আস্থা ও নিরাপত্তা

যে নিরাপত্তা টেন্ডার ডকুমেন্টে লিখে দেওয়া যায়

প্রশিক্ষণার্থীর এনআইডি, মূল্যায়নের রেকর্ড, উপকারভোগীর তালিকা — প্রাতিষ্ঠানিক ডেটার জন্য চাই প্রাতিষ্ঠানিক সুরক্ষা। এই পেজে স্পষ্ট করে বলা আছে নুসাইফা আইটির সিস্টেম কীভাবে তৈরি, চাহিবামাত্র আমরা কী প্রমাণ দিতে পারি, এবং কোন দাবি আমরা করি না।

২৪/২৪

টেবিলে Row-Level Security সক্রিয়

৬০+

যাচাইকৃত সার্ভার ফাংশন, সব অ্যাক্সেস এর মধ্য দিয়ে

০

ক্লায়েন্ট কোড থেকে সরাসরি টেবিল অ্যাক্সেসের পথ

১২ ঘণ্টা

সেশন টোকেনের সর্বোচ্চ মেয়াদ

এই সংখ্যাগুলো আমাদের প্রোডাকশনে চলমান ট্রেনিং ম্যানেজমেন্ট সিস্টেমের নিরাপত্তা-কঠোর v4.1 সংস্করণের — আমাদের অন্য প্রোডাক্টগুলোও একই স্থাপত্যের ওপর তৈরি।

স্থাপত্য

আক্রমণকারী আর আপনার রেকর্ডের মাঝে যে নয়টি স্তর

বেশির ভাগ ডেটা ফাঁস অস্বাভাবিক কিছু নয়। ঘটে কারণ অ্যাপ্লিকেশন ডেটাবেজের সঙ্গে প্রয়োজনের চেয়ে বেশি অধিকার নিয়ে কথা বলে। আমরা এই সম্ভাবনাটাই স্থাপত্য পর্যায়ে সরিয়ে দিয়েছি — কোনো নীতিমালার কাগজ দিয়ে নয়।

সর্বত্র Row-Level Security

ডেটাবেজের প্রতিটি টেবিলে সক্রিয়। যে সারি দেখার অধিকার সেশনের নেই, কোনো কোয়েরি তা ফেরত দিতে পারে না — নিশ্চিত করে PostgreSQL নিজেই, এড়িয়ে যাওয়া যায় এমন অ্যাপ্লিকেশন কোড নয়।

সরাসরি টেবিল অ্যাক্সেস নেই

ক্লায়েন্ট কোডের টেবিল ও সিকোয়েন্সে কোনো অধিকারই নেই। প্রতিটি পড়া ও লেখা যায় নির্দিষ্ট, যাচাইকৃত সার্ভার ফাংশনের মধ্য দিয়ে। ব্রাউজার থেকে র‌্য SQL চালানোর কোনো পথ নেই।

বেনামি অ্যাক্সেস বাতিল

পাবলিক API কী একা কিছুই পড়তে পারে না। পেজের সোর্স থেকে কেউ সেটি কপি করলেও কোনো ডেটা পাবে না — কেবল অথেনটিকেটেড ফাংশন ডাকার সুযোগ থাকে।

bcrypt দিয়ে পাসওয়ার্ড হ্যাশ

একমুখীভাবে সংরক্ষিত, কখনো ফিরিয়ে পড়া যায় না, লগেও লেখা হয় না। নুসাইফা আইটির কেউ — আমরা নিজেরাও — কোনো ব্যবহারকারীর পাসওয়ার্ড দেখতে পারি না।

মেয়াদোত্তীর্ণ হওয়া সেশন টোকেন

সেশনের সর্বোচ্চ আয়ু ১২ ঘণ্টা, আর একটি নির্ধারিত প্রক্রিয়া মেয়াদোত্তীর্ণ সেশন মুছে দেয়। অফিসের শেয়ার করা কম্পিউটারে ভুলে খোলা রাখা লগইন রাতেই ঝুঁকি হারায়।

