (内部不正) کا سراغ لگانے کے لیے ضروری آئٹمز پر مشتمل ہے اور ضرورت سے زیادہ نہیں۔ محفوظ رکھنے کی مدت ضابطے کی شرط سے زیادہ ہے اور یہ کوئی مسئلہ نہیں۔ جانچ چلانے والے عملے سے الگ اندرونی آڈٹ ڈیپارٹمنٹ کرتا ہے، اور مہینے میں ایک بار کی تعدد بذاتِ خود نامناسب نہیں۔
سوال 9 | ذمہ داری کی تقسیم
کمپنی A نے اپنے اندرونی سرور پر چلنے والا سیلز سپورٹ سسٹم بند کر کے ایک بیرونی SaaS پر منتقل ہونے کا فیصلہ کیا۔ معاہدے پر دستخط سے پہلے اسے فراہم کنندہ سے ذمہ داری کی تقسیم دکھانے والا مواد ملا۔ کمپنی A کے معلوماتی سیکیورٹی لیڈر G نے ایک اندرونی میٹنگ میں یہ رائے سنی کہ "چونکہ ہم کلاؤڈ پر جا رہے ہیں، اس لیے آئندہ سیکیورٹی اقدامات فراہم کنندہ پر چھوڑے جا سکتے ہیں"، اور انہیں سب کی سمجھ یکساں کرنے کی ضرورت محسوس ہوئی۔ منتقلی کے بعد کمپنی A کا تقریباً 200 افراد پر مشتمل سیلز عملہ ہر ایک اپنا یوزر ID رکھے گا، گاہکوں کی معلومات کی فائلیں رجسٹر کرے گا اور انہیں کمپنی کے اندر اور باہر کے فریقوں کے ساتھ شیئر کرے گا۔ مواد میں ذمہ داری کی تقسیم درج ذیل ہے۔ اس تقسیم کے تحت کمپنی A کو خود باقاعدگی سے کیا کرنا چاہیے؟
سرور OS کے لیے اپنا پیچ لگانے کا منصوبہ بنانا اور سروس فراہم کنندہ کی جگہ خود پیچ لگانا
ڈیٹا سینٹر کے داخلے اور اخراج کے ریکارڈ مہینے میں ایک بار حاصل کرنا، کمپنی کے اندر محفوظ رکھنا، اور بیرونی آڈٹ کی تیاری کرنا
یوزر IDs اور فائلوں کے رسائی کے حقوق اور شیئرنگ کے دائرے کی سیٹنگز کی باقاعدگی سے انوینٹری کرنا، اور غیر ضروری کو ختم کرنا
فراہم کنندہ کی چلائی جانے والی ایپلیکیشن کی کمزوریوں کی خود باقاعدگی سے جانچ کرنا، اور نتائج فراہم کنندہ کو تحریری طور پر بتانا
درست جوابC. یوزر IDs اور فائلوں کے رسائی کے حقوق اور شیئرنگ کے دائرے کی سیٹنگز کی باقاعدگی سے انوینٹری کرنا، اور غیر ضروری کو ختم کرنا
مواد کے مطابق یوزر IDs کا انتظام، رسائی کے حقوق اور شیئرنگ کے دائرے کی سیٹنگز، اور رجسٹر کیے جانے والے ڈیٹا کا مواد کمپنی A کی ذمہ داری قرار دیے گئے ہیں۔ لہٰذا اندرونی سسٹم کی طرح انوینٹری (棚卸し) اور جانچ جاری رکھنا کمپنی A کا کردار ہے۔ OS کے پیچ، ڈیٹا سینٹر کا انتظام اور ایپلیکیشن کی کمزوریوں (脆弱性) سے نمٹنا فراہم کنندہ کی ذمہ داری کے دائرے میں آتے ہیں اور یہ کام کمپنی A کو اس کی جگہ نہیں کرنے چاہئیں۔ کلاؤڈ پر جانے سے صارف کی طرف کی ذمہ داری ختم نہیں ہوتی۔
سوال 10 | شیئرنگ کی سیٹنگز
کمپنی A کا مارکیٹنگ ڈیپارٹمنٹ ایک بیرونی پروڈکشن کمپنی کے ساتھ فائلوں کے تبادلے کے لیے کلاؤڈ اسٹوریج استعمال کرتا ہے۔ شیئرنگ کا طریقہ ہر عملے کے رکن پر چھوڑا گیا ہے، اور ڈیپارٹمنٹ کے معلوماتی سیکیورٹی لیڈر H ہر سہ ماہی میں ایک بار شیئرنگ سیٹنگز کی فہرست کی جانچ کرتے ہیں۔ اس بار کی فہرست درج ذیل ہے۔ قطار 1 ایک پروڈکٹ کیٹلاگ ہے جو پہلے ہی ویب سائٹ پر شائع ہو چکا ہے۔ قطار 2 گاہک کمپنیوں کے رابطہ افراد کے نام، فون نمبر اور ای میل پتوں پر مشتمل کسٹمر لسٹ ہے۔ قطار 3 پروڈکشن کمپنی کے دو نامزد عملے کے ارکان کے لیے مخصوص شیئر ہے، جس کی میعاد ختم ہونے کی تاریخ بھی مقرر ہے۔ H کو اس فہرست کا کون سا آئٹم سب سے پہلے درست کرنا چاہیے؟
قطار 1۔ پہلے سے عوامی طور پر دستیاب مواد کے لیے بھی لنک رکھنے والے ہر شخص کو دیکھنے کی اجازت دینے والی سیٹنگ ممنوع ہونی چاہیے، اس لیے اسے صرف اندرونی استعمال تک محدود کرنا چاہیے
قطار 3۔ چونکہ یہ بیرونی فریق کے ساتھ شیئر ہے، اس لیے میعاد ختم ہونے کا انتظار کیے بغیر اسے فوراً منسوخ کرنا
قطار 2۔ چونکہ گاہک کمپنیوں کے رابطہ افراد کی ذاتی معلومات کوئی بھی شخص محض لنک جان کر دیکھ سکتا ہے، اس لیے یہ شیئرنگ فوراً منسوخ کرنا
قطار 4۔ اندرونی استعمال کے باوجود میٹنگ کی کارروائی کا شیئرنگ دائرہ صرف تیار کرنے والے تک محدود ہونا چاہیے
درست جوابC. قطار 2۔ چونکہ گاہک کمپنیوں کے رابطہ افراد کی ذاتی معلومات کوئی بھی شخص محض لنک جان کر دیکھ سکتا ہے، اس لیے یہ شیئرنگ فوراً منسوخ کرنا
قطار 2 اندرونی سیلز کی کسٹمر لسٹ کو ایسی حالت میں رکھتی ہے کہ کمپنی کے باہر کا کوئی بھی شخص محض لنک آگے بھیجے جانے پر اسے دیکھ سکتا ہے، جو براہِ راست ذاتی معلومات کے لیک (個人情報の漏えい) کا باعث بنتا ہے، اس لیے اسے سب سے پہلے منسوخ کرنا چاہیے۔ قطار 1 پہلے سے عوامی طور پر دستیاب مواد ہے، اس لیے لنک شیئرنگ سے کوئی نیا لیک نہیں ہوتا۔ قطار 3 نامزد وصول کنندگان، تصدیق اور میعاد کی تاریخ والا مناسب شیئر ہے اور کاروباری مقاصد کے لیے ضروری ہے۔ قطار 4 کو صرف تیار کرنے والے تک محدود کرنے سے کام کے لیے ضروری ڈیپارٹمنٹ کے اندر کی شیئرنگ ناممکن ہو جائے گی۔
سوال 11 | شیڈو IT
کمپنی A کے انفارمیشن سسٹمز ڈیپارٹمنٹ نے کمپنی کے اندر سے انٹرنیٹ تک رابطے پہنچانے والے پراکسی کے لاگ کا خلاصہ تیار کیا تو پتا چلا کہ ایسی سروسز استعمال ہو رہی تھیں جن کی کمپنی نے منظوری نہیں دی تھی۔ خلاصے کے نتائج درج ذیل ہیں۔ انٹرویوز سے معلوم ہوا کہ PDF کنورژن سائٹ سیلز ایڈمنسٹریشن کا عملہ معاہدوں کی PDFs کو جوڑنے اور الگ کرنے کے لیے استعمال کر رہا تھا، اور منظور شدہ اندرونی سافٹ ویئر یہی کام نہیں کر سکتا تھا۔ ترجمے کی سائٹ ایک بیرونِ ملک کاروباری شراکت دار کی ای میلز کا ترجمہ کرنے کے لیے استعمال ہو رہی تھی۔ دونوں عملے کے ارکان کو علم نہیں تھا کہ یہ ضابطے کے تحت ممنوع ہے۔ معلوماتی سیکیورٹی لیڈر کے طور پر سب سے پہلے کیا کرنا چاہیے؟
