पेशेवरों के लिए गोपनीय संवाद

एक समस्या जो लगभग कोई नहीं देखता

एक वकील अपने क्लाइंट से संवेदनशील दस्तावेज़ प्राप्त करता है। एक डॉक्टर किसी सहकर्मी के साथ निदान पर चर्चा करता है। एक मनोवैज्ञानिक किसी मनोचिकित्सक के साथ मरीज़ के इलाज का समन्वय करता है। एक कर सलाहकार रिटर्न डेटा भेजता है। सभी मैसेजिंग से करते हैं। और लगभग किसी ने भी ये नहीं सोचा कि वो मैसेज कहाँ पहुँचते हैं।

ज़्यादातर मामलों में जवाब है: एक ऐसे सर्वर पर जिसे वो कंट्रोल नहीं करते, एक ऐसे देश में जिसका कानून वो नहीं जानते, एक ऐसी कंपनी द्वारा प्रबंधित जिसका बिज़नेस मॉडल ही डेटा इकट्ठा करना है। मैसेज ट्रांज़िट में एन्क्रिप्टेड हो सकता है, लेकिन सर्वर पर पहुँचने के बाद, ये किसी और के इंफ्रास्ट्रक्चर पर स्टोर एक कॉपी है।

कानून क्या कहता है

यूरोपीय GDPR स्पष्ट है: जो कोई भी तीसरे पक्ष का व्यक्तिगत डेटा संभालता है, उसे पर्याप्त तकनीकी उपायों से उसकी रक्षा करने की ज़िम्मेदारी है। अच्छे इरादे काफ़ी नहीं हैं। ऐप का एन्क्रिप्ट करना कहना काफ़ी नहीं है। अगर आपके क्लाइंट का डेटा यूरोपीय नियमों का पालन न करने वाले सर्वर पर है, तो ज़िम्मेदार आप हैं।

और सिर्फ़ GDPR नहीं। पेशेवर गोपनीयता — वकीलों, डॉक्टरों, मनोवैज्ञानिकों, ऑडिटरों और कई अन्य के लिए विनियमित — माँग करती है कि क्लाइंट के साथ संवाद गोपनीय हो। "जितना संभव हो" गोपनीय नहीं। सच में गोपनीय। अगर आपका चैनल तकनीकी रूप से इसकी गारंटी नहीं दे सकता, तो आप वो जोखिम उठा रहे हैं जो आपको नहीं उठाना चाहिए।

एक पेशेवर को क्या चाहिए?

संवेदनशील जानकारी संभालने वाले पेशेवर को जो चाहिए वो हैरानी की हद तक सरल है। एक ऐसा चैनल जहाँ मैसेज उनके डिवाइस से सीधे प्राप्तकर्ता के डिवाइस तक जाएँ, बिना किसी मध्यवर्ती सर्वर से गुज़रे। जहाँ किसी क्लाउड में कॉपी न बचे। जहाँ निजी फ़ोन नंबर देने की ज़रूरत न हो। और जहाँ इंफ्रास्ट्रक्चर पूरी तरह यूरोपीय नियमों का पालन करे।

किसी जटिल ऐप की ज़रूरत नहीं। ट्रेनिंग की ज़रूरत नहीं। काम करने का तरीका बदलने की ज़रूरत नहीं। ठीक वही चाहिए जो पहले से इस्तेमाल करते हैं — इंस्टेंट मैसेजिंग — बस इस तकनीकी गारंटी के साथ कि जानकारी बातचीत में शामिल दो लोगों के डिवाइस से बाहर नहीं जाएगी।

एन्क्रिप्ट करने और स्टोर न करने में अंतर

मैसेज को एन्क्रिप्ट करके सर्वर पर स्टोर करना ऐसा है जैसे कोई दस्तावेज़ तिजोरी में रखकर किसी अजनबी के घर छोड़ दिया जाए। तिजोरी अच्छी है, हाँ। लेकिन दस्तावेज़ अभी भी किसी और के घर में है। और वो व्यक्ति कोर्ट ऑर्डर पा सकता है, साइबर अटैक का शिकार हो सकता है, या बस अपनी सर्विस की शर्तें बदल सकता है।

विकल्प ये है कि दस्तावेज़ कभी आपके ऑफ़िस से बाहर न जाए। आपकी मेज़ से सीधे आपके क्लाइंट की मेज़ तक पहुँचे, बिना किसी बिचौलिए के। यही काम डिवाइस-टू-डिवाइस कम्युनिकेशन करता है: बिचौलिए को हटा देता है। इसलिए नहीं कि बिचौलिया बुरा है। इसलिए कि बिचौलिया अनावश्यक है। और सुरक्षा में, अनावश्यक चीज़ हमेशा जोखिम होती है।

ज़िम्मेदारी का सवाल

आखिरकार, हर पेशेवर को खुद से ये सवाल पूछना चाहिए: अगर कल मेरे क्लाइंट के साथ बातचीत लीक हो जाए, तो क्या मैं साबित कर सकता हूँ कि मैंने तकनीकी रूप से सुरक्षित चैनल इस्तेमाल किया? क्या मैं साबित कर सकता हूँ कि डेटा कभी हमारे डिवाइस से बाहर नहीं गया? क्या मैं साबित कर सकता हूँ कि मैंने किसी दूसरे महाद्वीप की कंपनी की सद्भावना पर भरोसा नहीं किया?

अपने क्लाइंट्स के साथ संवाद के लिए जो टूल आप चुनते हैं, वो बहुत कुछ कहता है कि आप उनके विश्वास को कितना महत्व देते हैं। और ऐसे टूल्स हैं जो ठीक इसी के लिए बने हैं: ताकि विश्वास वादों पर नहीं, बल्कि आर्किटेक्चर पर निर्भर करे।