ISO 27001 அல்லது NIST CSF நம் DPDP கடமைகளை cover செய்கிறதா?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
இது மொழிபெயர்த்த வழிகாட்டல்; legal advice அல்ல. சட்டச் சொற்கள் அவற்றின் English பெயருடன் காட்டப்பட்டுள்ளன. சந்தேகம் இருந்தால் English version-உம் Act-இன் official text-உம்தான் பொருந்தும். இந்தப் பக்கத்தை ஆங்கிலத்தில் படிக்கவும்
சுருக்கமான பதில்: அவை security-ஐ cover செய்கின்றன; முழு Act-ஐ அல்ல
Security பகுதிக்கு அவை நிறைய உதவுகின்றன. ISO/IEC 27001, NIST CSF 2.0 இரண்டும் reasonable security safeguards-க்கு நல்ல evidence. ஆனால் notice, consent, உரிமைகள், complaints, குழந்தைகளின் data ஆகியவற்றை அவை cover செய்வதில்லை. ISO/IEC 27701 privacy controls-ஐச் சேர்க்கிறது; ஆனால் எந்த certificate-உம் Act-க்கு மாற்று அல்ல.
சட்டம் என்ன சொல்கிறது
Section 8(5) மற்றும் Rule 6: reasonable security safeguards கேட்கின்றன. அங்கீகரிக்கப்பட்ட standard அந்தக் கடமைக்கு வலுவான evidence; அந்தக் கடமைக்கு மட்டுமே.
- Section 8(5) · Rule 6: Reasonable security safeguards — பாதுகாப்பு ஏற்பாடுகள். Reasonable security safeguards மூலம் personal data-வைப் பாதுகாக்க வேண்டும். Rule 6 குறைந்தபட்சத் தேவைகளைப் பட்டியலிடுகிறது: encryption, masking அல்லது tokenisation; access control; logs மற்றும் monitoring; continuity-க்கு backups; logs-ஐக் குறைந்தது ஒரு ஆண்டு வைத்திருத்தல்; processors-உடனான contracts-இல் security terms.
Steps
- உங்கள் தற்போதைய controls-ஐ Rule 6-உடன் map செய்யுங்கள்.
- DPDP-க்கு மட்டுமான items-ஐச் சேருங்கள்: notice, consent, உரிமைகள், complaints, குழந்தைகள், retention.
- Audits-க்கும் DPDP-க்கும் அதே evidence-ஐப் பயன்படுத்துங்கள்.
- அடுத்த internal audit-இன் scope-இல் privacy-ஐயும் சேருங்கள்.
- Clients கேட்டால் ISO/IEC 27701 பற்றி யோசியுங்கள்.
வைத்திருக்க வேண்டிய evidence
- Control map
- Audit reports
- DPDP-only items-க்கான gap list
பொதுவான தவறுகள்
- Certificate-ஐயே DPDP compliance என்று நினைப்பது
- அதிக personal data உள்ள systems-ஐ விட்டுவிடும் scope
- Security அல்லாத கடமைகளுக்கு owner இல்லை
யார் என்ன செய்ய வேண்டும்
- CISO / Security Head: கீழே உள்ள control map-ஐப் பயன்படுத்துங்கள். Rule 6-இன் பெரும்பகுதி ஏற்கனவே உங்கள் ISO அல்லது NIST வேலையில் உள்ளது. Evidence-ஐ ஒரே இடத்தில் சேர்ப்பதுதான் வேலை.
- CIO / IT Head: Systems மாறும்போது mapping-ஐயும் update செய்யுங்கள். Logging, access control இல்லாத ஒரு புதிய system, செய்த வேலையை வீணாக்கிவிடும்.
- Chief Risk Officer: இருக்கும் certifications-ஐ evidence ஆகப் பயன்படுத்துங்கள். ஆனால் அவை கவர் செய்யாத DPDP கடமைகளைத் தனி risk lines ஆகப் பதிவு செய்யுங்கள்.
- Chief Compliance Officer: Security-க்கு certifications-ஐ evidence ஆகப் பயன்படுத்துங்கள். மற்ற கடமைகளைத் தனியாக track செய்யுங்கள்.
- Procurement துறை: Slide-இல் ஒரு logo போதாது. தற்போதைய certificates-ஐயும் சமீபத்திய audit summary-ஐயும் கேளுங்கள்.
- Information security / SOC துறை: Controls-ஐ ஒரு முறை map செய்யுங்கள்.
Management-இடமிருந்து நல்ல பதில் எப்படி இருக்கும்
“எங்கள் security controls Rules-உடன் map செய்யப்பட்டுள்ளன. ISO-க்கு வெளியே உள்ள privacy கடமைகளுக்குத் தனி owners-உம் evidence-உம் உள்ளன.” முயற்சியும் நேரமும்: ஏற்கெனவே certified என்றால் குறைவு.
உங்கள் பொறுப்புக்கான முழுப் பக்கத்தைத் திறக்கவும் →