PFRDA (Digital Safety Practices for Government Nodal Offices Under NPS Architecture) Advisory, 2024

पेंशन निधि विनियामक और विकास प्राधिकरण PENSION FUND REGULATORY AND DEVELOPMENT AUTHORITY

परिपत्र

परिपत्र संख्या : पीएफआरडीए/2024/07/एसयूपी-सीजीएसजी/01 27.03.2024

प्रति, राष्ट्रीय पेंशन प्रणाली के अंतर्गत केंद्र सरकार एवं इसके स्वायत्त निकायों के सभी PrAOs/PAOs/DDOs; राज्य सरकारों एवं इनके स्वायत्त निकायों के सभी DTAs/DTOs/DDOs

विषय: पेंशन निधि विनियामक और विकास प्राधिकरण (एनपीएस स्थापत्य के अंतर्गत सरकारी नोडल कार्यालयों के लिए डिजिटल सुरक्षा प्रथाएँ) परामर्श, 2024

प्राधिकरण राष्ट्रीय पेंशन प्रणाली के तहत सभी सरकारी नोडल कार्यालयों के मार्गदर्शन के लिए पेंशन निधि विनियामक और विकास प्राधिकरण (एनपीएस स्थापत्य के अंतर्गत सरकारी नोडल कार्यालयों के लिए डिजिटल सुरक्षा प्रथाएँ) परामर्श, 2024 (संलग्न) जारी करता है।

यह प्राधिकरण की वेबसाइट (www.pfrda.org.in) पर भी उपलब्ध है।

सादर,

(विकास कुमार सिंह) मुख्य महाप्रबंधक

---

पेंशन निधि विनियामक और विकास प्राधिकरण (एनपीएस स्थापत्य के अंतर्गत सरकारी नोडल कार्यालयों के लिए डिजिटल सुरक्षा प्रथाएँ) परामर्श, 2024

---

विषयसूची : शब्दावली ..........................................................................................................................................................................................2 अध्याय- I- संक्षिप्त शीर्षक और प्रारंभ, उद्देश्य और प्रयोज्यता....................................................................................................3

1. संक्षिप्त शीर्षक और प्रारंभ :...............................................................................................................................................3
2. उद्देश्य:.................................................................................................................................................................................3
3. प्रयोज्यता: ............................................................................................................................................................................3 अध्याय II- एनपीएस स्थापत्य के अंतर्गत सरकारी नोडल कार्यालयों द्वारा अपनाई जाने वाली डिजिटल सुरक्षा प्रथाएं ...........3
4. क्रेडेंशियल्स का उपयोग करते समय सुरक्षा उपाय: ........................................................................................................3
5. एनपीएस से संबंधित लेनदेन/गतिविधियों को संसाधित करते समय डिजिटल सुरक्षा उपाय और सावधानियां: .........4 अध्याय III- सामान्य दिशानिर्देश........................................................................................Error! Bookmark not defined.
6. सामान्य दिशानिर्देश:...........................................................................................................................................................6 अध्याय-IV- सर्वोत्तम प्रथाएँ.....................................................................................................Error! Bookmark not defined.
7. एनपीएस के अंतर्गत प्रदान की गई लॉगिन-आईडी के लिए पासवर्ड प्रबंधन: ...............................................................7
8. ईमेल संचार: ................................................................................................................Error! Bookmark not defined.
9. कंप्यूटर के उपयोग............................................................................................................................................................8
10. इंटरनेट ब्राउज़िंग:..................................................................................................Error! Bookmark not defined. अध्याय-V- वसूली और क्षतिपूर्ति.................................................................................................................................................. 10 संदर्भ.............................................................................................................................................................................................. 10

1 | P a g e

---

शब्दावली

2 | P a g e

---

पेंशन निधि विनियामक और विकास प्राधिकरण (एनपीएस स्थापत्य के अंतर्गत सरकारी नोडल कार्यालयों के लिए डिजिटल सुरक्षा प्रथाएँ) परामर्श, 2024

अध्याय-I- संक्षिप्त शीर्षक और प्रारंभ, उद्देश्य और प्रयोज्यता

1. संक्षिप्त शीर्षक और प्रारंभ : 1.1. इन परामर्शों को पेंशन निधि विनियामक और विकास प्राधिकरण (एनपीएस स्थापत्य के अंतर्गत सरकारी नोडल कार्यालयों के लिए डिजिटल सुरक्षा प्रथाएँ) परामर्श, 2024 कहा जाएगा। 1.2. इस परामर्श को साइबर सुरक्षा और डिजिटल सुरक्षा प्रथाओं पर आधारित किसी भी अन्य दिशानिर्देश के साथ, जो संगठन में लागू हो या जिसका पालन करना बाध्यकारी हो, विकसित और कार्यान्वित किया जाना है।

