आमच्या systems मधला personal data कोणाला दिसायला हवा?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
भाषांतरित मार्गदर्शन, legal advice नाही. Legal terms त्यांच्या English नावानेच दिले आहेत. शंका असल्यास English version आणि Act चा official text ग्राह्य धरा. हे पान इंग्रजीत वाचा
थोडक्यात उत्तर: ज्यांना गरज आहे त्यांनाच, दर quarter ला review
ज्यांना कामासाठी लागतो त्यांनाच, आणि जेवढा भाग लागतो तेवढाच. Named accounts वापरा, role नुसार access द्या, दर quarter ला review करा, आणि कोणी सोडून गेले त्याच दिवशी access काढा. Privileged accounts वर बारीक लक्ष ठेवा.
कायदा काय सांगतो
Rule 6 मध्ये access control हे किमान safeguard म्हणून दिले आहे, सोबत misuse पकडू शकणारे logs आणि monitoring.
- Section 8(5) · Rule 6: Reasonable security safeguards — data सुरक्षित ठेवणे. Personal data reasonable security safeguards ने सुरक्षित ठेवा. Rule 6 किमान गोष्टी सांगतो: encryption, masking किंवा tokenisation; access control; logs आणि monitoring; continuity साठी backups; logs किमान एक वर्ष ठेवणे; आणि processors सोबतच्या contracts मध्ये security terms.
Steps
- प्रत्येक महत्त्वाच्या system साठी role matrix लिहा.
- Shared logins ऐवजी named accounts द्या.
- Admin आणि remote access साठी multi-factor sign-in वापरा.
- प्रत्येक manager सोबत दर quarter ला access review करा.
- शेवटच्या working day ला access काढा.
ठेवायचा evidence
- Role matrix
- Quarterly review sign-offs
- सोडून गेलेल्यांचा access काढल्याचा report
नेहमीच्या चुका
- Shared machines वर generic logins
- Access फक्त वाढत जातो, कधी कमी होत नाही
- Vendor accounts चा review नाही
कोणाची काय जबाबदारी
- CISO / Security Head: Privileged आणि remote access ला आधी priority द्या. Core systems वरच्या admin accounts चे एक review केले, तरी सहसा सर्वात मोठे gaps सापडतात.
- CIO / IT Head: Role-based access साठी policy सोबत application मध्येही बदल लागतात. पुढच्या release cycle मध्ये त्यासाठी budget ठेवा.
- Internal Audit Head: Access list HR च्या leavers list शी जुळवून पाहा.
- CTO / Engineering Head: Role-based access architecture मध्येच हवा, नंतरचा fix म्हणून नाही.
- IT विभाग: System owners सोबत quarterly access review करा, आणि leavers चा access शेवटच्या दिवशीच बंद करा.
- Finance विभाग: Bank details आणि salary data कोण पाहू शकतो ते मर्यादित ठेवा, आणि access log करा.
- Internal Audit विभाग: Access lists leavers शी जुळवा.
- Information security / SOC विभाग: Privileged आणि vendor accounts वर लक्ष ठेवा.
- Software engineering विभाग: Roles architecture मध्येच.
Management कडून चांगले उत्तर कसे असते
“Access role नुसार आहे, दर quarter ला review होतो, आणि लोक सोडून जातात त्याच दिवशी काढला जातो. Shared logins आता बंद आहेत.” मेहनत आणि वेळ: मध्यम ते जास्त · 8 ते 16 आठवडे.
तुमच्या भूमिकेसाठी पूर्ण पान उघडा →