اصل استعمال اور کاروباری ضرورت کی تصدیق کرنا، کمپنی کی طرف سے یہی کام کرنے کا محفوظ ذریعہ مہیا کرنا، ضابطے میں طے کرنا کہ کون سی سروسز استعمال کی جا سکتی ہیں، اور اس سے سب کو آگاہ کرنا
سب سے زیادہ بیرونی ڈیٹا بھیجنے والی منظور شدہ کلاؤڈ اسٹوریج سروس کے لیے ڈیپارٹمنٹ وار استعمال کی بالائی حد مقرر کرنا
استعمال کرنے والوں کی ایک ایک کر کے شناخت کرنا، کام کے ضوابط کے تحت تادیبی کارروائی کرنا، اور یہ بات پوری کمپنی میں اعلان کرنا تاکہ دوبارہ ایسا نہ ہو
بندش کی وجوہات یا متبادل ذرائع کی رہنمائی خاص طور پر دیے بغیر تمام غیر منظور شدہ مقامات کو فوراً بلاک کرنا
درست جوابA. اصل استعمال اور کاروباری ضرورت کی تصدیق کرنا، کمپنی کی طرف سے یہی کام کرنے کا محفوظ ذریعہ مہیا کرنا، ضابطے میں طے کرنا کہ کون سی سروسز استعمال کی جا سکتی ہیں، اور اس سے سب کو آگاہ کرنا
زیادہ تر شیڈو IT (シャドーIT) کام مکمل کرنے کی خاطر شروع ہوتا ہے، اس لیے جب تک ضرورت کی تصدیق کر کے متبادل فراہم نہ کیا جائے، صرف بندش یا تادیبی کارروائی سے کوئی اور چور راستہ نکل آئے گا۔ اصل صورتحال سمجھنا، متبادل فراہم کرنا، اور اسے ضابطے میں جگہ دے کر سب کو آگاہ کرنا درست طریقہ ہے۔ تادیبی کارروائی سے آغاز رپورٹ کرنا یا مشورہ کرنا مشکل بنا دیتا ہے، اور متبادل کے بغیر فوری بندش کاروبار روک دیتی ہے۔ منظور شدہ سروس کے استعمال کی مقدار محدود کرنے کا غیر منظور شدہ سروسز کے استعمال کے مسئلے سے کوئی تعلق نہیں۔
سوال 12 | فائر وال کے قواعد
ٹیلی ورک متعارف کراتے ہوئے کمپنی A نے کمپنی کے باہر سے VPN آلے کے ذریعے ایک اندرونی کاروباری سرور (192.168.10.20) سے رابطہ ممکن بنایا۔ ٹیلی ورک کرنے والوں کو VPN سے جڑنے پر 10.8.0.0/24 کی رینج میں پتہ دیا جاتا ہے، اور کاروباری سرور کا استعمال براؤزر کے ذریعے HTTPS (tcp/443) تک محدود ہے۔ کاروباری سرور کا ریموٹ ڈیسک ٹاپ (tcp/3389) اس طرح چلایا جاتا ہے کہ اسے صرف اندرونی LAN (192.168.10.0/24) پر موجود دیکھ بھال کا عملہ استعمال کرے۔ اندرونی LAN، VPN اور انٹرنیٹ کی سرحد پر رکھے گئے فائر وال کے قواعد درج ذیل ہیں؛ ان کی جانچ اوپر سے نیچے ترتیب وار ہوتی ہے، اور جو ٹریفک کسی قاعدے سے مطابقت نہ رکھے وہ آخر میں موجود ضمنی انکار سے بلاک ہو جاتی ہے۔ کم سے کم اختیار کے اصول کی روشنی میں کس قاعدے پر سب سے پہلے نظرِ ثانی کرنی چاہیے؟
ファイアウォールのルール（上から順に評価。最後は暗黙の拒否）
番号 送信元 宛先 プロトコル/ポート 動作1 192.168.10.0/24 インターネット tcp/443 許可2 10.8.0.0/24 192.168.10.20 tcp/443 許可3 any 192.168.10.20 tcp/3389 許可4 10.8.0.0/24 192.168.10.30 tcp/445 拒否5 any any any 拒否（暗黙）
قاعدہ 2۔ یہ ٹیلی ورک کرنے والوں کی انفرادی شناخت نہیں کرتا بلکہ نیٹ ورک کی سطح پر عمومی اجازت دیتا ہے، اس لیے اس قاعدے کو فوراً حذف کر دینا چاہیے
قاعدہ 1۔ یہ اندرونی LAN سے انٹرنیٹ کی طرف تمام HTTPS کی اجازت دیتا ہے، اس لیے یہ خطرہ ہے کہ کاروبار کے لیے غیر ضروری ٹریفک بھی باہر جا سکتی ہے
قاعدہ 4۔ یہ ٹیلی ورک کرنے والوں سے ایک اور اندرونی سرور (192.168.10.30) تک فائل شیئرنگ (tcp/445) کو منع کرتا ہے، لیکن چونکہ یہ ٹیلی ورک کے لیے بھی ضروری ہے، اس لیے اسے اجازت میں بدل دینا
قاعدہ 3۔ چونکہ ماخذ 'any' ہے، اس لیے یہ انٹرنیٹ کی طرف سے بھی ریموٹ ڈیسک ٹاپ قبول کر لیتا ہے۔ ماخذ کو اندرونی LAN تک محدود کرنا
درست جوابD. قاعدہ 3۔ چونکہ ماخذ 'any' ہے، اس لیے یہ انٹرنیٹ کی طرف سے بھی ریموٹ ڈیسک ٹاپ قبول کر لیتا ہے۔ ماخذ کو اندرونی LAN تک محدود کرنا
قاعدہ 3 کا ماخذ 'any' ہے، اور چونکہ قواعد کی جانچ اوپر سے نیچے ترتیب وار ہوتی ہے، اس لیے یہ انٹرنیٹ کی طرف سے کاروباری سرور کے ریموٹ ڈیسک ٹاپ تک پہنچنے کی اجازت دیتا ہے۔ چونکہ طریقۂ کار کے مطابق اسے صرف اندرونی LAN کا دیکھ بھال کا عملہ استعمال کرے گا، اس لیے ماخذ کو 192.168.10.0/24 تک محدود کرنا اولین ترجیح ہے۔ قاعدہ 1 کمپنی کے اندر سے ویب دیکھنے کے لیے ضروری ہے، اور قاعدہ 2 ٹیلی ورک کے لیے درکار کم سے کم اجازت ہے۔ قاعدہ 4 کو اجازت میں بدلنے سے کمپنی کے باہر سے قابلِ رسائی دائرہ وسیع ہو جائے گا، جو کاروباری سرور کے استعمال کو صرف HTTPS تک رکھنے کے فیصلے کے خلاف ہے اور کم سے کم اختیار (最小権限) کے برعکس ہے۔
سوال 13 | معاہدہ ختم ہونے پر
کمپنی A وہ کلاؤڈ حاضری مینجمنٹ سروس منسوخ کر رہی ہے جو وہ 3 سال سے استعمال کر رہی تھی، اور کسی دوسرے فراہم کنندہ کی سروس پر جا رہی ہے۔ موجودہ سروس میں تقریباً 400 ملازمین کے نام، شعبے، کام کے اوقات اور تنخواہ کے حساب کا بنیادی ڈیٹا محفوظ ہے۔ معاہدے میں معاہدہ ختم ہونے پر ڈیٹا سے نمٹنے کی ایک شق شامل ہے۔ جنرل افیئرز ڈیپارٹمنٹ کے معلوماتی سیکیورٹی لیڈر I کو منسوخی کے طریقۂ کار کا ذمہ دار بنایا گیا ہے۔ تین سال کے حاضری ریکارڈ نئی سروس میں منتقل کرنا ضروری ہے۔ منسوخی کے وقت I کو کیا کرنا چاہیے؟