2. उद्देश्य : एक व्यापक रणनीति स्थापित करना, जो एनपीएस के स्थापत्य के अंतर्गत विभिन्न गतिविधियों के संचालन के लिए चिन्हित किए गए केंद्र/राज्य सरकार (इसके अंतर्गत स्वायत्त निकायों सहित) के नोडल कार्यालयों द्वारा एनपीएस से संबंधित गतिविधियों का संचालन करने के लिए सीआरए द्वारा प्रदान किए गए डिजिटल प्लेटफार्मों का उपयोग करने के दौरान संभावित खतरों से बचाव करने, गोपनीय आंकड़ों की सुरक्षा करने और नैतिक डिजिटल सुरक्षा प्रथाओं को प्रोत्साहित करने के लिए इष्टतम पद्धतियों, निर्देशात्मक पहलों और प्राथमिक कार्यों को एकीकृत करती हो। इस परामर्श का उद्देश्य पंजीकरण, एनपीएस खाता रखरखाव और निकास/प्रत्याहरण जैसे विभिन्न स्तरों पर नोडल कार्यालयों द्वारा एनपीएस से संबंधित विभिन्न गतिविधियों का प्रदर्शन करते समय डिजिटल सुरक्षा के लिए मानक स्थापित करके और एनपीएस से संबंधित विभिन्न गतिविधियों का पालन करते हुए डिजिटल सुरक्षा के ज्ञान से लोगों को लैस करके एनपीएस स्थापत्य के अंतर्गत डिजिटल सुरक्षा जागरूकता की संस्कृति को बढ़ावा देना है।

3. प्रयोज्यता : यह परामर्श, एनपीएस स्थापत्य के अंतर्गत अपने कार्यों के लिए केंद्र और राज्य सरकारों (इसके अंतर्गत स्वायत्त निकायों सहित) के नोडल कार्यालयों पर लागू MHA/MEITY और Cert-In द्वारा जारी साइबर सुरक्षा और अन्य संबंधित दिशानिर्देशों से जुड़ी हुई है और किसी भी तरह से किसी अधिकारी द्वारा उसके कर्तव्य के निर्वहन में हुए कृताकृत्य और चूक के लिए उसकी देयता को न्यून नहीं करती है।

अध्याय II- एनपीएस स्थापत्य के अंतर्गत सरकारी नोडल कार्यालयों द्वारा अपनाई जाने वाली डिजिटल सुरक्षा प्रथाएं

4. क्रेडेंशियल्स का उपयोग करने के दौरान सुरक्षा उपाय : एनपीएस के संबंध में सरकारी क्षेत्र अर्थात केंद्र और राज्य स्वायत्त निकायों सहित केंद्र / राज्य सरकारों में नोडल कार्यालय (कार्यालयों) का कार्य सर्वोपरि और महत्वपूर्ण है क्योंकि यह अभिदाता पंजीकरण से आरम्भ होकर अभिदाता-कर्मचारियों के निकास/प्रत्याहरण अनुरोधों के प्राधिकृत होने तक जारी रहता है। नोडल कार्यालयों द्वारा सीआरए प्रणाली में ऐसे कार्य/भूमिका की पूर्ति में सक्षम बनाने के लिए, नोडल कार्यालयों को सीआरए प्रणाली का उपयोग करने हेतु अलग मेकर-चेकर लॉगिन आईडी प्रदान की गई है। उपर्युक्त के अलावा, एनपीएस स्थापत्य के अंतर्गत सीआरए प्रणाली का उपयोग करते समय, निम्नलिखित 'डिजिटल सुरक्षा प्रथाओं' का अनुपालन किया जाना है-

4.1. संबंधित कार्यालय/सरकारी विभाग में विभिन्न पदानुक्रम वाले कर्मचारियों/अधिकारियों को आईडी (मेकर और चेकर) का आवंटन (वरिष्ठ अधिकारी को चेकर होना चाहिए)

3 | P a g e

---

4.2. एक "लॉग बुक/अभिलेख" का निर्माण जिससे यह सुनिश्चित किया जा सके कि सीआरए द्वारा प्रदत्त लॉगिन आईडी का कोई अनधिकृत उपयोग नहीं किया जा रहा है। उक्त लॉग बुक/अभिलेख में अन्य बातों के साथ-साथ उन अधिकारी/स्टाफ/कर्मियों का नाम निर्दिष्ट किया जाए जिन्हें प्रणाली का उपयोग करने के लिए लॉगिन आईडी और पासवर्ड प्रदान किए गए हैं और उक्त लॉगिन आईडी के आवंटन में होने वाले परिवर्तनों को भी दर्ज किया जाए। साथ ही, प्रदत्त लॉगिन आईडी के माध्यम से सीआरए प्रणाली में संसाधित/प्राधिकृत लेनदेनों की जिम्मेदारी उन अधिकारियों/कर्मचारियों/कर्मियों की होगी जिन्हें लेनदेन के समय ऐसी लॉगिन आईडी आवंटित की गई है।

4.3. उपयोगकर्ताओं को स्वयं/दूसरों की जानकारी को पुनः प्राप्त करने या संशोधित करने के लिए इरादतन कंप्यूटर का ऐसा उपयोग नहीं करना चाहिए, जिसमें पासवर्ड की जानकारी, दावे के आंकड़े, अंशदान के आंकड़े, प्रत्याहरण के अनुरोध, प्रान विवरण आदि शामिल हों;

