क्राउडस्ट्राइक का आउटेज: कौन भरेगा?

साइबर-सुरक्षा फ़र्म क्राउडस्ट्राइक के एक ख़राब सॉफ़्टवेयर अपडेट ने 19 जुलाई को दुनिया भर में अनुमानित 8.5 मिलियन Microsoft Windows सिस्टम ठप कर दिए, एयरलाइनों की उड़ानें रुकीं और अस्पताल तथा बैंक बाधित हुए। नुक़सान अरबों डॉलर तक पहुँचता है, और इसे कौन भरेगा, इस पर विवाद अभी शुरू ही हुआ है।

गड़बड़ी साधारण थी। क्राउडस्ट्राइक ने Falcon के लिए एक नियमित कंटेंट अपडेट भेजा। Falcon वह सिक्योरिटी सॉफ़्टवेयर है जो ग्राहकों की मशीनों पर Windows ऑपरेटिंग सिस्टम की गहराई में चलता है, और इस अपडेट से वे मशीनें क्रैश हुईं और फिर दोबारा शुरू नहीं हो सकीं। कंपनी ने जल्दी ही पुष्टि की कि यह साइबर हमला नहीं था और एक फ़िक्स जारी किया, पर प्रभावित कई कंप्यूटरों को हाथ से, एक-एक करके ठीक करना पड़ा। इसी वजह से कारण पता चलने के बाद भी व्यवधान लंबा खिंचता रहा। Apple और Linux मशीनें प्रभावित नहीं हुईं।

अनुबंध से सीमित दायित्व

ग्राहकों को भारी नुक़सान हुआ, पर क्राउडस्ट्राइक के मानक एंटरप्राइज़ लाइसेंस उसकी प्रत्यक्ष कानूनी देनदारी को चुकाई गई सदस्यता फ़ीस के एक गुणक तक सीमित करते हैं। इससे ज़्यादातर लागत ग्राहकों और उनके बीमाकर्ताओं पर चली जाती है। इस आउटेज ने यह भी दिखाया कि जब इतना बुनियादी ढाँचा कुछ प्रभावी सॉफ़्टवेयर आपूर्तिकर्ताओं पर निर्भर है, तब वह कितना असुरक्षित है।

ऐसी सीमाएँ एंटरप्राइज़ सॉफ़्टवेयर में आम हैं, और इनके पीछे कारण है। जो विक्रेता किसी अस्पताल या एयरलाइन से मामूली सालाना फ़ीस लेता है, वह उस ग्राहक के कंप्यूटरों से होने वाले सारे काम का पूरा मूल्य अपने ऊपर नहीं ले सकता। परिपक्व वाणिज्यिक पक्षों के बीच अदालतें आम तौर पर ये शर्तें लागू करती हैं, और वे अक्सर खोया हुआ मुनाफ़ा और अन्य अप्रत्यक्ष नुक़सान पूरी तरह बाहर रखती हैं। जिस ग्राहक का एक दिन का राजस्व डूबा है, वह अधिक से अधिक उस रकम की वसूली कर सकता है जो उसने सॉफ़्टवेयर के लिए चुकाई थी, और ज़्यादातर मामलों में वह नुक़सान के एक छोटे हिस्से के बराबर होगी।

नुक़सान कहाँ जाकर टिकता है

पहला नुक़सान उन कंपनियों पर पड़ता है जिनके सिस्टम बंद हो गए। एयरलाइनों ने हज़ारों उड़ानें रद्द कीं और अब यात्रियों के रिफ़ंड और मुआवज़े के दावों का सामना करेंगी, साथ ही फँसे हुए क्रू और विमानों का ख़र्च भी। अस्पतालों ने ऑपरेशन टाले। बैंकों और पेमेंट प्रोसेसरों का लेन-देन घटा, और प्रसारकर्ता कुछ देर के लिए ऑफ़ एयर हो गए। इसका ज़्यादातर हिस्सा बस परिचालन घाटे के रूप में समा जाएगा।

दूसरी परत बीमा है, और यहाँ नतीजा कम अनुमेय है। साइबर पॉलिसियाँ मुख्य रूप से हैकरों को ध्यान में रखकर लिखी गई थीं, और उनमें से सब आपूर्तिकर्ता की दुर्भावनारहित विफलता से होने वाले बिज़नेस इंटरप्शन को कवर नहीं करतीं। कुछ पॉलिसियों में ऐसा सिस्टम-विफलता कवर होता है, जिसमें भुगतान शुरू होने से पहले कई घंटों का प्रतीक्षा-काल होता है, और एक दिन या उससे ज़्यादा चलने वाला आउटेज उसे आसानी से पार कर जाएगा। बीमाकर्ता अपनी शब्दावली को ध्यान से पढ़ेंगे, और जहाँ वह अस्पष्ट होगी वहाँ विवाद होने की संभावना है।

2017 के NotPetya हमले से पता चलता है कि ऐसे तर्क कैसे आगे बढ़ते हैं। Mondelez ने यह तय करने के लिए सालों तक Zurich के साथ अदालत में लड़ाई लड़ी कि उसके नुक़सान पर युद्ध-अपवर्जन लागू होता है या नहीं, और Merck ने समझौता होने से पहले बीमाकर्ताओं से यही सवाल पर लड़ाई लड़ी। वह घटना दुर्भावनापूर्ण थी और यह नहीं थी, पर उससे साफ़ हुआ कि बड़े दावे अक्सर तुरंत भुगतान के बजाय मुकदमेबाज़ी में ख़त्म होते हैं।

