भारतातील व्यवसायांसाठी सायबर सुरक्षा अनुपालन तपासणी सूची

सायबर सुरक्षा अनुपालनामुळे व्यवसायांना संवेदनशील माहितीचे संरक्षण करण्यास, डिजिटल प्रणाली सुरक्षित करण्यास आणि कायदेशीर आवश्यकता पूर्ण करण्यास मदत होते. लागू असलेले भारतीय सायबर सुरक्षा कायदे समजून घेणे आणि प्रभावी सुरक्षा उपाययोजना लागू करणे, व्यवसायांना सायबर धोके टाळण्यास, कायदेशीर जोखीम कमी करण्यास आणि ग्राहकांचा विश्वास जपण्यास मदत करू शकते.

सायबरसुरक्षा अनुपालनाची खात्री करण्यासाठी व्यवसायाने सर्वप्रथम काय तपासावे?

प्रत्येक व्यवसायाने संरक्षणाची गरज असलेल्या प्रणाली, माहिती आणि सुरक्षा पद्धती ओळखण्यापासून सुरुवात केली पाहिजे. एक प्राथमिक मूल्यांकन असुरक्षितता ओळखण्यास आणि अनुपालन आवश्यकतांना प्राधान्य देण्यास मदत करते.

• व्यवसाय प्रणाली ओळखा: व्यवसायाची माहिती साठवण्यासाठी किंवा त्यावर प्रक्रिया करण्यासाठी वापरल्या जाणाऱ्या सर्व वेबसाइट्स, ॲप्लिकेशन्स, उपकरणे, डेटाबेस आणि सॉफ्टवेअरची यादी करा.
• सुरक्षा नियंत्रणांचे पुनरावलोकन करा: विद्यमान सुरक्षा त्रुटी ओळखण्यासाठी पासवर्ड, प्रवेश परवानग्या, डेटा बॅकअप आणि सॉफ्टवेअर अपडेट तपासा.
• संवेदनशील माहिती ओळखा: व्यवसाय कोणता वैयक्तिक, आर्थिक आणि गोपनीय डेटा गोळा करतो आणि तो कोणाला उपलब्ध होऊ शकतो, हे निश्चित करा.
• कायदेशीर आवश्यकता तपासा: व्यवसायाच्या कामकाजाला लागू होणारे सायबर सुरक्षा कायदे, उद्योग नियम आणि करारात्मक बंधने ओळखा.
• सुरक्षा धोक्यांना प्राधान्य द्या: सर्वप्रथम गंभीर असुरक्षितता दूर करा आणि सुधारणात्मक उपाययोजना लागू करण्याची जबाबदारी सोपवा.

भारतातील व्यवसायांना कोणते सायबर सुरक्षा कायदे आणि नियम लागू होतात?