4.4. एंटीवायरस सॉफ़्टवेयर आपके कंप्यूटर में वायरस का पता लगाने और उन्हें हटाने में तभी मदद कर सकता है, जब आप एंटीवायरस सॉफ़्टवेयर को अद्यतन रखते हों। डाउनलोड/अपलोड की गई सभी फाइलों को सक्रिय रूप से स्कैन करने के लिए फायरवॉल और एंटीवायरस को सेट किया जाए;

4.5. सीआरए प्रणाली का उपयोग नोडल कार्यालय के प्राधिकृत अधिकारियों द्वारा किया जाना चाहिए, ताकि पासवर्ड/लॉगिन विवरण आदि अनधिकृत कर्मियों के साथ साझा न किए जा सकें;

4.6. अभिदाता की व्यक्तिगत जानकारी, अंशदान और दावों के आंकड़ों सहित सभी अभिलेख, आंकड़े और सूचनाओं की पूर्ण गोपनीयता और अखंडता बनाए रखा जाना चाहिए;

4.7. उपयोगकर्ता अपने यूजर आईडी और पासवर्ड की सुरक्षा के लिए जिम्मेदार होंगे और उन्हें अन्य व्यक्तियों के साथ पासवर्ड/डिजिटल टोकन साझा नहीं करना चाहिए;

4.8. चार सप्ताह में एक बार पासवर्ड बदला जाना चाहिए या जब किसी को पासवर्ड पता चलने का संदेह हो गया हो या जब किसी नोडल अधिकारी का तबादला हुआ हो और प्रणाली में दूसरा नोडल अधिकारी शामिल हुआ हो, तब पासवर्ड बदला जाना चाहिए । साथ ही, पासवर्ड गोपनीय रखे जाने चाहिए और उन्हें कहीं भी प्रकट नही किया जाना चाहिए।

4.9. लॉगिन क्रेडेंशियल्स, अर्थात यूजर आईडी और पासवर्ड का उपयोग और सुरक्षा के अलावा, डिजिटल टोकन/ओटीपी के माध्यम से आधार-आधारित प्रमाणीकरण जैसे किसी भी अतिरिक्त सुरक्षा उपाय का उपयोग भी केवल अधिकृत व्यक्ति द्वारा किया जाएगा और सुरक्षा की जिम्मेदारी केवल उसी अधिकारी की होगी।

4.10. निकास/प्रत्याहरण अनुरोध/ किसी केवाईसी/बैंक विवरण/ईआरएम लेनदेन में परिवर्तन सहित सभी वित्तीय और गैर-वित्तीय लेनदेन को सावधानीपूर्वक संसाधित / सत्यापित करना।

4.11. लेनदेनों को निष्पादित करने और अनुमोदित करने के लिए जिन अधिकारियों को सीआरए प्रणाली क्रेडेंशियल सौंपे गए हैं, उन्हें सीआरए प्रणाली में स्थापित प्रमाणीकरण प्रक्रिया सहित निर्धारित प्रक्रिया का पालन करना आवश्यक है।

4.12. नोडल कार्यालय यह जांच करने के लिए नियमित अंकेक्षण कर सकता है कि प्राधिकरण द्वारा सुझाए गए डिजिटल सुरक्षा प्रथाओं का अक्षरशः पालन किया जा रहा है अथवा नहीं।

4.13. सभी वित्तीय/गैर-वित्तीय लेनदेनों को सेवा अभिलेख के माध्यम से आवश्यक सावधानी बरतने के बाद ही संसाधित किया जाना चाहिए और अभिदाता अनुरोध प्रपत्रों के साथ आवश्यक सहायक दस्तावेजों को सीआरए प्रणाली में, जहां भी लागू हो, अनिवार्य रूप से अपलोड किया जाना चाहिए।

5. एनपीएस से संबंधित लेनदेन/गतिविधियों को संसाधित करते समय डिजिटल सुरक्षा उपाय और सावधानी : नोडल कार्यालय, निकासी सहित सीआरए प्रणाली में संसाधित लेनदेन के लिए पूरी तरह से जिम्मेदार होंगे। तदनुसार, एनपीएस की पूरी समयसीमा यानी पंजीकरण, रखरखाव और निकास/दावा निपटान के दौरान सभी लेनदेन केवल अभिदाता के पूरी तरह से संतुष्ट होने के बाद ही संसाधित किए जाएँगे।

4 | P a g e

---

5.1 अभिदाता की ऑनबोर्डिंग के दौरान 5.1.1. दस्तावेजों का डिजिटलीकरण और उन्हें सीआरए प्रणाली में अपलोड करते समय, अभिदाता द्वारा प्रदान किए गए अभिदाता पंजीकरण फॉर्म और सहायक केवाईसी विवरणों के अनुसार जानकारी को सहायक आधिकारिक वैध दस्तावेजों ("ओवीडी") और कर्मचारी के सेवा अभिलेख में उपलब्ध जानकारी के साथ सत्यापित किया जाएगा। 5.1.2. सीआरए प्रणाली में प्रस्तुत/अनुमोदन से पहले समुचित सावधानी/प्रमाणन के साथ-साथ उपयोगकर्ता द्वारा सीआरए प्रणाली में एनपीएस से संबंधित गतिविधियों/लेनदेन को बिना किसी विचलन के संसाधित करते समय सीआरए प्रणाली के चरणवार निर्देशों का पालन किया जाएगा।

