UPSC CSE Prelims
साइबर सुरक्षा Previous Year Questions (PYQs)

Detailed Explanation:

उत्तर: विकल्प 1 — डिजिटल सुरक्षा अवसंरचना

पब्लिक की इंफ्रास्ट्रक्चर (PKI) भारत में विशेष रूप से डिजिटल सुरक्षा अवसंरचना के लिए उपयोग किया जाने वाला एक व्यापक ढांचा है। यह डिजिटल प्रमाणपत्रों, प्रमाणपत्र प्राधिकरणों और क्रिप्टोग्राफिक कुंजी जोड़ों (सार्वजनिक और निजी कुंजी) के माध्यम से सुरक्षित इलेक्ट्रॉनिक संचार और लेनदेन को सक्षम बनाता है, जो डिजिटल डेटा के प्रमाणीकरण, गोपनीयता, अखंडता और अस्वीकरण-रोधी सुनिश्चित करता है।

📝 संक्षिप्त नोट्स: पब्लिक की इंफ्रास्ट्रक्चर (PKI)

• परिभाषा: PKI भूमिकाओं, नीतियों, हार्डवेयर, सॉफ्टवेयर और प्रक्रियाओं का एक समूह है जो डिजिटल प्रमाणपत्रों को बनाने, प्रबंधित करने, वितरित करने, उपयोग करने, संग्रहीत करने और रद्द करने तथा सार्वजनिक-कुंजी एन्क्रिप्शन को प्रबंधित करने के लिए आवश्यक है।
• घटक: इसमें प्रमाणपत्र प्राधिकरण (CA), पंजीकरण प्राधिकरण (RA), डिजिटल प्रमाणपत्र, प्रमाणपत्र भंडार और प्रमाणपत्र निरसन सूची (CRL) शामिल हैं।
• कार्य: यह कुंजियों की एक जोड़ी के साथ असममित क्रिप्टोग्राफी का उपयोग करता है - सार्वजनिक कुंजी (खुले तौर पर साझा) और निजी कुंजी (गुप्त रखी गई) एन्क्रिप्शन और डिजिटल हस्ताक्षर के लिए।
• भारत में अनुप्रयोग: ई-गवर्नेंस पहलों, डिजिटल हस्ताक्षर, सुरक्षित ईमेल, ऑनलाइन बैंकिंग, ई-कॉमर्स और आधार-आधारित प्रमाणीकरण में उपयोग किया जाता है।
• प्रमाणन प्राधिकरणों का नियंत्रक (CCA): IT अधिनियम 2000 के तहत, CCA भारत में प्रमाणन प्राधिकरणों को लाइसेंस देने और विनियमित करने वाला प्राधिकरण है।
• लाभ: डिजिटल संचार और लेनदेन में डेटा गोपनीयता, अखंडता, प्रमाणीकरण और अस्वीकरण-रोधी सुनिश्चित करता है।

Detailed Explanation:

उत्तर: विकल्प 2 — केवल 1, 3 और 4

व्यक्तियों के लिए साइबर बीमा डिजिटल जोखिमों और साइबर घटनाओं से उत्पन्न वित्तीय नुकसान को कवर करता है। इसमें समझौता किए गए सिस्टम को बहाल करने की लागत, कानूनी रक्षा खर्च और साइबर ब्लैकमेल को संभालने के लिए सलाहकार शुल्क शामिल हैं, लेकिन जानबूझकर तोड़फोड़ के कारण हार्डवेयर को होने वाले भौतिक नुकसान को बाहर रखता है।

✅ कथन 1 – सही: साइबर बीमा मैलवेयर हमलों द्वारा दूषित या बाधित कंप्यूटर सिस्टम और डेटा को बहाल करने की लागत को कवर करता है।

❌ कथन 2 – गलत: साइबर बीमा हार्डवेयर को होने वाले भौतिक नुकसान या जानबूझकर भौतिक तोड़फोड़ के कारण प्रतिस्थापन लागत को कवर नहीं करता है; यह केवल डिजिटल जोखिमों और साइबर-संबंधित नुकसानों को कवर करता है।

✅ कथन 3 – सही: साइबर बीमा साइबर ब्लैकमेल खतरों (जैसे रैनसमवेयर) की जांच करने और संबंधित नुकसान को कम करने के लिए विशेषज्ञ सलाहकारों को नियुक्त करने के खर्च को कवर करता है।

✅ कथन 4 – सही: साइबर बीमा कानूनी रक्षा की लागत को कवर करता है जब कोई तीसरा पक्ष एक साइबर घटना के परिणामस्वरूप गोपनीयता उल्लंघन, डेटा चोरी या मानहानि के लिए मुकदमा दायर करता है।

Detailed Explanation:

उत्तर: विकल्प 3 — केवल 3

डिजिटल हस्ताक्षर एक क्रिप्टोग्राफिक तंत्र है जिसका उपयोग प्रेषक की पहचान को प्रमाणित करने और यह सुनिश्चित करने के लिए किया जाता है कि हस्ताक्षर के बाद इलेक्ट्रॉनिक दस्तावेज़ की सामग्री में परिवर्तन नहीं किया गया है। केवल कथन 3 इस मूलभूत उद्देश्य को सही ढंग से दर्शाता है।

❌ कथन 1 – गलत: डिजिटल हस्ताक्षर प्रमाणन प्राधिकरण की पहचान नहीं करता; इसके बजाय, यह हस्ताक्षरकर्ता की पहचान सत्यापित करने के लिए प्रमाणपत्र प्राधिकरण (CA) द्वारा जारी डिजिटल प्रमाणपत्र का उपयोग करता है, लेकिन हस्ताक्षर स्वयं हस्ताक्षरकर्ता की निजी कुंजी द्वारा बनाया जाता है।

