हमारे systems में personal data कौन देख सके?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है। यह पेज अंग्रेज़ी में पढ़ें
छोटा जवाब: सिर्फ़ जिन्हें ज़रूरत है, हर quarter review के साथ
सिर्फ़ वे लोग जिन्हें अपने काम के लिए ज़रूरत है, और सिर्फ़ उतना हिस्सा जितना चाहिए। Named accounts रखिए, role के हिसाब से access दीजिए, हर quarter review कीजिए और जिस दिन कोई छोड़े उसी दिन हटाइए। Privileged accounts पर खास नज़र रखिए।
कानून क्या कहता है
Rule 6 में access control minimum safeguard है, साथ में ऐसे logs और monitoring जो misuse पकड़ सकें।
- Section 8(5) · Rule 6: Reasonable security safeguards — data को सुरक्षित रखना. Personal data को reasonable security safeguards से सुरक्षित रखें। Rule 6 में minimum बताया गया है: encryption, masking या tokenisation; access control; logs और monitoring; continuity के लिए backups; logs कम से कम एक साल रखना; और processors के contracts में security terms।
Steps
- हर मुख्य system के लिए role matrix लिखिए।
- Shared logins हटाकर named accounts दीजिए।
- Admin और remote access के लिए multi-factor sign-in लगाइए।
- हर quarter हर manager के साथ access review कीजिए।
- आखिरी working day पर access हटाइए।
कौन-सा evidence रखना है
- Role matrix
- Quarterly review sign-offs
- Leaver removal report
आम गलतियाँ
- Shared machines पर generic logins
- Access जो सिर्फ़ बढ़ता ही जाता है
- Vendor accounts का कोई review नहीं
किसकी क्या ज़िम्मेदारी
- CISO / Security Head: Privileged और remote access को पहले लें। Core systems के admin accounts का एक review अक्सर सबसे बड़े gaps पकड़ लेता है।
- CIO / IT Head: Role-based access के लिए policy के साथ application changes भी चाहिए। अगली release cycle में इसका budget रखें।
- Internal Audit Head: Access list को HR की leavers list से मिलाएँ।
- CTO / Engineering Head: Role-based access architecture में होना चाहिए, बाद के fix में नहीं।
- IT department: System owners के साथ quarterly access review चलाएँ, और leavers का access आखिरी दिन ही बंद करें।
- Finance department: Bank details और salary data कौन देख सकता है, इसे सीमित करें, और access log करें।
- Internal Audit department: Access lists को leavers से मिलाएँ।
- Information security / SOC department: Privileged और vendor accounts पर नज़र रखें।
- Software engineering department: Roles architecture में।
Management का अच्छा जवाब कैसा होता है
“Access role के हिसाब से है, हर quarter review होता है, और छोड़ने वाले दिन ही हट जाता है। Shared logins खत्म हो गए हैं।” Effort और समय: मध्यम से भारी · 8 से 16 हफ़्ते.
अपनी भूमिका के लिए पूरा पेज खोलें →