कुडनकुलम डेटा लीक: बाड़ के बाहर, आपूर्ति-शृंखला का जोखिम

उद्धरण-योग्य पंक्ति

“डिजिटल युग में महत्वपूर्ण अवसंरचना बाड़ से घिरी कोई इमारत नहीं है; यह परतों वाली एक प्रणाली है, जिसमें प्रवेश के अनेक बिंदु हैं और उनमें से कई संचालक के नियंत्रण से बाहर हैं।” (ख्याति सिंह, द हिंदू, 27 अक्टूबर 2026)

यह संपादकीय आपकी परीक्षा के लिए क्यों महत्वपूर्ण है

चर्चा में: 27 अक्टूबर 2026 को द हिंदू के मुख्य लेख “Beyond Kudankulam’s fence, a cybersecurity challenge” (कुडनकुलम की बाड़ के पार, एक साइबर सुरक्षा चुनौती) में ख्याति सिंह ने जुलाई 2026 में पहली बार सामने आए कुडनकुलम डेटा लीक का मामला फिर उठाया, और यह सवाल रखा कि किसी महत्वपूर्ण प्रतिष्ठान का डेटा जब प्रतिष्ठान से बाहर चला जाए, तो उसकी सुरक्षा कौन करता है।

ख्याति सिंह MP-IDSA के सेंटर फ़ॉर नॉर्थ अमेरिका एंड स्ट्रैटेजिक टेक्नोलॉजीज़ (Centre for North America and Strategic Technologies) में रिसर्च एनालिस्ट (Research Analyst) हैं, और Cyber Leviathan: Digital Strategies in International Relations पुस्तक उन्हीं की लिखी है। इस साइट पर संबंधित सामग्री: AI एजेंटों पर CERT-In की एडवाइज़री पर द हिंदू का संपादकीय (अंग्रेज़ी) (21 अक्टूबर), SBI डेटा सेंधमारी और DPDP क़ानून पर उसका व्याख्यात्मक लेख (25 अक्टूबर) और FSDC की 30वीं बैठक और उसकी साइबर सुरक्षा रणनीति (अंग्रेज़ी) (23 अक्टूबर)।

सामान्य अध्ययन प्रश्नपत्र 3: आंतरिक सुरक्षा (साइबर सुरक्षा की बुनियादी बातें; संचार नेटवर्क के ज़रिए आंतरिक सुरक्षा को चुनौतियाँ) और ऊर्जा अवसंरचना। सामान्य अध्ययन प्रश्नपत्र 2: CERT-In और NCIIPC जैसे सांविधिक और नोडल निकाय।

60 शब्दों में सार

ख्याति सिंह का तर्क है कि कुडनकुलम का लीक कभी रिएक्टरों तक नहीं पहुँचा: फ़ाइलें एक वाणिज्यिक डेटा सेंटर में रखे ठेकेदार के सर्वर से निकलीं। लेखक के अनुसार भारत के नियम दायित्व संचालक पर डालते हैं, जबकि परियोजना का संवेदनशील डेटा अब ऐसे ठेकेदारों, उप-ठेकेदारों और होस्ट से होकर गुज़रता है जो मुख्यतः अनुबंधों से बँधे हैं। लेखक का उपाय: एक राष्ट्रीय ढाँचे के तहत ऐसे सुरक्षा दायित्व, जो डेटा के साथ चलें।

पृष्ठभूमि और संदर्भ

जुलाई में सामने आया लीक

15 जुलाई 2026 को रॉयटर्स ने ख़बर दी कि रैनसमवेयर समूह वर्ल्ड लीक्स (World Leaks) ने डार्क वेब पर “भारत के सबसे बड़े परमाणु संयंत्र से जुड़ी फ़ाइलों का एक विशाल भंडार डाला है, जिसमें उसकी सुविधाओं के कुछ हिस्सों के कथित ब्लूप्रिंट और आपूर्तिकर्ताओं का ब्योरा शामिल है”। इन फ़ाइलों को रिलायंस समूह से आई फ़ाइलें बताकर डाला गया था।