5.2. अभिदाता रखरखाव गतिविधियाँ 5.2.1. डिजिटलीकरण और सीआरए प्रणाली में अपलोड करते समय, नामांकन, अभिदाता प्रोफाइल, जैसे नाम परिवर्तन, पते में परिवर्तन, मोबाइल नंबर में परिवर्तन, पीएफ और निवेश के लिए विकल्प, बैंक खाता विवरण सहित किसी भी अनुरोध पर मानकों के अनुसार अपेक्षित समर्थन दस्तावेज के साथ उचित सत्यापन के बाद अभिदाता से प्राप्त अनुरोध के अनुसार डिजिटल प्रमाणीकरण (जैसे आधार प्रमाणीकरण) के साथ उसे संसाधित और अनुमोदित किया जाएगा। 5.2.2. अद्यतन/परिवर्तन अनुरोधों के लिए विलंबित और गलत प्रसंस्करण के कानूनी/वित्तीय प्रभाव पड़ सकते हैं।

5.3. निकास और प्रत्याहरण/दावा 5.3.1. सीआरए प्रणाली पर निकास/प्रत्याहरण अनुरोध निष्पादित करते समय, अभिदाता/दावेदार द्वारा प्रदान की गई जानकारी को सहायक दस्तावेजों और कर्मचारी के सेवा अभिलेख में उपलब्ध जानकारी के साथ सत्यापित किया जाएगा। 5.3.2. सीआरए प्रणाली में प्रस्तुत/अनुमोदन से पहले डिजिटल प्रमाणीकरण (जैसे आधार प्रमाणीकरण) में समुचित सावधानी/प्रमाणन के साथ-साथ अभिदाताओं/दावेदारों के निकास/प्रत्याहरण/दावा अनुरोधों को बिना किसी विचलन के संसाधित करते समय सीआरए प्रणाली के निर्देशों का पालन करना होगा।

6. अन्य उपाय : 6.1. सीआरए प्रणाली का उपयोग करने के लिए द्विस्तरीय प्रमाणीकरण (2एफए) लागू करना- 2FA के माध्यम से पासवर्ड के परे सुरक्षा की एक अतिरिक्त परत जोड़ी जाती है, जिसमें आमतौर पर उपयोगकर्ताओं द्वारा जानकारी के एक द्वितीयक स्तर को प्रदान करना होता है, जैसे कि उनके मोबाइल डिवाइस पर भेजा गया कोड। इस सुविधा को बिना किसी विचलन के लागू करके उसका अनुपालन किया जा सकता है। 6.2. नियमित सुरक्षा अपडेट पर बल : एंटीवायरस सॉफ़्टवेयर और फायरवॉल को नियमित रूप से अपडेट किया जाना चाहिए। इसके अलावा, कमजोरियों को दुरुस्त करने और प्रणाली में उभरते खतरों से बचने के लिए नियमित अपडेट आवश्यक हैं, इसलिए आवश्यक अपडेट सुनिश्चित किए जा सकते हैं। 6.3. आंकड़ों के उल्लंघन से निपटने पर मार्गदर्शन : आंकड़ा उल्लंघनों की रिपोर्टिंग और उन्हें कम करने के लिए स्पष्ट प्रोटोकॉल स्थापित किए जाने चाहिए ताकि उनके प्रभाव या सुरक्षा घटनाओं को न्यूनतम किया जा सके। 6.4. सुरक्षा प्रशिक्षण : नियमित प्रशिक्षण सत्र से सुरक्षा सर्वोत्तम प्रथाओं को सुदृढ करने में मदद मिलती है और यह सुनिश्चित किया जाता है कि कर्मचारी उभरते खतरों के प्रति सतर्क रहें। 6.5. पैठ का परीक्षण और भेद्यता आकलन : नोडल कार्यालयों को सुरक्षा कमजोरियों की सक्रिय रूप से पहचान करना और उन्हें दूर करने के लिए नियमित रूप से पैठ का परीक्षण या भेद्यता का आकलन करना होगा।

5 | P a g e

---

अध्याय III- सामान्य दिशानिर्देश

7. सामान्य दिशानिर्देश : 7.1. एनपीएस स्थापत्य के अंतर्गत नोडल कार्यालयों के कार्यों के लिए आंतरिक साइबर सुरक्षा नीति को विकसित और कार्यान्वित करना। 7.1.1. एक व्यापक साइबर सुरक्षा नीति विकसित करना जो राष्ट्रीय मानकों और दिशानिर्देशों के साथ संरेखित हो। 7.1.2. डिजिटल सुरक्षा सुनिश्चित करने के लिए एनपीएस से संबंधित नोडल कार्यालयों की स्पष्ट भूमिकाओं और जिम्मेदारियों से युक्त एक अनुशासन ढांचा स्थापित करना। 7.1.3. उभरते साइबर खतरों और कमजोरियों को दूर करने के लिए नीति की समय-समय पर समीक्षा और इसे अद्यतन किया जाना।