❌ कथन 2 – गलत: डिजिटल हस्ताक्षरों का उपयोग मुख्य रूप से दस्तावेज़ की अखंडता और प्रामाणिकता सुनिश्चित करने के लिए किया जाता है, न कि इंटरनेट पर सूचना या सर्वर तक पहुंच के लिए; पहुंच नियंत्रण आमतौर पर उपयोगकर्ता नाम, पासवर्ड, टोकन, या बायोमेट्रिक प्रमाणीकरण पर निर्भर करता है।

✅ कथन 3 – सही: डिजिटल हस्ताक्षर वास्तव में दस्तावेज़ों पर हस्ताक्षर करने की एक इलेक्ट्रॉनिक विधि है जो एक अद्वितीय क्रिप्टोग्राफिक हैश बनाकर गैर-अस्वीकृति और अखंडता सुनिश्चित करती है जो मूल सामग्री में किसी भी परिवर्तन का पता लगाती है।

📝 संक्षिप्त नोट्स: डिजिटल हस्ताक्षर

• परिभाषा: डिजिटल हस्ताक्षर एक क्रिप्टोग्राफिक तकनीक है जो इलेक्ट्रॉनिक संदेशों, दस्तावेज़ों, या सॉफ़्टवेयर की प्रामाणिकता और अखंडता को मान्य करती है।
• प्रौद्योगिकी: असममित क्रिप्टोग्राफी का उपयोग करते हुए सार्वजनिक कुंजी अवसंरचना (PKI) पर आधारित—हस्ताक्षर के लिए एक निजी कुंजी और सत्यापित करने के लिए एक सार्वजनिक कुंजी।
• मुख्य कार्य: प्रमाणीकरण (प्रेषक की पहचान सत्यापित करता है), अखंडता (परिवर्तनों का पता लगाता है), और गैर-अस्वीकृति (प्रेषक हस्ताक्षर से इनकार नहीं कर सकता)।
• प्रक्रिया: दस्तावेज़ का एक हैश बनाया जाता है और हस्ताक्षरकर्ता की निजी कुंजी से एन्क्रिप्ट किया जाता है; प्राप्तकर्ता प्रामाणिकता सत्यापित करने के लिए सार्वजनिक कुंजी से इसे डिक्रिप्ट करते हैं।
• भारत में कानूनी स्थिति: सूचना प्रौद्योगिकी अधिनियम, 2000 के तहत डिजिटल हस्ताक्षरों को कानूनी रूप से मान्यता प्राप्त है, और हस्तलिखित हस्ताक्षरों के समान वैधता है।
• प्रमाणपत्र प्राधिकरण (CA): विश्वसनीय तृतीय पक्ष (जैसे NIC, eMudhra) डिजिटल प्रमाणपत्र जारी करते हैं जो किसी व्यक्ति या संगठन से सार्वजनिक कुंजी को बांधते हैं।
• सामान्य उपयोग: कर रिटर्न की ई-फाइलिंग, ऑनलाइन बैंकिंग, ई-गवर्नेंस सेवाएं, कानूनी दस्तावेज़, और सॉफ़्टवेयर वितरण।

Detailed Explanation:

सही उत्तर साइबर हमले (विकल्प 3) है। WannaCry और Petya ऐसे रैनसमवेयर हैं जो कंप्यूटर का डेटा स्थिर करके फिर उसे पैसे के लिए पैसे मांगते हैं। EternalBlue एक साइबर एक्सप्लॉइट था, जिसका उपयोग WannaCry हमलों को फैलाने के लिए किया गया था।

रैनसमवेयर एक प्रकार का मैलवेयर है, जो कंप्यूटर के स्वामित्व को लॉक या सुरक्षा प्रदान करता है और उन्हें वापस वर्चुअलाइजेशन के रूप में मांगता है। WannaCry (2017) दुनिया के सबसे बड़े साइबर हमले में एक और दावा किया गया था कि साइबर सुरक्षा के ढांचे को उजागर किया गया था।

Detailed Explanation:

उत्तर: विकल्प 4 — 1, 2 और 3

✅ कथन 1 – सही: सेवा प्रदाताओं के लिए CERT-In (भारतीय कंप्यूटर आपातकालीन प्रतिक्रिया दल) को साइबर सुरक्षा घटनाओं की रिपोर्ट करना सूचना प्रौद्योगिकी अधिनियम, 2000 की धारा 70B और सूचना प्रौद्योगिकी (भारतीय कंप्यूटर आपातकालीन प्रतिक्रिया दल और कार्यों तथा कर्तव्यों के निष्पादन का तरीका) नियम, 2013 के तहत कानूनी रूप से अनिवार्य है।

✅ कथन 2 – सही: डेटा केंद्रों को IT (CERT-In) नियम, 2013 के तहत CERT-In को साइबर सुरक्षा घटनाओं की अनिवार्य रूप से रिपोर्ट करने वाली संस्थाओं में स्पष्ट रूप से सूचीबद्ध किया गया है। इसमें घटना के ध्यान में आने या सूचित होने के छह घंटे के भीतर डेटा उल्लंघन, अनधिकृत पहुंच और सिस्टम समझौता जैसी घटनाएं शामिल हैं।

✅ कथन 3 – सही: निगमित निकायों (कंपनियों और संगठनों) के लिए IT अधिनियम, 2000 और संबंधित नियमों के तहत निर्दिष्ट साइबर सुरक्षा घटनाओं को CERT-In को रिपोर्ट करना आवश्यक है। यह दायित्व व्यावसायिक संचालन और संवेदनशील डेटा को प्रभावित करने वाले साइबर खतरों के लिए समय पर प्रतिक्रिया सुनिश्चित करता है।