বড় প্রশ্নের মুখে ইসির তথ্যভান্ডারের নিরাপত্তা

• ফেস ভেরিফিকেশনেও মৃতের এনআইডি সংশোধন!
•  ‘এটা অস্বাভাবিক’ বললেন ইসির সিনিয়র সচিব
• এনআইডি সংশোধনে মাল্টি-লেয়ার যাচাইয়ের দাবি
• তথ্য নিরাপত্তায় স্বচ্ছতা-জবাবদিহির প্রশ্ন
• তিন বছরে এনআইডির ৬৮ তথ্য ফাঁস

নির্বাচন কমিশনের (ইসি) জাতীয় তথ্যভান্ডারে সংরক্ষিত রয়েছে দেশের কোটি কোটি নাগরিকের গুরুত্বপূর্ণ ও স্পর্শকাতর ব্যক্তিগত তথ্য। জাতীয় পরিচয়পত্র (এনআইডি) থেকে শুরু করে নাগরিকের পরিচয় নিশ্চিতকরণে ব্যবহৃত এসব তথ্য রাষ্ট্রীয় গুরুত্বপূর্ণ সম্পদ হিসেবে বিবেচিত। ফলে তথ্যের নিরাপত্তা, সঠিকতা ও গোপনীয়তা নিশ্চিত করা নির্বাচন কমিশনের অন্যতম গুরুত্বপূর্ণ দায়িত্ব।

এনআইডিতে নাম, জন্ম তারিখ, ঠিকানা বা অন্যান্য তথ্য সংশোধনের প্রয়োজন হলে নাগরিকদের নির্ধারিত প্রক্রিয়ার মধ্য দিয়ে আবেদন করতে হয়। বর্তমানে অনলাইনে আবেদন করতে গেলে আবেদনকারীকে ফেস ভেরিফিকেশন বা মুখমণ্ডল শনাক্তকরণ প্রক্রিয়ায় নিজের পরিচয় নিশ্চিত করতে হয়। পাশাপাশি সংশ্লিষ্ট নির্বাচন অফিসে সশরীরে উপস্থিত হয়েও তথ্য সংশোধনের সুযোগ রয়েছে। এতসব যাচাই-বাছাই ও নিরাপত্তাব্যবস্থার মধ্যেও এবার এমন একটি ঘটনা সামনে এসেছে, যা শুধু এনআইডি তথ্য সংশোধনের প্রক্রিয়াই নয়, নির্বাচন কমিশনের জাতীয় তথ্যভান্ডারের নিরাপত্তা, নজরদারি ও কার্যকারিতা নিয়েও গুরুতর প্রশ্ন তৈরি করেছে। ঘটনা কীভাবে ঘটল, কারা এর সঙ্গে জড়িত এবং নাগরিকদের গুরুত্বপূর্ণ তথ্য কতটা নিরাপদ-এসব প্রশ্নই এখন ঘুরেফিরে সামনে আসছে।

আলী আকবর নামের এক ব্যক্তির এনআইডি সংশোধন আবেদন পর্যালোচনা করে দেখা যায়, তিনি নিজ নামের সংশোধনের আবেদন করেছেন। এর সঙ্গে প্রয়োজনীয় কাগজপত্র হিসেবে তিনি জমা দিয়েছেন মৃত্যু সনদ, নিজ নামের ওয়ারিশ সনদ, সন্তানের এনআইডি, শিক্ষা সনদের রেজিস্ট্রেশন কার্ড ও পাসপোর্ট। তবে মৃত্যু সনদে দেখা যায় তিনি ২০২০ সালের মার্চের ৫ তারিখে মৃত্যুবরণ করছেন। ২০২০ সালে মারা যাওয়া ব্যক্তি ২০২৬ সালের এসে কীভাবে নিজের মুখমণ্ডল শনাক্তকরণ প্রক্রিয়ার মধ্য দিয়ে সংশোধন আবেদন করলেন-এটা নিয়ে উঠেছে প্রশ্ন। এ ঘটনায় ইসির কারিগরি দুর্বলতার চিত্র প্রকটভাবে ফুটে উঠেছে। যেখান থেকে যেকোনো নাগরিকের সংশোধন আবেদন যে কেউ করতে পারে বলে নিশ্চিত হওয়া যায়। যা নাগরিকের তথ্যের নিরাপত্তার হুমকি।

