অনন্য এক ইকোসিস্টেম সুরক্ষিত করা

দুই দশকেরও বেশি সময় ধরে, Roblox আশাবাদ ও ভদ্রতার মাধ্যমে এক বিলিয়ন মানুষকে সংযুক্ত করার মিশনে রয়েছে। সেই মিশনটি চলে বিশ্বাস—বিশ্বাস যে প্ল্যাটফর্মটি নিরাপদ, যা প্রতিদিন ১২০ মিলিয়নেরও বেশি সক্রিয় ব্যবহারকারী তৈরি, খেলাধুলা এবং সম্প্রদায় গড়ে তোলে। সেই বিশ্বাস বজায় রাখতে এমন একটি নিরাপত্তা প্রোগ্রাম প্রয়োজন, যা শিল্পে কোনো বাস্তব পূর্বদৃষ্টান্ত ছাড়াই তৈরি করা হয়েছে।

অধিকাংশ এন্টারপ্রাইজ সিকিউরিটি দল তাদের নিজস্ব ইঞ্জিনিয়ারদের লেখা কোড, তাদের নিজস্ব দল পরিচালিত সিস্টেম এবং তাদের নিজস্ব ব্যবসা উৎপন্ন করা ডেটা সুরক্ষিত করে। Roblox-এ, এটি চিত্রের কেবল একটি অংশ। আমাদের প্ল্যাটফর্ম চালিত হয় লক্ষ লক্ষ বাহ্যিক নির্মাতা, একটি লাইভ ভার্চুয়াল অর্থনীতি, এবং একটি অবকাঠামো দ্বারা যা মালিকানাধীন ডেটা সেন্টার, ক্ষণস্থায়ী ক্লাউড পরিবেশ, এবং অভ্যন্তরীণ পরিষেবা জুড়ে বিস্তৃত। এগুলো সবই একযোগে চলছে, এবং সবকিছুর জন্যই ধারাবাহিক সুরক্ষা প্রয়োজন। এটি তৈরি করা নিরাপত্তা চ্যালেঞ্জগুলো প্রযুক্তির অন্য কোনো কিছুর মতোই নয়। নিচে, আমি শেয়ার করছি আমরা কীভাবে সেই চ্যালেঞ্জগুলো সম্পর্কে ভাবি, সেগুলো মোকাবেলা করতে আমরা কী তৈরি করেছি, এবং পরবর্তী গন্তব্য কোথায়।

অনন্য এক ইকোসিস্টেম

আমাদের নিজস্ব দলগুলো তৈরি করা কোড সুরক্ষিত করার পাশাপাশি, Roblox-এর ব্যবসায়িক মডেলটি নির্ভর করে লক্ষ লক্ষ বাহ্যিক নির্মাতাদের লেখা অবিশ্বস্ত কোড চালানোর উপর। প্রতিদিন, Roblox নতুন, অনভিজ্ঞ এবং মাঝে মাঝে আমাদের সুরক্ষা এড়ানোর চেষ্টা করে এমন নির্মাতাদের স্ক্রিপ্ট চালায়। এজন্যই আমাদের নিরাপত্তা মডেলকে ধরে নিতে হয় যে যেকোনো কোড ক্ষতিকর বা শোষণযোগ্য হতে পারে। স্যান্ডবক্সিং, বিচ্ছিন্নতা এবং রানটাইম মনিটরিং এখানে শুধু ভালো-থাকার বিষয় নয়; এগুলোই সেই ভিত্তি যার ওপর পুরো প্ল্যাটফর্ম চলে।

প্ল্যাটফর্মের ভিত্তিও সমানভাবে জটিল। Roblox-কে সুরক্ষিত রাখা মানে এমন ভিন্ন পরিবেশ জুড়ে ধারাবাহিক হুমকি পর্যবেক্ষণ এবং নীতি প্রয়োগ বজায় রাখা: স্থায়ী পরিধিসহ মালিকানাধীন ডেটা সেন্টার থেকে কয়েক সেকেন্ডে চালু হয়ে অদৃশ্য হয়ে যাওয়া অস্থায়ী ক্লাউড ইনস্ট্যান্স পর্যন্ত। এর জন্য প্রয়োজন এমন স্বয়ংক্রিয়তা এবং ডোমেইন গভর্নেন্স যা একসঙ্গে উভয় গতিতে কাজ করতে সক্ষম। এবং প্রচলিত এন্টারপ্রাইজ নিরাপত্তার মতো নয়, যেখানে প্রধান সম্পদগুলো অভ্যন্তরীণ ডেটা ও সিস্টেম, Roblox-এর আক্রমণ পৃষ্ঠে রয়েছে একটি জীবন্ত অর্থনীতি: বাস্তব মুদ্রাগত মূল্যের বিনিময়ে বিক্রি হওয়া লক্ষ লক্ষ ভার্চুয়াল আইটেম, ব্যবহারকারী-উৎপাদিত মেধাসত্তা যা নির্মাতারা তাদের জীবিকা নির্বাহের জন্য নির্ভর করেন, এবং কোটি কোটি মানুষকে সেবা দেওয়া চ্যাট অবকাঠামো। 