معاہدے کی شق کے مطابق کمپنی کا اپنا ڈیٹا منتقلی کے قابل فارمیٹ میں واپس لینا، اور تلفی کے سرٹیفکیٹ جیسی دستاویز کے ذریعے تصدیق کرنا کہ فراہم کنندہ کی طرف بیک اپ سمیت ڈیٹا مٹا دیا گیا ہے
یہ فرض کر لینا کہ منسوخی سے اکاؤنٹ کے ساتھ فراہم کنندہ کا ڈیٹا خود بخود مٹ جاتا ہے، اور واپسی یا مٹانے کی کوئی خاص تصدیق کیے بغیر صرف منسوخی کا طریقۂ کار پورا کرنا
منسوخی کے بعد بھی ڈیٹا فراہم کنندہ کی طرف جوں کا توں رہنے دینا، اور جب بھی 3 سال کے ریکارڈ کی ضرورت ہو، دوبارہ معاہدہ کر کے اسے پھر سے دستیاب کروانا
ایڈمن اسکرینز ترتیب وار کھول کر سب کے اسکرین شاٹس محفوظ کرنا، انہیں 3 سال کے ریکارڈ سمجھنا، اور فراہم کنندہ سے ڈیٹا کی واپسی کی درخواست اور مٹانے کی تصدیق دونوں چھوڑ دینا
درست جوابA. معاہدے کی شق کے مطابق کمپنی کا اپنا ڈیٹا منتقلی کے قابل فارمیٹ میں واپس لینا، اور تلفی کے سرٹیفکیٹ جیسی دستاویز کے ذریعے تصدیق کرنا کہ فراہم کنندہ کی طرف بیک اپ سمیت ڈیٹا مٹا دیا گیا ہے
معاہدہ ختم ہونے پر کمپنی کے قابلِ استعمال فارمیٹ میں ڈیٹا کی واپسی اور فراہم کنندہ کی طرف (بیک اپ سمیت) یقینی مٹائی کی تصدیق دونوں ضروری ہیں، اور اسے تلفی کے سرٹیفکیٹ (消去証明書) جیسی کسی دستاویز سے ثابت کرنا چاہیے۔ یہ فرض کر لینا کہ ڈیٹا خود بخود ختم ہو جاتا ہے، کسی دوسری کمپنی کے سرورز پر ذاتی معلومات باقی رہ جانے کے خطرے کو نظرانداز کرنا ہے۔ اسکرین شاٹس نئی سروس میں منتقلی کے لیے استعمال نہیں ہو سکتے اور ریکارڈ کے طور پر بھی ناکافی ہیں۔ منسوخی کے بعد ڈیٹا فراہم کنندہ کے پاس رہنے دینے کا مطلب ذاتی معلومات کو کمپنی کے کنٹرول سے باہر کی جگہ پر چھوڑے رکھنا ہے، جو نامناسب ہے۔
سوال 14 | ٹیلی ورک
کمپنی A گھر سے کام اور دفتر سے باہر کام کی اجازت دیتی ہے، اور ملازمین کو کمپنی کی ملکیت والے لیپ ٹاپ دیتی ہے۔ اندرونی سسٹمز سے جڑنے کے لیے VPN لازمی ہے، لیکن مخصوص طرزِ عمل کی رہنمائی ہر فرد کی صوابدید پر چھوڑ دی گئی تھی۔ معلوماتی سیکیورٹی لیڈر J ملازمین کے بتائے ہوئے کام کے اصل طریقے لکھ رہے ہیں تاکہ انہیں ضوابط میں شامل کیا جا سکے۔ لکھے گئے نکات گھر پر کام، باہر کیفے میں کام، اور ویب کانفرنسنگ کے استعمال سے متعلق ہیں۔ ٹیلی ورک کے طرزِ عمل کے طور پر درج ذیل میں سے کون سا نامناسب ہے؟
گھر پر کام کے لیے صرف کمپنی کا دیا ہوا لیپ ٹاپ استعمال کرنا، اور خاندان کے ساتھ مشترکہ PC پر کاروباری ڈیٹا محفوظ نہ کرنا
تھوڑی دیر کے لیے بھی اٹھنے پر اسکرین لاک کرنا، اور جہاں آس پاس دوسرے لوگ ہوں وہاں پرائیویسی فلٹر استعمال کرنا
ویب کانفرنسز کی ریکارڈنگ صرف پہلے سے ضرورت کی تصدیق کے بعد کرنا، اور ریکارڈ شدہ ڈیٹا کے محفوظ ہونے کی جگہ اور جن کے ساتھ شیئر ہو سکے انہیں محدود کرنا
باہر کیفے میں دکان کے پبلک Wi-Fi سے جڑنا اور VPN استعمال کیے بغیر براہِ راست اندرونی سسٹم سے جڑ کر کام کرنا
درست جوابD. باہر کیفے میں دکان کے پبلک Wi-Fi سے جڑنا اور VPN استعمال کیے بغیر براہِ راست اندرونی سسٹم سے جڑ کر کام کرنا
پبلک Wi-Fi (公衆Wi-Fi) میں رابطوں کے چھپ کر سنے جانے کا خطرہ ہوتا ہے، اور VPN جیسے انکرپٹڈ راستے کے بغیر براہِ راست اندرونی سسٹم سے جڑنا براہِ راست معلومات کے لیک (情報漏えい) کا باعث بنتا ہے، اس لیے یہ نامناسب ہے۔ کمپنی کا دیا ہوا آلہ استعمال کرنا، اٹھتے وقت اسکرین لاک کرنا اور پرائیویسی فلٹر لگانا، اور ریکارڈنگ کی ضرورت کی تصدیق کے ساتھ محفوظ کرنے کی جگہ اور شیئرنگ کا دائرہ محدود کرنا، یہ سب ٹیلی ورک کے لیے درکار بنیادی طرزِ عمل ہیں۔
سوال 15 | BYOD
کمپنی A کے سیلز ڈیپارٹمنٹ میں باہر رہتے ہوئے کمپنی کی ای میل دیکھنے کی شدید خواہش ہے، اور کئی ملازمین نے اپنی مرضی سے اپنے ذاتی اسمارٹ فونز پر کمپنی کا ای میل اکاؤنٹ سیٹ کر رکھا تھا۔ کمپنی کو اس صورتحال کا علم نہیں تھا اور ذاتی ملکیت کے آلات کے کاروباری استعمال کے بارے میں اس کا کوئی ضابطہ نہیں۔ چونکہ سیلز ڈیپارٹمنٹ کے ملازمین دن کا زیادہ تر حصہ دفتر سے باہر گزارتے ہیں، اس لیے ذاتی آلات کے استعمال پر یکساں پابندی سے گاہکوں کی پوچھ گچھ کے جواب میں تاخیر ہوگی اور کاروبار متاثر ہوگا۔ دوسری طرف کچھ ذاتی آلات پر اسکرین لاک سیٹ نہیں، اور گم ہونے کی صورت میں کمپنی کے پاس انہیں دور سے صاف کرنے کا کوئی ذریعہ نہیں۔ معلوماتی سیکیورٹی لیڈر کے تجویز کردہ اقدامات میں سے کون سا سب سے موزوں ہے؟
کمپنی یہ فیصلہ کیے بغیر کہ ذاتی آلات کے کاروباری استعمال کی اجازت ہے یا نہیں، تمام ملازمین کو صرف آلہ گم ہونے پر رپورٹ کرنے کی ہدایت دے، اور بعد کی تمام کارروائی ہر فرد کی صوابدید پر چھوڑ دے
ذاتی آلات کے کاروباری استعمال کی اجازت کی شرائط (اسکرین لاک کی سیٹنگ، MDM کی تنصیب، دور سے لاک/صاف کرنے پر رضامندی، کاروباری ڈیٹا محفوظ کرنے کا دائرہ) ضابطے میں طے کرنا، اور صرف ان آلات کے استعمال کی اجازت دینا جن کے لیے درخواست دی گئی ہو اور منظوری ملی ہو
چونکہ ذاتی آلات کمپنی کے اثاثے نہیں، اس لیے اسکرین لاک کی سیٹنگ اور استعمال ہر ملازم کی صوابدید پر چھوڑے رکھنا