আলী আকবরের এনআইডি সংশোধন আবেদনে যে মোবাইল নাম্বার ব্যবহার করা হয়েছে, সেই নাম্বারে একাধিকবার কল করেও যোগাযোগ করা সম্ভব হয়নি।

এ বিষয়ে ইসি সূত্র জানায়, এ ধরনের ঘটনা এবারই প্রথম নয়। এর আগে বিগত সরকারের একজন উচ্চপর্যায়ের ব্যক্তির অজ্ঞাতসারে তার এনআইডি সংশোধনের আবেদন করা হয়েছিল। পরবর্তী সময়ে বিষয়টি জানাজানি হলে ওই ব্যক্তি জানান, তার এনআইডি সংশোধনের জন্য কোনো আবেদন করা হয়েছে, এ বিষয়ে তিনি নিজেই অবগত ছিলেন না।

ইসি সূত্র আরও জানায়, এনআইডি সেবার নিরাপত্তা জোরদারে কমিশন নিয়মিতভাবে কারিগরি দিক পর্যালোচনা ও উন্নয়নে কাজ করছে। নাগরিকদের তথ্য যাতে আরও সুরক্ষিত রাখা যায়, একই সঙ্গে এনআইডি-সংক্রান্ত সেবা যেন সাধারণ মানুষের জন্য সহজ ও হয়রানিমুক্ত থাকে-এ দুটির মধ্যে সমন্বয় রেখে নতুন ব্যবস্থা গ্রহণের বিষয়েও কাজ চলছে।

মৃতের এনআইডি সংশোধন আবেদন নিয়ে প্রশ্ন

ইসি কর্মকর্তারা জানান, কোনো মৃত ব্যক্তির এনআইডির তথ্য সংশোধনের প্রয়োজন হলে তা সংশ্লিষ্ট নির্বাচন অফিসের মাধ্যমে আবেদন করতে হয়। মৃত ব্যক্তির নামে অনলাইনে ফেস ভেরিফিকেশন সম্পন্ন হওয়ার ঘটনাটি কীভাবে ঘটল-এ প্রশ্নের উত্তর এখন জরুরি।

ঘটনাটি নিছক কারিগরি ত্রুটি, তথ্যের অপব্যবহার, নাকি এনআইডি সার্ভারের নিরাপত্তাব্যবস্থায় বড় ধরনের কোনো দুর্বলতা—তা খতিয়ে দেখা হচ্ছে। সংশ্লিষ্টদের মতে, একজন মৃত ব্যক্তির নামে অনলাইনে ফেস ভেরিফিকেশন সম্পন্ন করে এনআইডির তথ্য সংশোধনের আবেদন করা সম্ভব হলে জীবিত নাগরিকদের তথ্যের নিরাপত্তা নিয়ে স্বাভাবিকভাবেই উদ্বেগ দেখা দেবে। ঘটনাটির প্রকৃত রহস্য দ্রুত উদঘাটন এবং দায়ীদের চিহ্নিত করা হবে বলে জানিয়েছেন ইসির সংশ্লিষ্ট কর্মকর্তারা।