লগইন থ্রটলিং

১৫ মিনিটে পাঁচবার ভুল চেষ্টা হলে ওই অ্যাকাউন্টে আর চেষ্টা করা যায় না। বড় পরিসরে পাসওয়ার্ড অনুমান করা এখানে অর্থহীন।

লক করা ডকুমেন্ট স্টোরেজ

আপলোড করা সার্টিফিকেট, এনআইডি কপি ও পরিদর্শন ফাইল ক্লায়েন্ট-সাইড কোড বদলাতে বা মুছতে পারে না। স্টোরেজ নীতিমালা টেবিল নীতিমালা থেকে আলাদা এবং আরও কঠোর।

সম্পূর্ণ অডিট লগ

কে কোন রেকর্ড কখন বদলেছে। ফল অনুমোদন, রোল পরিবর্তন ও ডকুমেন্ট মুছে ফেলা — সবই নির্দিষ্ট ব্যবহারকারীর নামে চিহ্নিত, যা একজন নিরীক্ষক আসলে খোঁজেন।

এনক্রিপ্টেড ট্রান্সপোর্ট

প্রান্ত থেকে প্রান্ত পর্যন্ত SSL/TLS। ব্রাউজার, অ্যাপ্লিকেশন ও ডেটাবেজের মধ্যে চলাচলের সময় ডেটা এনক্রিপ্টেড থাকে, এবং হোস্টিং প্ল্যাটফর্মে সংরক্ষিত অবস্থাতেও।

অ্যাক্সেস নিয়ন্ত্রণ

প্রত্যেকে নিজের কাজটুকু দেখেন — আর কিছু নয়

সেটআপের সময় আপনার সাংগঠনিক কাঠামো অনুযায়ী রোল-ভিত্তিক অ্যাক্সেস সাজানো হয়। নিচের ছকে একটি সাধারণ টিভিইটি ইনস্টিটিউটের বিন্যাস দেখানো হলো; আপনারটি ভিন্ন হতে পারে।

সাধারণ রোল ও অনুমতির ছক
রোল	যা দেখতে পান	যা বদলাতে পারেন	যা পারেন না
সিস্টেম অ্যাডমিনিস্ট্রেটর	প্রতিষ্ঠানের সব রেকর্ড	কনফিগারেশন, ইউজার, রোল	পাসওয়ার্ড পড়া; অডিট লগ সম্পাদনা
প্রোগ্রাম / ইনস্টিটিউট অ্যাডমিন	সব প্রশিক্ষণার্থী, ব্যাচ, ফলাফল	ভর্তি, ব্যাচ, অনুমোদন	সিস্টেম কনফিগারেশন বা রোল পরিবর্তন
প্রশিক্ষক / অ্যাসেসর	শুধু নির্ধারিত ব্যাচ	ওই ব্যাচের হাজিরা ও নম্বর	অন্য প্রশিক্ষকের ব্যাচ দেখা; চূড়ান্ত ফল অনুমোদন
প্রশিক্ষণার্থী / শিক্ষার্থী	শুধু নিজের রেকর্ড	কিছুই নয় — শুধু দেখা ও ডাউনলোড	অন্য কারও তথ্য দেখা
নিরীক্ষক (Auditor)	রেকর্ডসহ সম্পূর্ণ অডিট ট্রেইল	কিছুই নয় — কঠোরভাবে read-only	কোনো রেকর্ড পরিবর্তন বা মুছে ফেলা
দাতা / M&E ভিউয়ার	সমষ্টিগত সূচক ও রিপোর্ট	কিছুই নয়	ব্যক্তিগত প্রশিক্ষণার্থীর রেকর্ড খোলা

