हमारे लोग client systems को कैसे access करें?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है। यह पेज अंग्रेज़ी में पढ़ें
छोटा जवाब: Named, logged, और roll-off पर हटाया गया
Named accounts से, managed devices या controlled jump servers से, multi-factor sign-in और logging के साथ। जिस दिन कोई project से roll-off हो, उसी दिन उसका access हटना चाहिए। Client का data client के systems में ही रहे। उसे laptops, internal tickets या chat में copy न किया जाए।
कानून क्या कहता है
आप processor हों तब भी Section 8(5) और Rule 6 आपके safeguards पर लागू होते हैं।
- Section 8(5) · Rule 6: Reasonable security safeguards — data को सुरक्षित रखना. Personal data को reasonable security safeguards से सुरक्षित रखें। Rule 6 में minimum बताया गया है: encryption, masking या tokenisation; access control; logs और monitoring; continuity के लिए backups; logs कम से कम एक साल रखना; और processors के contracts में security terms।
- Section 8(1)–(2): Responsibility of Data Fiduciary — vendor काम करे, ज़िम्मेदारी आपकी. जो organisation तय करती है कि data क्यों और कैसे इस्तेमाल होगा (Data Fiduciary), ज़िम्मेदारी उसी की रहती है, भले ही काम vendor (Data Processor) करे। Processor को सिर्फ़ valid contract के तहत ही लगाया जा सकता है।
Steps
- Client के shared credentials बिल्कुल नहीं।
- हर client access पर MFA।
- Sensitive clients के लिए jump servers या VDI।
- Roll-off के दिन ही access हटाना।
- हर client के लिए quarterly access review।
कौन-सा evidence रखना है
- हर client की access list
- Access review के records
- Roll-off पर access हटाने की reports
आम गलतियाँ
- Team chat में shared logins
- Production data laptops पर copy करना
- Roll-off के बाद भी access बचा रहना
किसकी क्या ज़िम्मेदारी
- CISO / Security Head: IT sector के ज़्यादातर incidents यहीं से शुरू होते हैं।
- CIO / IT Head: Sensitive clients के लिए jump servers या VDI का budget दें।
- Delivery Head: Access आप approve करते हैं, तो हटाना भी आपकी ज़िम्मेदारी है।
- IT department: Roll-off removal report हर हफ़्ते चलाएँ।
उदाहरण (अंग्रेज़ी में)
A team of 20 rolls onto a client project. Each person gets a named account through a jump server with MFA. On roll-off day, all 20 accounts are removed and the client gets the list.
Management का अच्छा जवाब कैसा होता है
“Client का सारा access named और logged है, और roll-off के दिन ही हट जाता है। Quarterly reviews में एक भी stale account नहीं मिलता।” Effort और समय: Medium · 6 से 12 हफ़्ते.
अपनी भूमिका के लिए पूरा पेज खोलें →