হতবাক ইসি, খতিয়ে দেখা হচ্ছে প্রকৃত ঘটনা

এনআইডি অনুবিভাগের এক কর্মকর্তা নাম প্রকাশ করে ঢাকা মেইলকে বলেন, আমরা তথ্য-প্রযুক্তির এমন এক সময় বসবাস করছি, যেখানে প্রযুক্তি সঙ্গে আমাদের প্রতি মুহূর্তে মানিয়ে নিতে হচ্ছে। কৃত্রিম বুদ্ধিমত্তার (এআই) এ যুগে নাগরিকদের তথ্য নিরাপত্তা নিশ্চিত করতে আমাদের আরও বেশি সতর্ক থাকতে হবে। প্রতিনিয়তই সাইবার সিকিউরিটি আপডেট করতে হবে। এটা না করা গেলে বড় ধরনের কোনো ক্ষতি হতে পারে।

ফেস ভেরিফিকেশন ছাড়া একজন মৃত ব্যক্তি কীভাবে এনআইডি সংশোধন আবেদন করলেন জানতে চাইলে ইসির সিনিয়র সচিব আখতার আহমেদ ঢাকা মেইলকে বলেন, এরকম ঘটনা অস্বাভাবিক। ফেস ভেরিফিকেশন ছাড়া আবেদন করা সম্ভব নয়। আমি বিষয়টি আরও যাচাই-বাছাই করে দেখব।

ইসির সিনিয়র সচিব বলেন, এমন ঘটনা ঘটে থাকলে অবশ্যই আমাদের সিস্টেমে কোনো জায়গায় গ্যাপ রয়েছে। আমরা প্রয়োজনীয় ব্যবস্থা গ্রহণ করব।

একজন মৃত ব্যক্তি কীভাবে নিজের ফেস ভেরিফিকেশন করে এনআইডি সংশোধন আবেদন করতে পারেন জানতে চাইলে ইসির এনআইডি অনুবিভাগের সিস্টেম ম্যানেজার মুহাম্মদ আশরাফ হোসেন ঢাকা মেইলকে বলেন, এমন ঘটনা স্বাভাবিকভাবে হওয়ার কথা নয়। তবে যারা প্রযুক্তিতে অনেক অভিজ্ঞ তারা তৃতীয় কোনো অ্যাপ ব্যবহার করে ফেস ভেরিফিকেশনের ধাপটা বাইপাস করে আবেদন করতে পারে।

এটি কোনো কারিগরি ত্রুটি কি না-জানতে চাইলে তিনি বলেন, না এটি কোনো কারিগরি ত্রুটি নয়। আমরা এসব বিষয় নিয়ে আলোচনা করছি। এনআইডি সংশোধন আবেদন করার ক্ষেত্রে ফেস ভেরিফিকেশনের পরেও আরও একটি ভেরিফিকেশন ধাপ যুক্ত করা যায় কি না তার একটি পরিকল্পনা আমাদের আছে।

এনআইডি কার্ডের গুরুত্ব তুলে ধরে সম্প্রতি এক সভায় নির্বাচন কমিশনার ব্রিগেডিয়ার জেনারেল (অব.) আবুল ফজল মো. সানাউল্লাহ ইসি কর্মকর্তাদের উদ্দেশে বলেন, এনআইডি অন্যান্য সাধারণ কার্ডের মতো নয়। এর সঙ্গে বিচারিক, উত্তরাধিকার, আইনি, সামাজিক ও রাজনৈতিক বিষয় জড়িত। তাই এনআইডি সংশোধনের আবেদন নিষ্পত্তির ক্ষেত্রে সংশ্লিষ্ট আইন ও বিধি অনুসরণ করে বাস্তবভিত্তিক যাচাইয়ের মাধ্যমে কেস-বাই-কেস সিদ্ধান্ত নিতে হবে।