ডেটার মালিকানা

আপনার ডেটা আপনার প্রতিষ্ঠানেরই

আপনার ইনস্ট্যান্সের প্রতিটি রেকর্ডের মালিক আপনি — আমরা পরিচালনা করি, মালিকানা নিই না
চাহিবামাত্র, যেকোনো সময়, এমনকি সম্পর্ক শেষ হওয়ার সময়ও স্ট্যান্ডার্ড ফরম্যাটে (CSV / SQL) সম্পূর্ণ এক্সপোর্ট
আমরা আপনার ডেটা বিক্রি, ভাড়া বা তৃতীয় পক্ষের সঙ্গে শেয়ার করি না
আপনার প্রতিষ্ঠানের ডেটা দিয়ে আমরা কোনো এআই মডেল প্রশিক্ষণ বা ডেটাসেট তৈরি করি না
যেখানে কর্মপ্রবাহে সত্যিই দরকার, কেবল সেখানেই ব্যক্তিগত তথ্য সংগ্রহ করা হয়
তথ্য সংরক্ষণ ও মুছে ফেলা চলে আপনার লিখিত নির্দেশ অনুযায়ী, আমাদের সুবিধা অনুযায়ী নয়
নুসাইফা আইটির কর্মীরা প্রোডাকশন ডেটায় ঢোকেন কেবল সাপোর্টের প্রয়োজনে, এবং কেবল আপনার লিপিবদ্ধ অনুরোধে
ডিফল্টভাবেই প্রাইভেসি-প্রথম ও GDPR-সঙ্গতিপূর্ণ নীতি প্রয়োগ করা হয়, দাতা-সহায়তাপুষ্ট প্রোগ্রামেও

সচলতা

ব্যাকআপ, পুনরুদ্ধার ও ধারাবাহিকতা

প্রতিদিনের স্বয়ংক্রিয় ব্যাকআপ

হাতে কিছু না করেই প্রতিদিন নেওয়া হয়, একটি চক্র অনুযায়ী সংরক্ষিত থাকে, এবং নির্দিষ্ট সময়ে ফিরিয়ে আনা যায়।

পুনরুদ্ধার পরীক্ষিত, অনুমান নয়

যে ব্যাকআপ কেউ কখনো ফিরিয়ে আনেনি, সেটি নিছক গুজব। আমরা নিয়মিত রিস্টোর মহড়া চালাই, যাতে পুনরুদ্ধারের সময়টা আশা নয় — মাপা সংখ্যা হয়।

ঘটনা মোকাবিলা

একজন নির্দিষ্ট যোগাযোগকারী, নির্ধারিত এসকেলেশন পথ, এবং আপনার ডেটা প্রভাবিত হলে প্রতিষ্ঠানকে লিখিত অবহিতকরণ।

Enterprise প্ল্যানে হোস্টিংয়ের সিদ্ধান্ত আপনার — আমাদের ম্যানেজড ক্লাউড, আপনার প্রতিষ্ঠানের ক্লাউড অ্যাকাউন্ট, কিংবা আপনার নির্দেশিত অবকাঠামো। আপটাইম প্রতিশ্রুতি ও সাড়া দেওয়ার সময় Enterprise SLA-তে লিখিত থাকে। দেখুন প্যাকেজ।

আমরা যেভাবে বানাই

নিরাপত্তা প্রথমে, ধারাবাহিকভাবে

ন্যূনতম অধিকারই ডিফল্ট অবস্থা — পরে করা কোনো হার্ডেনিং ধাপ নয়
ডেটাবেজ মাইগ্রেশন ও নিরাপত্তা স্ক্রিপ্ট idempotent এবং রিলিজের আগে পার্সার দিয়ে যাচাই করা
ক্লায়েন্ট-সাইড কোডে কখনোই কোনো ক্রেডেনশিয়াল, কী বা সিক্রেট রাখা হয় না
ব্রাউজার যা-ই যাচাই করুক, প্রতিটি ইনপুট সার্ভারে আবার যাচাই করা হয়
পরিবর্তন আসে সংস্করণ-চিহ্নিত রিলিজ ও লিখিত চেঞ্জ লগসহ (বর্তমান: TMS v4.1, নিরাপত্তা-কঠোর)
রিফ্যাক্টরিংয়ের আগে স্থাপত্য নিরীক্ষা — বদলানোর আগে আমরা সিস্টেমের মানচিত্র আঁকি