• माहिती तंत्रज्ञान कायदा, २०००: माहिती तंत्रज्ञान कायदा सायबर सुरक्षा आणि इलेक्ट्रॉनिक माहितीसाठी कायदेशीर चौकट प्रदान करतो. कलम ४३अ आणि कलम ७२अ हे, त्यांच्या लागूतेनुसार, माहिती सुरक्षा आणि माहिती उघड करण्याशी संबंधित विशिष्ट जबाबदाऱ्या आणि परिणामांना संबोधित करतात.
• सर्ट-इन निर्देश, २०२२: या निर्देशांनुसार, विशिष्ट सायबर घटना लक्षात आल्यापासून किंवा त्याबद्दल माहिती मिळाल्यापासून सहा तासांच्या आत सर्ट-इनला कळवणे आवश्यक आहे. तसेच, संबंधित संस्थांनी भारतीय अधिकारक्षेत्रात १८० दिवसांच्या निरंतर कालावधीसाठी विशिष्ट आयसीटी सिस्टीम लॉग्स सुरक्षितपणे जतन करणे आवश्यक आहे.
• डीपीडीपी कायदा आणि नियम: डिजिटल वैयक्तिक डेटा संरक्षण कायदा, २०२३ आणि डीपीडीपी नियम, २०२५, हे डिजिटल वैयक्तिक डेटावर प्रक्रिया करण्यासाठी आणि त्याचे संरक्षण करण्यासाठीच्या आवश्यकता स्थापित करतात. त्यांच्या तरतुदी टप्प्याटप्प्याने लागू होत आहेत, त्यामुळे व्यवसायांनी सध्या कोणती बंधने अंमलात आहेत हे तपासले पाहिजे.
• क्षेत्र-विशिष्ट नियम: बँकिंग, वित्तीय सेवा, विमा आणि दूरसंचार क्षेत्रातील व्यवसायांसाठी त्यांच्या संबंधित नियामकांकडून अतिरिक्त सायबरसुरक्षा आवश्यकता जारी केल्या जाऊ शकतात.
• कायदेशीर बंधनांची लागूता: सायबरसुरक्षेच्या आवश्यकता प्रत्येक व्यवसायासाठी सारख्या नसतात. संस्थांनी त्यांचे क्षेत्र, कार्ये, डेटा पद्धती आणि लागू नियामक बंधनांचे मूल्यांकन केले पाहिजे.

व्यवसायांनी कंपनीचा डेटा आणि ग्राहकांची माहिती कशी संरक्षित करावी?

• व्यवसायिक माहितीचे वर्गीकरण करा: ग्राहक नोंदी, कर्मचारी तपशील, आर्थिक दस्तऐवज आणि बौद्धिक संपदा यांची त्यांच्या संवेदनशीलतेनुसार ओळख करा.
• डेटा प्रवेश प्रतिबंधित करा: केवळ अधिकृत कर्मचारी आणि सेवा पुरवठादारांनाच त्यांच्या कामासाठी आवश्यक असलेली माहिती मिळवण्याची परवानगी द्या.
• एनक्रिप्शनचा वापर करा: साठवणूक आणि प्रेषणादरम्यान संवेदनशील माहितीचे संरक्षण करण्यासाठी एनक्रिप्शन आणि सुरक्षित हस्तांतरण पद्धती लागू करा.
• डेटा जतन व्यवस्थापन: व्यवसाय आणि ग्राहक माहिती किती काळ जतन करावी हे निश्चित करा आणि सुरक्षितपणे हटवण्याची प्रक्रिया स्थापित करा.
• तृतीय-पक्ष शेअरिंगचे पुनरावलोकन करा: ग्राहकांचा डेटा विक्रेते, क्लाउड प्लॅटफॉर्म आणि इतर सेवा प्रदात्यांसोबत कसा शेअर केला जातो हे तपासा.

व्यवसायांनी कोणते प्रवेश नियंत्रण आणि पासवर्ड सुरक्षा उपाय अंमलात आणले पाहिजेत?

• मजबूत पासवर्ड: व्यावसायिक खात्यांसाठी वेगवेगळे पासवर्ड ठेवा आणि ते सुरक्षितपणे साठवण्यासाठी पासवर्ड मॅनेजरचा वापर करा.
• बहु-घटक प्रमाणीकरण: ईमेल खाती, प्रशासकीय प्रवेश, क्लाउड प्लॅटफॉर्म आणि इतर महत्त्वाच्या प्रणालींसाठी MFA सक्षम करा.
• भूमिकेवर आधारित प्रवेश: कर्मचाऱ्यांना केवळ त्यांच्या जबाबदाऱ्यांसाठी आवश्यक असलेल्या प्रणाली आणि माहितीचाच प्रवेश द्या.
• सामायिक खाती टाळा: सामायिक प्रशासक क्रेडेन्शियल्सऐवजी वैयक्तिक वापरकर्ता खाती वापरा आणि विशेषाधिकारित प्रवेशाचे नियमितपणे पुनरावलोकन करा.
• कर्मचाऱ्यांच्या प्रवेशाचे व्यवस्थापन: कर्मचारी संस्थेत सामील झाल्यावर, भूमिका बदलल्यावर किंवा संस्था सोडल्यावर प्रवेश मंजूर करणे, त्याचे निरीक्षण करणे आणि तो रद्द करण्यासाठी कार्यपद्धती स्थापित करा.

