PISF 2026 منظور، مگر عمل درآمد کی گھڑی ابھی واضح نہیں
اسلام آباد میں 10 اگست 2026 کو وفاقی کابینہ نے Pakistan Information Security Framework 2026 منظور کیا اور مقررہ مدت میں مؤثر نفاذ کی ہدایت دی۔ سرکاری خبر رساں ادارے کی کابینہ رپورٹ منظوری کی تصدیق کرتی ہے، لیکن اس میں ادارہ وار آخری تاریخیں یا مرحلہ وار جدول شائع نہیں کیا گیا۔
6 ستمبر کو سامنے آنے والی تفصیل نے اسی فیصلے کی اہم شرط واضح کی: کابینہ نے وزارتِ انفارمیشن ٹیکنالوجی و ٹیلی کمیونیکیشن کو فریم ورک میں نفاذ کی واضح مدتیں اور آزاد تیسرے فریق کے آڈٹ کی گنجائش شامل کرنے کی ہدایت دی۔ Business Recorder کی 6 ستمبر کی رپورٹ منظوری اور دونوں ہدایات درج کرتی ہے، مگر کوئی مکمل ادارہ وار schedule نہیں دیتی؛ اس لیے درست موجودہ حیثیت یہ ہے کہ فریم ورک منظور ہے، جبکہ اس کی عوامی نفاذی گھڑی پوری طرح متعین نہیں۔
منظوری ہوئی ہے، مگر کون سی تفصیل باقی ہے
کابینہ کی منظوری PISF 2026 کو زیرِ غور مسودے سے منظور شدہ سرکاری فریم ورک کی سطح پر لے آئی ہے۔ البتہ منظوری، notification، مؤثر ہونے کی تاریخ اور ہر control کی آخری تاریخ ایک ہی چیز نہیں؛ دستیاب عوامی رپورٹنگ notification نمبر، عبوری مدت، اداروں کی الگ deadlines یا عدم تعمیل کے نتائج بیان نہیں کرتی۔
اسی فرق سے عنوان کی ظاہری کشمکش پیدا ہوتی ہے۔ حکومت نے مؤثر نفاذ کو مقررہ مدت سے جوڑا، پھر واضح timelines شامل کرنے کی ہدایت بھی سامنے آئی، لیکن عوامی مواد میں وہ مکمل calendar موجود نہیں جس سے کوئی ادارہ اپنی حتمی تاریخ نکال سکے۔ اس کا مطلب یہ نہیں کہ حکومت کے اندر کوئی schedule سرے سے موجود نہیں؛ صرف اتنا کہا جا سکتا ہے کہ مکمل ادارہ وار جدول عوامی طور پر دستیاب ذرائع میں واضح نہیں۔
دائرۂ اطلاق کا محتاط فیصلہ درخت
National CERT کی merged دستاویز براہِ راست دائرۂ اطلاق میں وفاقی اور صوبائی وزارتوں، ڈویژنز اور محکموں، خود مختار اداروں، کارپوریشنز، CERTs اور نامزد Critical Information Infrastructures کو رکھتی ہے۔ اسی متن کے مطابق عمل درآمد کا حجم ادارے کے سائز کے لحاظ سے مختلف ہو سکتا ہے۔
- اگر ادارہ ان سرکاری یا نیم خود مختار اقسام میں شامل ہے تو بنیادی PISF controls کو اپنے systems، data اور processes کے مقابل رکھنا اس کے scope assessment کا نقطۂ آغاز ہے۔
- اگر ادارہ یا شعبہ باضابطہ طور پر CII نامزد ہے تو CII protection controls بھی لاگو دائرے میں آتے ہیں۔ محض اہم کاروبار چلانا خود بخود designation کا ثبوت نہیں۔
- اپنا data centre چلانے یا web-hosting service استعمال یا فراہم کرنے والے ادارے متعلقہ data-centre اور hosting controls دیکھیں گے۔ software design، development یا maintenance کرنے والوں کے لیے SSDLC controls متعلقہ ہوتے ہیں۔
- کسی نجی کمپنی کو صرف سرکاری ادارے کا vendor ہونے کی وجہ سے پورے فریم ورک کے براہِ راست قانونی scope میں فرض نہیں کیا جا سکتا۔ معاہدے، procurement terms، متعلقہ regulator اور CII designation یہ طے کر سکتے ہیں کہ کون سے تقاضے supply chain کے ذریعے اس تک پہنچتے ہیں۔
یہاں ایک اہم حد بھی ہے: کابینہ کو پیش کی گئی notification تجویز میں تمام سرکاری و نجی اداروں کے لیے قومی baseline کی وسیع زبان استعمال ہوئی، جبکہ شائع شدہ merged دستاویز کی applicability شق مخصوص سرکاری اقسام، CERTs اور designated CIIs کو نام دیتی ہے۔ حتمی notification یا نظرثانی شدہ متن آنے تک وسیع تجویز کو ہر نجی ادارے پر فوری اور یکساں قانونی اطلاق کہنا قبل از وقت ہوگا۔
13 control domains کی ترجیح کیسے بنتی ہے
فریم ورک 13 control documents پر مشتمل ہے، مگر اس کا اپنا roadmap انہیں ایک ساتھ شروع کرنے کے بجائے مرحلہ وار ترتیب دیتا ہے۔ پہلے governance، پھر asset and risk management، اس کے بعد operational controls اور آخر میں audit validation آتے ہیں؛ security training تمام مراحل میں شامل رہتی ہے۔