7.2. नेटवर्क और अवसंरचना सुरक्षा 7.2.1. सुरक्षित नेटवर्क अवसंरचना और अभिगमन नियंत्रण स्थापित करना। 7.2.2. फायरवॉल, घुसपैठ का पता लगाने और रोकथाम प्रणाली, और सुरक्षा सूचना और इवेंट मैनेजमेंट (SIEM) सिस्टम जैसे सतत निगरानी उपकरण लागू करना। 7.2.3. संभावित भेद्यता को चिन्हित करने और उन्हें दूर करने के लिए नेटवर्क उपकरणों, अनुप्रयोगों और सेवाओं के नियमित भेद्यता आकलन और उनके पैठ का परीक्षण करना। 7.2.4. राउटर, स्विच और फायरवॉल जैसे सभी नेटवर्क घटकों के सुरक्षित कॉन्फ़िगरेशन स्थापित करना।

7.3. अभिगमन/उपयोग नियंत्रण 7.3.1. आंकड़ों और प्रणाली के अनधिकृत उपयोग को रोकने के लिए अभिगमन तंत्र को सख्ती से नियंत्रित करना। 7.3.2. मजबूत पासवर्ड नीतियों और बहु-कारक प्रमाणीकरण तंत्र को लागू करना। 7.3.3. न्यूनतम विशेषाधिकार के सिद्धांत के आधार पर अभिगमन विशेषाधिकार प्रदान करना। 7.3.4. नियमित रूप से समीक्षा करना और अनावश्यक अभिगमन विशेषाधिकारों को हटाना।

7.4. सुरक्षा जागरूकता और प्रशिक्षण 7.4.1. कर्मचारियों के लिए नियमित साइबर सुरक्षा जागरूकता कार्यक्रम आयोजित करना। 7.4.2. संवेदनशील सूचना को संभालने और उसकी सुरक्षा के लिए सर्वोत्तम प्रथाओं पर कर्मचारियों को प्रशिक्षित करना। 7.4.3. फिशिंग और सामाजिक अभियंत्रण हमलों जैसे सामान्य साइबर खतरों के बारे में कर्मचारियों को शिक्षित करना।

7.5. रिपोर्टिंग और सहयोग 7.5.1. सुरक्षा संबंधी घटनाओं को तुरंत रिपोर्ट करने के लिए तंत्र स्थापित करना। 7.5.2. खतरे की खुफिया जानकारी और सर्वोत्तम प्रथाओं को साझा करने के लिए साइबर सुरक्षा के लिए जिम्मेदार अन्य केंद्रीकृत एजेंसियों के साथ सहयोग करना।

6 | P a g e

---

अध्याय-IV- सर्वोत्तम प्रथाएँ

8. एनपीएस के अंतर्गत प्रदान की गई लॉगिन-आईडी के लिए पासवर्ड प्रबंधन : अनधिकृत उपयोग ऐसे किसी भी व्यक्ति के लिए एक बड़ी समस्या है, जो कंप्यूटर या स्मार्टफोन या टैबलेट जैसे डिवाइस का उपयोग करते हैं। इन ब्रेक-इन से प्रभावित व्यक्तियों के लिए मूल्यवान आंकड़ों का नुकसान जैसे वर्गीकृत जानकारी, व्यक्तिगत आंकड़ों या अनधिकृत लेनदेन का निष्पादन, वित्तीय नुकसान आदि संभावित परिणामों में शामिल हैं। सरल और आमतौर पर उपयोग किए जाने वाले पासवर्ड से घुसपैठियों को कंप्यूटिंग डिवाइस तक आसानी से पहुंचने और उसका नियंत्रण प्राप्त करने में मदद मिल जाती है। किसी पासवर्ड को सेट और प्रबंधित करते समय कुछ सर्वोत्तम प्रथाएँ निम्नलिखित हैं, 8.1. आदर्श रूप से न्यूनतम 10 अक्षरों वाला एक मजबूत पासवर्ड बनाएं, जिसमें अक्षर, संख्या और वर्ण शामिल हों। 8.2. सभी पासवर्ड (जैसे, ईमेल, कंप्यूटर, आदि) को हर तीन महीने में कम से कम एक बार बदला जाना चाहिए। 8.3. पुराने पासवर्ड का पुनः उपयोग न करें। 8.4. पासवर्ड को कंप्यूटर, नोटबुक, नोटिस बोर्ड, या किसी अन्य स्थान पर, जहां अनधिकृत व्यक्ति उन्हें खोज सकते हैं या उनका उपयोग कर सकते हैं, पठनीय रूप नहीं रखा जाना चाहिए । 8.5. पासवर्ड को संवेदनशील जानकारी माना जाए और इसे किसी के साथ साझा न किया जाए। 8.6. आपके पास मौजूद प्रत्येक लॉग-इन खाते के लिए हमेशा अलग-अलग पासवर्ड का उपयोग करें। यदि आपके द्वारा उपयोग की जाने वाली कोई साइट हैक हो जाती है तो, एक से अधिक खातों के लिए एक ही पासवर्ड का उपयोग करने के कारण कई जोखिमों का खतरा बना रहता है। 8.7. जहां भी एप्लिकेशन द्वारा "पासवर्ड याद रखें" सुविधा को संकेत दिया जाता है, वहां इसके उपयोग को हमेशा अस्वीकार करें। 8.8. ध्यान दें कि, कमजोर पासवर्ड का रूप निम्नानुसार होता है : o ऐसे पासवर्ड में 10 से कम अक्षर होते हैं। o ऐसा पासवर्ड किसी शब्दकोश (अंग्रेजी या विदेशी) में पाया जाने वाला कोई सामान्य शब्द होता है। o ऐसा पासवर्ड एक सामान्य उपयोग वाला शब्द होता है जैसे परिवार, पालतू जानवरों, दोस्तों, सहकर्मियों, चलचित्र / उपन्यास / कॉमिक्स पात्रों आदि के नाम, कंप्यूटर की शब्दावली और नाम, कमांड, साइटें, कंपनियां, हार्डवेयर और सॉफ्टवेयर। o जन्मदिन और अन्य व्यक्तिगत जानकारी जैसे पता और फोन नंबर। o शब्द या संख्या पैटर्न जैसे 123456, aaaaa, qwerty, asdfg, zxcvb आदि।

