चर्चा में क्यों?
भारतीय प्रतिभूति और विनिमय बोर्ड (Securities and Exchange Board of India), या SEBI ने 11 सितंबर 2026 को एक परामर्श पत्र जारी किया। यह बाजार बुनियादी ढांचा संस्थानों (Market Infrastructure Institutions), या MIIs की कुछ सहायक कंपनियों के लिए प्रासंगिक प्रौद्योगिकी और साइबर सुरक्षा आवश्यकताओं का विस्तार करने का प्रस्ताव करता है। 2 अक्टूबर तक टिप्पणियां आमंत्रित की जाती हैं। यह पत्र परामर्श के लिए एक प्रस्ताव है, न कि हर सहायक कंपनी पर पहले से लगाया गया अंतिम नियम।
प्रतिभूति लेनदेन के पीछे के संस्थान
स्टॉक एक्सचेंज (Stock exchanges), समाशोधन निगम (clearing corporations) और डिपॉजिटरी (depositories) प्रतिभूति बाजारों के लिए आवश्यक बुनियादी ढांचा प्रदान करते हैं। एक एक्सचेंज अपने नियमों के तहत व्यापारिक हितों को एक साथ लाता है। एक समाशोधन निगम दायित्वों की गणना करता है और संबंधित निपटान जोखिमों का प्रबंधन करता है। एक डिपॉजिटरी इलेक्ट्रॉनिक रूप में प्रतिभूतियों को बनाए रखती है और बाजार की रिकॉर्ड-कीपिंग प्रणाली के माध्यम से हस्तांतरण को सक्षम करती है।
ये कार्य संबंधित हैं लेकिन विनिमेय नहीं हैं। बिक्री के आदेश के साथ खरीद के आदेश का मिलान करने से ही हर बाद का दायित्व पूरा नहीं होता है। धनराशि और प्रतिभूतियों को अभी भी सही ढंग से स्थानांतरित करना चाहिए। इसलिए दृश्यमान ट्रेडिंग स्क्रीन के बाहर एक व्यवधान निवेशकों को प्रभावित कर सकता है। प्रारंभिक लेन-देन सफल प्रतीत हो सकता है जबकि बाद का प्रसंस्करण विफल हो गया।
एक डिपॉजिटरी एक डिपॉजिटरी प्रतिभागी से भी अलग है। प्रतिभागी एक इंटरफ़ेस (interface) प्रदान करता है जिसके माध्यम से ग्राहक डिपॉजिटरी सेवाओं तक पहुँचते हैं। एक ब्रोकर ट्रेडिंग की सुविधा देता है, जबकि एक बैंक प्रासंगिक मनी-अकाउंट कार्यों को संभालता है। इन अलग-अलग भूमिकाओं को समझने से यह पहचानने में मदद मिलती है कि परिचालन विफलता कहां होती है और इसे दूर करने के लिए कौन सा संस्थान जिम्मेदार है।
सहायक कंपनियाँ चर्चा में क्यों आती हैं
बड़े बाजार संस्थान प्रौद्योगिकी या संबंधित सेवाओं को संचालित करने के लिए सहायक कंपनियों का उपयोग कर सकते हैं। कॉर्पोरेट अलगाव का मतलब जरूरी तकनीकी अलगाव नहीं है। सिस्टम साझा बुनियादी ढांचे, सामान्य डेटाबेस या विशेषाधिकार प्राप्त पहुंच पर निर्भर हो सकते हैं। इसलिए एक इकाई में व्यवधान उसी समूह के भीतर दूसरी इकाई द्वारा दी जाने वाली सेवाओं को प्रभावित कर सकता है।
SEBI का प्रस्ताव तीन वैकल्पिक कनेक्शनों की पहचान करता है जो कवरेज को ट्रिगर करेंगे। एक सहायक कंपनी मूल MII के डोमेन (domain) से संबंधित गतिविधि कर सकती है। वैकल्पिक रूप से, यह उस डेटा को संभाल सकता है जिसके लिए MII जिम्मेदार है, या MII के बुनियादी ढांचे को साझा कर सकता है। प्रस्तावित दृष्टिकोण के तहत किसी भी एक शर्त को पूरा करना पर्याप्त होगा।
इनमें से किसी भी शर्त को पूरा न करने वाली सहायक कंपनियों के लिए, मूल MII का ढांचा इस प्रस्ताव के माध्यम से लागू नहीं होगा। केवल साझा बुनियादी ढांचे से जुड़ी संस्थाओं के लिए एक संकीर्ण छूट मार्ग का भी प्रस्ताव है। उसके लिए SEBI से अनुरोध, प्रतिपूरक सुरक्षा उपाय और प्रासंगिक प्रौद्योगिकी समिति और बोर्ड के विचारों की आवश्यकता होगी।
साइबर सुरक्षा से लेकर परिचालन लचीलेपन तक
साइबर सुरक्षा अनधिकृत पहुंच, दुरुपयोग या व्यवधान के खिलाफ सिस्टम और जानकारी की रक्षा करना चाहती है। लचीलापन घटनाओं का सामना करने और आवश्यक सेवाओं को बहाल करने की क्षमता जोड़ता है। एक बाजार संस्थान को दोनों की जरूरत होती है। हमले को रोकना महत्वपूर्ण है, लेकिन रोकथाम विफल होने पर सटीक रिकॉर्ड बनाए रखना और सुरक्षित रूप से पुनर्प्राप्त करना भी महत्वपूर्ण है।