جو ملازمین زبانی تصدیق کر سکیں کہ وہ آلے پر کاروباری ڈیٹا محفوظ نہیں کرتے، انہیں کسی درخواست یا ضابطے کے بغیر ذاتی آلے پر کمپنی کی ای میل استعمال کرنے کی اجازت دینا، اور اسکرین لاک کی سیٹنگ فرد کی صوابدید پر چھوڑنا
درست جوابB. ذاتی آلات کے کاروباری استعمال کی اجازت کی شرائط (اسکرین لاک کی سیٹنگ، MDM کی تنصیب، دور سے لاک/صاف کرنے پر رضامندی، کاروباری ڈیٹا محفوظ کرنے کا دائرہ) ضابطے میں طے کرنا، اور صرف ان آلات کے استعمال کی اجازت دینا جن کے لیے درخواست دی گئی ہو اور منظوری ملی ہو
ایسی صورتحال جس میں کاروباری ضرورت تو ہو لیکن کوئی ضابطہ نہ ہو، ایسے شیڈو IT (シャドーIT) کو جنم دیتی ہے جس کا سراغ نہیں لگایا جا سکتا۔ اجازت کی شرائط ضابطے میں طے کرنے اور اسے درخواست دینے والے اور منظور شدہ آلات تک محدود کرنے سے کاروبار بلا رکاوٹ جاری رہتا ہے اور گم ہونے پر دور سے صاف کرنے (遠隔消去) جیسے حفاظتی اقدامات ممکن ہو جاتے ہیں۔ فرد کی صوابدید پر چھوڑنا، زبانی تصدیق پر اکتفا کرنا، یا اجازت کا فیصلہ کیے بغیر صرف گم ہونے کی رپورٹ مانگنا، ان سب میں کمپنی آلات کی حالت نہ جان سکتی ہے نہ سنبھال سکتی ہے، اور آلہ گم ہونے پر کوئی چارہ نہیں رہتا۔
سوال 16 | آلے کا گم ہونا
کمپنی A کے ملازم K کاروباری دورے سے واپسی پر کمپنی کے دیے ہوئے لیپ ٹاپ والا بیگ ٹرین کے سامان کے ریک پر بھول گئے، اور اسٹیشن سے نکلنے کے بعد ہی انہیں احساس ہوا۔ لیپ ٹاپ میں گاہکوں کے ساتھ مذاکرات کا مواد محفوظ ہے اور اندرونی سسٹم سے جڑنے کی VPN سیٹنگز بھی ہیں۔ یہ ہفتے کے ایک کام کے دن رات 8 بجے کا وقت ہے، اور انفارمیشن سسٹمز ڈیپارٹمنٹ کا عملہ گھر جا چکا ہے، لیکن کمپنی A کا 24 گھنٹے کا ہنگامی رابطہ مرکز ہے، جس سے رابطے کا طریقہ K جانتے ہیں۔ لیپ ٹاپ پر اسکرین لاک اور ڈسک انکرپشن سیٹ ہیں، اور یہ MDM کے ذریعے دور سے لاک اور دور سے صاف کرنے کی سہولت رکھتا ہے۔ K کو سب سے پہلے کیا کرنا چاہیے؟
چونکہ اگلی صبح تک اس کے مل جانے کا امکان ہے، اس لیے اس دن صرف ریلوے کمپنی سے پوچھ گچھ کرنا، اور اگلی صبح کی میٹنگ میں اپنے سپروائزر کو رپورٹ کرنا
کمپنی کو پریشانی سے بچانے کے لیے اپنے خرچ پر اسی ماڈل کا لیپ ٹاپ خرید کر کام جاری رکھنا، اور بعد کی کسی تاریخ پر سب کچھ ایک ساتھ رپورٹ کرنا
جب تک آلے کے گم ہونے کا یقین نہ ہو جائے کمپنی کو رپورٹ نہ کرنا، اور پہلے پولیس میں گمشدہ سامان کی رپورٹ درج کرانے پر توجہ دینا
مقررہ ہنگامی رابطہ مرکز کو فوراً رپورٹ کرنا اور آلے کو دور سے لاک یا دور سے صاف کرنے اور اکاؤنٹ معطل کرنے کی درخواست کرنا
درست جوابD. مقررہ ہنگامی رابطہ مرکز کو فوراً رپورٹ کرنا اور آلے کو دور سے لاک یا دور سے صاف کرنے اور اکاؤنٹ معطل کرنے کی درخواست کرنا
گم ہونے کی صورت میں وقت سب سے اہم ہے؛ پتا چلتے ہی رابطہ مرکز کو رپورٹ کرنا اور دور سے لاک/صاف کرنا (遠隔ロック・消去) اور اکاؤنٹ معطل کرنا نقصان کو کم سے کم کر دیتا ہے۔ اگر آلہ مل جائے تو اسے بس بحال کیا جا سکتا ہے، اس لیے انتظار کا کوئی فائدہ نہیں۔ اگلی صبح رپورٹ کرنا یا گم ہونے کا یقین ہونے تک رپورٹ نہ کرنا اس دوران غلط استعمال کا موقع دیتا ہے۔ اپنے خرچ پر نیا آلہ خریدنا گم شدہ آلے کی معلومات کو بالکل محفوظ نہیں کرتا اور سب سے بڑے مسئلے، یعنی رپورٹ میں تاخیر، کو مزید بگاڑ دیتا ہے۔
سوال 17 | غلط پتے پر ای میل سے بچاؤ
کمپنی A کے ایک سیلز عملے کے رکن نے کمپنی کے سیمینار کی اطلاع کی ای میل 42 گاہک کمپنیوں کے رابطہ افراد کو بھیجی۔ اس دوران تمام 42 ای میل پتے To کے خانے میں ڈال کر ایک ہی بار میں بھیجے گئے، جس سے ہر وصول کنندہ دوسری کمپنیوں کے رابطہ افراد کے نام اور ای میل پتے دیکھ سکتا تھا۔ ایک گاہک نے اس کی نشاندہی کی، اور اسے انسیڈنٹ کے طور پر رپورٹ کیا گیا۔ کمپنی A کے پاس بیرونی فریقوں کو بڑی تعداد میں ای میل بھیجنے کے طریقے کا کوئی تحریری قاعدہ نہیں تھا، اور بھیجنے سے پہلے کی جانچ ہر فرد پر چھوڑی گئی تھی۔ اسی طرح کے انسیڈنٹس پہلے دو بار ہو چکے ہیں، ہر بار احتیاطی نوٹس جاری کیا گیا، لیکن مسئلہ دوبارہ پیش آیا ہے۔ دوبارہ ہونے سے روکنے کا سب سے موزوں اقدام درج ذیل میں سے کون سا ہے؟
اندرونی ضابطے میں یہ طریقۂ کار طے کرنا کہ غلط پتے پر بھیجے جانے کا علم ہوتے ہی انہی وصول کنندگان کو حذف کرنے کی درخواست والی ای میل بھیجی جائے اور فون پر تصدیق کی جائے کہ اسے حذف کر دیا گیا
غلط ای میل بھیجنے والے عملے کے رکن سے تحریری معافی نامہ جمع کروانا، اور انسیڈنٹ کی تفصیل والا احتیاطی نوٹس پوری کمپنی میں تقسیم کرنا
پوری کمپنی کو ہدایت دینا کہ پتے کے اندراج کی غلطیوں سے بچنے کے لیے سب لوگ ای میل سافٹ ویئر کا پتے خودکار مکمل کرنے کا فیچر فعال کریں
ضابطے میں طے کرنا کہ متعدد بیرونی وصول کنندگان کو ایک ساتھ ای میل بھیجنے کے لیے BCC لازمی ہے، اور اسے ایسے نظام کے ساتھ جوڑنا جو بھیجی جانے والی ای میل کو چند منٹ روک کر رکھے اور وصول کنندگان کی تعداد مقررہ حد سے بڑھنے پر سپروائزر کی تصدیق لازمی کرے
درست جوابD. ضابطے میں طے کرنا کہ متعدد بیرونی وصول کنندگان کو ایک ساتھ ای میل بھیجنے کے لیے BCC لازمی ہے، اور اسے ایسے نظام کے ساتھ جوڑنا جو بھیجی جانے والی ای میل کو چند منٹ روک کر رکھے اور وصول کنندگان کی تعداد مقررہ حد سے بڑھنے پر سپروائزر کی تصدیق لازمی کرے