- Governance: پالیسی، ذمہ داریاں، oversight، بجٹ، reporting lines اور مفادات کے ٹکراؤ سے بچاؤ کی ساخت واضح کی جاتی ہے۔
- Asset and Risk Management: assets، systems، data، owners، dependencies اور خطرات کی حدود متعین کی جاتی ہیں تاکہ controls کا اطلاق قابلِ وضاحت ہو۔
- Operational controls: system and communication protection، identity and access management، data protection and privacy، incident response، physical security اور supply-chain management کو risk کے مطابق نافذ کیا جاتا ہے۔
- مشروط domains: data centre and web hosting، secure software development lifecycle اور CII protection صرف متعلقہ سرگرمی یا designation کی صورت میں شامل ہوتے ہیں۔
- Validation: audit controls یہ جانچتے ہیں کہ control صرف کاغذ پر موجود ہے یا دستاویزی ثبوت کے ساتھ مؤثر طور پر چل بھی رہا ہے۔
یہ ترتیب کسی سرکاری deadline کی جگہ نہیں لیتی۔ اس کی افادیت یہ ہے کہ ادارہ نامعلوم آخری تاریخ کے انتظار میں بنیادی dependencies نظرانداز نہ کرے: governance اور asset boundaries واضح ہوئے بغیر بعد کے technical controls یا audit findings کی نسبت درست owner سے جوڑنا مشکل رہتا ہے۔
آزاد آڈٹ سے پہلے کون سا ثبوت تیار ہو سکتا ہے
آزاد تیسرے فریق کے آڈٹ کا حتمی طریقۂ کار ابھی عوامی تفصیل کا منتظر ہے، لیکن PISF کی شائع شدہ compliance structure پہلے ہی controls کو in scope یا out of scope قرار دینے اور implementation maturity جانچنے کا تقاضا بیان کرتی ہے۔ اسی بنیاد پر ادارہ ایسا evidence register تیار کر سکتا ہے جو ہر control کو متعلقہ system، owner، منظوری اور تازہ record سے جوڑے۔
- منظور شدہ security policies، steering committee کے فیصلے، ذمہ داریوں کی RACI تقسیم اور exception register؛
- asset inventory، data classification، system boundaries، risk register اور CII designation کا دستیاب ریکارڈ؛
- صارف اور privileged access کی منظوری، باقاعدہ reviews، account removal اور authentication records؛
- configuration baselines، patching اور vulnerability records، security logs، monitoring، backups اور restoration tests؛
- incident-response plan، مشقوں اور واقعات کا record، privacy اور retention فیصلے، physical-access logs اور supplier due diligence؛
- ہر applicable control کی موجودہ maturity، دستیاب evidence، معلوم gap، remediation owner اور اندرونی ہدفی تاریخ۔
Out of scope لکھ دینا بذاتِ خود کافی ثبوت نہیں۔ فریم ورک کی compliance table اس فیصلے کو organizational context، processes، systems، data اور risk exposure سے جوڑتی ہے؛ اس لیے اخراج کی وجہ اور منظوری محفوظ ہونا ضروری ہے۔ دوسری طرف، کابینہ کی نئی audit شرط کے تحت auditor کی اہلیت، تقرری، accreditation، رپورٹ وصول کرنے والی authority اور audit cadence کے حتمی قواعد ابھی سرکاری وضاحت چاہتے ہیں۔
اب کس سرکاری دستاویز کا انتظار ہے
موجودہ تصویر میں تین باتیں الگ رکھنا ضروری ہیں: 10 اگست کی کابینہ منظوری ثابت ہے، 6 ستمبر کی تفصیل واضح timelines اور independent third-party audit کی ہدایت بتاتی ہے، اور شائع شدہ framework scope، domains اور compliance assessment کی بنیادی ساخت فراہم کرتا ہے۔ غیر واضح حصہ entity-wise schedule، transition period، نظرثانی شدہ حتمی متن اور آزاد audit کے انتظامی قواعد ہیں۔
اگلا فیصلہ کن اشارہ وزارتِ آئی ٹی یا National CERT کی طرف سے notification، revised framework، annexure، implementation circular یا باقاعدہ timeline ہوگا۔ اس سے پہلے ادارے scope، ownership، maturity gaps اور موجودہ evidence منظم کر سکتے ہیں، مگر اپنی بنائی ہوئی تاریخ، کسی vendor کی control گنتی یا مجوزہ وسیع scope کو سرکاری طور پر جاری حتمی حکم نہیں کہنا چاہیے۔
یہ بھی پڑھیں:
ہمارا نیوز لیٹر سبسکرائب کریں
ویب 3، AI اور کرپٹو کی تازہ خبریں براہ راست اپنے اِن باکس میں پائیں۔