ආයතනවල දත්ත ආරක්ෂා කිරීමේ වැඩපිළිවෙළ තවත් සංකීර්ණ වෙලා තියෙනවා. TDE, Database Vault, Data Masking, Redaction වගේ විවිධ මෙවලම් එක්ක එකතු කරලා පමණක් නොව, ඒවා කවුරුන්ට, කවදා, කෙසේ භාවිතා කරනවද කියලා නිවැරදිව තේරුම් ගත යුතුයි. මේ ලිපියෙන් අපි එම සංකල්ප හතරක් වෙන වෙනම පැහැදිලි කරලා, ඔක්කොම එකතුවෙලා පවතින ‘ඇකොමඩ්’ පරිදි පෙනෙන්නෙ කෙසේද කියලා බලමු.
ඩේටා ආරක්ෂාවෙහි මුලික ගැටළුව – Ground Zero
බොහෝ සමාගම් “අපි දත්ත ආරක්ෂා කරලා” කියලා එකම බොක්ස් එකක් පුරවා ඉවරයි කියන වැරදි අදහසක් ගන්නාවා. නමුත් ආරක්ෂාව තේරුම් ගැනීමේ පළමු පියවර වන්නේ ගැටළුව කොහෙන් ආරම්භ වෙනවද කියලා හඳුනා ගැනීමයි. මෙහි ප්රධාන ගැටළුව තාක්ෂණික නොව, භාෂාව සහ වගකීම් බෙදා හරින ආකාරයයි.
- “අපි encrypt කරලා, compliance ගියෙමු” – එය දත්ත රැඳී සිටින තැන (rest) ආරක්ෂා කරනවා, නමුත් live පරිසරයේ කවුරුන්ට දත්ත දිස්වෙන්නේ යන්න තේරෙන්නේ නැහැ.
- Dev/Test කණ්ඩායම් live PII දත්ත clone කරගන්නා ලදි – මෙයට masking කරලා non‑prod පරිසරයට පමණක් දෙනවා.
- App වාර්තා තුළ පූර්ණ කාඩ් / Aadhar අංක දිස් වේ – ඒක redaction (display level) කරලා පෙන්වන්න.
- DBA ලාට unrestricted SELECT අවසර – Database Vault මගින් duty‑separation ක්රියාත්මක කරන්න.
- Auditor ලා “කොහේ column එක බලන්න පුළුවන්?” කියන ප්රශ්නය – සෑම control එකක්ම data‑protection objective එකකට map කරලා පිළිතුරු සකසන්න.
- Backup ගොනු production එකේම දත්ත හෙළා දෙනවා – TDE සහ masking policy එක backup, export වලටත් දිගුවක් දිය යුතුයි.
මෙම ගැටළුවලට විසඳුම් සපයන්නේ සරලව “control‑to‑audit‑question” සම්බන්ධතා සකස් කිරීමයි. තාක්ෂණික සැකසුම් කරන්නේ එතැනින් පසු.
Underlying Issues – ඇත්තේ කුමක්ද?
ඉහත Ground Zero ගැටළුව තේරුම් ගත්තාම, හේතුව තවත් සංකීර්ණයි: CTO ලා TDE, Masking, Vault, Redaction එකට එකම “security” බ්රෑන්ඩ් එකක් ලෙස බලනවා. එම නිසා audit එකේදී “අපි secure” කියන පණිවිඩය බොහෝ වෙලාවට වැරදි වෙලා හමු වෙනවා.
- TDE – පරතරයේ (disk) theft වලට පමණක් ආරක්ෂාව.
- Masking vs Redaction – Masking data‑layer එකේ, Redaction display‑layer එකේ ක්රියාත්මක වේ.
- Database Vault – privileged DBA ලාටත් duty‑separation ලබා දීම.
- Sensitive column inventory – PII, PCI, PHI, financial වර්ගය අනුව data classify කරලා control තෝරන්න.
- Non‑Prod refresh – masking pipeline එකට embed කරලා speed එක අඩු නොකරන්න.
- Compliance policy – RBI/IRDAI/DPDP clauses එක‑එකට mapping කරන්න.
අවසන් වශයෙන්, “data protection” එකට එකම අයෙක් වගකීම ගැනීම, DBA, App, InfoSec කණ්ඩායම් අතර ownership clear කිරීම, compliance audit එකේ බර අඩු කරයි.
ශ්රී ලංකාවට ඇති වැදගත්කම
ශ්රී ලංකාවේ තාක්ෂණික සමාගම්, fintech start‑ups, රජයේ පද්ධති සියල්ලටම මේ සංකල්ප හතර අත්යවශ්යයි. නිවැරදි encryption, masking, vault, redaction ක්රමයන් යොදා ගන්නේ නම්:
- විදේශීය හවුල්කරුවන් සමඟ data‑sharing සදහා trust level වැඩි වේ.
- පාරිභෝගිකයින්ගේ පුද්ගලික තොරතුරු (Aadhaar, credit card) ආරක්ෂා කර, නීතිමය ගැටළුවලින් මුදල් නෂ්ටය වැළැක්විය හැක.
- IT audit එකේ “non‑compliance” සම්මානයන් ඉවත් කර, ව්යාපාරික වර්ධනයේ වේගය තවත් වැඩි කරයි.
- දේශීය developers ලා data‑classification, security‑by‑design පිළිබඳ අවබෝධය වැඩි කරයි.
ඒ නිසා, ශ්රී ලංකාවේ තාක්ෂණික පරිසරයට මේ සම්පූර්ණ ආරක්ෂක මට්ටමක් ගොඩනැගීම ඉතා වැදගත් වේ.
අවසානයේ, “එකම lock එකින් සියල්ල ආරක්ෂා වේ” කියන වැරදි අදහස තවත් අත්හැර, සෑම data‑life‑cycle පියවරක්ම සවිස්තරාත්මක security layer එකක් යෙදීමේ වැදගත්කම අත්විඳින්න.