چونکہ صرف احتیاطی نوٹسز سے دوبارہ ہونا نہیں رکا، اس لیے اسے حقیقتاً روکنے کے لیے BCC کے تحریری قاعدے کو بھیجنے کی عارضی روک اور سپروائزر کی تصدیق کے ساتھ جوڑنے والا نظام ضروری ہے۔ حذف کرنے کی درخواست والی ای میل وصول کنندہ کے ہاتھ میں پہنچ چکی معلومات کو نہیں مٹا سکتی اور محض بعد کی کارروائی ہے۔ پتے کا خودکار مکمل ہونا (宛先の自動補完) ملتے جلتے نام والے کسی دوسرے شخص کو چن کر غلط پتے پر ای میل (誤送信) کی ایک وجہ ہے، اور بطور اقدام الٹا اثر رکھتا ہے۔ تحریری معافی نامہ اور احتیاطی نوٹس بس انہی اقدامات کا اعادہ ہیں جو پہلے ہی بے اثر ثابت ہو چکے ہیں۔
سوال 18 | PPAP
کمپنی A برسوں سے یہ طریقہ اپنائے ہوئے ہے کہ بیرونی فریقوں کو فائلیں بھیجتے وقت منسلک فائلوں کو ہمیشہ پاس ورڈ سے محفوظ ZIP میں کمپریس کیا جائے، اور فوراً بعد اسی وصول کنندہ کو صرف پاس ورڈ والی دوسری ای میل بھیجی جائے۔ پچھلے مہینے ایک عملے کے رکن نے غلطی سے غلط وصول کنندہ کو فائل بھیجی، اور پھر پاس ورڈ والی ای میل بھی اسی غلط وصول کنندہ کو بھیج دی، جس کے نتیجے میں فائل قابلِ مطالعہ حالت میں تیسرے فریق تک پہنچ گئی۔ اس کے علاوہ کئی گاہک کمپنیوں نے اطلاع دی ہے کہ "سیکیورٹی وجوہات سے ہم نے اپنا سسٹم اس طرح سیٹ کیا ہے کہ پاس ورڈ سے محفوظ منسلک ZIP فائلیں قبول نہ ہوں۔" کمپنی A کے معلوماتی سیکیورٹی لیڈر اس طریقے پر نظرِ ثانی پر غور کر رہے ہیں۔ نظرِ ثانی کی سب سے موزوں سمت درج ذیل میں سے کون سی ہے؟
چونکہ مسائل یہ ہیں کہ فائل اور پاس ورڈ ایک ہی راستے سے بھیجے جاتے ہیں اور انکرپٹڈ ZIP وصول کنندہ کی وائرس اسکیننگ سے بچ نکلتی ہے، اس لیے فائل پہنچانے کا کوئی دوسرا طریقہ اپنانا، جیسے ایسی مشترکہ اسٹوریج جو وصول کنندہ کو نامزد کر کے اس کی تصدیق کرے
ہر گاہک کے ساتھ پہلے سے ایک مستقل پاس ورڈ طے کر کے شیئر کرنا، اور پہلے کی طرح فائلیں ای میل کے ساتھ منسلک کر کے بھیجتے رہنا
پاس ورڈ کی لمبائی 8 سے بڑھا کر 16 حروف کرنا، اور باقی دو الگ ای میلز میں بھیجنے کا موجودہ طریقہ جاری رکھنا
پاس ورڈ فون پر زبانی بتانا، دوسری ای میل بند کرنا، آئندہ بھی انکرپٹڈ ZIP فائلیں منسلک کرتے رہنا، لیکن جن وصول کنندگان کے سسٹم انکرپٹڈ ZIP قبول نہیں کر سکتے انہیں فائل انکرپشن کے بغیر ای میل کے ساتھ منسلک کر دینا
درست جوابA. چونکہ مسائل یہ ہیں کہ فائل اور پاس ورڈ ایک ہی راستے سے بھیجے جاتے ہیں اور انکرپٹڈ ZIP وصول کنندہ کی وائرس اسکیننگ سے بچ نکلتی ہے، اس لیے فائل پہنچانے کا کوئی دوسرا طریقہ اپنانا، جیسے ایسی مشترکہ اسٹوریج جو وصول کنندہ کو نامزد کر کے اس کی تصدیق کرے
پاس ورڈ کو اسی ای میل کے راستے سے بھیجنا چھپ کر سننے اور غلط پتے پر بھیجنے دونوں کے خلاف بے اثر ہے، اور انکرپٹڈ ZIP وصول کنندہ کی وائرس اسکیننگ (ウイルス検査) سے نہیں گزرتی، جس سے گاہکوں کو بھی پریشانی ہوتی ہے۔ وصول کنندہ کو نامزد کر کے اس کی تصدیق کرنے والے مشترکہ طریقے پر منتقل ہونا بنیادی حل ہے۔ پاس ورڈ لمبا کرنے سے ایک ہی راستہ استعمال کرنے کی خامی نہیں بدلتی۔ انکرپشن کے بغیر منسلک فائلیں بھیجنا انکرپشن کو مکمل طور پر ترک کر کے حالات کو مزید خراب کرتا ہے۔ مستقل پاس ورڈ خطرناک ہے کیونکہ ایک بار لیک ہونے پر بعد کی ہر فائل پڑھی جا سکتی ہے۔
سوال 19 | ٹارگٹڈ ای میل
کمپنی A کے اکاؤنٹنگ ڈیپارٹمنٹ کے L کو ایک کاروباری شراکت دار کے رابطہ فرد کے نام سے ای میل ملی، جس کا عنوان تھا "انوائس میں غلطی تھی۔ درست شدہ نسخہ منسلک ہے۔" متن میں پچھلی خط و کتابت کا حوالہ تھا، اس لیے L نے منسلک فائل کھول لی؛ اس وقت ایک لمحے کے لیے کچھ انتباہ جیسا ظاہر ہوا اور پھر کچھ نہیں ہوا۔ بے چینی محسوس کرتے ہوئے L نے بھیجنے والے کا پتہ دوبارہ دیکھا تو احساس ہوا کہ یہ گاہک کے ڈومین سے بہت ملتا جلتا ایک مختلف ڈومین ہے۔ کمپنی A میں معلوماتی سیکیورٹی کے معاملات کے لیے ایک رپورٹنگ مرکز ہے، اور اس کا ایکسٹینشن نمبر سب کو معلوم ہے۔ L کا ٹرمینل تار کے ذریعے اندرونی LAN سے جڑا ہے، اور وائرلیس LAN بھی فعال ہے۔ L کو سب سے پہلے کیا کرنا چاہیے؟
خود اینٹی وائرس سافٹ ویئر سے آلے کا مکمل اسکین چلانا، اور اگر کچھ نہ ملے تو رپورٹنگ مرکز کو رپورٹ نہ کرنا
دوسروں کو اسی نقصان سے بچانے کے لیے موصولہ ای میل جوں کی توں ڈیپارٹمنٹ کے سب لوگوں کو آگے بھیجنا اور انہیں اسے نہ کھولنے کی تنبیہ کرنا
نقصان پھیلنے سے روکنے کے لیے آلہ فوراً بند کرنا، اور اگلی صبح اسے انفارمیشن سسٹمز ڈیپارٹمنٹ لے جا کر مشورہ کرنا
بجلی بند کیے بغیر آلے کو تار والے اور وائرلیس دونوں نیٹ ورکس سے منقطع کرنا، اور فوراً مقررہ رپورٹنگ مرکز سے رابطہ کرنا
درست جوابD. بجلی بند کیے بغیر آلے کو تار والے اور وائرلیس دونوں نیٹ ورکس سے منقطع کرنا، اور فوراً مقررہ رپورٹنگ مرکز سے رابطہ کرنا
جس آلے کے متاثر ہونے کا امکان ہو، اس کے رابطے پہلے منقطع کرنے چاہئیں تاکہ نقصان پھیلنے اور معلومات کے باہر بھیجے جانے سے بچا جا سکے، اور تحقیق کے لیے ضروری معلومات ضائع نہ ہوں اس لیے بجلی چالو رکھ کر رپورٹنگ مرکز کو رپورٹ کرنی چاہیے۔ خود اسکین چلا کر کچھ نہ ملنے پر رپورٹ نہ کرنے کا فیصلہ ایسے میلویئر (不正プログラム) کو نظرانداز کرنے کا خطرہ رکھتا ہے جسے اسکین نہیں پکڑ سکتا۔ بند کرنے سے میموری میں موجود نشانات ضائع ہو جاتے ہیں، اور اگلی صبح تک چھوڑ دینا بہت سست ہے۔ مشکوک ای میل آگے بھیجنے سے اسے کھولنے والوں کی ممکنہ تعداد بڑھ جاتی ہے۔