• आकार और समय: स्वतंत्र साइबर सुरक्षा शोधकर्ता राकेश कृष्णन के मुताबिक़, जिन्होंने सबसे पहले रॉयटर्स को इसकी जानकारी दी, लगभग 19,000 फ़ाइलें, 14.3 GB, जो 11 जून से ऑनलाइन थीं।
• सामग्री: 2016 से 2025 के मध्य तक के दस्तावेज़, जिनकी रॉयटर्स ने समीक्षा की, “लेकिन उनकी प्रामाणिकता की पुष्टि नहीं कर सका”: इकाई 3 और 4 की वेंटिलेशन और कूलिंग प्रणालियों के कथित ब्लूप्रिंट, और एक “साझा नियंत्रण कक्ष” (common control room) का फ़्लोर लेआउट। ये “परमाणु रिएक्टरों की मुख्य प्रणालियों से जुड़े नहीं लगते थे, जिनकी आपूर्ति रूस की सरकारी कंपनी रोसाटॉम (Rosatom) करती है।”
• ठेकेदार: रिलायंस समूह ने रॉयटर्स को बताया कि तीसरे पक्ष की भारतीय डेटा सेंटर कंपनी योटा (Yotta) के होस्ट किए गए एक सर्वर पर उसके डेटा में “आंशिक सेंधमारी” हुई है, और सरकार को इसकी सूचना दे दी गई है; उसने यह नहीं बताया कि कौन-सा डेटा प्रभावित हुआ।
• होस्ट: योटा ने कहा कि उसने 29 मई को रिलायंस इन्फ्रास्ट्रक्चर के लिए होस्ट किए गए एक सर्वर पर “संदिग्ध गतिविधि” देखी, उसे तुरंत रोक दिया और संदिग्ध रैनसमवेयर को चलने से पहले ही रोक लिया। जून के आख़िर में रिलायंस इन्फ्रास्ट्रक्चर ने उसे “बाहरी ख़तरा पैदा करने वालों” (external threat actors) के सेंधमारी के दावों के बारे में बताया, जिनकी पुष्टि योटा की ओर से अब तक नहीं हो पाई है।
• एजेंसी: रॉयटर्स के हवाले से एक सूत्र के मुताबिक़ CERT-In इस घटना की जाँच कर रहा था।

NPCIL का पक्ष, उसी के शब्दों में

संयंत्र का संचालन करने वाले भारतीय नाभिकीय विद्युत निगम लिमिटेड (NPCIL) ने उसी दिन एक प्रेस विज्ञप्ति में कहा, जिसे बिज़नेस टुडे ने उद्धृत किया: “NPCIL दोहराता है कि सार्वजनिक क्षेत्र में उपलब्ध बताई जा रही जानकारी केवल पारंपरिक बैलेंस ऑफ़ प्लांट (BoP) सामान्य सेवा सुविधाओं से संबंधित है और किसी भी नाभिकीय संरक्षा या नाभिकीय सुरक्षा से जुड़ी प्रणाली या जानकारी से संबंधित नहीं है।” NPCIL के मुताबिक़ कॉमन सर्विसेज़-बैलेंस ऑफ़ प्लांट पैकेज का इंजीनियरिंग, ख़रीद और निर्माण (EPC) अनुबंध 2018 में सार्वजनिक निविदा प्रक्रिया के ज़रिए रिलायंस इन्फ्रास्ट्रक्चर को दिया गया था।

2019: पहली चेतावनी

30 अक्टूबर 2019 को सामने आए एक बयान में NPCIL ने कहा कि CERT-In ने उसे 4 सितंबर 2019 को कुडनकुलम में मैलवेयर की सूचना दी थी। परमाणु ऊर्जा विभाग (DAE) के विशेषज्ञों ने पाया कि “संक्रमित PC ऐसे उपयोगकर्ता का था जो प्रशासनिक कामों के लिए इस्तेमाल होने वाले इंटरनेट से जुड़े नेटवर्क से जुड़ा था”, यह नेटवर्क “महत्वपूर्ण आंतरिक नेटवर्क से अलग है”, और “संयंत्र की प्रणालियाँ प्रभावित नहीं हैं”। NPCIL ने मैलवेयर का नाम नहीं बताया; शोधकर्ताओं ने इसकी पहचान डीट्रैक (Dtrack) के रूप में की, एक जासूसी सॉफ़्टवेयर (स्पाइवेयर) जिसे कथित तौर पर उत्तर कोरिया स्थित समूह लाज़रस (Lazarus) ने विकसित किया था। संयंत्र के सूचना अधिकारी ने पहले इन ख़बरों को “निराधार” बताया था।

