क्या ISO 27001 या NIST CSF से हमारी DPDP duties पूरी हो जाती हैं?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है। यह पेज अंग्रेज़ी में पढ़ें
छोटा जवाब: ये security cover करते हैं, पूरा Act नहीं
Security वाले हिस्से में ये बहुत मदद करते हैं। ISO/IEC 27001 और NIST CSF 2.0 reasonable security safeguards का अच्छा evidence हैं। पर ये notice, consent, rights, complaints या बच्चों के data को cover नहीं करते। ISO/IEC 27701 privacy controls जोड़ता है, पर कोई भी certificate Act की जगह नहीं ले सकता।
कानून क्या कहता है
Section 8(5) और Rule 6 reasonable security safeguards माँगते हैं। कोई recognised standard उस duty का मज़बूत evidence है, और सिर्फ़ उसी duty का।
- Section 8(5) · Rule 6: Reasonable security safeguards — data को सुरक्षित रखना. Personal data को reasonable security safeguards से सुरक्षित रखें। Rule 6 में minimum बताया गया है: encryption, masking या tokenisation; access control; logs और monitoring; continuity के लिए backups; logs कम से कम एक साल रखना; और processors के contracts में security terms।
Steps
- अपने मौजूदा controls को Rule 6 से map कीजिए।
- सिर्फ़-DPDP वाले items जोड़िए: notice, consent, rights, complaints, children, retention.
- Audits और DPDP, दोनों के लिए वही evidence इस्तेमाल कीजिए।
- अगले Internal Audit के scope में privacy शामिल कीजिए।
- Clients माँगें तो ISO/IEC 27701 पर विचार कीजिए।
कौन-सा evidence रखना है
- Control map
- Audit reports
- सिर्फ़-DPDP items की gap list
आम गलतियाँ
- Certificate को DPDP compliance मान लेना
- ऐसा scope जिसमें सबसे ज़्यादा personal data वाले systems ही छूट गए
- Non-security duties का कोई owner नहीं
किसकी क्या ज़िम्मेदारी
- CISO / Security Head: नीचे दिया control map इस्तेमाल करें। Rule 6 का ज़्यादातर हिस्सा आपके ISO या NIST काम में पहले से है। असली काम evidence को एक जगह इकट्ठा करना है।
- CIO / IT Head: Systems बदलने पर mapping को current रखें। बिना logging या access control वाला एक नया system सारी मेहनत बिगाड़ देता है।
- Chief Risk Officer: Existing certifications को evidence के रूप में इस्तेमाल करें, लेकिन जो DPDP duties वे cover नहीं करतीं, उन्हें अलग risk lines में रखें।
- Chief Compliance Officer: Security के लिए certifications को evidence मानें, और बाकी duties अलग track करें।
- Procurement department: Current certificates और latest audit summary माँगें, slide पर सिर्फ़ logo नहीं।
- Information security / SOC department: Controls एक बार map करें।
Management का अच्छा जवाब कैसा होता है
“हमारे security controls Rules से map हैं, और ISO के बाहर वाली privacy duties के अपने owners और evidence हैं।” Effort और समय: हल्का, अगर आप पहले से certified हैं.
अपनी भूमिका के लिए पूरा पेज खोलें →