SEBI का मौजूदा साइबर सुरक्षा और साइबर लचीलापन फ्रेमवर्क व्यापक विनियामक संदर्भ प्रदान करता है। नया पेपर यह संबोधित करता है कि कौन सी जुड़ी हुई सहायक कंपनियों को लागू आवश्यकताओं के भीतर आना चाहिए। यह साइबर सुरक्षा पर्यवेक्षण के विचार को खरोंच से नहीं बनाता है। न ही इसे प्रौद्योगिकी लचीलापन मापने के बारे में एक असंबंधित प्रस्ताव के साथ भ्रमित किया जाना चाहिए।
व्यापार निरंतरता व्यवधान के दौरान आवश्यक कार्यों को बनाए रखने से संबंधित है। आपदा वसूली एक गंभीर विफलता के बाद प्रौद्योगिकी और डेटा को बहाल करने से संबंधित है। बैकअप (Backups) रिकवरी (recovery) में योगदान करते हैं, लेकिन पूरी तरह से समाधान नहीं हैं। संस्थानों को यह जानना चाहिए कि क्या बहाल किए गए रिकॉर्ड सटीक हैं और क्या परस्पर जुड़ी सेवाएं नई त्रुटियां पैदा किए बिना एक साथ फिर से शुरू हो सकती हैं।
आम उपयोगकर्ताओं की हिस्सेदारी क्यों है
ट्रेडिंग-सिस्टम (trading-system) आउटेज (outage) ऑर्डर (orders) को रखने या बदलने से रोक सकता है। समाशोधन की समस्या दायित्वों को पूरा करने में देरी कर सकती है। रिकॉर्ड-अखंडता की समस्या प्रतिभूति शेष के बारे में अनिश्चितता पैदा कर सकती है। ये अलग-अलग जोखिम हैं, लेकिन प्रत्येक बाजार के बुनियादी ढांचे में विश्वास को कमजोर कर सकता है जिस पर कई प्रतिभागी निर्भर करते हैं।
वित्तीय बाजार के बुनियादी ढांचे के लिए अंतर्राष्ट्रीय सिद्धांत परिचालन विश्वसनीयता और व्यापार निरंतरता पर जोर देते हैं। वे सेवा प्रदाताओं और संस्थानों के बीच संबंधों से उत्पन्न होने वाले जोखिमों पर भी जोर देते हैं। अंतर्निहित सबक सीधा है: एक भरोसेमंद संस्थान को अपनी निर्भरताओं को समझना चाहिए। केवल मूल कंपनी के स्वामित्व वाले सिस्टम का आकलन करने से एक अधूरा जोखिम चित्र रह जाता है।
इसलिए रिकवरी योजनाओं के परीक्षण की आवश्यकता होती है, न कि केवल दस्तावेज़ीकरण की। कर्मचारियों को जिम्मेदारियों, वृद्धि के रास्तों और सेवाओं को बहाल करने के क्रम को समझना चाहिए। परीक्षणों से पता चलना चाहिए कि क्या बाहरी प्रदाताओं के बारे में धारणाएं यथार्थवादी हैं। यही कारण है कि प्रौद्योगिकी शासन बोर्ड स्तर के साथ-साथ विशेषज्ञ तकनीकी टीमों के भीतर भी है।
कवरेज और आनुपातिकता को संतुलित करना
प्रस्ताव का केंद्रीय निर्णय यह है कि विनियमन को प्रासंगिक गतिविधियों, डेटा और बुनियादी ढांचे का पालन करना चाहिए। हर समूह कंपनी पर समान आवश्यकताओं को लागू करना अनावश्यक रूप से व्यापक हो सकता है। प्रत्येक अलग से निगमित कंपनी को छोड़कर महत्वपूर्ण निर्भरताओं को अनियंत्रित छोड़ सकते हैं। प्रस्तावित मानदंड उन दो स्थितियों के बीच एक सीमा खींचने का प्रयास करते हैं।
उदाहरण के लिए, बाजार प्रणालियों तक पहुंच के बिना एक शिक्षण सहायक कंपनी एक साझा प्रौद्योगिकी ऑपरेटर (operator) से अलग कनेक्शन प्रस्तुत करती है। मुख्य प्रश्न वास्तविक पहुंच और कार्य है, न कि सहायक का लेबल। किसी संस्थान को उन रिश्तों का स्पष्ट रूप से दस्तावेजीकरण करने की आवश्यकता होगी। केवल संगठनात्मक चार्ट यह नहीं बता सकते हैं कि सेवाएँ वास्तव में एक-दूसरे पर कैसे निर्भर करती हैं।
एक उपयोगी परामर्श को यह परीक्षण करना चाहिए कि क्या मानदंड सुसंगत आवेदन के लिए पर्याप्त स्पष्ट हैं। इसे यह भी जांचना चाहिए कि छूट का आकलन और निगरानी कैसे की जाएगी। ये कार्यान्वयन के प्रश्न हैं, न कि किसी नए खोजे गए उल्लंघन के प्रमाण। परामर्श पत्र यह घोषणा नहीं करता है कि एक विशिष्ट सहायक कंपनी को साइबर हमले का सामना करना पड़ा है।
निष्कर्ष
SEBI साइबर सुरक्षा निरीक्षण को उस तरीके से संरेखित करने का प्रस्ताव कर रहा है जिस तरह से बाजार समूह वास्तव में प्रौद्योगिकी का उपयोग करते हैं। मुद्दा एक सहायक कंपनी और महत्वपूर्ण बाजार कार्यों के बीच संबंध है। स्पष्ट कवरेज, उचित अपवाद और परीक्षण की गई पुनर्प्राप्ति व्यवस्था उस उद्देश्य का समर्थन करेगी। जब तक प्रक्रिया अंतिम दिशा-निर्देश नहीं देती, तब तक सितंबर का दस्तावेज एक परामर्श प्रस्ताव बना रहता है।