व्यवसाय त्यांच्या वेबसाइट्स, ॲप्लिकेशन्स आणि नेटवर्क्स कसे सुरक्षित करू शकतात?

• सॉफ्टवेअर अपडेट्स इन्स्टॉल करा: ज्ञात सुरक्षा त्रुटी दूर करण्यासाठी ऑपरेटिंग सिस्टीम, ॲप्लिकेशन्स, प्लगइन्स आणि नेटवर्क डिव्हाइसेस अद्ययावत ठेवा.
• सुरक्षित संरचनांचा वापर करा: वेबसाइट्स, उपकरणे आणि नेटवर्क्स सुरक्षित करण्यासाठी HTTPS, फायरवॉल आणि योग्य एंडपॉइंट संरक्षण लागू करा.
• न वापरलेल्या सेवा काढून टाका: सुरक्षेतील त्रुटी निर्माण करू शकणारे अनावश्यक प्लगइन्स, ॲप्लिकेशन्स, खाती आणि असुरक्षित सेवा हटवा.
• सुरक्षा चाचणी करा: संस्थेच्या जोखमीच्या स्वरूपानुसार असुरक्षा मूल्यांकन आणि सुरक्षा चाचणी करा.
• प्रशासकीय प्रवेशाचे संरक्षण करा: मजबूत प्रमाणीकरण आणि प्रतिबंधित परवानग्या वापरून डॅशबोर्ड, एपीआय आणि रिमोट ॲक्सेस सिस्टीम सुरक्षित करा.
• क्लाउड सुरक्षेचा आढावा घ्या: संभाव्य असुरक्षितता तपासण्यासाठी होस्टिंग वातावरण, क्लाउड कॉन्फिगरेशन आणि थर्ड-पार्टी इंटिग्रेशन्स नियमितपणे तपासा.

फिशिंग, रॅन्समवेअर आणि सायबर हल्ले टाळण्यासाठी व्यवसायांनी काय केले पाहिजे?

• कर्मचाऱ्यांना प्रशिक्षण द्या: कर्मचाऱ्यांना संशयास्पद ईमेल, बनावट लॉगिन पृष्ठे, दुर्भावनापूर्ण संलग्नक आणि बनावट ओळख वापरण्याचे प्रयत्न ओळखायला शिकवा.
• सुरक्षित व्यावसायिक ईमेल: हानिकारक संदेश कमी करण्यासाठी योग्य स्पॅम फिल्टर, फिशिंग संरक्षण आणि ईमेल प्रमाणीकरण नियंत्रणे वापरा.
• सुरक्षित बॅकअप ठेवा: नियमित बॅकअप तयार करा आणि पुनर्प्राप्ती प्रक्रिया तपासा. बॅकअप प्रती अनधिकृत बदल आणि रॅन्समवेअरपासून संरक्षित ठेवा.
• सॉफ्टवेअर इन्स्टॉलेशनवर निर्बंध घाला: कंपनीच्या सिस्टीममध्ये दुर्भावनापूर्ण सॉफ्टवेअर शिरण्याचा धोका कमी करण्यासाठी इन्स्टॉलेशनच्या परवानग्या आणि प्रशासकीय अधिकार मर्यादित करा.
• संशयास्पद हालचालींची तक्रार करा: एक स्पष्ट तक्रार प्रक्रिया स्थापित करा जेणेकरून कर्मचारी प्रणालीतील असामान्य हालचाली किंवा संशयित हल्ल्यांबद्दल जबाबदार टीमला त्वरित सूचित करू शकतील.

भारतीय व्यवसायांसाठी सायबर घटनेची माहिती देण्याच्या आवश्यकता काय आहेत?