विफलता का परिचित प्रकार

ख़राब अपडेट कोई नई बात नहीं हैं। 2010 में एक McAfee एंटीवायरस अपडेट ने एक मूल Windows XP फ़ाइल को दुर्भावनापूर्ण बताकर कई कॉर्पोरेट कंप्यूटर बंद कर दिए थे। 2021 में कंटेंट-डिलीवरी नेटवर्क Fastly की एक कॉन्फ़िगरेशन ग़लती से बड़ी वेबसाइटें लगभग एक घंटे के लिए बंद हो गई थीं। इस हफ़्ते के आउटेज को जो चीज़ अलग बनाती है, वह उसका पैमाना है, और यह पैमाना बाज़ार के केंद्रीकरण से आता है: क्राउडस्ट्राइक कॉर्पोरेट एंडपॉइंट सुरक्षा में अग्रणी कंपनियों में है, और उसका सॉफ़्टवेयर चेक-इन काउंटरों, ट्रेडिंग फ़्लोर और अस्पताल के वार्डों के कंप्यूटरों पर चलता है।

यही केंद्रीकरण नियामकों के लिए असहज सबक है। सिक्योरिटी सॉफ़्टवेयर को अपना काम करने के लिए ऑपरेटिंग सिस्टम तक गहरी पहुँच चाहिए, यानी सिक्योरिटी विक्रेता की एक ग़लती भी हमले जितना ही नुक़सान कर सकती है। यूरोपीय संघ का Digital Operational Resilience Act, जो अगले जनवरी में वित्तीय फ़र्मों के लिए लागू होगा, उन्हें पहले ही अपने तकनीकी आपूर्तिकर्ताओं के जोखिम प्रबंधित करने का आदेश देता है, और दूसरे देशों के नियामक भी उसका अनुसरण करने के लोभ में होंगे।

सीमाओं के टिकने के ख़िलाफ़ तर्क

ऐसी परिस्थितियाँ हैं जिनमें ये सीमाएँ टूट सकती हैं। कई अनुबंध घोर लापरवाही या जानबूझकर किए गए कदाचार को इन सीमाओं से बाहर रखते हैं, और वादी तर्क देंगे कि बिना चरणबद्ध परीक्षण के लाखों मशीनों पर एक साथ अपडेट भेजना उस मानक को पूरा करता है। क्राउडस्ट्राइक जवाब देगी कि उसने अपनी सामान्य प्रक्रिया का पालन किया था और यह विफलता एक ग़लती थी, लापरवाही नहीं। कंपनी के शेयरधारकों को भी अपना जोखिम है, क्योंकि उस दिन शेयर कीमत में तीखी गिरावट उन प्रतिभूति-मुकदमों को न्योता देती है जो आरोप लगाते हैं कि उसकी परीक्षण प्रथाओं को बढ़ा-चढ़ाकर बताया गया था।

भले ही अदालत में सीमाएँ टिकी रहें, व्यावसायिक दबाव शायद उनका सम्मान न करे। बड़े ग्राहक टिके रहने की कीमत के रूप में क्रेडिट, छूट या मुफ़्त सेवाएँ माँग सकते हैं, और क्राउडस्ट्राइक उन्हें बनाए रखना चाहेगी। Microsoft के अपने Defender, SentinelOne और Palo Alto Networks जैसे प्रतिस्पर्धी अगले साल हर बिक्री प्रस्तुति में इस प्रकरण का हवाला देंगे।

किस पर नज़र रखें

संकेत क्राउडस्ट्राइक की इस व्याख्या से आएँगे कि अपडेट परीक्षण से कैसे बच निकला, किसी संसदीय सुनवाई से, और उसकी अगली तिमाही रिपोर्ट से, जहाँ ग्राहक-प्रतिधारण और नवीनीकरण की कीमतें दिखाएँगी कि नुक़सान स्थायी है या नहीं। बीमाकर्ताओं के दावों के पहले अनुमान बताएँगे कि वे बिल का कितना हिस्सा स्वीकार करने का इरादा रखते हैं।

आउटेज की ज़्यादातर लागत क्राउडस्ट्राइक के ग्राहक उठाएँगे, और बीमाकर्ता एक हिस्सा लेंगे। दायित्व-सीमाएँ शायद टिकी रहेंगी, और स्थायी नतीजा यह हो सकता है कि जब वे लाइसेंस नवीनीकरण पर आएँगे तब मोल-भाव कठिन होगा। अगले एक साल में उम्मीद कीजिए कि क्राउडस्ट्राइक हर्जाने के बजाय छूटों और धीमी वृद्धि के रूप में कीमत चुकाएगी, और महत्वपूर्ण सॉफ़्टवेयर के बड़े ख़रीदार अनुबंध पर हस्ताक्षर की शर्त के रूप में चरणबद्ध रोलआउट और ऊँची सीमाओं पर ज़ोर देंगे।