9. ईमेल संचार : नोडल कार्यालयों द्वारा ईमेल संचार के लिए कुछ सर्वोत्तम प्रथाएँ निम्नलिखित हैं: 9.1.1. आधिकारिक संचार के लिए केवल सरकार द्वारा प्रदत्त ईमेल पतों का उपयोग करें (जैसे nic ईमेल)। 9.1.2. सिस्टम व्यवस्थापक किसी भी आधिकारिक संचार के लिए व्यक्तिगत ईमेल के उपयोग को प्रतिबंधित करने के लिए उचित नियंत्रण लागू कर सकते हैं।

7 | P a g e

---

9.1.3. अज्ञात या अविश्वसनीय स्रोतों से ईमेल में प्राप्त संदिग्ध लिंक पर क्लिक करने या ईमेल अटैचमेंट डाउनलोड करने से बचें। 9.1.4. वर्गीकृत जानकारी ईमेल के माध्यम से संप्रेषित नहीं की जानी चाहिए। किसी आकस्मिक स्थिति में, सक्षम प्राधिकारी का अनुमोदन लेना चाहिए। 9.1.5. सार्वजनिक वाई-फाई कनेक्शन द्वारा आधिकारिक ईमेल खातों का प्रयोग करने से बचें। 9.1.6. ईमेल खातों के लिए पासवर्ड का ऑटो-सेव सक्षम नहीं होना चाहिए। 9.1.7. अपना कार्य पूरा होने के बाद मेल खातों से लॉग आउट करें। 9.1.8. उपयोगकर्ता को ईमेल में प्राप्त लिंक पर क्लिक करने के बजाय ब्राउज़र में पूरा URL टाइप करना चाहिए। 9.1.9. किसी भी संदिग्ध ई-मेल/ ईमेल के अटैचमेंट को न खोलें/न फॉरवर्ड करें/न जवाब दें।

10. कंप्यूटर के उपयोग : दैनिक आधार पर कंप्यूटर के उपयोग के लिए कुछ सर्वोत्तम प्रथाएँ निम्नलिखित हैं : 10.1 आपके संगठन द्वारा उपयोग के लिए अनुमत एंटीवायरस सॉफ़्टवेयर का उपयोग करके कंप्यूटरों को वायरस/वर्म से सुरक्षित किया जाना चाहिए। 10.2 सुनिश्चित करें कि आपका ऑपरेटिंग सिस्टम, एप्लिकेशन और एंटी-वायरस सॉफ़्टवेयर सहित सॉफ़्टवेयर पैच अद्यतित हों; और आपके कंप्यूटर में ऑटो अपडेट चालू हो। 10.3 स्क्रीन पर संवेदनशील जानकारी के साथ कंप्यूटर को खुला न छोड़ें। 10.4 अनधिकृत पहुंच को रोकने के लिए कार्यस्थल छोड़ने से पहले हमेशा अपने कंप्यूटर को लॉक करें। उपयोगकर्ता 'Ctrl + alt +del' दबाकर और "इस कंप्यूटर को लॉक करें" या "विंडो बटन + L" चुनकर कंप्यूटर को लॉक कर सकता है। 10.5 पासवर्ड-सुरक्षित स्क्रीन सेवर सक्षम करें ताकि असुरक्षित छोड़े गए कंप्यूटर भी सुरक्षित रहें। 10.6 अपने कंप्यूटर में प्लग करने के दौरान सावधान रहें। मैलवेयर संक्रमित यूएसबी ड्राइव, बाहरी हार्ड ड्राइव और स्मार्टफोन के माध्यम से भी प्रसारित हो सकता है। 10.7 कंप्यूटर पर लॉगिन करने के लिए गैर-व्यवस्थापक खाता विशेषाधिकारों का उपयोग करें और दिन-प्रतिदिन के उपयोग के लिए व्यवस्थापक विशेषाधिकारों का उपयोग करने से बचें। 10.8 आंकड़ों का बहुत सावधानी से उपयोग करें और जानकारी को सुरक्षित रखने के लिए एन्क्रिप्शन का उपयोग करें।

