Control खरंच चालतो, हे policy दाखवू शकते का?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
भाषांतरित मार्गदर्शन, legal advice नाही. Legal terms त्यांच्या English नावानेच दिले आहेत. शंका असल्यास English version आणि Act चा official text ग्राह्य धरा. हे पान इंग्रजीत वाचा
थोडक्यात उत्तर: नाही; चालतो हे दाखवायला records लागतात
नाही. Policy organisation चा हेतू दाखवते. Control प्रत्यक्षात चालतो हे ती दाखवत नाही. ते दाखवायला records लागतात: deletion log, access review sign-off, drill report, वेळेत उत्तर दिलेल्या requests चा sample. Auditors आणि regulators हेच शोधतात.
कायदा काय सांगतो
Section 8(4) नुसार compliance सुनिश्चित करण्यासाठी योग्य technical आणि organisational measures हवेत. ते measures काम करतात हे दाखवता येणे, हा त्या जबाबदारीचाच भाग आहे.
- Section 8(5) · Rule 6: Reasonable security safeguards — data सुरक्षित ठेवणे. Personal data reasonable security safeguards ने सुरक्षित ठेवा. Rule 6 किमान गोष्टी सांगतो: encryption, masking किंवा tokenisation; access control; logs आणि monitoring; continuity साठी backups; logs किमान एक वर्ष ठेवणे; आणि processors सोबतच्या contracts मध्ये security terms.
- Section 8(1)–(2): Obligations of Data Fiduciary — vendors ची जबाबदारी. Data का आणि कसा वापरायचा हे ठरवणारी संस्था (Data Fiduciary) जबाबदार राहते, काम vendor (Data Processor) करत असला तरीही. Processor ला फक्त valid contract अंतर्गतच काम देता येते.
Steps
- प्रत्येक policy साठी, ती चालते हे कोणता record दाखवेल ते लिहा.
- मागच्या quarter चा तो record आहे का, ते तपासा.
- नसेल तिथे तो तयार करायला सुरुवात करा.
- दर quarter ला काही records चा sample घ्या.
- Samples policy सोबतच ठेवा.
ठेवायचा evidence
- Policy-to-record map
- दर quarter चे samples
- Gaps आणि actions
नेहमीच्या चुका
- मागे कोणताही record नसलेल्या policies approve करणे
- Evidence मागितल्यावर policy दाखवणे
- फक्त audit आधी तयार होणारे records
कोणाची काय जबाबदारी
- Internal Audit Head: Policy आहे एवढे पुरेसे नाही, ती प्रत्यक्ष चालते का ते test करा. पाच records निवडा, आणि प्रत्येक सुरुवातीपासून शेवटपर्यंत trace करा.
- Chief Compliance Officer: Policy ही फक्त सुरुवात आहे. ती चालते हे दाखवणारा record मागा.
- Internal Audit विभाग: पाच samples सुरुवातीपासून शेवटपर्यंत test करा.
- Training आणि L&D विभाग: Training मुळे वागणूक बदलली हे दाखवा, उदा. wrong sends कमी झाले.
उदाहरण (इंग्रजीत)
A bank's access policy says rights are reviewed every quarter. Internal audit asks for the last two review sign-offs; one quarter has none. The policy is fine; the control did not run that quarter.
Management कडून चांगले उत्तर कसे असते
“प्रत्येक policy साठी, ती मागच्या quarter मध्ये चालली हे दाखवणारा record आम्ही दाखवू शकतो, आणि internal audit त्यांचे sample घेते.” मेहनत आणि वेळ: मध्यम · सतत चालणारे.
तुमच्या भूमिकेसाठी पूर्ण पान उघडा →