Mark Medum Bundegaard, Partisia के मुख्य उत्पाद अधिकारी – साक्षात्कार श्रृंखला

Mark Medum Bundegaard, Partisia में मुख्य उत्पाद अधिकारी, एक प्रौद्योगिकी और उत्पाद नेता हैं जो गोपनीयता-वर्धक प्रौद्योगिकियों, ब्लॉकचेन आर्किटेक्चर, और सुरक्षित मशीन लर्निंग में विशेषज्ञता रखते हैं। वह Partisia की उत्पाद दृष्टि और रोडमैप का नेतृत्व करते हैं, इंजीनियरिंग, डिजाइन और व्यवसाय टीमों के साथ मिलकर सुरक्षित मल्टीपार्टी कंप्यूटेशन और क्वांटम-सुरक्षित बुनियादी ढांचे पर निर्मित प्लेटफ़ॉर्म प्रदान करते हैं। उनका पृष्ठभूमि बैंकिंग, टेलीकॉम, मीडिया और स्टार्टअप्स में वरिष्ठ भूमिकाओं तक फैला है, जिसमें क्लाउड-नेटिव सिस्टम, वितरित आर्किटेक्चर और अनुप्रयुक्त एआई में गहरी विशेषज्ञता है, साथ ही डेनमार्क के Copenhell संगीत महोत्सव जैसी बड़े पैमाने पर संचालन का प्रबंधन करने का अनुभव भी है।

Partisia एक क्रिप्टोग्राफी-केंद्रित सॉफ्टवेयर कंपनी है जो गोपनीयता-संरक्षण डेटा सहयोग के लिए बुनियादी ढांचा विकसित करती है। इसका प्लेटफ़ॉर्म संगठनों को एन्क्रिप्टेड डेटा पर सुरक्षित मल्टीपार्टी कंप्यूटेशन को ब्लॉकचेन ऑर्केस्ट्रेशन के साथ मिलाकर गणना करने की अनुमति देता है, जिससे संवेदनशील जानकारी को उजागर किए बिना अंतर्दृष्टि उत्पन्न की जा सकती है। गोपनीय कंप्यूटिंग, विकेंद्रीकृत पहचान, और गोपनीयता-प्रथम मशीन लर्निंग का समर्थन करके, Partisia वित्त, स्वास्थ्य देखभाल, और डिजिटल बुनियादी ढांचे सहित विभिन्न उद्योगों में अनुपालन, सुरक्षा और डेटा संप्रभुता बनाए रखते हुए उद्यमों को डेटा मूल्य खोलने में मदद करती है।

Europol की संयुक्त रिपोर्ट के अनुसार, पोस्ट-क्वांटम क्रिप्टोग्राफी (PQC) — ऐसी एन्क्रिप्शन जो क्वांटम कंप्यूटरों द्वारा आज के मानकों को तोड़ने के बाद भी सुरक्षित रहे — को एक बार के एल्गोरिदम परिवर्तन के बजाय दीर्घकालिक, जोखिम-आधारित संक्रमण के रूप में प्रस्तुत किया गया है। वित्तीय संस्थानों में आप जो देख रहे हैं, क्वांटम जोखिम को पहचानने और वास्तव में उस पर कार्रवाई करने के बीच सबसे बड़ा अंतर कहाँ है?

आज का सबसे बड़ा अंतर दृश्यता है। अधिकांश वित्तीय संस्थानों के पास अभी तक एक पूर्ण “क्रिप्टोग्राफिक बिल ऑफ़ मटेरियल्स” नहीं है — अर्थात् यह स्पष्ट सूची कि क्रिप्टोग्राफी कहाँ उपयोग की गई है, कौन से एल्गोरिदम कौन से संपत्तियों की सुरक्षा करते हैं, और उन संपत्तियों को कितनी देर तक सुरक्षित रखना आवश्यक है।

इस आधार के बिना, माइग्रेशन को प्राथमिकता देना कठिन हो जाता है। यहाँ तक कि दृश्यता में सुधार होने पर भी, नियामक, लेगेसी सिस्टम में क्रिप्टोग्राफी को बदलना एक धीमी प्रक्रिया है जिसमें सॉफ़्टवेयर, हार्डवेयर, प्रमाणन और संचालन परिवर्तन शामिल होते हैं। चुनौती जोखिम को पहचानने में नहीं, बल्कि उस जागरूकता को एक कार्यात्मक माइग्रेशन रोडमैप में बदलने में है।

