भारत में संप्रभु क्लाउड केवल देश में रखा डेटा नहीं—नियंत्रण भी साबित करना होगा
भारत में सरकारी संप्रभु क्लाउड का विश्वसनीय अर्थ केवल यह नहीं है कि डेटा देश के भीतर रखा गया है। दावा तभी परखा जा सकता है जब विभाग दिखा सके कि कार्यभार कहाँ संसाधित होता है, प्रशासकीय पहुँच किसे मिलती है, कूटलेखन कुंजियाँ कौन नियंत्रित करता है और संकट अथवा अनुबंध समाप्त होने पर सेवा किसके अधिकार में रहती है।
इस परीक्षण के सात हिस्से हैं: डेटा वर्गीकरण, निवास और प्रसंस्करण स्थान, कानूनी क्षेत्राधिकार, संचालन तथा विशेषाधिकार प्राप्त पहुँच, कूटलेखन कुंजी, आपदा-पुनर्प्राप्ति और विक्रेता से निकास। यह भारत की किसी एक अधिसूचित सार्वभौमिक परिभाषा का विकल्प नहीं, बल्कि उपलब्ध सरकारी दस्तावेजों और लागू भारतीय नियंत्रणों को खरीद तथा लेखा-परीक्षा योग्य प्रश्नों में बदलने वाली जाँच-सूची है।
भारत में संप्रभुता की कसौटी अभी केवल स्थान नहीं है
भारत में बन रही व्यापक नीति का अंतिम रूप अभी तय नहीं है। Moneycontrol की 5 अगस्त 2026 की रिपोर्ट के अनुसार MeitY के तहत गठित समिति डेटा की संवेदनशीलता के साथ प्रदाता के स्वामित्व, संचालन नियंत्रण, डेटा-निवास, कानूनी क्षेत्राधिकार और अनुपालन दायित्वों पर विचार कर रही थी; मंत्रालय ने उस रिपोर्ट के प्रकाशन तक औपचारिक उत्तर नहीं दिया था। इसलिए इन विचाराधीन कसौटियों को अंतिम अधिसूचित नीति नहीं माना जाना चाहिए।
व्यावहारिक अंतर स्पष्ट है: भारत में मौजूद सर्वर को किसी दूसरे देश से प्रशासित किया जा सकता है, प्रदाता या उसकी मूल कंपनी दूसरे क्षेत्राधिकार के आदेशों के अधीन हो सकती है और सहायता दल संवेदनशील प्रणाली में ऐसा प्रवेश पा सकता है जिसे ग्राहक स्वतंत्र रूप से रोक या जाँच न सके। तुलनात्मक उदाहरण के रूप में यूरोपीय आयोग की रूपरेखा संप्रभुता के 48 मानदंडों को रणनीतिक, कानूनी, डेटा, संचालन, आपूर्ति-श्रृंखला, तकनीकी, सुरक्षा-अनुपालन और पर्यावरणीय स्थिरता सहित आठ क्षेत्रों में बाँटती है। यह भारत का नियम नहीं है, लेकिन पुष्टि करती है कि केवल डेटा केंद्र का पता संपूर्ण नियंत्रण का प्रमाण नहीं बनता।
वर्गीकरण से तय हो कि कार्यभार कहाँ चल सकता है
हर सरकारी कार्यभार को समान सुरक्षा स्तर देना उचित नहीं होगा। विभाग को पहले डेटा का स्वामी, संवेदनशीलता, लागू कानून और उसके खुलने, बदलने या अनुपलब्ध होने का प्रभाव दर्ज करना चाहिए। यही वर्गीकरण अनुमत तैनाती, पहुँच की कठोरता, बैकअप व्यवस्था और निकास शर्तों से जुड़ना चाहिए।
MeitY की संकेतात्मक तैनाती तालिका सुरक्षा, वित्तीय पहलुओं या संचालन स्थिरता पर प्रतिकूल प्रभाव डाल सकने वाले अनुप्रयोगों और डेटा को श्रेणी-ए में रखती है; Aadhaar, PAN, पासपोर्ट, UPI और मतदाता पहचान इसके उदाहरण हैं। तालिका इस श्रेणी के लिए NIC, पात्र सरकारी संस्थाओं और राज्य डेटा केंद्रों जैसे सरकारी प्रदाताओं या MeitY द्वारा अधिसूचित किए जाने वाले संप्रभु क्लाउड प्रदाताओं का विकल्प देती है। दोनों विकल्पों में आपदा-पुनर्प्राप्ति सरकारी प्रदाता के पास रखने और नियमित बैकअप का सुरक्षा उपाय भी दिया गया है।
वर्गीकरण में केवल मुख्य डेटाबेस नहीं, उसकी सभी प्रतियाँ शामिल होनी चाहिए: बैकअप, खोज-सूचकांक, निगरानी अभिलेख, अस्थायी प्रतियाँ, सहायता के लिए निकाला गया डेटा और पुनर्प्राप्ति स्थल। मुख्य डेटाबेस भारत में होने पर भी अनियंत्रित विदेशी स्थान पर गया अभिलेख या बैकअप निवास के दावे को अधूरा कर सकता है।
सात-बिंदु नियंत्रण परीक्षण