11. इंटरनेट ब्राउज़िंग : इंटरनेट पर ब्राउज़ करते समय ध्यान देने योग्य कुछ सर्वोत्तम प्रथाएँ निम्नलिखित हैं : 11.1. किसी लिंक पर क्लिक करते समय या डाउनलोड करते समय हमेशा सावधान रहें। यदि यह किसी भी कारण से अप्रत्याशित या संदिग्ध है, तो उस पर क्लिक न करें।

8 | P a g e

---

11.2. अपने सिस्टम व्यवस्थापक/विभाग द्वारा अनुमत फाइलों/सॉफ्टवेयर के अलावा किसी अन्य स्रोत से किसी भी प्रकार की फाइल/सॉफ्टवेयर डाउनलोड न करें। 11.3. ऐसे वेब ब्राउज़र का उपयोग करें जिसे आपके संगठन द्वारा अनुमति दी गई हो। 11.4. ब्राउज़िंग के लिए हमेशा अपडेट किए गए वेब ब्राउज़र का उपयोग करें। 11.5. इंटरनेट से जुड़े किसी भी उपकरण पर कोई भी जानकारी संग्रहीत/साझा न करें। 11.6. यदि लॉगिन स्क्रीन पर जानकारी दर्ज करने के बाद एक विंडो दिखाई देती हो, जो आपको "पासवर्ड सहेजें" विकल्प का चयन करने के लिए कहती हो, तो ब्राउज़र में संकेतित उस विकल्प का उपयोग नहीं किया जाना चाहिए । खाता जानकारी, जैसे पासवर्ड या क्रेडिट कार्ड जानकारी को वेब ब्राउज़र में संग्रहीत न करें, विशेष रूप से उन कंप्यूटरों पर जो अन्य उपयोगकर्ताओं द्वारा उपयोग में लाए जाते हों। 11.7. ब्राउज़र एड्रेस बार में HTTPS चिह्न देखें। "https" में "s" का अर्थ सुरक्षा से है, जिसका अर्थ है कि वेबसाइट एसएसएल एन्क्रिप्शन को नियोजित कर रही है। यह सत्यापित करने के लिए कि कोई साइट सुरक्षित है या नहीं, अपने ब्राउज़र के बार में हरे रंग के पैडलॉक आइकन के साथ "https:" की जांच करें। 11.8. प्रत्येक लॉगआउट के बाद ब्राउज़र से उसके इतिहास को मिटाने की आदत डालें। 11.9. सरकार की कोई भी वर्गीकृत जानकारी को निजी क्लाउड सेवाओं (Google ड्राइव, ड्रॉपबॉक्स, iCloud आदि) पर संग्रहीत नहीं किया जाना चाहिए और ऐसा करने से आप डेटा-लीकेज के शिकार हो सकते हैं। 11.10. दौरे में, उन सेवाओं का उपयोग करने से बचें जिनके लिए स्थान की जानकारी देनी होती है, जब तक कि कार्यालय कर्तव्यों के निर्वहन के लिए यह आवश्यक न हो। 11.11. ब्राउज़ करते समय, कुछ पॉप-अप क्लोज बटन के विकल्प के साथ दिखाई दे सकते हैं। ये नकली हो सकते हैं और क्लिक करने से स्पाइवेयर का खतरा हो सकता है। अतः, ऐसे पॉप-अप से सावधान रहें और उस पर क्लिक करने से बचें। 11.12. ब्राउज़र में पॉपअप ब्लॉकर विकल्प को चालू रखा जाना चाहिए और यदि आवश्यक हो तो चुनिंदा रूप से विश्वसनीय साइटों के लिए अनुमति दी जानी चाहिए। 11.13. ध्यान दें कि इंटरनेट पर निःशुल्क चीजें यदाकदा ही उपलब्ध होती हैं। "फ्री" स्क्रीनसेवर आदि में अक्सर मैलवेयर होते हैं। अतः ऐसे ऑनलाइन निःशुल्क छूटों से सतर्क रहें। 11.14. किसी भी वित्तीय या संवेदनशील लेनदेन के लिए सार्वजनिक कंप्यूटर और सार्वजनिक वाई-फाई कनेक्शन का उपयोग करने से बचें। ऐसे कंप्यूटरों पर सरकारी ईमेल एक्सेस करने से सूचना भंग होने का खतरा रहता है।

9 | P a g e

---

11.15. यदि आपकी सेवा के दौरान आपको कुछ सूचना प्रणालियों को सुरक्षित रूप से प्रयोग करने की आवश्यकता होती है, तो इसके लिए इंटरनेट पर एमपीएलएस लिंक, वीपीएन आदि जैसे सुरक्षा नियंत्रणों का उपयोग करने की सलाह दी जाती है।