سوال 20 | فائل پہنچانے کے طریقے کا انتخاب
کمپنی A کو جواب دہندگان کے نام، پتے اور فون نمبروں پر مشتمل فہرست کی فائل ایک پروڈکشن کمپنی کے دو عملے کے ارکان کو دینی ہے، جسے اس نے سروے کے خلاصے کا کام سونپا ہے۔ کمپنی A کے ضوابط کہتے ہیں کہ بیرونی فریق کو ذاتی معلومات فراہم کرتے وقت ایسا طریقہ استعمال کرنا لازم ہے جو وصول کنندگان کو محدود کر سکے اور کمپنی کے کنٹرول میں ریکارڈ چھوڑے، اور کسی فرد کی ذاتی طور پر لی گئی سروس کو کاروباری مقاصد کے لیے استعمال کرنا ممنوع ہے۔ عملے نے درج ذیل چار طریقوں کا موازنہ کیا۔ D ایک آن لائن اسٹوریج سروس ہے جو عملے کے رکن نے ذاتی طور پر لی ہے، اور کمپنی اس کے استعمال کا سراغ نہیں لگا سکتی۔ B کا عوامی لنک URL جاننے والا کوئی بھی شخص ڈاؤن لوڈ کر سکتا ہے۔ اس موازنے کی جدول کی بنیاد پر فہرست کی فائل دینے کا سب سے موزوں طریقہ کون سا ہے؟
A. چونکہ فائل انکرپٹڈ ہے، اس لیے راستہ کوئی بھی ہو یہ محفوظ ہے، اور بہتر ہے کہ حاصل کرنے کا کوئی ریکارڈ باقی نہ رہے تاکہ غیر ضروری معلومات پیچھے نہ چھوٹیں
B. چونکہ میعاد کی تاریخ اور حاصل کرنے کا ریکارڈ دونوں باقی رہتے ہیں، اس لیے دونوں عملے کے ارکان کو شیئر لنک ای میل کے ذریعے بتا دینا کافی ہے
C. یہ وصول کنندگان کو دو نامزد عملے کے ارکان تک محدود کر سکتا ہے، اور میعاد کی تاریخ اور حاصل کرنے کا ریکارڈ دونوں کمپنی کے کنٹرول میں رہتے ہیں، جس سے ضابطے کی شرائط پوری ہوتی ہیں
D. عملے کا رکن اس کا عادی ہے، اور میعاد کی تاریخ اور حاصل کرنے کا ریکارڈ دونوں رکھے جا سکتے ہیں، اس لیے یہ پہنچانے کا سب سے قابلِ اعتماد طریقہ ہے
درست جوابC. C. یہ وصول کنندگان کو دو نامزد عملے کے ارکان تک محدود کر سکتا ہے، اور میعاد کی تاریخ اور حاصل کرنے کا ریکارڈ دونوں کمپنی کے کنٹرول میں رہتے ہیں، جس سے ضابطے کی شرائط پوری ہوتی ہیں
ضابطہ وصول کنندگان کو محدود کرنے کی صلاحیت اور حوالگی کا ریکارڈ کمپنی کے کنٹرول میں رہنا، دونوں کا تقاضا کرتا ہے، اور دونوں صرف C پوری کرتا ہے۔ A وصول کنندگان کو محدود نہیں کر سکتا اور کوئی ریکارڈ نہیں چھوڑتا۔ B میں اگر لنک آگے بھیج دیا جائے تو کوئی بھی حاصل کر سکتا ہے، اس لیے وصول کنندگان محدود نہیں ہو سکتے۔ D وصول کنندگان کو محدود اور ریکارڈ محفوظ کر سکتا ہے، لیکن یہ کمپنی کے کنٹرول میں نہیں، اور ذاتی طور پر لی گئی سروس کا کاروباری استعمال ضابطے کے تحت ممنوع ہے، اس لیے اسے نہیں چنا جا سکتا۔
سوال 21 | بیرونی فریقوں کو فراہمی
کمپنی A کے سیلز ڈیپارٹمنٹ کو ایک ایسے شخص کا فون آیا جس نے خود کو گاہک کمپنی B کا رابطہ فرد بتایا۔ فون کرنے والے نے کہا: "پچھلے مہینے آپ نے جو کسٹمر لسٹ فائل بھیجی تھی وہ مجھ سے غلطی سے حذف ہو گئی۔ مجھے آج ہی چاہیے، اس لیے براہِ کرم اس نمبر پر واپس کال کریں اور میرے ای میل پتے پر دوبارہ بھیج دیں۔" فون سننے والے عملے کے رکن کو یاد ہے کہ کمپنی B کو واقعی مواد فراہم کیا گیا تھا، لیکن یہ معاملہ اس نے خود نہیں سنبھالا تھا۔ کمپنی A کا ضابطہ ذاتی ڈیٹا پر مشتمل معلومات بیرونی فریقوں کو فراہم کرتے وقت معلومات کے ذمہ دار منیجر کی منظوری لازمی قرار دیتا ہے۔ فون کرنے والا بار بار زور دے رہا ہے کہ معاملہ فوری ہے۔ اس عملے کے رکن کے لیے سب سے موزوں ردِعمل کیا ہے؟
موقع پر نہ بھیجنا؛ فون پر بتائے گئے نمبر کے بجائے کمپنی B کے معلوم رابطہ نمبر پر واپس کال کر کے تصدیق کرنا کہ درخواست حقیقی ہے، اور ضابطے کے مطابق معلومات کے ذمہ دار منیجر کی منظوری حاصل کرنے کے بعد کارروائی کرنا
چونکہ یہ وہی مواد ہے جو پہلے فراہم کیا جا چکا ہے، اس لیے عملے کے رکن کی اپنی صوابدید پر موقع پر ہی دوبارہ بھیج دینا
چونکہ دوسرا فریق جلدی میں ہے، اس لیے پہلے فائل بھیج دینا اور معلومات کے ذمہ دار منیجر کی منظوری بعد میں لینا
چونکہ پاس ورڈ کے ساتھ بھیجنے سے مواد محفوظ رہتا ہے، اس لیے فون پر بتائے گئے نمبر پر واپس کال کر کے بھیج دینا اور معلومات کے ذمہ دار منیجر کی منظوری کا طریقۂ کار چھوڑ دینا
درست جوابA. موقع پر نہ بھیجنا؛ فون پر بتائے گئے نمبر کے بجائے کمپنی B کے معلوم رابطہ نمبر پر واپس کال کر کے تصدیق کرنا کہ درخواست حقیقی ہے، اور ضابطے کے مطابق معلومات کے ذمہ دار منیجر کی منظوری حاصل کرنے کے بعد کارروائی کرنا
چونکہ ایسے ہتھکنڈے موجود ہیں جن میں کاروباری شراکت دار کا روپ دھار کر معلومات نکلوائی جاتی ہیں، اس لیے درخواست کی حقیقت کی تصدیق فون کرنے والے کے بتائے ہوئے رابطے کے بجائے کمپنی کے اپنے معلوم اور جائز رابطے کے ذریعے کرنی چاہیے۔ اس کے بعد ضابطے کے مطابق منظوری حاصل کرنا درست ترتیب ہے۔ پچھلے لین دین کی بنا پر موقع پر بھیج دینا، جلدی کی وجہ سے منظوری مؤخر کرنا، یا پاس ورڈ لگانے کی وجہ سے منظوری چھوڑ دینا، ان سب میں جعل سازی (なりすまし) اور ضابطے کی خلاف ورزی دونوں کا خطرہ باقی رہتا ہے۔
سوال 22 | میڈیا باہر لے جانا
