सहकारी बँकांसाठी रिझर्व्ह बँकेचा सायबर स्ट्राइक; सुरक्षा नियम बदलले!

मुंबई: देशातील नागरी सहकारी बँकांमधील (Urban Co-operative Banks - UCBs) वाढते सायबर धोके, डिजिटल फ्रॉड आणि डेटा चोरीच्या घटनांना आळा घालण्यासाठी भारतीय रिझर्व्ह बँकेने (RBI) अत्यंत कडक आणि ऐतिहासिक पाऊल उचलले आहे. रिझर्व्ह बँकेने ४९ पानांचे 'Reserve Bank of India (Urban Co-operative Banks – Cybersecurity, Technology: Risk, Resilience and Assurance Framework) Directions, 2026' हे नवीन परिपत्रक जारी केले आहे. बँकिंग नियमन कायदा, १९४९ च्या कलम २७ आणि ३५-ए अंतर्गत लागू करण्यात आलेली ही नवी नियमावली तातडीने प्रभावात आली आहे.

१. बँकांच्या डिजिटल क्षमतेनुसार ४ टप्प्यांत वर्गीकरण (Four-Tier Categorization)

रिझर्व्ह बँकेने सर्व नागरी सहकारी बँकांना त्यांच्या तंत्रज्ञानाचा वापर (Digital Depth) आणि पेमेंट सिस्टीमशी असणाऱ्या जोडणीनुसार ४ स्तरांमध्ये (Level I ते Level IV) वर्गीकृत केले आहे:

1. Level I (मूलभूत पातळी): ही पातळी सर्व नागरी सहकारी बँकांना लागू असेल, मग त्या डिजिटल सेवा देत असोत वा नसोत.

2. Level II: सेंट्रलाइज्ड पेमेंट सिस्टम (CPS) च्या उप-सदस्य असलेल्या आणि इंटरनेट बँकिंग, मोबाईल बँकिंग किंवा CTS/IMPS/UPI सुविधा देणाऱ्या बँकांसाठी.

3. Level III: CPS च्या थेट सदस्य असणाऱ्या, स्वतःचे ATM स्विच असणाऱ्या किंवा SWIFT इंटरफेस वापरणाऱ्या बँकांसाठी.

4. Level IV: स्वतःचे ATM स्विच आणि SWIFT असणाऱ्या तसेच इतर बँकांना डेटा सेंटर/सॉफ्टवेअर सपोर्ट देणाऱ्या मोठ्या बँकांसाठी.

२. संचालकांचे उत्तरदायित्व आणि 'आयटी कमिटी' (Board Governance)

नवीन नियमांनुसार, सायबर सुरक्षेची अंतिम जबाबदारी बँकेच्या संचालक मंडळाची (Board of Directors) असेल.

• संचालकांना स्वतःच्या मान्यतेने बँकेचे स्वतंत्र सायबर सुरक्षा धोरण तयार करावे लागेल.

• Level IV बँकांना बोर्ड स्तरावर 'IT Strategy Committee' (ITSC) स्थापन करावी लागेल. या समितीमध्ये किमान ५ वर्षांचा आयटी अनुभव असलेला 'प्रोफेशनल' संचालक असणे अनिवार्य करण्यात आले आहे.

३. ६ तासांच्या आत रिझर्व्ह बँकेला रिपोर्टिंग अनिवार्य (Incident Reporting)

बँकिंग क्षेत्रात सायबर हल्ला, रॅन्समवेअर, अथवा डेटा लीक झाल्यास बँकांना माहिती लपवता येणार नाही. बँकेत कोणताही सायबर अपघात घडल्यास शोध लागल्यापासून अवघ्या ६ तासांच्या आत 'DAKSH' (रिझर्व्ह बँकेचे ॲडव्हान्स सुपरवायझरी मॉनिटरिंग सिस्टीम) या पोर्टलवर अहवाल नोंदवणे बंधनकारक आहे.

महत्त्वाचे तांत्रिक सुरक्षा नियम (Technical Controls):

1. २-फॅक्टर ऑथेंटिकेशन (2FA): कोअर बँकिंग सिस्टीम (CBS) लॉगिनसाठी डायनामिक पासवर्डसह टू-फॅक्टर ऑथेंटिकेशन बंधनकारक.

2. सोप्या पासवर्डवर बंदी: पासवर्डमध्ये बँकेचे नाव किंवा सोपे शब्द वापरण्यास पूर्ण बंदी (उदा. xyz@123 चालणार नाही).

3. पेनड्राईव्ह / रिमूव्हएबल मीडिया बंद: बँकिंग कम्प्युटर्समध्ये पेनड्राईव्ह किंवा बाहेरचे स्टोरेज डिव्हाईस वापरण्यास मनाई असेल.

4. ईमेल सुरक्षा (DMARC): बँकांनी स्वतःच्या अधिकृत डोमेनवरूनच ईमेल पाठवले पाहिजेत (उदा. xyz.bank.in).

४. आउटसोर्सिंग व व्हेंडर सायबर हल्ला (Vendor Risk Management)

अनेक सहकारी बँका आयटी कामे किंवा मोबाईल ॲप्स तिसऱ्या पक्षाकडून (Third-Party Vendors/ASPs) आउटसोर्स करतात. नव्या नियमांनुसार, व्हेंडरच्या चुकीमुळे सायबर हल्ला झाल्यास अंतिम जबाबदारी बँकेचीच राहील.

• रिझर्व्ह बँकेला व्हेंडरच्या सिस्टीमची थेट पाहणी (Inspection Rights) करण्याचा अधिकार करारात समाविष्ट करावा लागेल.

• व्हेंडर्ससाठी ३७ हून अधिक कडक सायबर सुरक्षा निकष लागू करण्यात आले आहेत.

५. २४x७ सायबर सिक्युरिटी ऑपरेशन्स सेंटर (CSOC)

Level IV मधील मोठ्या बँकांसाठी Cyber Security Operations Centre (CSOC) उभारणे बंधनकारक करण्यात आले आहे.

• हे सेंटर २४ तास, ३६५ दिवस बँकेच्या संपूर्ण नेटवर्कवर देखरेख ठेवेल.

• या बँकांना मुख्य माहिती सुरक्षा अधिकारी (Chief Information Security Officer - CISO) ची स्वतंत्र नियुक्ती करावी लागेल, जो थेट सीईओ किंवा रिस्क मॅनेजमेंट प्रमुखाला रिपोर्ट करेल.

६. ग्राहकांची सुरक्षितता व जनजागृती (Customer Education)

बँकांनी कर्मचाऱ्यांसोबतच ग्राहकांनाही सायबर धोक्यांबद्दल (ओटीपी न सांगणे, बनावट लिंकवर क्लिक न करणे) सातत्याने जागरूक केले पाहिजे. तसेच, बँकेच्या संचालक मंडळाला वर्षातून किमान एकदा सायबर सुरक्षेचे प्रशिक्षण देणे अनिवार्य आहे.

७. जुने नियम रद्द (Repeal Provisions)

या नव्या सर्वसमावेशक परिपत्रकामुळे नागरी सहकारी बँकांसाठी पूर्वी जारी करण्यात आलेली सर्व जुनी परिपत्रके रद्द करण्यात आली असून, सर्व बँकांना या नव्या नियमावलीनुसार स्वतःच्या यंत्रणेत तातडीने सुधारणा करण्याचे निर्देश देण्यात आले आहेत.