संयंत्र

कुडनकुलम तमिलनाडु के तिरुनेलवेली ज़िले के राधापुरम तालुक में है। NPCIL वहाँ 1,000 MWe के दो दाबित जल रिएक्टर (PWR) चलाता है, जो 31 दिसंबर 2014 (इकाई 1) और 31 मार्च 2017 (इकाई 2) से वाणिज्यिक प्रचालन में हैं। उसके परियोजना पृष्ठों के मुताबिक़ इकाई 3 और 4 तथा इकाई 5 और 6, हर जोड़ी 2 x 1,000 MW की, रूसी संघ के तकनीकी सहयोग से निर्माणाधीन हैं; ऐसी छह इकाइयों से ही वह 6,000 MW बनता है जिसका ज़िक्र लेख में है। रॉयटर्स ने जुलाई में बताया था कि इकाई 3 और 4 को 2027 तक चालू होना था।

विश्लेषण

ख्याति सिंह का तर्क पाँच क़दमों में आगे बढ़ता है।

1. बाड़ के बाहर की सेंध, रिएक्टर की हैकिंग नहीं। सिंह के शब्दों में, “सबसे दूरगामी सेंध शायद प्रतिष्ठान को कभी छुए ही नहीं”; वह “किसी वाणिज्यिक डेटा सेंटर के किराये के सर्वर पर या किसी ठेकेदार के नेटवर्क के भीतर भी” लग सकती है, जैसा कि यहाँ हुआ लगता है। लेख सावधानियाँ भी दर्ज करता है: रैनसमवेयर समूह “जो उनके पास है, उसे अक्सर बढ़ा-चढ़ाकर बताते हैं”, और “सार्वजनिक क्षेत्र में ऐसा कुछ नहीं है जिससे संकेत मिले कि रिएक्टरों या नियंत्रण और संरक्षा प्रणालियों तक, जो अपनी बनावट से ही इंटरनेट से अलग हैं, पहुँच हुई।” लेखक के अनुसार NPCIL के स्पष्टीकरण को गंभीरता से लेना चाहिए। लेख का सवाल यह है कि भारत के सबसे संवेदनशील प्रतिष्ठानों के बारे में संचालन से जुड़ी कितनी अहम जानकारी ठेकेदारों, उप-ठेकेदारों, सेवा प्रदाताओं और उनके कर्मचारियों के पास है।

2. 2019 और 2026: एक ही ढर्रा। दोनों घटनाएँ “तकनीकी रूप से जुड़ी नहीं हैं, लेकिन उनमें एक कड़ी है”: दोनों में “मूल ढाँचा टिका रहा और सेंध परिधि पर लगी”, पहले एक प्रशासनिक नेटवर्क में, अब एक वाणिज्यिक डेटा सेंटर में रखे ठेकेदार के सर्वर पर। लेख का निष्कर्ष है कि ताज़ा घटना से लगता है कि 2019 के सबक़ को गंभीरता से नहीं लिया गया।

3. पूरा तंत्र ही हमले का दायरा है। आधुनिक संयंत्र, ग्रिड, रक्षा प्रतिष्ठान या दूरसंचार प्रणाली निजी निर्माण कंपनियों, उपकरण और सॉफ़्टवेयर आपूर्तिकर्ताओं, क्लाउड और डेटा सेंटर प्रदाताओं, बीमा कंपनियों, प्रमाणन एजेंसियों और उप-ठेकेदारों की कई परतों पर निर्भर है, और इनमें कई विदेशी तकनीकी साझेदार हैं। इनके पास रखी नक़्शों, ख़रीद आदेशों, क्रेडेंशियल्स और समय-सारणियों की प्रतियाँ प्रतिष्ठान की अपनी सुरक्षा (नेटवर्क का विभाजन, इंटरनेट से कटी यानी एयर-गैप्ड नियंत्रण प्रणालियाँ, भौतिक सुरक्षा) के दायरे से बाहर रहती हैं। इसीलिए द हिंदू ने लेख से यह उद्धरण अलग से छापा: “किसी संगठन की सुरक्षा केवल उसके अपने सुरक्षा उपायों पर नहीं, बल्कि हर उस दूसरी इकाई के उपायों पर भी निर्भर करती है जिसकी उसके डेटा तक पहुँच है”। लेख में निकोलस रॉथ (Nickolas Roth) का हवाला है, जिन्हें रॉयटर्स न्यूक्लियर थ्रेट इनिशिएटिव (Nuclear Threat Initiative) का वरिष्ठ निदेशक बताता है; रॉयटर्स के मुताबिक़ रॉथ ने कहा था कि ये फ़ाइलें किसी विरोधी को “न केवल यह दिखा सकती हैं कि परियोजना तक किसकी पहुँच है, बल्कि यह भी कि वह पहुँच किन प्रणालियों तक जाती है”।