निम्न कसौटियाँ किसी घोषित एकल सरकारी मानक के रूप में प्रस्तुत नहीं की जा रही हैं। इनका उद्देश्य निविदा, वास्तुकला समीक्षा और लेखा-परीक्षा में संप्रभुता के दावे को जाँचने योग्य बनाना है। वित्तीय क्षेत्र की विनियमित संस्थाओं पर लागू RBI के सूचना-प्रौद्योगिकी आउटसोर्सिंग निर्देश ग्राहक संस्था के नियंत्रण में कूटलेखन कुंजियाँ और हार्डवेयर सुरक्षा मॉड्यूल रखने को वरीयता देते हैं तथा भूमिका-आधारित पहुँच, न्यूनतम विशेषाधिकार, बहु-कारक प्रमाणीकरण, पुनर्प्राप्ति अभ्यास, नियमित लेखा-परीक्षा और सुव्यवस्थित निकास के नियंत्रण निर्धारित करते हैं। ये सभी सरकारी विभागों की परिभाषा नहीं हैं, पर प्रमाण के स्वरूप का उपयोगी भारतीय आधार देते हैं।
- डेटा वर्गीकरण: हर कार्यभार का स्वामी, संवेदनशीलता, लागू नियम और संभावित प्रभाव दर्ज हों। वर्ग बदलने पर तैनाती तथा पहुँच नीति की समीक्षा अनिवार्य हो।
- डेटा-निवास: अनुबंध बताए कि स्थिर डेटा, प्रसंस्करण, बैकअप, अभिलेख और अस्थायी प्रतियाँ किन स्थानों पर रह सकती हैं। इसका प्रमाण संसाधन सूची, क्षेत्रीय विन्यास और विचलन रिपोर्ट से मिले।
- कानूनी क्षेत्राधिकार: प्रदाता, मूल कंपनी और उप-ठेकेदार किन देशों के कानूनों के अधीन हैं, इसकी सूची हो। विदेशी आदेश, अधिग्रहण, विवाद या दिवालियापन के प्रभाव का कानूनी आकलन भी दर्ज किया जाए।
- संचालन और प्रशासकीय पहुँच: उत्पादन में बदलाव की स्वीकृति, प्रदाता के प्रवेश का स्थान और अवधि तथा आपात पहुँच की प्रक्रिया स्पष्ट हो। प्रमाण में न्यूनतम विशेषाधिकार, बहु-कारक प्रमाणीकरण, दोहरी स्वीकृति, सत्र अभिलेख और पहुँच वापस लेने की क्षमता शामिल हो सकती है।
- कूटलेखन कुंजी: कुंजी बनाने, रखने, बदलने, रोकने और नष्ट करने का अधिकार तय हो। व्यवस्था यह दिखाए कि प्रदाता अकेले ग्राहक का संवेदनशील डेटा नहीं खोल सकता।
- आपदा-पुनर्प्राप्ति: प्रतिकृति का स्थान, संकट में नियंत्रण लेने वाली टीम और बाहरी निर्भरताएँ दर्ज हों। योजना के साथ अभ्यास के परिणाम, सुधार कार्य और स्वीकृत पुनर्प्राप्ति लक्ष्य भी माँगे जाएँ।
- निकास और विक्रेता नियंत्रण: डेटा, विन्यास, पहचान-संबंधी सामग्री और अभिलेख उपयोग योग्य रूप में वापस मिलने चाहिए। अनुबंध में स्थानांतरण सहायता, समय-सीमा, सुरक्षित मिटाने का स्वतंत्र प्रमाण और उप-ठेकेदारों पर समान शर्तें हों।
दावे को लगातार मिलने वाले प्रमाण से जोड़ें
निविदा में “डेटा भारत में रहेगा” लिख देना पर्याप्त परीक्षण नहीं है। प्रत्येक कसौटी के साथ उत्तरदायी पक्ष, नियंत्रण का तकनीकी स्थान, अपेक्षित प्रमाण और जाँच की आवृत्ति जोड़नी चाहिए। प्रशासकीय पहुँच के लिए स्वीकृति अभिलेख, विशेषाधिकार सूची और सत्र विवरण उपयोगी हो सकते हैं; निवास के लिए संसाधन सूची, बैकअप स्थान तथा क्षेत्रीय नीति से विचलन की रिपोर्ट माँगी जा सकती है।
प्रमाण केवल खरीद के समय नहीं, पूरी सेवा अवधि में उपलब्ध रहना चाहिए। प्रदाता की स्वामित्व संरचना, उप-ठेकेदार, प्रशासकीय दल या पुनर्प्राप्ति स्थल बदलने से नियंत्रण का स्तर भी बदल सकता है। अनुबंध में महत्वपूर्ण बदलाव की पूर्व सूचना, लेखा-परीक्षा का अधिकार, सुधार की समय-सीमा और गंभीर उल्लंघन पर हस्तक्षेप या निकास की व्यवस्था इसलिए आवश्यक है।
संप्रभुता को एक समान मुहर मानने के बजाय डेटा के प्रभाव के अनुपात में नियंत्रण चुने जा सकते हैं। फिर भी किसी भी स्तर पर दावा तभी सार्थक होगा जब विभाग प्रमाणित कर सके कि डेटा और उसकी प्रतियाँ कहाँ हैं, किन व्यक्तियों तथा कानूनों की पहुँच में हैं, कुंजियों का अंतिम नियंत्रण किसके पास है और प्रदाता के विफल होने पर आवश्यक सेवा कैसे जारी रहेगी।
यह भी पढ़ें:
हमारे न्यूज़लेटर की सदस्यता लें
Web3, AI और क्रिप्टो की नवीनतम खबरें सीधे अपने इनबॉक्स में पाएँ।