ফেস ভেরিফিকেশনব্যবস্থার নিরাপত্তা নিয়ে প্রশ্ন

ফেস ভেরিফিকেশন পেরিয়ে মৃত ব্যক্তির নামে এনআইডি সংশোধনের আবেদন—নিরাপত্তাব্যবস্থা নিয়ে প্রশ্ন তুলেছেন ক‌ম্পিউটার নেওয়ার্ক প্রকৌশলী সৈয়দ জা‌হিদ হোসেন। তিনি ঢাকা মেইলকে বলেন, এনআইডির মতো গুরুত্বপূর্ণ পরিচয়-সংক্রান্ত তথ্য পরিবর্তনের ক্ষেত্রে শুধু ফেস ভেরিফিকেশনের ওপর নির্ভর করা যথেষ্ট নয়। বিশেষ করে জীবিত-মৃত ব্যক্তিকে শনাক্ত করা এবং প্রকৃত ব্যক্তির উপস্থিতি নিশ্চিত করার জন্য আরও শক্তিশালী ও বহুস্তরীয় যাচাইব্যবস্থা প্রয়োজন।

এই বিশেষজ্ঞ বলেন, সাধারণত ফেস রিকগনিশন ব্যবস্থা মূলত মুখের বিভিন্ন বৈশিষ্ট্য ও দূরত্বের ওপর ভিত্তি করে একজন ব্যক্তির পরিচয় শনাক্ত করে। ক্যামেরার কোণ, আলো, মুখের ভঙ্গি কিংবা বয়সের পরিবর্তনের কারণে একই ব্যক্তির ক্ষেত্রেও ম্যাচিংয়ের মাত্রা কমবেশি হতে পারে। এ কারণে অনেক সিস্টেম নির্দিষ্ট একটি ম্যাচিং থ্রেশহোল্ড (সর্বনিম্ন মাত্রা) নির্ধারণ করে।

শুধু মুখের মিল পাওয়াই যে প্রকৃত ব্যক্তি ক্যামেরার সামনে উপস্থিত—এটি নিশ্চিত করে না বলে মনে করেন তিনি। তার মতে, ছবিকে ভিডিও বা বিভিন্ন অ্যাঙ্গেলে উপস্থাপন করা, কৃত্রিম বুদ্ধিমত্তা ব্যবহার করে ছবি পরিবর্তন কিংবা অন্য ধরনের স্পুফিংয়ের ( প্রতারণা করার পদ্ধতি) মাধ্যমে দুর্বল ফেস ভেরিফিকেশন ব্যবস্থাকে ফাঁকি দেওয়ার ঝুঁকি থাকতে পারে।

লিভনেস ডিটেকশন ও অ্যান্টি-স্পুফিং ব্যবস্থার পরামর্শ

এ ধরনের ঝুঁকি কমাতে কী ধরনের পদক্ষেপ নেওয়া যেতে পারে জানতে চাইলে প্রযুক্তিবিদ সৈয়দ জা‌হিদ হোসেন ঢাকা মেইলকে বলেন, এ ধরনের ঝুঁকি কমাতে লিভনেস ডিটেকশন বা ক্যামেরার সামনে প্রকৃত মানুষ উপস্থিত কি না, তা শনাক্তের প্রযুক্তি গুরুত্বপূর্ণ। চোখের পলক, মাথা নড়াচড়া বা বিভিন্ন নির্দেশনা অনুসরণের পাশাপাশি আরও উন্নত প্রযুক্তি ব্যবহার করা হলে নিরাপত্তা বাড়ানো সম্ভব।

এই বিশেষজ্ঞ বলেন, শুধু ‘ডান-বাম, ওপর-নিচ তাকানো’ ধরনের নির্দেশনা অনুসরণ করলেই একটি ফেস ভেরিফিকেশন ব্যবস্থা সম্পূর্ণ নিরাপদ হয়ে যায় না। সিস্টেমে কী ধরনের লিভনেস ডিটেকশন, অ্যান্টি-স্পুফিং এবং অন্যান্য নিরাপত্তা স্তর রয়েছে, সেটিও গুরুত্বপূর্ণ।