रिपोर्ट में बताया गया है कि कई संगठनों के पास अपनी क्रिप्टोग्राफी की पूरी सूची नहीं है, जिसका मतलब है कि वे एप्लिकेशन, डेटा प्रवाह और बुनियादी ढांचे में एन्क्रिप्शन के उपयोग को पूरी तरह नहीं जानते। बड़े वित्तीय संस्थानों में यह दृश्यता अभी भी इतनी सीमित क्यों है, और इसे सुधारने के सबसे व्यावहारिक तरीके क्या हैं?

आधुनिक सिस्टम कई परस्पर जुड़े सॉफ़्टवेयर और उप-प्रणालियों से बने होते हैं जो स्वतंत्र रूप से, विभिन्न समयों पर, और विभिन्न निर्माताओं द्वारा विकसित किए गए हैं। यह अक्सर कठिन होता है कि कौन सा सॉफ़्टवेयर उपयोग में है, और कौन से एल्गोरिदम उपयोग किए जा रहे हैं, इसका पूर्ण अवलोकन प्राप्त किया जाए। संभवतः कोई “एक-आकार-सबके-लिए” समाधान नहीं है। 

हालाँकि, जिन कंपनियों के पास पहले से अपने सॉफ़्टवेयर का अवलोकन है, वे संभवतः बेहतर स्थिति में हैं। हार्डवेयर के लिए भी यही बात लागू होती है, अधिकांश बैंक अभी भी एन्क्रिप्शन कुंजियों को HSMs के उपयोग के माध्यम से प्रदान करने पर काम करते हैं, जिससे एप्लिकेशन से लेकर चल रहे हार्डवेयर तक एक निर्भरता श्रृंखला बनती है। जब क्लाउड बूम ने वित्तीय उद्योग को प्रभावित किया, तो कई चीज़ें आसान हो गईं, लेकिन सेवाओं में सही स्तर की दृश्यता प्राप्त करना कठिन था। इसलिए अभी कई संस्थान PQC मानकों की माइग्रेशन के हिस्से के रूप में कुंजियों का पूर्ण अवलोकन बनाने पर काम कर रहे हैं।

आपने बताया है कि PQC तत्परता अक्सर क्रिप्टोग्राफिक चयन के बजाय स्वामित्व और शासन मुद्दों के कारण रुक जाती है। सुरक्षा, आईटी और उत्पाद टीमों के बीच अस्पष्ट जिम्मेदारियों से वास्तविक दीर्घकालिक सुरक्षा और अनुपालन जोखिम कैसे उत्पन्न होते हैं?

क्रिप्टोग्राफी सुरक्षा, बुनियादी ढांचा और एप्लिकेशन विकास के संगम पर स्थित है। जब स्वामित्व स्पष्ट नहीं होता, तो माइग्रेशन प्रयास रुक जाते हैं — न कि क्योंकि एल्गोरिदम अज्ञात हैं, बल्कि क्योंकि कोई एकल टीम इस परिवर्तन को संचालित करने का अधिकार या दृश्यता नहीं रखती।

समय के साथ, यह प्रणालीगत जोखिम पैदा करता है। सिस्टम नियोजित समय से अधिक समय तक लेगेसी क्रिप्टोग्राफी पर निर्भर रहते हैं, जिससे एक्सपोज़र बढ़ता है और अंततः माइग्रेशन अधिक जटिल, महंगा और व्यवधानकारी बन जाता है।

क्रिप्टो-एजिलिटी — पूरे सिस्टम को पुनः निर्मित किए बिना क्रिप्टोग्राफिक एल्गोरिदम को बदलने या अपग्रेड करने की क्षमता — अक्सर PQC तत्परता के लिए आवश्यक माना जाता है। क्रिप्टो-एजिलिटी की कमी कैसे वित्तीय संस्थानों में लॉक-इन, तकनीकी ऋण और भविष्य के अपग्रेड लागत को बढ़ाती है?

