एक ऐसा पारिस्थितिकी तंत्र सुरक्षित करना जो किसी और जैसा नहीं है

दो दशकों से अधिक समय से, Roblox आशावाद और सभ्यता के साथ एक अरब लोगों को जोड़ने के मिशन पर है। यह मिशन विश्वास पर चलता है—यह विश्वास कि यह प्लेटफ़ॉर्म उन 120 मिलियन से अधिक दैनिक सक्रिय उपयोगकर्ताओं1 के लिए सुरक्षित है जो समुदायों का निर्माण करते हैं, खेलते हैं और उन्हें विकसित करते हैं। उस विश्वास को बनाए रखने के लिए एक ऐसे सुरक्षा कार्यक्रम की आवश्यकता है जो एक ऐसी चुनौती के लिए बनाया गया हो जिसकी उद्योग में कोई वास्तविक मिसाल नहीं है।

अधिकांश एंटरप्राइज़ सुरक्षा टीमें अपने ही इंजीनियरों द्वारा लिखे गए कोड, अपनी ही टीमों द्वारा संचालित सिस्टम, और अपने ही व्यवसाय द्वारा उत्पन्न डेटा की सुरक्षा करती हैं। Roblox में, यह तस्वीर का केवल एक हिस्सा है। हमारा प्लेटफ़ॉर्म लाखों बाहरी रचनाकारों, एक लाइव वर्चुअल अर्थव्यवस्था, और एक ऐसे बुनियादी ढांचे से संचालित होता है जो हमारे स्वामित्व वाले डेटा सेंटर, क्षणिक क्लाउड वातावरण, और आंतरिक सेवाओं तक फैला हुआ है। यह सब एक साथ चल रहा है, और सभी को निरंतर सुरक्षा की आवश्यकता है। इससे उत्पन्न होने वाली सुरक्षा चुनौतियाँ तकनीक में वास्तव में किसी भी अन्य चीज़ से अलग हैं। नीचे, मैं साझा करूँगा कि हम उन चुनौतियों के बारे में कैसे सोचते हैं, उन्हें संबोधित करने के लिए हमने क्या बनाया है, और हम आगे किस दिशा में बढ़ रहे हैं।

अन्य किसी से भिन्न एक पारिस्थितिकी तंत्र

हमारी अपनी टीमों द्वारा उत्पादित कोड को सुरक्षित करने के अलावा, Roblox के व्यावसायिक मॉडल में लाखों बाहरी रचनाकारों द्वारा लिखे गए अविश्वसनीय कोड को चलाना शामिल है। हर दिन, Roblox उन रचनाकारों की स्क्रिप्ट चलाता है जो नए, अनुभवहीन हो सकते हैं, और कभी-कभी, हमारी सुरक्षा को बाईपास करने के इरादे से काम करते हैं। इसीलिए हमारे सुरक्षा मॉडल को यह मानना ​​होता है कि कोड का कोई भी हिस्सा दुर्भावनापूर्ण या शोषित होने वाला हो सकता है। सैंडबॉक्सिंग, आइसोलेशन, और रनटाइम निगरानी यहाँ वैकल्पिक नहीं हैं; वे वह नींव हैं जिस पर पूरा प्लेटफ़ॉर्म चलता है।

जिस बुनियादी ढांचे पर यह प्लेटफ़ॉर्म बना है, वह भी उतना ही जटिल है। रोब्लॉक्स को सुरक्षित रखना, अत्यधिक भिन्न वातावरणों में निरंतर खतरे की दृश्यता और नीति प्रवर्तन को बनाए रखने का काम है: निश्चित परिधि वाले स्वामित्व वाले डेटा सेंटरों से लेकर क्षणिक क्लाउड इंस्टेंस तक, जो सेकंडों में चालू होते हैं और गायब हो जाते हैं। इसके लिए स्वचालन और डोमेन गवर्नेंस की आवश्यकता होती है जो एक साथ दोनों गति से काम करने में सक्षम हो। और पारंपरिक एंटरप्राइज सुरक्षा के विपरीत, जहाँ प्राथमिक संपत्तियाँ आंतरिक डेटा और सिस्टम होते हैं, रोब्लॉक्स की अटैक सरफेस में एक लाइव अर्थव्यवस्था शामिल है: वास्तविक मौद्रिक मूल्य वाली मुद्रा के लिए बिकने वाले लाखों वर्चुअल आइटम, उपयोगकर्ता-निर्मित आईपी जिस पर निर्माता अपनी आजीविका के लिए निर्भर करते हैं, और करोड़ों लोगों को सेवा देने वाला चैट इंफ्रास्ट्रक्चर। 

यदि कोई उल्लंघन होता है, तो यह सिर्फ़ एक डेटा घटना नहीं है, यह वास्तविक लोगों और वास्तविक आय को सीधा नुकसान पहुँचाता है। यह वास्तविकता हमारे हर निर्णय को आकार देती है। हमारा मुख्य लक्ष्य Roblox को बड़े पैमाने पर सबसे सुरक्षित गेमिंग प्लेटफ़ॉर्म बनाना है: एक ऐसा प्लेटफ़ॉर्म जहाँ निर्माता और खिलाड़ी कभी भी साइबर सुरक्षा के बारे में सोचे बिना काम कर सकें। हम अपनी प्रगति को रोके गए घटनाओं, साथ ही यह देखते हुए मापते हैं कि टीमें कितनी तेजी से सुरक्षित रूप से काम कर सकती हैं, हमारे आंतरिक प्लेटफ़ॉर्म कितनी व्यापक रूप से अपनाए जाते हैं, और हम व्यापक समुदाय में कितना शोध योगदान करते हैं।