যদি কোনো নিরাপত্তা লঙ্ঘন ঘটে, তা কেবল একটি ডেটা ঘটনা নয়, এটি বাস্তব মানুষ এবং বাস্তব আয়ের সরাসরি ক্ষতি। এই বাস্তবতাই আমাদের প্রতিটি সিদ্ধান্তকে গড়ে তোলে। আমাদের উত্তর তারা হলো Roblox-কে বৃহৎ পরিসরে সবচেয়ে নিরাপদ গেমিং প্ল্যাটফর্ম হিসেবে গড়ে তোলা: এমন একটি প্ল্যাটফর্ম যেখানে নির্মাতা এবং খেলোয়াড়রা কখনোই সাইবার নিরাপত্তার কথা ভাবতে হয় না। আমরা অগ্রগতি পরিমাপ করি প্রতিরোধকৃত ঘটনা, দলগুলো কত দ্রুত নিরাপদে সফটওয়্যার সরবরাহ করতে পারে, আমাদের অভ্যন্তরীণ প্ল্যাটফর্মগুলো কতটা ব্যাপকভাবে গ্রহণ করা হয়েছে, এবং বৃহত্তর সম্প্রদায়ের জন্য আমরা যে গবেষণা অবদান রাখি তার ভিত্তিতে।

নিরাপত্তা একটি সক্ষমকারী, গেটকিপার নয়

এন্টারপ্রাইজ নিরাপত্তার সম্মতি-চালিত মডেলটি শেষ হয়ে গেছে। যেসব নিরাপত্তা দল শুধুমাত্র প্রয়োজনীয়তা নিয়ে আসে এবং অংশীদারদের বাস্তবায়ন নিজেই খুঁজে বের করতে বলে, তারা ব্যর্থ হবে। এর কারণ ইঞ্জিনিয়াররা নিরাপত্তার ব্যাপারে উদাসীন নয়, বরং হাজার হাজার ইঞ্জিনিয়ারকে হাতে তৈরি নিরাপত্তা নিয়ন্ত্রণ বাস্তবায়ন করানো অদক্ষ। যদি প্ল্যাটফর্মটি নিজেই ডিফল্টভাবে সুরক্ষিত না হয়, তবে নিরাপত্তা বড় পরিসরে কার্যকর করা যাবে না।

Roblox সম্মতি-চালিত মডেলটিকে উল্টে দেয়, এমন অভ্যন্তরীণ পণ্য তৈরি করে যা নিরাপদ পথটিকে সহজ পথ করে তোলে, ডেভেলপারদের দায়িত্ব সরিয়ে নেওয়া ছাড়াই। বাস্তবে, এর মানে হচ্ছে গোপন কী-গুলো স্বয়ংক্রিয়ভাবে পরিবর্তিত হয়, তাই কোনো ইঞ্জিনিয়ারকে ক্রেডেনশিয়াল রিফ্রেশ করতে মনে রাখতে হয় না। ইঞ্জিনিয়ারদের নিজেই এটি সংযুক্ত করতে না দিয়ে, ডিফল্টভাবে প্রমাণীকৃত সার্ভিস-টু-সার্ভিস যোগাযোগের দিকে কাজ করা আমাদের উত্তর তারকা (North Star) হিসেবে রয়েছে। সিকিউরিটি স্কোরকার্ড প্রতিটি দলকে তাদের নিরাপত্তা অবস্থানের একটি লাইভ ভিউ দেয়। নিরাপদ পছন্দ ইতিমধ্যেই উপলব্ধ—স্কোরকার্ড শুধু দেখায় এটি ব্যবহার হচ্ছে কিনা এবং আরও কী করা যেতে পারে।