अध्याय-V- वसूली और क्षतिपूर्ति

12. नोडल कार्यालय किसी भी साइबर सुरक्षा में चूक के कारण हुए अभिदाता के नुकसान की क्षतिपूर्ति और बहाली के उद्देश्य से एनपीएस से संबंधित आंतरिक नीति तैयार करने पर भी विचार कर सकता है। इस संबंध में, नोडल कार्यालय प्रभावित पक्षों को क्षतिपूर्ति प्रदान करने के लिए साइबर उल्लंघनों के कारण हुई मौद्रिक हानि, यदि कोई हो, की वसूली के लिए उपयुक्त नीति या दिशानिर्देशों के साथ-साथ संबंधित प्रक्रियाओं और मानक संचालन प्रक्रियाओं को स्थापित करने के लिए संबंधित प्रशासनिक विभाग/मंत्रालय/राज्य सरकार के साथ मामले को उठा सकते हैं। इसके अतिरिक्त, नोडल कार्यालय अपने उपभोक्ता के हित में, शामिल राशि की वसूली के अलावा दोषी व्यक्तियों के विरुद्ध उपयुक्त कार्रवाई भी कर सकता है।

संदर्भ

यह परामर्श MHA/MEITY और Cert-In द्वारा जारी साइबर सुरक्षा और अन्य संबंधित दिशानिर्देशों से जुड़ा हुआ है और किसी भी तरह से अधिकारी द्वारा उसके कर्तव्यों के निर्वहन के दौरान हुए कृताकृत्य या चूक की देयता को न्यून नहीं करता है। अतः, इस मामले पर विस्तृत मार्गदर्शन के लिए निम्नलिखित का सन्दर्भ लिया जा सकता है।

(i). सूचना सुरक्षा सर्वोत्तम अभ्यास (गृह मंत्रालय द्वारा))- https://www.mha.gov.in/sites/default/files/Documents_InformationSecurity_25062019.pdf.

(ii). सूचना प्रौद्योगिकी (उचित सुरक्षा प्रथाओं और प्रक्रियाओं और संवेदनशील व्यक्तिगत आंकड़े या सूचना) नियम, 2011- https://www.meity.gov.in/writereaddata/files/GSR313E_10511%281%29_0.pdf.

(iii). सरकारी संस्थाओं के लिए सूचना सुरक्षा प्रथाओं पर दिशानिर्देश-भारतीय कंप्यूटर आपातकालीन प्रतिक्रिया टीम (सीईआरटी-इन) द्वारा जारी, इलेक्ट्रॉनिक्स और सूचना प्रौद्योगिकी मंत्रालय, भारत सरकार - https://www.meity.gov.in/writereaddata/files/Guidelines%20on%20Information%20Security%20Practices%20for%20Government%20Entities.pdf

संदर्भ के लिए पीएफआरडीए द्वारा जारी परिपत्र

1. परिपत्र दिनांक 12.04.2023 – “एनपीएस स्थापत्य के अंतर्गत केंद्रीय अभिलेखपाल अभिकरणों ("सीआरए") द्वारा प्रदान किए गए तकनीकी प्लेटफार्म/प्रणाली का उपयोग करने के लिए सरकारी नोडल कार्यालयों द्वारा अपनाई जाने वाली डिजिटल सुरक्षा प्रथाओं” पर परामर्श: https://www.pfrda.org.in/myauth/admin/showimg.cshtml?ID=2558

2. परिपत्र दिनांक 15.06.2022 - सीईआरटी-इन द्वारा जारी साइबर सुरक्षा निर्देश और अक्सर पूछे जाने वाले प्रश्न https://www.pfrda.org.in/myauth/admin/showimg.cshtml?ID=2190

3. परिपत्र दिनांक 15.06.2022 - साइबर जागरूकता दिवस (सीजेडी) https://www.pfrda.org.in/myauth/admin/showimg.cshtml?ID=2189

10 | P a g e

---

4. परिपत्र दिनांक 22.02.2023 - एनपीएस अभिदाताओं के लाभ के लिए निकास और वार्षिकी के समानांतर प्रसंस्करण को सक्षम करने के लिए प्रत्याहरण/केवाईसी दस्तावेजों को अनिवार्य रूप से अपलोड करना https://www.pfrda.org.in/myauth/admin/showimg.cshtml?ID=2506

5. परिपत्र दिनांक 20.02.2024 - सरकारी क्षेत्र के अंतर्गत सीआरए प्रणाली के आधार-आधारित उपयोग के माध्यम से एनपीएस लेनदेन को सुरक्षित करना https://www.pfrda.org.in/myauth/admin/showimg.cshtml?ID=2903

6. परिपत्र दिनांक 12.01.2024 - राष्ट्रीय पेंशन प्रणाली (एनपीएस) के अंतर्गत संचित पेंशन धन का आंशिक प्रत्याहरण https://www.pfrda.org.in/myauth/admin/showimg.cshtml?ID=2860

---

11 | P a g e