आमच्या लोकांनी client systems कसे access करावेत?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
भाषांतरित मार्गदर्शन, legal advice नाही. Legal terms त्यांच्या English नावानेच दिले आहेत. शंका असल्यास English version आणि Act चा official text ग्राह्य धरा. हे पान इंग्रजीत वाचा
थोडक्यात उत्तर: Named, logged, आणि roll-off ला काढलेला
Named accounts मधून, managed devices किंवा controlled jump servers वरून, multi-factor sign-in आणि logging सह. कोणी project मधून roll-off झाला की त्याच दिवशी access काढा. Client data client च्या systems मध्येच राहावा. तो laptops, internal tickets किंवा chat मध्ये copy करू नये.
कायदा काय सांगतो
तुम्ही processor असलात तरी तुमच्या safeguards ला Section 8(5) आणि Rule 6 लागू होतात.
- Section 8(5) · Rule 6: Reasonable security safeguards — data सुरक्षित ठेवणे. Personal data reasonable security safeguards ने सुरक्षित ठेवा. Rule 6 किमान गोष्टी सांगतो: encryption, masking किंवा tokenisation; access control; logs आणि monitoring; continuity साठी backups; logs किमान एक वर्ष ठेवणे; आणि processors सोबतच्या contracts मध्ये security terms.
- Section 8(1)–(2): Obligations of Data Fiduciary — vendors ची जबाबदारी. Data का आणि कसा वापरायचा हे ठरवणारी संस्था (Data Fiduciary) जबाबदार राहते, काम vendor (Data Processor) करत असला तरीही. Processor ला फक्त valid contract अंतर्गतच काम देता येते.
Steps
- Client credentials share करायचे नाहीत.
- सगळ्या client access वर MFA.
- Sensitive clients साठी jump servers किंवा VDI.
- Roll-off च्या दिवशीच access काढणे.
- प्रत्येक client साठी quarterly access review.
ठेवायचा evidence
- प्रत्येक client ची access list
- Review च्या नोंदी
- Roll-off ला access काढल्याचे reports
नेहमीच्या चुका
- Team chat मध्ये shared logins
- Production data laptops वर copy करणे
- Roll-off नंतरही access तसाच
कोणाची काय जबाबदारी
- CISO / Security Head: IT sector मधले बहुतेक incidents इथूनच सुरू होतात.
- CIO / IT Head: Sensitive clients साठी jump servers किंवा VDI ला budget द्या.
- Delivery Head: Access तुम्ही approve करता, म्हणून काढून टाकणेही तुमचेच काम.
- IT विभाग: Roll-off removal report दर आठवड्याला चालवा.
उदाहरण (इंग्रजीत)
A team of 20 rolls onto a client project. Each person gets a named account through a jump server with MFA. On roll-off day, all 20 accounts are removed and the client gets the list.
Management कडून चांगले उत्तर कसे असते
“सगळा client access named आणि logged आहे, आणि roll-off च्या दिवशीच काढला जातो. Quarterly reviews मध्ये एकही stale account सापडत नाही.” मेहनत आणि वेळ: मध्यम · 6 ते 12 आठवडे.
तुमच्या भूमिकेसाठी पूर्ण पान उघडा →