4. दायित्व संचालक पर आकर रुक जाता है। संस्थाएँ मौजूद हैं (ऊपर का बॉक्स देखें); लेखक की व्याख्या में कमी यह है कि “एक ‘संरक्षित प्रणाली’ किसी अवसंरचना की होती है, और दायित्व उसके संचालक पर पड़ते हैं”। परियोजना की जानकारी एक बार किसी ठेकेदार, उप-ठेकेदार या डेटा सेंटर के पास पहुँची, तो “उसकी सुरक्षा मुख्यतः अनुबंध की व्यवस्थाओं पर निर्भर हो जाती है”, और लेख यह भी जोड़ता है कि डिजिटल वैयक्तिक डेटा संरक्षण अधिनियम आम तौर पर उन इंजीनियरिंग नक़्शों पर लागू नहीं होता जिनमें कोई वैयक्तिक डेटा न हो। इसलिए “संचालक सच्चाई से कह सकता है कि उसकी प्रणालियों में सेंध नहीं लगी, ठेकेदार अपने होस्टिंग प्रदाता को दोष दे सकता है”, होस्ट मैलवेयर को दोष दे सकता है, और फिर भी फ़ाइलें डार्क वेब तक पहुँच जाती हैं। लेख का मुख्य सवाल है: “महत्वपूर्ण अवसंरचना की जानकारी जब संचालक के नियंत्रण से बाहर चली जाए, तब उसकी सुरक्षा की ज़िम्मेदारी किसकी है”। यह दाँव तब और ऊँचा हो जाता है जब भारत कुडनकुलम का विस्तार करता है, स्मार्ट ग्रिड और डिजिटल सार्वजनिक अवसंरचना बनाता है, आत्मनिर्भर भारत के तहत रक्षा और अंतरिक्ष को निजी कंपनियों के लिए खोलता है, और सरकारी डेटा को वाणिज्यिक क्लाउड पर ले जाता है। लेखक के अनुसार “ऐसी व्यवस्था के लिए बनी नीति, जिसमें सरकार ही सब कुछ बनाती और नियंत्रित करती है”, “अब पर्याप्त नहीं है”।

5. उपाय।

1. दायित्व डेटा के साथ चलें: “सुरक्षा दायित्व संगठन के नहीं, डेटा के साथ चलने चाहिए”; महत्वपूर्ण अवसंरचना का डेटा संभालने वाले हर ठेकेदार, उप-ठेकेदार और क्लाउड प्रदाता के ख़रीद अनुबंध में तय मानक, देयता और ऑडिट लिखे जाएँ।
2. डेटा का असली वर्गीकरण: कोई पारंपरिक सुविधा बनाने वाले ठेकेदार के पास केवल उतना डेटा रहे जितना उसे चाहिए, और केवल तब तक जब तक उसे चाहिए।
3. पूरे तंत्र की जाँच: सालाना अनुपालन प्रमाणपत्रों की जगह तीसरे पक्ष के जोखिम का आकलन, जिसमें विक्रेताओं के पूरे तंत्र पर रेड-टीम अभ्यास शामिल हों।
4. ज़ीरो-ट्रस्ट: राष्ट्रीय महत्व की परियोजनाओं में मानकर चला जाए कि कोई नेटवर्क सुरक्षित नहीं है, और पहुँच के हर बिंदु की जाँच हो।
5. एक ढाँचा: CERT-In, NCIIPC, क्षेत्र-विशिष्ट नियामक और संचालक महत्वपूर्ण अवसंरचना की आपूर्ति-शृंखला सुरक्षा के एक राष्ट्रीय ढाँचे पर एकमत हों, जो किसी सेंध के बाद नहीं, बल्कि उससे पहले ज़िम्मेदारी तय करे। लेखक के अनुसार यह नए क़ानून से हो या “सूचना प्रौद्योगिकी अधिनियम की रचनात्मक व्याख्या” से, यह सवाल “इंतज़ार कर सकता है”।

