कोणते logs ठेवायचे, किती काळ, आणि कुठे?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
भाषांतरित मार्गदर्शन, legal advice नाही. Legal terms त्यांच्या English नावानेच दिले आहेत. शंका असल्यास English version आणि Act चा official text ग्राह्य धरा. हे पान इंग्रजीत वाचा
थोडक्यात उत्तर: किमान एक वर्ष; ICT logs चे 180 दिवस भारतात
Personal data कोणी पाहिला आणि त्याने काय केले, हे दाखवणारे logs DPDP Rules नुसार किमान एक वर्ष ठेवा. CERT-In वेगळेपणे ICT system logs भारतात 180 दिवस ठेवायला सांगते. Logs असे सुरक्षित हवेत की कोणालाही ते गुपचूप बदलता येऊ नयेत.
कायदा काय सांगतो
Rule 6 मध्ये logs आणि monitoring हे किमान safeguard म्हणून दिले आहेत. Rule 8(3) नुसार logs किमान एक वर्ष ठेवायचे. 2022 च्या CERT-In Directions नुसार ICT logs चे 180 दिवस भारतातच ठेवायचे.
- Section 8(5) · Rule 6: Reasonable security safeguards — data सुरक्षित ठेवणे. Personal data reasonable security safeguards ने सुरक्षित ठेवा. Rule 6 किमान गोष्टी सांगतो: encryption, masking किंवा tokenisation; access control; logs आणि monitoring; continuity साठी backups; logs किमान एक वर्ष ठेवणे; आणि processors सोबतच्या contracts मध्ये security terms.
- Section 8(7) · Rule 8: Erasure and retention — data delete करणे आणि ठेवणे. Purpose संपला किंवा consent withdraw झाला की personal data delete करा. एखाद्या कायद्याने तो ठेवणे बंधनकारक असेल, तर तेवढा अपवाद. तुमच्या processors कडूनही तो delete करून घ्या. Rule 8(3) नुसार प्रत्येक Data Fiduciary ने Rules मध्ये दिलेल्या purposes साठी personal data, traffic data आणि logs किमान एक वर्ष ठेवायचे आहेत.
Steps
- Personal data असलेल्या systems ची यादी करा, आणि प्रत्येक system आज काय log करते ते लिहा.
- जिथे access logging नाही तिथे ते सुरू करा.
- Logs एका protected store मध्ये पाठवा, किमान एक वर्षाच्या retention सह.
- ICT logs ची एक copy भारतात किमान 180 दिवस ठेवा.
- Clocks sync करा आणि alerts रोज review करा.
ठेवायचा evidence
- Log source list
- Retention settings
- Alerts review केल्याच्या नोंदी
नेहमीच्या चुका
- फक्त failures log करणे, record कोणी पाहिला ते नाही
- ज्या server चे logs, त्याच server वर ते ठेवणे
- Clocks sync नाहीत, म्हणून timeline बनवता येत नाही
कोणाची काय जबाबदारी
- CISO / Security Head: प्रत्येक log source ची retention एक वर्षाशी तपासा, आणि ICT logs 180 दिवस भारतातच राहतील याची खात्री करा. ज्या admins ची नोंद log मध्ये होते, तेच तो log edit करू शकत असतील, तर तो कमकुवत evidence आहे.
- CIO / IT Head: Applications फक्त system errors नाही, तर record कोणी पाहिला ते पण log करतात, याची खात्री करा. Request किंवा breach review ला नेमके तेच लागते.
- Internal Audit Head: Logging चालू आहे का एवढेच नाही, त्या period चे logs खरोखर आहेत का, याचे sample घ्या.
- CTO / Engineering Head: फक्त errors नाही, record कोणी पाहिला ते पण log करा.
- IT विभाग: प्रत्येक log source ची retention ठरवा: DPDP साठी एक वर्ष, आणि CERT-In साठी 180 दिवस भारतात.
- Internal Audit विभाग: त्या period चे logs आहेत का ते तपासा.
- Information security / SOC विभाग: Access logs एक वर्ष, ICT logs 180 दिवस भारतात.
- Software engineering विभाग: Record views log करा.
Management कडून चांगले उत्तर कसे असते
“Personal data असलेली प्रत्येक system access logs एका protected store मध्ये पाठवते. ते एक वर्ष ठेवले जातात, आणि एक copy भारतात आहे.” मेहनत आणि वेळ: मध्यम · 6 ते 12 आठवडे.
तुमच्या भूमिकेसाठी पूर्ण पान उघडा →