ক্রয় ও দরপত্র বিভাগের জন্য

টেন্ডার বা RFQ-এর জন্য আমরা যা সরবরাহ করি

সরকারি ও দাতা-সহায়তাপুষ্ট ক্রয়প্রক্রিয়া নির্দিষ্ট প্রশ্ন করে। বাছাইকৃত প্রতিষ্ঠানের জন্য এই ডকুমেন্টগুলো চাহিবামাত্র দেওয়া হয় — প্রয়োজনে NDA-এর আওতায়।

কারিগরি স্পেসিফিকেশন

সিস্টেম স্থাপত্য, মডিউল তালিকা, প্রযুক্তি স্ট্যাক, ইন্টিগ্রেশন পয়েন্ট ও ধারণক্ষমতার হিসাব — আপনার মূল্যায়ন কমিটি যে ফরম্যাটে চায়।

নিরাপত্তা স্থাপত্যের সারসংক্ষেপ

এই পেজের নিয়ন্ত্রণগুলোর লিখিত বিবরণ — একজন আইটি নিরাপত্তা পর্যালোচক দরপত্রে নম্বর দিতে যতটা বিস্তারিত চান, ততটাই।

রোল ও অনুমতির ছক

আপনার প্রকৃত সাংগঠনিক কাঠামোর সঙ্গে মিলিয়ে তৈরি, যাতে পর্যালোচক দেখতে পান কে কোন অধিকার পাবেন।

ডেটা প্রসেসিং অঙ্গীকার

গোপনীয়তা ও তথ্য-ব্যবস্থাপনার লিখিত প্রতিশ্রুতি, আপনার দাতা বা মন্ত্রণালয়ের প্রমিত ধারার সঙ্গে মানিয়ে নেওয়া যায়।

ব্যাকআপ ও ধারাবাহিকতার বিবৃতি

ব্যাকআপের ঘনত্ব, সংরক্ষণকাল, পুনরুদ্ধারের পদ্ধতি ও দায়িত্বপ্রাপ্ত পক্ষ — সবই লিখিতভাবে।

নিরাপত্তা প্রশ্নমালার উত্তর

আপনার ভেন্ডর সিকিউরিটি প্রশ্নমালা আমরা সরাসরি পূরণ করে দিই। যেখানে সৎ উত্তর “এখনো নয়”, সেখানে আমরা “এখনো নয়”-ই লিখি।

সৎ সীমাবদ্ধতা

আমরা যা দাবি করি না

যে নিরাপত্তা পেজ সবকিছু দাবি করে, তার কোনো মূল্য নেই। আমরা এখন ঠিক কোথায় দাঁড়িয়ে, তা স্পষ্ট করে বলছি — যাতে মূল্যায়নের মাঝপথে কারও কাছে তা আবিষ্কারের বিষয় না হয়।

ISO 27001 বা SOC 2 সনদ নেই

আজ পর্যন্ত আমাদের কোনোটিই নেই। আপনার দরপত্রে সনদপ্রাপ্ত ভেন্ডর বাধ্যতামূলক হলে আমরা প্রথম কলেই তা জানিয়ে দেব — আপনার মূল্যায়নের সময় নষ্ট হতে দেব না।

তৃতীয় পক্ষের পেনিট্রেশন টেস্ট

স্ট্যান্ডার্ড হিসেবে অন্তর্ভুক্ত নয়। কোনো প্রোগ্রামে প্রয়োজন হলে আমরা নির্দিষ্ট পরিসর ও মূল্যে স্বাধীন পরীক্ষা করিয়ে নিই।

দুই-ধাপ যাচাই (2FA)

স্ট্যান্ডার্ড প্রোডাক্টে এখনো নেই। বর্তমান সুরক্ষা হলো bcrypt হ্যাশিং, মেয়াদোত্তীর্ণ টোকেন ও লগইন থ্রটলিং। 2FA নিচের রোডম্যাপে আছে।

এয়ার-গ্যাপড অন-প্রিমাইজ স্থাপন

কেবল Enterprise পরিসরে, আপনার অবকাঠামো দলের সঙ্গে মিলে — সরাসরি কিনে নেওয়ার মতো বিকল্প হিসেবে নয়।