এনআইডিতে তথ্য পরিবর্তনকে ‘সিভিয়ার’ পরিবর্তন হিসেবে দেখার পরামর্শ দিয়ে সৈয়দ জা‌হিদ হোসেন বলেন, এনআইডির মূল তথ্য পরিবর্তনের আবেদনকে সাধারণ অনলাইন সেবার মতো সহজলভ্য রাখা উচিত নয়। কারণ এতে জাতীয় পরিচয়ের মূল ডাটাবেজে পরিবর্তন আনার সুযোগ তৈরি হয়।

তার পরামর্শ, অনলাইনে আবেদনের সুযোগ থাকলেও চূড়ান্ত তথ্য পরিবর্তনের আগে নাগরিকের শারীরিক উপস্থিতি নিশ্চিত করা যেতে পারে। এনআইডির তথ্য সংশোধনের ক্ষেত্রে মাল্টি-লেয়ার ভেরিফিকেশন থাকা প্রয়োজন। ফেস ভেরিফিকেশনের পাশাপাশি অন্যান্য তথ্য, পূর্ববর্তী রেকর্ড, জীবিত থাকার তথ্য এবং প্রয়োজন অনুযায়ী সরাসরি শারীরিক উপস্থিতি যাচাই করা যেতে পারে।

তথ্যের নিরাপত্তা নিয়েও উদ্বেগ প্রকাশ করে জা‌হিদ হোসেন বলেন, কোনো প্রতিষ্ঠানের প্রযুক্তিগত সক্ষমতা সব ধরনের জালিয়াতি শনাক্তের পর্যায়ে না থাকলে সেই সীমাবদ্ধতা বিবেচনায় রেখে অনলাইন সেবার পরিধি নির্ধারণ করা উচিত। অন্যথায় প্রযুক্তির সুবিধার পাশাপাশি প্রতারণার সুযোগও বাড়তে পারে।

নাগরিকের তথ্যের নিরাপত্তা নিয়ে উদ্বেগ প্রকাশ করে তিনি বলেন, এনআইডি-সংক্রান্ত বিপুল তথ্য বিভিন্ন সময়ে অননুমোদিতভাবে ছড়িয়ে পড়ার অভিযোগ রয়েছে। ফলে শুধু নির্বাচন কমিশনের নিজস্ব সার্ভারে তথ্য সুরক্ষিত রাখাই যথেষ্ট নয়; তথ্য কোথায়, কীভাবে এবং কার মাধ্যমে ব্যবহৃত হচ্ছে—সেটিও গুরুত্বপূর্ণ।

এনআইডির তথ্য পরিবর্তনের সুযোগ কোনো অননুমোদিত ব্যক্তি পেয়ে গেলে এর অপব্যবহারের ঝুঁকি তৈরি হতে পারে। পরিচয় জালিয়াতি, বিভিন্ন সেবায় অন্যের পরিচয় ব্যবহার এবং ভবিষ্যতে নাগরিকের পরিচয় নিয়ে জটিলতার মতো ঝুঁকি তৈরি হতে পারে। এ কারণে এনআইডিব্যবস্থায় নিয়মিত প্রযুক্তিগত অডিট, সাইবার নিরাপত্তা মূল্যায়ন, অ্যাক্সেস কন্ট্রোল, লগ মনিটরিং এবং পরিবর্তিত তথ্যের পূর্ণাঙ্গ অডিট ট্রেইল নিশ্চিত করার ওপর গুরুত্ব দেন তিনি।

তিনি মনে করেন, নাগরিকের তথ্যের নিরাপত্তা নিশ্চিত করতে শুধু প্রযুক্তি স্থাপন করলেই হবে না; এর পাশাপাশি দক্ষ জনবল, নিয়মিত স্বাধীন নিরাপত্তা পরীক্ষা এবং কোনো অনিয়ম হলে দ্রুত জবাবদিহির ব্যবস্থাও থাকতে হবে।