• घटना ओळखा आणि वरिष्ठांना कळवा: संशयास्पद हालचाली आढळल्यास, घटनेची नोंद करा आणि जबाबदार सुरक्षा पथकाला तात्काळ माहिती द्या.
• CERT-In रिपोर्टिंग: CERT-In निर्देश, २०२२ अंतर्गत, समाविष्ट संस्थांनी निर्दिष्ट सायबर घटना लक्षात आल्यापासून किंवा त्याबद्दल माहिती मिळाल्यापासून सहा तासांच्या आत त्याची नोंद करणे आवश्यक आहे.
• सिस्टम लॉग्स जतन करा: संबंधित आयसीटी सिस्टम लॉग्स विहित कालावधीसाठी सुरक्षितपणे जतन करा. अधिकाऱ्यांना आवश्यकता असेल तेव्हा ते उपलब्ध असतील याची खात्री करा.
• करारानुसार अहवाल देणे: ग्राहक, विक्रेते, विमा कंपन्या आणि व्यावसायिक भागीदार यांच्याप्रती असलेल्या अहवाल देण्याच्या जबाबदाऱ्यांचा आढावा घ्या. संबंधित करारांमध्ये मान्य केलेल्या सूचना देण्याच्या कालमर्यादेचे पालन करा.
• वैयक्तिक डेटा उल्लंघनाची माहिती देणे: लागू होणाऱ्या DPDP फ्रेमवर्कच्या तरतुदींनुसार, वैयक्तिक डेटा उल्लंघनाची माहिती डेटा संरक्षण मंडळाला आणि बाधित व्यक्तींना देणे आवश्यक असू शकते.
• घटनेनुसार विशिष्ट जबाबदाऱ्या: अहवाल देण्याची कर्तव्ये आणि अंतिम मुदती घटना, संस्था आणि लागू कायदेशीर चौकटीनुसार बदलतात.

व्यवसायाने कोणती सायबर सुरक्षा धोरणे आणि दस्तऐवज जपले पाहिजेत?

• माहिती सुरक्षा धोरण: व्यावसायिक माहितीचे संरक्षण करण्यासाठीच्या एकूण सुरक्षा जबाबदाऱ्या, कार्यपद्धती आणि नियंत्रणे परिभाषित करते.
• प्रवेश नियंत्रण धोरण: खाती तयार करणे, परवानग्या देणे आणि आवश्यकतेनुसार प्रवेश काढून घेणे यासाठी नियम स्थापित करते.
• घटना प्रतिसाद योजना: कर्मचारी सायबरसुरक्षा घटनांची तक्रार कशी करतात, तपास कसा करतात आणि प्रतिसाद कसा देतात हे स्पष्ट करते.
• व्यवसाय सातत्य आणि आपत्ती निवारण योजना: व्यत्ययानंतर महत्त्वपूर्ण व्यावसायिक कामकाज आणि प्रणाली कशा पुनर्संचयित केल्या जाऊ शकतात हे परिभाषित करते.
• डेटा संरक्षण आणि जतन धोरण: व्यवसाय आणि ग्राहक माहिती गोळा करणे, साठवणे, मिळवणे आणि सुरक्षितपणे हटवणे यासाठी नियम निर्धारित करते.
• विक्रेता सुरक्षा धोरण: तृतीय-पक्ष सेवा प्रदात्यांची निवड, मूल्यांकन आणि देखरेख करण्यासाठी सुरक्षा आवश्यकता स्थापित करते.
• नियमित धोरण पुनरावलोकन: जेव्हा व्यवसायाचे कामकाज, तंत्रज्ञान किंवा लागू कायदेशीर आवश्यकतांमध्ये बदल होतो, तेव्हा धोरणे अद्ययावत करा.

व्यवसायांनी विक्रेत्यांसोबतच्या करारांमध्ये कोणत्या सायबरसुरक्षा जबाबदाऱ्यांचा समावेश करावा?

