ISO 27001 किंवा NIST CSF मध्ये आमच्या DPDP जबाबदाऱ्या येतात का?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
भाषांतरित मार्गदर्शन, legal advice नाही. Legal terms त्यांच्या English नावानेच दिले आहेत. शंका असल्यास English version आणि Act चा official text ग्राह्य धरा. हे पान इंग्रजीत वाचा
थोडक्यात उत्तर: Security येते, पूर्ण Act नाही
Security च्या भागासाठी त्यांची खूप मदत होते. ISO/IEC 27001 आणि NIST CSF 2.0 हे reasonable security safeguards चा चांगला evidence आहेत. पण notice, consent, rights, complaints किंवा children's data त्यात येत नाही. ISO/IEC 27701 privacy controls जोडते, पण कोणतेही certificate Act ची जागा घेत नाही.
कायदा काय सांगतो
Section 8(5) आणि Rule 6 reasonable security safeguards मागतात. मान्यताप्राप्त standard हा त्या जबाबदारीचा मजबूत evidence आहे, आणि फक्त त्याच जबाबदारीचा.
- Section 8(5) · Rule 6: Reasonable security safeguards — data सुरक्षित ठेवणे. Personal data reasonable security safeguards ने सुरक्षित ठेवा. Rule 6 किमान गोष्टी सांगतो: encryption, masking किंवा tokenisation; access control; logs आणि monitoring; continuity साठी backups; logs किमान एक वर्ष ठेवणे; आणि processors सोबतच्या contracts मध्ये security terms.
Steps
- तुमचे सध्याचे controls Rule 6 शी map करा.
- फक्त DPDP मधले items जोडा: notice, consent, rights, complaints, children, retention.
- Audits आणि DPDP साठी तोच evidence वापरा.
- पुढच्या internal audit च्या scope मध्ये privacy घ्या.
- Clients मागत असतील तर ISO/IEC 27701 चा विचार करा.
ठेवायचा evidence
- Control map
- Audit reports
- DPDP-only items ची gap list
नेहमीच्या चुका
- Certificate लाच DPDP compliance मानणे
- सर्वात जास्त personal data असलेल्या systems scope मधून बाहेर
- Non-security जबाबदाऱ्यांना owner नाही
कोणाची काय जबाबदारी
- CISO / Security Head: खालचा control map वापरा. Rule 6 चा बहुतेक भाग तुमच्या ISO किंवा NIST कामात आधीच आहे. खरे काम म्हणजे सगळा evidence एका ठिकाणी गोळा करणे.
- CIO / IT Head: Systems बदलतात तसे mapping update ठेवा. Logging किंवा access control नसलेली एक नवी system सगळे काम वाया घालवते.
- Chief Risk Officer: आधीची certifications evidence म्हणून वापरा, पण त्यात न येणाऱ्या DPDP duties स्वतंत्र risk lines म्हणून नोंदवा.
- Chief Compliance Officer: Security साठी certifications evidence म्हणून वापरा, आणि बाकीच्या duties वेगळ्या track करा.
- Procurement विभाग: Slide वरचा logo पुरेसा नाही. सध्याची certificates आणि ताजा audit summary मागा.
- Information security / SOC विभाग: Controls एकदाच map करा.
Management कडून चांगले उत्तर कसे असते
“आमचे security controls Rules शी map केलेले आहेत, आणि ISO बाहेरच्या privacy जबाबदाऱ्यांना स्वतःचे owners आणि evidence आहे.” मेहनत आणि वेळ: आधीच certified असाल तर कमी.
तुमच्या भूमिकेसाठी पूर्ण पान उघडा →