ஒரு control உண்மையில் வேலை செய்கிறது என்று policy காட்டுமா?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
இது மொழிபெயர்த்த வழிகாட்டல்; legal advice அல்ல. சட்டச் சொற்கள் அவற்றின் English பெயருடன் காட்டப்பட்டுள்ளன. சந்தேகம் இருந்தால் English version-உம் Act-இன் official text-உம்தான் பொருந்தும். இந்தப் பக்கத்தை ஆங்கிலத்தில் படிக்கவும்
சுருக்கமான பதில்: இல்லை; நடப்பதைக் காட்ட records வேண்டும்
இல்லை. நிறுவனம் என்ன செய்ய நினைக்கிறது என்பதை policy காட்டுகிறது. Control நடக்கிறது என்பதை அது காட்டுவதில்லை. நடக்கிறது என்று காட்ட records வேண்டும்: deletion log, access review sign-off, drill report, நேரத்துக்குப் பதில் அளித்த requests-இன் ஒரு sample. Auditors-உம் regulators-உம் இவற்றைத்தான் தேடுவார்கள்.
சட்டம் என்ன சொல்கிறது
Section 8(4): compliance-ஐ உறுதிசெய்யப் பொருத்தமான technical மற்றும் organisational measures கேட்கிறது. அந்த measures வேலை செய்கின்றன என்று காட்ட முடிவதும் அந்தக் கடமையின் ஒரு பகுதி.
- Section 8(5) · Rule 6: Reasonable security safeguards — பாதுகாப்பு ஏற்பாடுகள். Reasonable security safeguards மூலம் personal data-வைப் பாதுகாக்க வேண்டும். Rule 6 குறைந்தபட்சத் தேவைகளைப் பட்டியலிடுகிறது: encryption, masking அல்லது tokenisation; access control; logs மற்றும் monitoring; continuity-க்கு backups; logs-ஐக் குறைந்தது ஒரு ஆண்டு வைத்திருத்தல்; processors-உடனான contracts-இல் security terms.
- Section 8(1)–(2): Data Fiduciary responsibility — vendor வேலை செய்தாலும் பொறுப்பு உங்களுடையது. Data எதற்காக, எப்படிப் பயன்படுத்தப்படுகிறது என்று முடிவு செய்யும் நிறுவனமே (Data Fiduciary) பொறுப்பு. வேலையை ஒரு vendor (Data Processor) செய்தாலும் இது மாறாது. Valid contract இருந்தால் மட்டுமே ஒரு processor-ஐ engage செய்யலாம்.
Steps
- ஒவ்வொரு policy-க்கும், அது நடக்கிறது என்று காட்டும் record எது என்று எழுதுங்கள்.
- கடந்த quarter-க்கு அந்த record இருக்கிறதா என்று check செய்யுங்கள்.
- இல்லாத இடங்களில் அதை உருவாக்கத் தொடங்குங்கள்.
- ஒவ்வொரு quarter-உம் சில records-ஐ sample செய்யுங்கள்.
- Samples-ஐ policy-உடன் சேர்த்து வையுங்கள்.
வைத்திருக்க வேண்டிய evidence
- ஒவ்வொரு policy-க்கும் எதிரே record map
- ஒவ்வொரு quarter-இன் samples
- Gaps, எடுத்த actions
பொதுவான தவறுகள்
- பின்னால் எந்த record-உம் இல்லாத policies-ஐ approve செய்வது
- Evidence கேட்கும்போது policy-ஐக் காட்டுவது
- Audit-க்கு முன் மட்டுமே உருவாகும் records
யார் என்ன செய்ய வேண்டும்
- Internal Audit Head: இருக்கிறதா என்பதை அல்ல, வேலை செய்கிறதா என்பதை test செய்யுங்கள். ஐந்து records-ஐ எடுத்து, ஒவ்வொன்றையும் தொடக்கம் முதல் முடிவு வரை trace செய்யுங்கள்.
- Chief Compliance Officer: Policy ஒரு தொடக்கம் மட்டுமே. அது வேலை செய்கிறது என்று காட்டும் record-ஐக் கேளுங்கள்.
- Internal Audit துறை: ஐந்து samples-ஐத் தொடக்கம் முதல் முடிவு வரை test செய்யுங்கள்.
- Training & L&D துறை: Training நடத்தையை மாற்றியது என்று காட்டுங்கள், உதாரணமாக wrong sends குறைந்தது.
உதாரணம் (ஆங்கிலத்தில்)
A bank's access policy says rights are reviewed every quarter. Internal audit asks for the last two review sign-offs; one quarter has none. The policy is fine; the control did not run that quarter.
Management-இடமிருந்து நல்ல பதில் எப்படி இருக்கும்
“ஒவ்வொரு policy-க்கும், கடந்த quarter-இல் அது நடந்தது என்று காட்டும் record-ஐ எங்களால் காட்ட முடியும். Internal audit அவற்றை sample செய்கிறது.” முயற்சியும் நேரமும்: நடுத்தரம் · தொடர்ந்து நடக்கும்.
உங்கள் பொறுப்புக்கான முழுப் பக்கத்தைத் திறக்கவும் →