• विक्रेता मूल्यांकन: व्यावसायिक माहितीचा प्रवेश देण्यापूर्वी क्लाउड प्रदाते, सॉफ्टवेअर विक्रेते आणि बाह्य आयटी संघांचे पुनरावलोकन करा.
• गोपनीयता आणि सुरक्षा: यामध्ये गोपनीयता, प्रवेश नियंत्रण आणि डेटा संरक्षण जबाबदाऱ्या यांचा समावेश असलेल्या करारात्मक बंधनांचा समावेश आहे.
• घटनेची सूचना: एखाद्या विक्रेत्याला सुरक्षाविषयक घटना किंवा डेटा उल्लंघनाचा अनुभव आल्यास, अहवाल देण्याची कालमर्यादा आणि सहकार्याच्या आवश्यकता निश्चित करा.
• डेटा हाताळणीची व्यवस्था: पत्ता उपकंत्राट, डेटा साठवणुकीची ठिकाणे, डेटा हटवण्याची प्रक्रिया आणि लागू असल्यास प्रवेशावरील निर्बंध.
• सुरक्षा देखरेख: विक्रेत्यांच्या सुरक्षा पद्धतींचे पुनरावलोकन करण्यासाठी आणि आढळलेल्या त्रुटींचे निराकरण करण्यासाठी कार्यपद्धती स्थापित करा.

व्यवसायांसाठी सायबर सुरक्षा अनुपालन तपासणी सूची

आपल्या संस्थेच्या सायबर सुरक्षा नियंत्रणे आणि अनुपालन पद्धतींचे पुनरावलोकन करण्यासाठी एक व्यावहारिक प्रारंभ बिंदू म्हणून या चेकलिस्टचा वापर करा.

व्यवसायांनी सायबरसुरक्षा अनुपालनातील कोणत्या चुका टाळाव्यात?

• केवळ अँटीव्हायरसवर अवलंबून राहणे: केवळ अँटीव्हायरस सॉफ्टवेअर प्रत्येक सायबर धोक्यापासून संरक्षण करू शकत नाही. व्यवसायांना अनेक सुरक्षा नियंत्रणे आणि नियमित देखरेखीची आवश्यकता असते.
• कर्मचाऱ्यांना गरजेपेक्षा जास्त प्रवेश: कर्मचाऱ्यांना अनावश्यक प्रवेश दिल्याने डेटाचा गैरवापर आणि अनधिकृत प्रकटीकरणाचा धोका वाढतो.
• सॉफ्टवेअर अपडेटकडे दुर्लक्ष करणे: कालबाह्य ॲप्लिकेशन्स आणि न सोडवलेल्या त्रुटींमुळे व्यावसायिक प्रणाली सायबर हल्ल्यांना बळी पडू शकतात.
• न तपासलेले बॅकअप: केवळ बॅकअप ठेवणे पुरेसे नाही. महत्त्वाचा डेटा खरोखरच पुनर्स्थापित केला जाऊ शकतो की नाही, हे व्यवसायांनी नियमितपणे तपासले पाहिजे.
• अहवाल सादर करण्याच्या आवश्यकतांकडे दुर्लक्ष करणे: संबंधित नोंदी जतन न केल्यास किंवा अहवाल सादर करण्याच्या अंतिम मुदती समजून न घेतल्यास नियामक अनुपालनाच्या समस्या निर्माण होऊ शकतात.
• विक्रेत्याच्या सुरक्षेकडे दुर्लक्ष करणे: तृतीय-पक्ष सेवांच्या सुरक्षा पद्धती न तपासता त्यांचा वापर केल्यास कंपनी आणि ग्राहकांची माहिती उघड होऊ शकते.
• केवळ प्रमाणपत्रावर अवलंबून राहणे: सुरक्षा प्रमाणपत्रामुळे प्रत्येक लागू कायदेशीर आवश्यकतांचे पालन आपोआप सिद्ध होत नाही.
• कर्मचारी प्रशिक्षणाकडे दुर्लक्ष करणे: कर्मचाऱ्यांना नियमितपणे सुरक्षा जागरूकता प्रशिक्षण दिले पाहिजे, विशेषतः मोठ्या व्यावसायिक किंवा तांत्रिक बदलांनंतर.