रिकॉर्ड क्या और जोड़ता है। लेख कहता है कि वर्ल्ड लीक्स ने फ़ाइलें जुलाई के मध्य में डालनी शुरू कीं; रॉयटर्स ने राकेश कृष्णन के हवाले से कहा था कि वे जून से ऑनलाइन थीं। लेख कहता है कि योटा ने “रैनसमवेयर गतिविधि की पुष्टि की”; योटा का अपना बयान “संदिग्ध गतिविधि” और संदिग्ध रैनसमवेयर को चलने से रोके जाने की बात करता है। और जहाँ लेख रिलायंस इन्फ्रास्ट्रक्चर के अनुबंध को इकाई 3 और 4 का EPC अनुबंध बताता है, वहीं NPCIL उसे कॉमन सर्विसेज़-बैलेंस ऑफ़ प्लांट पैकेज का EPC अनुबंध बताता है।

आँकड़े और संस्थाएँ

प्रारंभिक परीक्षा के तथ्य:

क़ानून (सूचना प्रौद्योगिकी अधिनियम, 2000):

• धारा 70: समुचित सरकार CII को प्रभावित करने वाले किसी कंप्यूटर संसाधन को संरक्षित प्रणाली अधिसूचित कर सकती है; अनधिकृत पहुँच पर 10 वर्ष तक का कारावास और जुर्माना।
• धारा 70क: सरकार CII संरक्षण के लिए एक राष्ट्रीय नोडल एजेंसी नामित कर सकती है; NCIIPC इसी के तहत बना।
• धारा 70ख: CERT-In, साइबर सुरक्षा घटनाओं पर कार्रवाई करने वाली राष्ट्रीय एजेंसी।
• CERT-In सेवा प्रदाताओं, मध्यवर्तियों, डेटा सेंटरों और निगमित निकायों से जानकारी माँग सकता है और उन्हें निर्देश दे सकता है (धारा 70ख(6))।
• CERT-In के निर्देश न मानने पर: एक वर्ष तक की जेल, या ₹1 लाख तक का जुर्माना, या दोनों (धारा 70ख(7))।
• CERT-In के 28 अप्रैल 2022 के निर्देश: साइबर घटना का पता चलने के 6 घंटे के भीतर उसकी सूचना; जारी होने के 60 दिन बाद से प्रभावी।

संयंत्र:

• कुडनकुलम, तिरुनेलवेली ज़िला, तमिलनाडु; संचालक NPCIL।
• इकाई 1 और 2: 1,000 MWe के PWR, वाणिज्यिक प्रचालन क्रमशः 31 दिसंबर 2014 और 31 मार्च 2017 से।
• इकाई 3 और 4 तथा इकाई 5 और 6: हर जोड़ी 2 x 1,000 MW, रूसी संघ के तकनीकी सहयोग से।

2026 का लीक:

• पहली ख़बर 15 जुलाई 2026 (रॉयटर्स); समूह: वर्ल्ड लीक्स; लगभग 19,000 फ़ाइलें, 14.3 GB; 11 जून से ऑनलाइन।
• योटा: 29 मई को “संदिग्ध गतिविधि”; NPCIL: केवल “पारंपरिक बैलेंस ऑफ़ प्लांट (BoP) सामान्य सेवा सुविधाएँ”।

2019:

• CERT-In ने 4 सितंबर 2019 को NPCIL को सचेत किया; संक्रमित PC प्रशासनिक नेटवर्क पर था; शोधकर्ताओं ने मैलवेयर को डीट्रैक (Dtrack) बताया, जिसे लाज़रस समूह से जोड़ा गया।