তিন বছরে ৬৮ তথ্য ফাঁসের ঘটনা

সম্প্রতি তথ্যপ্রযুক্তি–বিষয়ক গবেষণাপ্রতিষ্ঠান টেকগ্লোবাল ইনস্টিটিউটের (টিজিআই) ‘ব্রিচড অ্যান্ড আনআনসার্ড: বাংলাদেশ’স ডেটা ব্রিচ এপিডেমিক (২০২৩–২০২৬)’ শীর্ষক প্রতিবেদনে ২০২৩ সালের জানুয়ারি থেকে ২০২৬ সালের মে পর্যন্ত বাংলাদেশে অন্তত ৬৮টি তথ্য ফাঁসের ঘটনার উল্লেখ করেছে। এর মধ্যে ৩৬টি সরকারি ও ৩২টি বেসরকারি প্রতিষ্ঠানের। যার মধ্যে নির্বাচন কমিশনের জাতীয় পরিচয়পত্রের তথ্য ফাঁসে ঘটনা রয়েছে।

টিজিআইয়ের তথ্য অনুযায়ী, ২০২৩ সালে ৭টি, ২০২৪ সালে ২৭টি, ২০২৫ সালে ১৪টি তথ্য ফাঁসের ঘটনা নথিভুক্ত হয়েছে। ২০২৪ সাল ছাড়া অন্য সব বছরেই সরকারি প্রতিষ্ঠানে তথ্য ফাঁসের ঘটনা বেশি ছিল। আর চলতি বছরের জানুয়ারি থেকে মে পর্যন্ত ৫ মাসে ২০টি তথ্য ফাঁসের ঘটনা নথিভুক্ত করেছে টিজিআই। এর মধ্যে সরকারি প্রতিষ্ঠানে ১৩টি এবং বেসরকারি প্রতিষ্ঠানে ৭টি। তবে এসব তথ্যের ফাঁসের ঘটনায় সবচেয়ে বেশি গুরুত্ব দেওয়া হয়েছে নির্বাচন কমিশন সংশ্লিষ্ট ঘটনাগুলোকে।

টিজিআইয়ের প্রতিবেদনে ২০২৩ থেকে ২০২৬ সালের মধ্যে অন্তত পাঁচটি ঘটনার উল্লেখ রয়েছে। প্রতিবেদনে বলা হয়েছে, নির্বাচন কমিশনে থাকা জাতীয় তথ্যভান্ডারে সরাসরি অনুপ্রবেশের প্রমাণ না মিললেও তৃতীয় পক্ষের যাচাইব্যবস্থা ও প্রবেশাধিকারে নিরাপত্তা ঘাটতি আছে।

তথ্যফাঁসের একের পর এক ঘটনা ঘটলেও এর পরিপ্রেক্ষিতে অর্থবহ আইনি ব্যবস্থা নেওয়ার নজির খুবই সীমিত বলে টিজিআইয়ের প্রতিবেদনে উল্লেখ করা হয়েছে। একই সঙ্গে তৃতীয় পক্ষের তথ্য ব্যবহারের শর্ত এবং এ ক্ষেত্রে জবাবদিহির কাঠামো কতটা স্পষ্ট, তা নিয়েও প্রশ্ন রয়েছে।

ব্যক্তিগত তথ্য সুরক্ষা আইন, ২০২৬-এ প্রথমবারের মতো তথ্যফাঁসের ঘটনা ঘটলে সংশ্লিষ্ট কর্তৃপক্ষকে তা জানানোর বাধ্যবাধকতা যুক্ত করা হয়েছে।

টিজিআইয়ের মতে, আইনটি তথ্যফাঁসের ক্ষেত্রে বাধ্যতামূলক নোটিফিকেশনের ব্যবস্থা করলেও রাষ্ট্রীয় সংস্থাগুলোর জন্য বিস্তৃত ছাড়, আইন বাস্তবায়নে বিলম্ব এবং জবাবদিহির দুর্বলতা নিয়ে উদ্বেগ রয়ে গেছে।

এমএইচএইচ/জেবি