व्यवसायांनी त्यांच्या सायबरसुरक्षा अनुपालनाचा आढावा किती वेळा घ्यावा?

• नियतकालिक जोखीम मूल्यांकन: असुरक्षितता आणि उदयोन्मुख धोके ओळखण्यासाठी सुरक्षा नियंत्रणांचा नियमितपणे आढावा घ्या.
• कर्मचारी प्रवेश पुनरावलोकन: कर्मचारी रुजू झाल्यावर, नोकरी सोडल्यावर किंवा संस्थेतील त्यांची भूमिका बदलल्यावर परवानग्या तपासा.
• तंत्रज्ञानातील बदल: ॲप्लिकेशन्स लाँच केल्यानंतर, विक्रेते बदलल्यानंतर किंवा सिस्टीम क्लाउड प्लॅटफॉर्मवर स्थलांतरित केल्यानंतर सुरक्षेचे पुनर्मूल्यांकन करा.
• आपत्कालीन प्रतिसाद चाचणी: आपत्कालीन प्रतिसाद आणि आपत्ती निवारण प्रक्रिया प्रभावीपणे काम करत आहेत याची खात्री करण्यासाठी त्यांची नियमितपणे चाचणी करा.
• कायदेशीर घडामोडी: सायबर सुरक्षा कायदे, CERT-In चे निर्देश, क्षेत्र-विशिष्ट नियम आणि करारात्मक जबाबदाऱ्यांमधील बदलांवर लक्ष ठेवा.
• सुधारात्मक कृतींचा मागोवा घ्या: सुरक्षेसंबंधी निष्कर्ष नोंदवा, जबाबदाऱ्या सोपवा आणि सुधारात्मक उपाययोजना पूर्ण होईपर्यंत त्यांचे निरीक्षण करा.

हे लेख तुम्हाला उपयुक्त वाटू शकतात

• सायबर कायद्याचे महत्त्व
• तुमचा व्यवसाय हॅक झाला आहे का? भारतीय व्यवसायांसाठी कायदेशीर आणि अनुपालन तपासणी सूची
• भारतीय व्यवसायांसाठी तृतीय-पक्ष डेटा शेअरिंग आणि विक्रेता डेटा सुरक्षा मार्गदर्शिका
• भारतातील ऑनलाइन व्यवसाय कायदेशीर आणि फसवणुकीचे धोके कसे कमी करू शकतात?
• भारतातील व्यवसायांसाठी एआय अनुपालन मार्गदर्शिका: कायदे, धोके आणि सर्वोत्तम पद्धती

निष्कर्ष

व्यवसायाची माहिती, ग्राहक डेटा आणि डिजिटल कामकाजाचे संरक्षण करण्यासाठी सायबर सुरक्षा अनुपालन आवश्यक आहे. मजबूत सुरक्षा नियंत्रणे लागू करून, लागू भारतीय कायद्यांचे पालन करून, कर्मचाऱ्यांना प्रशिक्षण देऊन आणि असुरक्षिततेचा नियमितपणे आढावा घेऊन, व्यवसाय सायबर धोके कमी करू शकतात, अनुपालनाच्या समस्या टाळू शकतात आणि ग्राहकांचा विश्वास संपादन करू शकतात.

अस्वीकरण: हा ब्लॉग केवळ सामान्य माहिती आणि शैक्षणिक उद्देशांसाठी आहे आणि तो कायदेशीर किंवा व्यावसायिक सल्ला मानला जाऊ नये. कायदे बदलू शकतात, त्यामुळे वाचकांनी त्यांच्या व्यवसायानुसार आणि परिस्थितीनुसार विशिष्ट सल्ल्यासाठी पात्र कॉर्पोरेट वकिलाचा सल्ला घ्यावा.