⚠️ संभावित भ्रामक बिंदु: NCIIPC धारा 70क के तहत है और CERT-In धारा 70ख के तहत, उलटा नहीं। NPCIL के अनुसार सामग्री पारंपरिक बैलेंस ऑफ़ प्लांट सुविधाओं से जुड़ी थी, रिएक्टर, संरक्षा या सुरक्षा प्रणालियों से नहीं। DPDP अधिनियम वैयक्तिक डेटा का क़ानून है; यह महत्वपूर्ण अवसंरचना का क़ानून नहीं है।

वाद-विवाद

लेखक की व्याख्या के पक्ष में। जुलाई का हर बयान शृंखला की केवल अपनी कड़ी की बात करता है: NPCIL यह कि सामग्री किससे जुड़ी थी, रिलायंस एक होस्ट किए गए सर्वर पर आंशिक सेंधमारी की, और योटा उस गतिविधि की जिसे उसने रोक दिया। लेख जवाबदेही की इसी खाई की बात करता है। 2019 और 2026, दोनों बार चोट परिधि पर लगी, और परमाणु बिजली, ग्रिड, रक्षा, अंतरिक्ष और क्लाउड में निजी क्षेत्र की हिस्सेदारी बढ़ रही है।

दूसरा पक्ष। NPCIL का कहना है कि सामग्री केवल पारंपरिक बैलेंस ऑफ़ प्लांट सामान्य सेवा सुविधाओं से जुड़ी थी, किसी नाभिकीय संरक्षा या सुरक्षा प्रणाली से नहीं; रॉयटर्स ने कहा कि दस्तावेज़ रिएक्टरों की मुख्य प्रणालियों से जुड़े नहीं लगते, और वह उनकी पुष्टि नहीं कर सका; और रैनसमवेयर समूह, जैसा लेख ख़ुद मानता है, अपने दावे बढ़ा-चढ़ाकर बताते हैं। क़ानून भी ख़ाली नहीं है: धारा 70ख के तहत CERT-In डेटा सेंटरों और सेवा प्रदाताओं से जानकारी माँग सकता है और उन्हें निर्देश दे सकता है, और उसके 2022 के निर्देश उनसे पहले ही घटनाओं की सूचना दिलवाते हैं। अनुबंधों में आज भी मानक, ऑडिट और देयता लिखी जा सकती है, और लेख यह सवाल खुला छोड़ता है कि नए क़ानून की ज़रूरत है भी या नहीं। अनुपालन की हर नई परत उन निजी कंपनियों के लिए लागत भी है जिन्हें सरकार इन क्षेत्रों में लाना चाहती है, इसलिए दायित्व डेटा की संवेदनशीलता के अनुरूप होने चाहिए।

संतुलित निष्कर्ष। दोनों बातें एक साथ सही हो सकती हैं। रिएक्टरों के जोखिम में होने का कोई प्रमाण नहीं है, और NPCIL की बात को वज़न मिलना चाहिए। लेकिन वेंटिलेशन, कूलिंग और एक साझा नियंत्रण कक्ष के कथित नक़्शे, आपूर्तिकर्ताओं के ब्योरे के साथ, किसी विरोधी को रॉथ के शब्दों में बता सकते हैं कि “परियोजना तक किसकी पहुँच है” और “वह पहुँच किन प्रणालियों तक जाती है”। लेखक के उपाय ज़्यादातर प्रक्रिया से जुड़े हैं (अनुबंध, वर्गीकरण, परीक्षण), इसलिए उन पर अमल संभव है; खुला सवाल यह है कि इस ढाँचे की ज़िम्मेदारी किस निकाय के पास होगी।

इस विषय पर कैसे सोचें

किसी महत्वपूर्ण प्रतिष्ठान (बिजलीघर, बंदरगाह, बैंक, दूरसंचार नेटवर्क) में किसी भी सेंध को “बाड़ नहीं, डेटा का पीछा करो” की नज़र से देखें:

1. किस चीज़ तक पहुँच हुई? नियंत्रण और संरक्षा प्रणालियाँ, दफ़्तर का नेटवर्क, या कहीं और रखी दस्तावेज़ों की कोई प्रति? (कुडनकुलम 2019: प्रशासनिक नेटवर्क; 2026: ठेकेदार के होस्ट किए गए सर्वर से निकली फ़ाइलें।)
2. डेटा किसके पास था? संचालक, ठेकेदार, उप-ठेकेदार, डेटा सेंटर: हर एक अलग संगठन है, जिसकी अपनी सुरक्षा है।
3. उस धारक तक कौन-सा नियम पहुँचता है? अधिसूचित संरक्षित प्रणाली (धारा 70), CERT-In की सूचना और निर्देश व्यवस्था (धारा 70ख), DPDP अधिनियम (केवल वैयक्तिक डेटा), या केवल अनुबंध?
4. किसने क्या कहा? संचालक, ठेकेदार और होस्ट के बयानों को अलग-अलग रखें, और इन सबको रैनसमवेयर समूह के दावों से अलग; विधिक व्याख्या और उपाय लेखक के हैं।

आरेख में समझें

ऊपर से पढ़ें: लेखक के शब्दों में मूल ढाँचा टिका रहा, जबकि परियोजना की फ़ाइलें ठेकेदार और उसके होस्ट से होकर डार्क वेब तक पहुँचीं। आख़िरी पंक्ति में लेखक के अनुसार कमी है, और लेखक का उपाय।

मुख्य निष्कर्ष

• उद्धरण-योग्य पंक्ति: “डिजिटल युग में महत्वपूर्ण अवसंरचना बाड़ से घिरी कोई इमारत नहीं है; यह परतों वाली एक प्रणाली है, जिसमें प्रवेश के अनेक बिंदु हैं और उनमें से कई संचालक के नियंत्रण से बाहर हैं।”
• मूल विचार: कुडनकुलम की फ़ाइलें संयंत्र से नहीं, एक ठेकेदार के होस्ट किए गए सर्वर से सामने आईं; लेखक के अनुसार भारत के नियम संचालक को बाँधते हैं, जबकि उसका डेटा निजी हाथों से होकर गुज़रता है।
• प्रारंभिक परीक्षा के सूत्र: सूचना प्रौद्योगिकी अधिनियम की धारा 70 (CII, संरक्षित प्रणाली), 70क (NCIIPC), 70ख (CERT-In); CERT-In के सूचना देने संबंधी निर्देश; तमिलनाडु के तिरुनेलवेली में कुडनकुलम, जिसे NPCIL रूसी सहयोग से चलाता है; डीट्रैक (2019)।
• नीतिशास्त्र और साक्षात्कार का कोण: आउटसोर्सिंग में जवाबदेही: जब हर पक्ष सच्चाई से अपनी ग़लती से इनकार कर सके, तो जोखिम किसके ज़िम्मे है?
• संभावित प्रश्न: “भारत की महत्वपूर्ण सूचना अवसंरचना के संरक्षण में CERT-In और NCIIPC की भूमिकाएँ स्पष्ट कीजिए।” (सामान्य अध्ययन प्रश्नपत्र 3, 150 शब्द)

स्रोत:

• “Beyond Kudankulam’s fence, a cybersecurity challenge”, Khyati Singh, मुख्य लेख (lead article), The Hindu, 27 अक्टूबर 2026
• Reuters, कुडनकुलम डेटा लीक पर रिपोर्ट, Munsif Vengattil और Aditya Kalra, 15 जुलाई 2026 (सिंडिकेटेड प्रति)
• NPCIL की 15 जुलाई 2026 की प्रेस विज्ञप्ति, Business Today और DT Next की 15 जुलाई 2026 की रिपोर्टों के अनुसार
• 2019 के मैलवेयर पर NPCIL का बयान, The News Minute की 30 अक्टूबर 2019 की रिपोर्ट के अनुसार
• Information Technology Act, 2000 (India Code, अद्यतन पाठ), धाराएँ 70, 70A और 70B
• CERT-In Directions No. 20(3)/2022-CERT-In, Section 70B के अंतर्गत, 28 अप्रैल 2022
• PIB, Ministry of Electronics and IT, 28 मार्च 2025; Lok Sabha Unstarred Question 4138, उत्तर 12 अगस्त 2026
• NPCIL, Kudankulam Nuclear Power Project के पृष्ठ
• टिप्पणी: उद्धरण-चिह्नों में दिए गए विधिक और आधिकारिक अंश अंग्रेज़ी पाठ के हिंदी अनुवाद हैं।