আনুষ্ঠানিক ISMS ডকুমেন্টেশন

আমাদের চর্চা ধারাবাহিক এবং প্রতিটি রিলিজে নথিভুক্ত, তবে আনুষ্ঠানিকভাবে সনদপ্রাপ্ত কোনো তথ্য নিরাপত্তা ব্যবস্থাপনা পদ্ধতি আমরা এখনো পরিচালনা করি না।

Enterprise-এর নিচে আপটাইম নিশ্চয়তা

Starter ও Professional প্ল্যানে সর্বোচ্চ চেষ্টার ভিত্তিতে সচলতা। চুক্তিবদ্ধ আপটাইম প্রতিশ্রুতি কেবল Enterprise SLA-তে আছে।

রোডম্যাপ

এরপর আমরা যা নিয়ে কাজ করছি

দুই-ধাপ যাচাই (2FA)

প্রথমে প্রশাসনিক রোলের জন্য এসএমএস ও অথেনটিকেটর অ্যাপভিত্তিক দ্বিতীয় ধাপ, এরপর সব স্টাফ অ্যাকাউন্টে।

স্বাধীন পেনিট্রেশন টেস্ট

প্রোডাকশন প্ল্যাটফর্মের বাইরের একটি নির্ধারিত মূল্যায়ন, যার সারসংক্ষেপ এন্টারপ্রাইজ ক্লায়েন্টদের দেওয়া হবে।

আনুষ্ঠানিক ISMS ডকুমেন্টেশন

লিখিত নীতিমালা, সম্পদ নিবন্ধন ও ঘটনা মোকাবিলার পদ্ধতি — ভবিষ্যতের সনদ অর্জনের পথ ধরে সাজানো।

ক্লায়েন্ট স্ট্যাটাস পেজ

সিস্টেমের সচলতা ও রক্ষণাবেক্ষণের সময় দেখানো একটি উন্মুক্ত পেজ, যাতে আপনাকে জিজ্ঞেস করতেই না হয়।

দায়িত্বশীল প্রকাশ

নিরাপত্তা ত্রুটি পেয়েছেন? আমাদের জানান।

SECURITY সাবজেক্ট দিয়ে info.nusaifaitbd@gmail.com-এ ইমেইল করুন, অথবা হটলাইনে কল করুন। দুই কর্মদিবসের মধ্যে আমরা প্রাপ্তি স্বীকার করি এবং সমাধান না হওয়া পর্যন্ত আপনাকে জানাতে থাকি।

সদুদ্দেশ্যপ্রণোদিত নিরাপত্তা গবেষণার বিরুদ্ধে আমরা কোনো আইনি ব্যবস্থা নেব না
প্রকাশ করার আগে ত্রুটি সারানোর যৌক্তিক সময় দিন
কোনো প্রতিষ্ঠানের ডেটা দেখা, বদলানো বা মুছে ফেলা থেকে বিরত থাকুন
যাঁরা নাম প্রকাশ করতে চান, তাঁদের কৃতিত্ব দেওয়া হয়

জিজ্ঞাসা

নিরাপত্তা সম্পর্কিত সাধারণ প্রশ্ন

আমাদের ডেটা কোথায় রাখা হয়?

Starter ও Professional প্ল্যানে আমাদের পরিচালিত ম্যানেজড ক্লাউড অবকাঠামোয়। Enterprise-এ হোস্টিংয়ের স্থান আপনার সিদ্ধান্ত — আমাদের ক্লাউড, আপনার প্রতিষ্ঠানের ক্লাউড অ্যাকাউন্ট, বা আপনার নির্দেশিত অবকাঠামো; দাতা বা মন্ত্রণালয় দেশের ভেতরে হোস্টিং চাইলে তা-ও সম্ভব।

আমরা কি নিজেদের সার্ভারে সিস্টেম রাখতে পারি?