দ্রুত পরিবর্তনশীল পরিবেশে সুচিন্তিত এআই গ্রহণ

যেখানে শিল্পক্ষেত্রে এআই টুলগুলো কীভাবে পরিচালনা করা হবে তা নিয়ে বিতর্ক চলছে—কিছু কোম্পানি কোনো নিয়ন্ত্রণ ছাড়াই সেগুলো অনুমোদন করছে, আবার কিছু কোম্পানি সম্পূর্ণরূপে ব্লক করছে—Roblox ভিন্ন কিছু করছে। আমরা এআই গ্রহণকে একটি সমাধানযোগ্য ইঞ্জিনিয়ারিং ও নিরাপত্তা সমস্যা হিসেবে দেখছি, এবং আমরা যা শিখছি তা বৃহত্তর সম্প্রদায়ের সাথে ভাগ করে নিচ্ছি। Roblox-এ সুচিন্তিত গ্রহণ মানে আমরা পরীক্ষা করি, নিয়ন্ত্রণ তৈরি করি, তারপর বিশ্বাস করি এবং পর্যবেক্ষণ করি। 

উদাহরণস্বরূপ, অভ্যন্তরীণভাবে এআই কোড টুলিং অনুমোদনের আগে, আমরা একটি স্যান্ডবক্সড পরিবেশ তৈরি করেছি। এই ধরনের কঠোর যাচাইকরণ নির্ধারণ করে যে প্রতিটি নতুন এআই টুল কীভাবে অভ্যন্তরীণ ব্যবহারের জন্য অনুমোদিত হবে। লক্ষ্য ধীর করা নয়; বরং নিশ্চিত করা যে আমরা দ্রুত এগিয়ে যাওয়ার সময় এমন কোনো ঝুঁকি তৈরি না করি যা অনেক দেরি না হওয়া পর্যন্ত অদৃশ্য থাকে। এইভাবে, আমরা ঠিক সেই দক্ষতাগুলিতে হাতে-কলমে দক্ষতা অর্জন করছি যেগুলো শিল্প এখন নিয়োগের জন্য হাহাকার করছে—২০২০ সাল থেকে এআই-সংক্রান্ত সাইবার নিরাপত্তা দক্ষতার চাহিদা ২.৫ গুণ বৃদ্ধি পেয়েছে।

সম্প্রদায়ের প্রতি আমাদের প্রতিশ্রুতি

তথ্য নিরাপত্তা মূলত একটি সম্মিলিত প্রতিরক্ষা সমস্যা। কোনো একক কোম্পানির প্রাচীরই একাকী একটি উৎসাহী শত্রুকে প্রতিহত করার জন্য যথেষ্ট উঁচু নয়, এবং যখন অনুশীলনকারীরা তারা যা শিখেছে তা ভাগাভাগি করে, তখনই শিল্প আরও শক্তিশালী হয়। হুমকির পরিবেশ ক্রমাগত বিকশিত হবে—এআই শত্রুতাপূর্ণ হুমকি এবং হুমকি সৃষ্টিকারীদের ত্বরান্বিত করছে—এবং রোবলোক্সের এটির মোকাবিলা করার পদ্ধতিও বিকশিত হবে। যেটি পরিবর্তন হবে না তা হল—সৃষ্টিশীলদের প্রতি আমাদের অঙ্গীকার, যারা তাদের কাজ ও জীবিকা আমাদের হাতে অর্পণ করেন; খেলোয়াড়দের প্রতি, যারা প্রতিদিন একটি নিরাপদ অভিজ্ঞতা আশা করে উপস্থিত হন; এবং সেই বিস্তৃত নিরাপত্তা সম্প্রদায়ের প্রতি, যার অংশ হতে পেরে আমরা গর্বিত।

এই মাত্রার নিরাপত্তা, এত জটিলতার সঙ্গে, এর কোনো শেষ নেই। কিন্তু আমাদের দর্শন অপরিবর্তিত: এমন সিস্টেম তৈরি করা যাতে নিরাপত্তা ব্যতিক্রম না হয়ে ডিফল্ট হয়। এমন গবেষণা ও সরঞ্জামে বিনিয়োগ করা যা ক্রমবর্ধমান হুমকির সঙ্গে তাল মিলিয়ে চলে। এবং আমরা যা শিখি তা শেয়ার করা যাতে পুরো শিল্প আরও শক্তিশালী হয়।