क्रिप्टो-एजिलिटी निर्धारित करती है कि क्या क्रिप्टोग्राफिक घटकों को पूरे सिस्टम को पुनः डिज़ाइन किए बिना बदला जा सकता है। जहाँ क्रिप्टोग्राफी एप्लिकेशन लॉजिक या बुनियादी ढांचे में गहराई से एम्बेडेड होती है, उसे बदलना महंगा और संचालनात्मक रूप से जोखिमपूर्ण हो जाता है।

जो संस्थान अब एजिलिटी बनाते हैं, वे क्रमिक रूप से संक्रमण कर सकेंगे। जो नहीं बनाते, उन्हें बाद में बड़े पैमाने पर, व्यवधानकारी माइग्रेशन का सामना करना पड़ सकता है, विशेषकर जब मानक और नियामक अपेक्षाएँ विकसित होती हैं।

Partisia में आपके दृष्टिकोण से, जो नियामक सिस्टम के क्रिप्टोग्राफिक और बुनियादी ढांचा स्तर पर कार्य करता है, कौन से प्रकार के लेगेसी प्लेटफ़ॉर्म या आर्किटेक्चर पैटर्न PQC की तैयारी में सबसे कठिन साबित हो रहे हैं, और क्यों?

उच्च नियामक सिस्टम अक्सर अपडेट करने में सबसे कठिन होते हैं। यह जानबूझकर है — ये सिस्टम स्थिरता और आश्वासन के लिए डिज़ाइन किए गए हैं, न कि तेज़ परिवर्तन के लिए।

उन्हें PQC में बदलने के लिए केवल एल्गोरिदम अपडेट से अधिक की आवश्यकता होती है। इसमें सॉफ़्टवेयर अपडेट, हार्डवेयर समर्थन, पुनः प्रमाणन, और संचालन मान्यकरण शामिल है। ये प्रतिबंध प्रारंभिक योजना को आवश्यक बनाते हैं, क्योंकि माइग्रेशन समयसीमा महीनों में नहीं, बल्कि वर्षों में मापी जाती है।

रिपोर्ट में एक मुख्य सिफ़ारिश यह है कि संगठन यह मूल्यांकन करें कि विभिन्न डेटा संपत्तियों को कितने समय तक सुरक्षित रहना चाहिए — उदाहरण के लिए, क्या संवेदनशील वित्तीय या व्यक्तिगत डेटा को वर्षों या दशकों तक गोपनीय रहना आवश्यक है। PQC माइग्रेशन की योजना बनाते समय संस्थानों को क्रिप्टोग्राफिक “शेल्फ लाइफ़” को वास्तविक रूप से कैसे मूल्यांकन करना चाहिए?

संस्थानों को यह मूल्यांकन करना चाहिए कि विशिष्ट डेटा को कितने समय तक गोपनीय रहना चाहिए और भविष्य में यदि वह उजागर हो जाए तो क्या परिणाम होंगे।

कुछ डेटा, जैसे लेनदेन रिकॉर्ड या व्यक्तिगत वित्तीय जानकारी, को दशकों तक सुरक्षा की आवश्यकता हो सकती है। इससे यह “अब संग्रहित करें, बाद में डिक्रिप्ट करें” परिदृश्यों के प्रति संवेदनशील हो जाता है, जहाँ एन्क्रिप्टेड डेटा आज एकत्र किया जाता है और क्वांटम क्षमताओं के विकसित होने पर डिक्रिप्ट किया जाता है। इन समयसीमाओं को समझना माइग्रेशन को प्राथमिकता देने के लिए आवश्यक है।

कई टीमें मानती हैं कि PQC कार्य केवल तब शुरू होता है जब अंतिम मानक पूरी तरह स्थापित हो जाएँ, फिर भी रिपोर्ट सुझाव देती है कि तैयारी पहले ही शुरू होनी चाहिए। अगले 12–24 महीनों में, बड़े पैमाने पर माइग्रेशन शुरू होने से पहले सुरक्षा और आर्किटेक्चर टीमों को कौन से ठोस कार्यों को प्राथमिकता देनी चाहिए?