পারেন, Enterprise প্ল্যানে এবং পরিসর নির্ধারণে আপনার অবকাঠামো দলকে যুক্ত রেখে। স্থাপনার ডকুমেন্টেশন আমরা বুঝিয়ে দিই, যাতে পরিচালনার জন্য আপনার স্টাফকে আমাদের ওপর নির্ভর করতে না হয়।

নুসাইফা আইটির কারা আমাদের রেকর্ড দেখতে পান?

প্রোডাকশন ডেটায় প্রবেশ সীমিত আপনার অ্যাকাউন্টে নিয়োজিত সাপোর্ট ইঞ্জিনিয়ারদের মধ্যে, এবং কেবল তখনই যখন আপনি অনুরোধ করেছেন। প্রতিটি প্রবেশ সেই একই অডিট লগে চিহ্নিত থাকে, যা আপনার নিজের অ্যাডমিনরাও পড়তে পারেন।

সিস্টেম ব্যবহার বন্ধ করলে আমাদের ডেটার কী হবে?

CSV ও SQL ফরম্যাটে সম্পূর্ণ এক্সপোর্ট পাবেন। আপনি তা হাতে পেয়েছেন নিশ্চিত করার পর, আপনার লিখিত নির্দেশে আমরা প্রোডাকশন ডেটা মুছে ফেলি এবং মুছে ফেলার বিষয়টি লিখিতভাবে নিশ্চিত করি।

আমাদের দাতার নিরাপত্তা প্রশ্নমালা কি আপনারা পূরণ করবেন?

করব। পাঠিয়ে দিন — আমরা সরাসরি পূরণ করে দেব, যেসব প্রশ্নের উত্তর সক্ষমতা নয় বরং সীমাবদ্ধতা, সেগুলোসহ।

আমাদের প্রতিষ্ঠান ছেড়ে যাওয়া কর্মীদের ক্ষেত্রে কী হয়?

আপনার অ্যাডমিন অ্যাকাউন্টটি নিষ্ক্রিয় করেন, যাতে সেশন টোকেন সঙ্গে সঙ্গে অকার্যকর হয়। ওই ব্যক্তির অতীত কাজ অডিট লগে থেকে যায় — নিষ্ক্রিয় করা অ্যাক্সেস কেড়ে নেয়, জবাবদিহি মুছে দেয় না।

OWASP ধরনের ঝুঁকির বিরুদ্ধে সিস্টেম পরীক্ষিত?

স্থাপত্যই কয়েকটি শ্রেণি সম্পূর্ণ সরিয়ে দেয় — ক্লায়েন্ট থেকে SQL অ্যাক্সেস নেই, প্রতিটি ইনপুট সার্ভারে যাচাই, ব্রাউজার কোডে কোনো সিক্রেট নেই, অথেনটিকেশনে থ্রটলিং। তবে স্বাধীন OWASP মূল্যায়নের দাবি আমরা করি না; ওপরের “আমরা যা দাবি করি না” অংশ দেখুন।

বাইরের নিরীক্ষার জন্য অডিট লগের কপি পাওয়া যাবে?

যাবে। যেকোনো তারিখ পরিসরের অডিট ট্রেইল আপনার নিরীক্ষকের ব্যবহারযোগ্য ফরম্যাটে এক্সপোর্ট হয়, এবং নিরীক্ষার সময়কালের জন্য read-only অডিটর অ্যাকাউন্টও দেওয়া যায়।

SSL/TLS এনক্রিপ্টেডRow-Level Securityদৈনিক ব্যাকআপ সম্পূর্ণ অডিট লগbcrypt হ্যাশিংমেয়াদোত্তীর্ণ সেশন লগইন থ্রটলিংডেটার মালিক আপনি

ডেমোতে আপনার নিরাপত্তা পর্যালোচককেও নিয়ে আসুন

স্ক্রিন নয়, পুরো সেশনটাই স্থাপত্য, রোল ও অডিট ট্রেইল নিয়ে কাটাতে আমরা রাজি। এরপর ডকুমেন্টেশন লিখিতভাবে পাঠানো হয়।

ডেমো রিকোয়েস্ট করুন যোগাযোগ করুন