کمپنی A کا قاعدہ ہے کہ الیکٹرانک ڈیٹا کمپنی سے باہر لے جاتے وقت سپروائزر کی پیشگی منظوری لازمی ہے، کمپنی کی جاری کردہ انکرپشن کی صلاحیت والی USB ڈرائیو یا لیپ ٹاپ استعمال کرنا ضروری ہے، اور باہر لے جانے کا اندراج باہر لے جانے کے رجسٹر میں ہونا چاہیے۔ ذاتی ملکیت کے اسٹوریج میڈیا کا کاروباری استعمال ممنوع ہے، اور قاعدہ یہ ہے کہ باہر لے جایا گیا میڈیا کام ختم ہوتے ہی واپس کیا جائے اور واپسی کی تاریخ رجسٹر میں درج کی جائے۔ منظوری دینے والا ڈیپارٹمنٹ کا سربراہ (سیکشن چیف یا ڈیپارٹمنٹ منیجر) مقرر ہے، اور باہر لے جائی جانے والی معلومات کے مواد کے لحاظ سے منظوری دینے والا نہیں بدلتا۔ پچھلے مہینے سیلز ڈیپارٹمنٹ میں کسٹمر لسٹ والی ایک USB ڈرائیو گم ہو گئی، اور ہر مہینے باہر لے جانے کے رجسٹر کی جانچ کا فیصلہ کیا گیا۔ جنرل افیئرز ڈیپارٹمنٹ کے معلوماتی سیکیورٹی لیڈر نے اس مہینے کے رجسٹر کی جانچ کی تو درج ذیل ریکارڈ ملے۔ اس رجسٹر کا کون سا ریکارڈ ضابطے کے تحت نامناسب ہے؟
No.2۔ اس میں ذاتی ملکیت کا میڈیا استعمال ہوا ہے جو ممنوع ہے، نہ انکرپشن ہے نہ سپروائزر کی منظوری، اور واپسی کا کوئی ریکارڈ نہیں
No.1۔ نمائش میں تقسیم ہونے والا مواد بھی اگر کمپنی سے باہر لے جایا جا رہا ہو تو اسے میڈیا کے بجائے ڈاک سے بھیجنا لازم ہے
No.4۔ چونکہ کوٹیشن کی نقل خفیہ ہے، اس لیے انکرپشن کے باوجود اسے باہر نہیں لے جانا چاہیے
No.3۔ میٹنگ کی سلائیڈز باہر لے جانے کی منظوری سیکشن چیف نے دی، لیکن منظوری دینے والا ہمیشہ ڈیپارٹمنٹ منیجر ہونا چاہیے
درست جوابA. No.2۔ اس میں ذاتی ملکیت کا میڈیا استعمال ہوا ہے جو ممنوع ہے، نہ انکرپشن ہے نہ سپروائزر کی منظوری، اور واپسی کا کوئی ریکارڈ نہیں
No.2 ضابطے کی کسی بھی شرط کو پورا نہیں کرتا — ذاتی میڈیا کی ممانعت، انکرپشن، سپروائزر کی پیشگی منظوری اور رجسٹر میں واپسی کا ریکارڈ — اور اس پر مزید یہ کہ باہر لے جائی گئی چیز کسٹمر لسٹ تھی۔ No.1، No.3 اور No.4 سب میں جاری کردہ میڈیا، انکرپشن، سپروائزر کی منظوری اور واپسی کا ریکارڈ موجود ہے، اور یہ ضابطے کی خلاف ورزی نہیں کرتے۔ اس ضابطے میں ایسا کوئی قاعدہ نہیں جو منظوری دینے والے کو ڈیپارٹمنٹ منیجر تک محدود کرے یا خفیہ مواد (社外秘) کو باہر لے جانے پر یکساں پابندی لگائے۔
سوال 23 | کاغذ اور مہمان
کمپنی A بیرونی کاروباری شراکت داروں کے ساتھ میٹنگز دفتری فلور کے ایک کونے میں موجود میٹنگ روم میں کرتی ہے۔ میٹنگ روم تک کا راستہ ریسیپشن سے دفتری فلور سے گزرتا ہے، جہاں راستے میں ملازمین کی میزوں کی قطاریں آتی ہیں۔ حال ہی میں ایک مہمان نے میٹنگ روم کے وائٹ بورڈ پر رہ جانے والی کسی غیر متعلقہ معاملے کی تخمینی رقم دیکھ کر اس پر تبصرہ کیا، جس پر معلوماتی سیکیورٹی لیڈر نے طریقۂ کار کا جائزہ لینا شروع کیا۔ ساتھ ہی ڈیپارٹمنٹ کاغذی دستاویزات کے محفوظ رکھنے اور تلف کرنے اور مہمانوں کے استقبال کے طریقۂ کار کا بھی جائزہ لے رہا ہے۔ دفتری فلور پر ایک شریڈر نصب ہے اور خفیہ دستاویزات کو بیرونی طور پر گودا بنا کر تلف کرنے کے لیے جمع کرنے کا ڈبہ بھی ہے۔ درج ذیل میں سے کون سا طریقہ نامناسب ہے؟
کاغذی دستاویزات کمپنی سے باہر لے جاتے وقت انہیں ایسے لفافے میں رکھنا جو مواد چھپائے اور تالا لگنے والے بیگ میں لے جانا
غیر ضروری کسٹمر لسٹ کو ہاتھ سے چھوٹے ٹکڑوں میں پھاڑ کر دفتری فلور کے عام کوڑے دان میں پھینک دینا
ریسیپشن پر مہمان پاس جاری کر کے اس کا ریکارڈ رکھنا، اور دفتری علاقے میں پورے وقت کسی ملازم کو مہمان کے ساتھ رکھنا
مہمان کے استقبال سے پہلے میٹنگ روم کے وائٹ بورڈ پر لکھا ہوا مٹا دینا اور میز پر پڑا مواد سمیٹ لینا
درست جوابB. غیر ضروری کسٹمر لسٹ کو ہاتھ سے چھوٹے ٹکڑوں میں پھاڑ کر دفتری فلور کے عام کوڑے دان میں پھینک دینا
صرف ہاتھ سے پھاڑا گیا کاغذ دوبارہ جوڑا جا سکتا ہے، اور عام کوڑا اٹھا کر لے جائے جانے کا خطرہ رکھتا ہے، اس لیے کسٹمر لسٹ جیسی ذاتی معلومات کو شریڈر یا گودا بنانے کے لیے جمع کرنے والے ڈبے (溶解処理の回収箱) کے ذریعے تلف کرنا لازم ہے۔ ملازم کی ہمراہی کے ساتھ مہمان پاس جاری کرنا، مہمانوں کے استقبال سے پہلے وائٹ بورڈ اور میزیں صاف کرنا (کلیئر ڈیسک (クリアデスク))، اور دستاویزات کو بند لفافے میں تالا لگنے والے بیگ کے اندر لے جانا، یہ سب مناسب طریقے ہیں۔
سوال 24 | سوشل میڈیا پوسٹ
کمپنی A کے ایک ملازم نے اپنے ذاتی سوشل میڈیا اکاؤنٹ پر ڈیپارٹمنٹ کی ایک تقریب کی تصاویر پوسٹ کیں۔ تصاویر کے پس منظر میں میٹنگ روم کے وائٹ بورڈ پر لکھا ہوا ایک غیر اعلان شدہ نئی پروڈکٹ کا کوڈ نام اور متوقع لانچ کا وقت، اور میز پر رکھی ایک گاہک کے نام والی دستاویزات، نادانستہ طور پر نظر آ رہی تھیں۔ پوسٹ ایک بیرونی تیسرے فریق کی اطلاع پر سامنے آئی اور جلد حذف کر دی گئی، لیکن تب تک اسے کہیں اور دوبارہ پوسٹ کیا جا چکا تھا۔ کمپنی A ذاتی سوشل میڈیا کے استعمال پر پابندی نہیں لگاتی اور پوسٹس کے بارے میں اس کے کوئی قواعد نہیں۔ ملازم کا کوئی بدنیتی پر مبنی ارادہ نہیں تھا اور اس نے پس منظر کی چیزوں پر توجہ نہیں دی تھی۔ آئندہ کے لیے سب سے موزوں اقدام کیا ہے؟