सबसे महत्वपूर्ण कदम है क्रिप्टोग्राफिक उपयोग की पूरी सूची बनाना — यह समझना कि क्रिप्टोग्राफी कहाँ उपयोग होती है, कैसे लागू की गई है, और कौन से सिस्टम उस पर निर्भर हैं।

यह दृश्यता संस्थानों को उच्च जोखिम वाले सिस्टम की पहचान करने और भविष्य के एल्गोरिदम संक्रमण को बड़े पैमाने पर व्यवधान के बिना समर्थन करने वाली क्रिप्टो-एजाइल आर्किटेक्चर डिजाइन करना शुरू करने में मदद करती है।

अभी भी यह मान्यता है कि PQC योजना को देर करने से क्वांटम खतरों के अधिक निकट आने तक पैसा बचता है। व्यावहारिक रूप से आप जो देख रहे हैं, उसके आधार पर, विलंब वास्तव में भविष्य की लागत, संचालन जटिलता और जोखिम एक्सपोज़र को कैसे बढ़ाता है?

अच्छा प्रश्न। तैयारी को देर करने से माइग्रेशन कार्य समाप्त नहीं होता — यह इसे एक छोटे समयावधि में संकुचित कर देता है। आज तैनात सिस्टम दशकों तक संचालन में रह सकते हैं, जिसका अर्थ है कि अब किए गए निर्णय भविष्य के जोखिम एक्सपोज़र को निर्धारित करेंगे।

प्रारंभिक तैयारी संस्थानों को सामान्य अपग्रेड चक्रों में क्रिप्टो-एजिलिटी को शामिल करने की अनुमति देती है। बहुत देर तक इंतजार करने से नियामक या खतरे के दबाव के तहत महंगे, त्वरित माइग्रेशन की आवश्यकता पड़ सकती है।

आपने क्लाउड-नेटिव सिस्टम, ब्लॉकचेन बुनियादी ढांचा, और गोपनीयता-संरक्षण तकनीकों जैसे सुरक्षित मल्टीपार्टी कंप्यूटेशन पर काम किया है, जो डेटा को बिना प्रकट किए प्रोसेस करने की अनुमति देता है। पारंपरिक केंद्रीकृत वित्तीय सिस्टम की तुलना में इन वितरित या गोपनीयता-केंद्रित वातावरण में PQC योजना कैसे अलग होती है?

मूल स्तर पर, चुनौती वही है: यह पहचानना कि क्रिप्टोग्राफी कहाँ उपयोग हो रही है और यह सुनिश्चित करना कि इसे सुरक्षित रूप से बदला जा सके। चाहे सिस्टम केंद्रीकृत हो या वितरित, उसकी सुरक्षा अंततः उसके क्रिप्टोग्राफिक प्रिमिटिव्स की ताकत और जीवनचक्र पर निर्भर करती है।

मुख्य अंतर आर्किटेक्चरल दृश्यता में है। वितरित और क्रिप्टोग्राफी-चालित सिस्टम अक्सर कुंजी उपयोग और सत्यापन के आसपास स्पष्ट सीमाएँ रखते हैं, जिससे निर्भरताओं की पहचान आसान हो सकती है। लेकिन मूल कार्य — दृश्यता प्राप्त करना, माइग्रेशन की योजना बनाना, और क्रिप्टोग्राफिक एजिलिटी सुनिश्चित करना — दोनों वातावरण में समान रहता है।

आगे देखते हुए, क्या आप उम्मीद करते हैं कि PQC तत्परता नियामक अनुपालन मानक बन जाएगी, या यह वित्तीय संस्थानों के लिए प्रतिस्पर्धी और विश्वास-आधारित अंतरकारक में विकसित हो सकती है — और निवेशकों तथा प्रौद्योगिकी नेताओं को कौन से शुरुआती संकेतों पर नज़र रखनी चाहिए?

निकट भविष्य में, PQC संभवतः विकसित होती सुरक्षा और नियामक अपेक्षाओं का हिस्सा बनकर उभरेगा, न कि एक स्वतंत्र अनुपालन आवश्यकता के रूप में।

समय के साथ, जो संस्थान मजबूत क्रिप्टोग्राफिक लचीलापन और दीर्घकालिक डेटा सुरक्षा प्रदर्शित करेंगे, उनके पास विश्वास का लाभ होगा। निवेशक और नियामक बुनियादी ढांचा जोखिम पर अधिक ध्यान दे रहे हैं, और क्रिप्टोग्राफिक तैयारी इस व्यापक लचीलापन चर्चा का हिस्सा बन रही है।

उत्कृष्ट साक्षात्कार के लिए धन्यवाद, जो पाठक अधिक जानना चाहते हैं उन्हें Partisia पर जाना चाहिए।