எந்த logs வைக்க வேண்டும், எவ்வளவு காலம், எங்கே?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
இது மொழிபெயர்த்த வழிகாட்டல்; legal advice அல்ல. சட்டச் சொற்கள் அவற்றின் English பெயருடன் காட்டப்பட்டுள்ளன. சந்தேகம் இருந்தால் English version-உம் Act-இன் official text-உம்தான் பொருந்தும். இந்தப் பக்கத்தை ஆங்கிலத்தில் படிக்கவும்
சுருக்கமான பதில்: குறைந்தது ஒரு வருடம்; ICT logs இந்தியாவில் 180 நாட்கள்
Personal data-வை யார் access செய்தார்கள், என்ன செய்தார்கள் என்று காட்டும் logs-ஐ DPDP Rules-இன்படி குறைந்தது ஒரு வருடம் வைத்திருங்கள். அதைத் தவிர, ICT system logs-ஐ இந்தியாவுக்குள் 180 நாட்கள் வைக்க CERT-In தனியாகச் சொல்கிறது. யாரும் சத்தமில்லாமல் மாற்ற முடியாதபடி logs பாதுகாக்கப்பட வேண்டும்.
சட்டம் என்ன சொல்கிறது
Rule 6: logs, monitoring இரண்டும் குறைந்தபட்ச safeguard. Rule 8(3): logs-ஐக் குறைந்தது ஒரு வருடம் வைக்க வேண்டும். 2022 CERT-In Directions: ICT logs-ஐ 180 நாட்கள் இந்தியாவுக்குள் வைக்க வேண்டும்.
- Section 8(5) · Rule 6: Reasonable security safeguards — பாதுகாப்பு ஏற்பாடுகள். Reasonable security safeguards மூலம் personal data-வைப் பாதுகாக்க வேண்டும். Rule 6 குறைந்தபட்சத் தேவைகளைப் பட்டியலிடுகிறது: encryption, masking அல்லது tokenisation; access control; logs மற்றும் monitoring; continuity-க்கு backups; logs-ஐக் குறைந்தது ஒரு ஆண்டு வைத்திருத்தல்; processors-உடனான contracts-இல் security terms.
- Section 8(7) · Rule 8: Erasure and retention — எப்போது நீக்க வேண்டும், எவ்வளவு காலம் வைக்க வேண்டும். Purpose முடிந்தவுடன் அல்லது consent திரும்பப் பெறப்பட்டவுடன் personal data-வை erase செய்ய வேண்டும். ஏதாவது சட்டம் அதை வைத்திருக்கச் சொன்னால் மட்டுமே விதிவிலக்கு. உங்கள் processors-உம் erase செய்வதை உறுதிசெய்யுங்கள். Rules-இல் சொல்லப்பட்ட purposes-க்காக, ஒவ்வொரு Data Fiduciary-உம் personal data, traffic data, logs-ஐக் குறைந்தது ஒரு ஆண்டு வைத்திருக்க வேண்டும் என்று Rule 8(3) சொல்கிறது.
Steps
- Personal data உள்ள systems-ஐயும், ஒவ்வொன்றும் இன்று என்ன log செய்கிறது என்பதையும் list செய்யுங்கள்.
- Access logging இல்லாத இடங்களில் அதை on செய்யுங்கள்.
- Logs-ஐ ஒரே பாதுகாப்பான store-க்கு அனுப்புங்கள்; குறைந்தது ஒரு வருட retention உடன்.
- ICT logs-இன் ஒரு copy-ஐ இந்தியாவில் குறைந்தது 180 நாட்கள் வையுங்கள்.
- Clocks-ஐ sync செய்யுங்கள்; alerts-ஐ தினமும் review செய்யுங்கள்.
வைத்திருக்க வேண்டிய evidence
- Log sources பட்டியல்
- Logs-இன் retention settings
- Alerts review செய்த records
பொதுவான தவறுகள்
- Failures-ஐ மட்டும் log செய்வது; record-ஐ யார் பார்த்தார்கள் என்பதை அல்ல
- Logs-ஐ அவை எந்த server பற்றியவையோ அதே server-இல் வைப்பது
- Clocks sync இல்லாததால் timeline உருவாக்க முடியாமல் போவது
யார் என்ன செய்ய வேண்டும்
- CISO / Security Head: ஒவ்வொரு log source-இன் retention-உம் ஒரு ஆண்டுக்குக் குறையாமல் உள்ளதா என்று பாருங்கள். ICT logs 180 நாள் இந்தியாவில் இருக்க வேண்டும். எந்த admins-ஐ record செய்கிறதோ அவர்களே edit செய்யக்கூடிய logs பலவீனமான evidence.
- CIO / IT Head: System errors மட்டும் அல்ல, ஒரு record-ஐ யார் பார்த்தார் என்றும் applications log செய்ய வேண்டும். ஒரு request-க்கோ breach review-க்கோ தேவைப்படுவது அதுதான்.
- Internal Audit Head: Logging on-இல் உள்ளதா என்பதை மட்டும் அல்ல, அந்தக் காலத்துக்கான logs உண்மையில் உள்ளனவா என்று sample செய்யுங்கள்.
- CTO / Engineering Head: Errors மட்டும் அல்ல, ஒரு record-ஐ யார் பார்த்தார் என்பதையும் log செய்யுங்கள்.
- IT துறை: ஒவ்வொரு log source-க்கும் retention வையுங்கள்: DPDP-க்கு ஒரு ஆண்டு, CERT-In-க்கு இந்தியாவில் 180 நாள்.
- Internal Audit துறை: அந்தக் காலத்துக்கான logs உள்ளனவா என்று பாருங்கள்.
- Information security / SOC துறை: ஒரு ஆண்டு access logs, இந்தியாவில் 180 நாள் ICT logs.
- Software engineering துறை: Record views-ஐ log செய்யுங்கள்.
Management-இடமிருந்து நல்ல பதில் எப்படி இருக்கும்
“Personal data உள்ள ஒவ்வொரு system-உம் access logs-ஐ ஒரு பாதுகாப்பான store-க்கு அனுப்புகிறது. அவை ஒரு வருடம் வைக்கப்படுகின்றன; ஒரு copy இந்தியாவில் உள்ளது.” முயற்சியும் நேரமும்: நடுத்தரம் · 6 முதல் 12 வாரங்கள்.
உங்கள் பொறுப்புக்கான முழுப் பக்கத்தைத் திறக்கவும் →