कौन-से logs रखने हैं, कितने समय और कहाँ?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है। यह पेज अंग्रेज़ी में पढ़ें
छोटा जवाब: कम से कम एक साल; ICT logs के 180 दिन भारत में
ऐसे logs रखिए जो दिखाएँ कि personal data किसने खोला और क्या किया, DPDP Rules के तहत कम से कम एक साल। CERT-In अलग से कहता है कि ICT system logs 180 दिन भारत के अंदर रखे जाएँ। Logs सुरक्षित होने चाहिए, ताकि कोई चुपचाप उन्हें बदल न सके।
कानून क्या कहता है
Rule 6 में logs और monitoring minimum safeguard के रूप में हैं। Rule 8(3) logs कम से कम एक साल रखने को कहता है। 2022 के CERT-In Directions 180 दिन के ICT logs भारत में रखने को कहते हैं।
- Section 8(5) · Rule 6: Reasonable security safeguards — data को सुरक्षित रखना. Personal data को reasonable security safeguards से सुरक्षित रखें। Rule 6 में minimum बताया गया है: encryption, masking या tokenisation; access control; logs और monitoring; continuity के लिए backups; logs कम से कम एक साल रखना; और processors के contracts में security terms।
- Section 8(7) · Rule 8: Erasure and retention — data कब delete करना है. Purpose पूरा होने पर या consent withdraw होने पर personal data delete करें, जब तक कोई कानून उसे रखने को न कहे। अपने processors से भी delete करवाएँ। Rule 8(3) के तहत हर Data Fiduciary को Rules में दिए purposes के लिए personal data, traffic data और logs कम से कम एक साल रखने हैं।
Steps
- Personal data वाले systems की list बनाइए, और हर एक आज क्या log करता है।
- जहाँ access logging नहीं है, वहाँ चालू कीजिए।
- Logs को एक सुरक्षित store में भेजिए, कम से कम एक साल की retention के साथ।
- ICT logs की एक copy भारत में कम से कम 180 दिन रखिए।
- Clocks sync कीजिए और alerts रोज़ देखिए।
कौन-सा evidence रखना है
- Log sources की list
- Retention settings
- Alert review records
आम गलतियाँ
- सिर्फ़ failures log करना, किसने record देखा यह नहीं
- Logs उसी server पर रखना जिसके वे logs हैं
- Clocks sync नहीं, तो timeline बन ही नहीं पाती
किसकी क्या ज़िम्मेदारी
- CISO / Security Head: हर log source की retention एक साल के हिसाब से check करें, और पक्का करें कि ICT logs 180 दिन India में रहें। जिन logs को वही admins edit कर सकते हैं जिनका काम वे record करते हैं, वे कमज़ोर evidence हैं।
- CIO / IT Head: पक्का करें कि applications यह log करें कि record किसने देखा, सिर्फ़ system errors नहीं। Request या breach review में यही काम आता है।
- Internal Audit Head: सिर्फ़ यह नहीं कि logging on है, sample से देखें कि उस अवधि के logs मौजूद हैं।
- CTO / Engineering Head: Record किसने देखा, यह log करें, सिर्फ़ errors नहीं।
- IT department: हर log source पर retention set करें: DPDP के लिए एक साल, और CERT-In के लिए 180 दिन India में।
- Internal Audit department: Check करें कि उस अवधि के logs मौजूद हैं।
- Information security / SOC department: Access logs एक साल, ICT logs 180 दिन India में।
- Software engineering department: Record views log करें।
Management का अच्छा जवाब कैसा होता है
“Personal data वाला हर system अपने access logs एक सुरक्षित store में भेजता है, जो एक साल रखा जाता है, और एक copy भारत में है।” Effort और समय: मध्यम · 6 से 12 हफ़्ते.
अपनी भूमिका के लिए पूरा पेज खोलें →