सुरक्षा एक सक्षमकर्ता के रूप में, न कि एक द्वारपाल के रूप में

एंटरप्राइज़ सुरक्षा का अनुपालन-संचालित मॉडल समाप्त हो गया है। सुरक्षा टीमें जो केवल आवश्यकताओं के साथ आती हैं और भागीदारों को कार्यान्वयन का तरीका खुद खोजने के लिए छोड़ देती हैं, वे निश्चित रूप से कम पड़ जाएँगी। ऐसा इसलिए नहीं है कि इंजीनियरों को सुरक्षा की परवाह नहीं है, बल्कि इसलिए कि हजारों इंजीनियरों द्वारा हाथ से विशेष सुरक्षा नियंत्रणों को लागू करना अक्षम है। यदि प्लेटफ़ॉर्म स्वयं डिफ़ॉल्ट रूप से सुरक्षित नहीं है, तो सुरक्षा बड़े पैमाने पर लागू नहीं हो सकती।

रॉब्लॉक्स अनुपालन-संचालित मॉडल को उलट देता है, आंतरिक उत्पाद बनाकर जो डेवलपर की ज़िम्मेदारी हटाए बिना, सुरक्षित मार्ग को ही आसान मार्ग बनाते हैं। व्यावहारिक रूप से, इसका मतलब है कि गुप्त कुंजी स्वचालित रूप से बदल जाती हैं, ताकि किसी भी इंजीनियर को क्रेडेंशियल को रिफ्रेश करना याद रखने की ज़रूरत न पड़े। हमारी मुख्य प्रेरणा के रूप में, हम डिफ़ॉल्ट रूप से प्रमाणीकृत सेवा-से-सेवा संचार की दिशा में काम कर रहे हैं, ताकि इंजीनियरों को इसे स्वयं सेटअप न करना पड़े। सुरक्षा स्कोरकार्ड हर टीम को उनके सुरक्षा की स्थिति का एक लाइव व्यू देते हैं। सुरक्षित विकल्प पहले से ही उपलब्ध है—स्कोरकार्ड बस यह दिखाता है कि क्या इसका उपयोग किया जा रहा है और कहाँ और अधिक किया जा सकता है।

तेजी से बदलते परिदृश्य में विचारशील एआई अपनाना

जैसे-जैसे उद्योग इस बात पर बहस कर रहा है कि एआई टूल्स को कैसे संभाला जाए—कुछ कंपनियाँ बिना नियंत्रण के उन्हें हरी झंडी दिखा रही हैं, तो कुछ उन्हें पूरी तरह से ब्लॉक कर रही हैं—रॉब्लॉक्स कुछ अलग कर रहा है। हम एआई को अपनाने को एक इंजीनियरिंग और सुरक्षा समस्या के रूप में देख रहे हैं जिसे हल किया जाना है, और जो कुछ हम सीखते हैं उसे व्यापक समुदाय के साथ साझा कर रहे हैं। रॉब्लॉक्स में सोच-समझकर अपनाने का मतलब है कि हम परीक्षण करते हैं, हम नियंत्रण बनाते हैं, फिर हम भरोसा करते हैं और निगरानी करते हैं। 

उदाहरण के लिए, आंतरिक रूप से एआई कोड टूलिंग को हरी झंडी दिखाने से पहले, हमने एक सैंडबॉक्स्ड वातावरण बनाया। इस तरह का कठोर सत्यापन यह नियंत्रित करता है कि हर नए एआई टूल को आंतरिक उपयोग के लिए कैसे अनुमोदित किया जाता है। लक्ष्य चीजों को धीमा करना नहीं है; बल्कि यह सुनिश्चित करना है कि जैसे हम तेजी से आगे बढ़ें, हम ऐसे जोखिम पैदा न करें जो बहुत देर हो जाने तक अदृश्य रहें। इस तरह, हम ठीक उन्हीं कौशलों में व्यावहारिक विशेषज्ञता का निर्माण कर रहे हैं जिन्हें उद्योग अब काम पर रखने के लिए संघर्ष कर रहा है—20202 से एआई-संबंधी साइबर सुरक्षा कौशल की मांग 2.5 गुना बढ़ गई है।

समुदाय के प्रति हमारी प्रतिबद्धता

सूचना सुरक्षा मौलिक रूप से एक सामूहिक रक्षा समस्या है। किसी भी कंपनी की दीवारें अकेले एक प्रेरित प्रतिद्वंद्वी को रोकने के लिए पर्याप्त ऊँची नहीं हैं, और उद्योग तब ही मजबूत होता है जब पेशेवर जो कुछ उन्होंने सीखा है उसे साझा करते हैं। खतरे का परिदृश्य विकसित होता रहेगा—एआई प्रतिद्वंद्वी खतरों और खतरनाक अभिनेताओं को गति दे रहा है—जिस तरह रोब्लॉक्स का इसे सामना करने का तरीका भी विकसित होगा। जो नहीं बदलेगा वह है उन रचनाकारों के प्रति हमारी प्रतिबद्धता जो हमें अपना काम और आजीविका सौंपते हैं, वे खिलाड़ी जो हर दिन एक सुरक्षित अनुभव की उम्मीद में आते हैं, और व्यापक सुरक्षा समुदाय जिसका हिस्सा होने पर हमें गर्व है।

इतनी जटिलता के साथ, इस पैमाने पर सुरक्षा की कोई अंतिम रेखा नहीं है। लेकिन हमारा दर्शन सुसंगत है: ऐसे सिस्टम बनाएं जो सुरक्षा को अपवाद न, बल्कि मानक बनाएं। ऐसे शोध और टूलिंग में निवेश करें जो बदलते खतरे के परिदृश्य के साथ तालमेल बनाए रखें। और जो हम सीखते हैं उसे साझा करें ताकि पूरा उद्योग मजबूत हो सके।