یہ قواعد بنانا کہ کمپنی کے اندر لی گئی تصاویر کو پوسٹ کرنے سے پہلے پس منظر کی چیزوں کے لیے جانچا جائے، اور کاروبار سے متعلق پوسٹس کے لیے پبلک ریلیشنز ڈیپارٹمنٹ کی پیشگی منظوری لی جائے، اور اس حقیقی واقعے کو مثال بنا کر تربیت دینا
جب تک کمپنی، گاہک اور افراد کے نام چھپائے جائیں، غیر اعلان شدہ پروڈکٹ کے مواد سمیت کاروبار سے متعلق معاملات پہلے کی طرح ذاتی سوشل میڈیا پر آزادانہ پوسٹ کیے جا سکتے ہیں
چونکہ ذاتی اکاؤنٹ پر پوسٹ کرنا فرد کی آزادی کا معاملہ ہے، اس لیے کمپنی کو تصویر کشی یا پوسٹنگ کے قواعد نہیں بنانے چاہئیں اور مداخلت نہیں کرنی چاہیے
چونکہ حذف کرنے کے بعد پوسٹ کا پھیلاؤ رک جاتا ہے، اس لیے صرف یہ طریقہ طے کر کے بتانا کہ پتا چلنے پر متعلقہ شخص اسے حذف کر دے
درست جوابA. یہ قواعد بنانا کہ کمپنی کے اندر لی گئی تصاویر کو پوسٹ کرنے سے پہلے پس منظر کی چیزوں کے لیے جانچا جائے، اور کاروبار سے متعلق پوسٹس کے لیے پبلک ریلیشنز ڈیپارٹمنٹ کی پیشگی منظوری لی جائے، اور اس حقیقی واقعے کو مثال بنا کر تربیت دینا
چونکہ اس بار وجہ بدنیتی نہیں بلکہ پس منظر کی چیزوں سے متعلق لاعلمی اور قواعد کی عدم موجودگی تھی، اس لیے پوسٹ سے پہلے پس منظر کی جانچ (写り込みの確認) اور کاروبار سے متعلق پوسٹس کی منظوری کے قواعد بنانا، اور اس حقیقی واقعے سے عملے کو تربیت دینا مؤثر ہے۔ عدم مداخلت کی پالیسی دوبارہ ہونے کو نہیں روکے گی۔ نام چھپانے سے مسئلہ حل نہیں ہوتا، کیونکہ غیر اعلان شدہ معلومات کا مواد خود ہی لیک ہے۔ ایک بار شائع ہونے والی پوسٹ دوبارہ پوسٹ کی جا سکتی ہے، اس لیے بعد میں صرف حذف کرنے پر انحصار ناکافی ہے۔
سوال 25 | جنریٹو AI کا استعمال
کمپنی A میں بہت شکایات تھیں کہ میٹنگ کی کارروائی تیار کرنے اور دستاویزات کا مسودہ بنانے میں بہت وقت لگتا ہے، اور کئی ڈیپارٹمنٹس نے انفرادی اکاؤنٹس کے تحت مفت گفتگو والی جنریٹو AI سروسز استعمال کرنا شروع کر دی تھیں۔ ایک ڈیپارٹمنٹ میں گاہکوں کے نام، لین دین کی قیمتیں اور غیر اعلان شدہ اجرا کا شیڈول رکھنے والی میٹنگ کی کارروائی جوں کی توں خلاصے کے لیے پیسٹ کر دی گئی۔ اس سروس کی شرائط میں لکھا ہے کہ درج کیا گیا مواد سروس بہتر بنانے کے لیے استعمال ہو سکتا ہے۔ پوری کمپنی کے لیے استعمال کا کوئی قاعدہ نہیں، نہ ممانعت ہے نہ اجازت۔ کارکردگی بڑھنے کی توقعات زیادہ ہیں، اور سادہ پابندی سے یہ خطرہ ہے کہ لوگ پھر بھی استعمال جاری رکھیں گے۔ معلوماتی سیکیورٹی لیڈر کے تجویز کردہ اقدامات میں سے کون سا سب سے موزوں ہے؟
چونکہ یہ کارکردگی بڑھانے میں مدد دیتا ہے، اس لیے سروس کا انتخاب اور درج کی جانے والی معلومات کا دائرہ ہر فرد کی صوابدید پر چھوڑے رکھنا
پوری کمپنی کے قاعدے کے طور پر صرف گاہکوں کے نام چھپانا لازمی کرنا، لین دین کی قیمتیں اور غیر اعلان شدہ اجرا کے شیڈول پہلے کی طرح درج کرنے کی اجازت دینا، اور ہر فرد کو آزادانہ طور پر سروس چننے دینا
ضابطے میں وہ دائرہ طے کرنا جس کی معلومات درج کی جا سکتی ہیں اور خفیہ اور ذاتی معلومات درج کرنے پر پابندی لگانا، کمپنی کی طرف سے ایسے معاہدے کے تحت کارپوریٹ درجے کی سروس مہیا کرنا جس میں درج کیا گیا مواد تربیت کے لیے استعمال نہ ہو، اور یہ لازمی کرنا کہ نتیجہ ہمیشہ متعلقہ ذمہ دار شخص جانچے
پوری کمپنی کو ای میل کے ذریعے جنریٹو AI کے استعمال پر مکمل پابندی کی اطلاع دینا، اور بعد کی کارروائی ہر ڈیپارٹمنٹ کی صوابدید پر چھوڑ دینا
درست جوابC. ضابطے میں وہ دائرہ طے کرنا جس کی معلومات درج کی جا سکتی ہیں اور خفیہ اور ذاتی معلومات درج کرنے پر پابندی لگانا، کمپنی کی طرف سے ایسے معاہدے کے تحت کارپوریٹ درجے کی سروس مہیا کرنا جس میں درج کیا گیا مواد تربیت کے لیے استعمال نہ ہو، اور یہ لازمی کرنا کہ نتیجہ ہمیشہ متعلقہ ذمہ دار شخص جانچے
چونکہ جنریٹو AI (生成AI) میں معلومات درج کرنا بیرونی فریق کو معلومات فراہم کرنے کے برابر ہے، اس لیے ضابطے میں واضح لکیر کھینچنا کہ کون سی معلومات درج کی جا سکتی ہیں، اور کمپنی کی طرف سے ایسی کارپوریٹ سروس فراہم کرنا جو درج مواد کو تربیت کے لیے استعمال نہ کرے، ایک محفوظ راستہ بنانے کے لیے مؤثر ہے۔ نتیجے کی جانچ لازمی کرنا غلطیوں کے شامل ہونے سے بھی بچاتا ہے۔ فرد کی صوابدید پر چھوڑنا محض موجودہ صورتحال کی توثیق ہے۔ صرف گاہکوں کے نام چھپانے کے باوجود قیمتیں اور غیر اعلان شدہ شیڈول بدستور خفیہ معلومات ہیں جو درج کی جاتی رہیں گی۔ متبادل کے بغیر صرف اطلاع کے ذریعے مکمل پابندی استعمال کو زیرِ زمین دھکیل کر ناقابلِ انتظام شیڈو IT (シャドーIT) بنا دیتی ہے۔
مشق: اس صفحے کے سوالات حل کریں
یہ بے ترتیب سوالات والا مشق کا ٹول ہے (JavaScript فعال ہونے پر کام کرتا ہے)۔ اوپر دیے گئے تمام سوالات اور وضاحتیں اس کے بغیر بھی پڑھی جا سکتی ہیں۔
※ وضاحتیں مطالعے کے مقصد کے لیے معلومات ہیں۔ امتحان کا نصاب اور نظام سال بہ سال بدل سکتا ہے، اس لیے امتحان منعقد کرنے والے ادارے کے سرکاری اعلانات ضرور دیکھیں۔
یہ صفحہ جاپانی اصل متن کا ترجمہ ہے۔ اگر ترجمے اور اصل متن میں فرق ہو تو جاپانی ورژن کو ترجیح دی جائے گی۔ یہ ترجمہ AI کی مدد سے کیا گیا ہے اور اس میں غلطیاں ہو سکتی ہیں۔ترجمے کی غلطی کی اطلاع دیںجاپانی اصل متن دیکھیں