Senarai semak pematuhan DPDP: Cara menilai kesediaan DPDPA

Akta Perlindungan Data Peribadi Digital (DPDP), 2023, mewujudkan rangka kerja perundangan untuk melindungi data peribadi digital di India, dengan peruntukan tertentu juga terpakai untuk pemprosesan di luar negara. Ia mewajibkan organisasi dalam skopnya untuk memenuhi kewajipan yang berkenaan mengenai pemprosesan yang sah, notis privasi, hak individu dan keselamatan data.

Dengan persekitaran kerja hibrid dan bawa peranti anda sendiri (BYOD), data peribadi boleh diakses, disimpan atau diproses merentasi komputer riba, telefon pintar, tablet dan peranti lain. Bagi pasukan IT dan keselamatan, mengamankan titik akhir ini merupakan bahagian penting dalam kesediaan DPDP.

Panduan ini menyediakan senarai semak pematuhan DPDP lapan tonggak yang tertumpu pada tanggungjawab pentadbir IT. Ia juga merangkumi penilaian kematangan keselamatan titik akhir yang ilustrasi untuk membantu organisasi menilai perlindungan teknikal, mengenal pasti jurang dan mengutamakan penambahbaikan.

Catatan: Akta dan Peraturan DPDP sedang dilaksanakan secara berperingkat. Sehingga Oktober 2026, beberapa obligasi substantif dijadualkan berkuat kuasa pada 13 Mei 2027.

Senarai semak pematuhan DPDP: 8 tonggak yang mesti diamankan oleh setiap pentadbir IT

Untuk merapatkan jurang antara kewajipan undang-undang dan pelaksanaan IT, senarai semak pematuhan DPDP ini disusun kepada lapan tonggak, yang diadaptasi daripada rangka kerja penilaian perniagaan DPDPA.com 2026. Setiap tonggak menggariskan kewajipan berkanun jika berkenaan, amalan tadbir urus dan keselamatan yang disyorkan, bukti sokongan untuk dikekalkan dan kesilapan IT biasa yang perlu dielakkan.

Lapan tonggak berikut merangkumi keperluan berkanun yang berkenaan dan amalan kesediaan yang disyorkan, termasuk obligasi tambahan untuk Fidusiari Data Penting (SDF). Bagi setiap item senarai semak, rekodkan sama ada kawalan dilaksanakan, dilaksanakan sebahagiannya atau tidak dilaksanakan, bersama-sama dengan pemiliknya dan bukti sokongan.

1. Tadbir urus & kepimpinan

Senarai Semak:

✅ Pelantikan DPO: Jika ditetapkan sebagai SDF, lantik Pegawai Perlindungan Data (DPO) yang berpangkalan di India yang melapor kepada lembaga pengarah atau badan pentadbir yang setaraf.

✅ Pengawasan kepimpinan: Mewujudkan pengawasan lembaga atau kepimpinan kanan terhadap kesediaan DPDP, dengan semakan berkala terhadap risiko privasi, langkah keselamatan dan kemajuan pematuhan.

✅ Komunikasi dasar: Mendokumentasikan dan menyampaikan dasar, prosedur dan tanggungjawab perlindungan data di seluruh organisasi.

✅ Jawatankuasa pematuhan: Menubuhkan jawatankuasa privasi pelbagai fungsi yang melibatkan pasukan perundangan, IT, HR, operasi dan perniagaan yang berkaitan.

✅ Penilaian Impak Perlindungan Data (DPIA): Jika ditetapkan sebagai SDF, jalankan DPIA dan audit setiap 12 bulan, seperti yang dikehendaki di bawah Peraturan 13.

✅ Juruaudit data bebas: Jika ditetapkan sebagai SDF, lantik juruaudit data bebas untuk menilai pematuhan dengan Akta DPDP.

✅ Perlindungan Data melalui Reka Bentuk (DPbD): Integrasikan perlindungan privasi dan keselamatan ke dalam peruntukan peranti, pembangunan aplikasi dan aliran kerja lain yang berkaitan.

✅ Rangka kerja akauntabiliti: Mengekalkan rekod berpusat dasar privasi, keputusan pemprosesan, penilaian keselamatan dan aktiviti pematuhan.

✅ Latihan staf: Menjalankan latihan perlindungan data khusus peranan untuk IT, HR, khidmat pelanggan dan pasukan lain yang mengendalikan data peribadi.

Bukti pematuhan yang dicadangkan untuk dikekalkan:

• Rekod pelantikan DPO, butiran hubungan dan struktur pelaporan (untuk SDF)
• Minit mesyuarat kepimpinan, pelan tindakan privasi yang diluluskan dan laporan kemajuan
• Dasar perlindungan data, log komunikasi dan penghargaan
• Piagam jawatankuasa, tanggungjawab dan rekod mesyuarat
• DPIA, laporan audit dan rekod pelaporan yang berkenaan (untuk SDF) yang telah lengkap
• Rekod dan penemuan pelantikan juruaudit data bebas (untuk SDF)
• Senarai semak privasi mengikut reka bentuk dan dokumentasi teknikal yang berkaitan
• Memproses log keputusan, penilaian risiko dan rekod pematuhan
• Bahan latihan, rekod kehadiran dan jadual ulangkaji

Titik buta IT yang perlu dielakkan:

Melayan tadbir urus perlindungan data sebagai dokumentasi sahaja. Dasar bertulis harus disokong oleh kawalan keselamatan praktikal, pemilikan yang jelas dan pengesahan berkala.

2. Inventori & pemetaan data

Senarai Semak:

✅ Inventori lengkap: Mengekalkan inventori data peribadi berpusat yang diproses di seluruh organisasi, termasuk sumber data, sistem, aplikasi dan pasukan yang bertanggungjawab.

✅ Pemetaan data: Dokumenkan tujuan, alasan pemprosesan yang berkenaan (persetujuan atau kegunaan sah tertentu), penerima dan tempoh pengekalan untuk data peribadi yang diakses atau diproses melalui titik akhir korporat.

✅ Pengelasan data berasaskan risiko: Kenal pasti data peribadi berisiko tinggi, seperti maklumat kesihatan, kewangan atau biometrik, dan gunakan kawalan privasi dan keselamatan yang sesuai.

✅ Jadual pengekalan: Menentukan dan melaksanakan prosedur pengekalan dan pemadaman data berdasarkan tujuan pemprosesan, keperluan DPDP yang berkenaan dan kewajipan undang-undang yang lain.

✅ Pemindahan data rentas sempadan: Jejaki tempat data peribadi disimpan dan diproses, dan nilaikan pemindahan berdasarkan sekatan kerajaan yang berkenaan dan keperluan undang-undang lain.

✅ Penilaian data legasi: Semak peranti dan set data yang ketinggalan zaman, padamkan data peribadi yang tidak lagi diperlukan dengan selamat, tertakluk kepada kewajipan pengekalan yang berkenaan.

✅ Aliran data: Dokumenkan aliran data peribadi dalaman dan luaran, penerima pihak ketiga dan penyepaduan yang melibatkan peranti korporat dan peribadi yang diuruskan.

✅ Pemprosesan automatik: Kenal pasti aktiviti pemprosesan automatik yang melibatkan data peribadi dan nilaikan risiko privasi yang berkaitan, terutamanya apabila keputusan mempengaruhi individu.

Bukti pematuhan yang dicadangkan untuk dikekalkan:

• Inventori data peribadi, rekod pemilikan dan log semakan berkala
• Dokumen pemetaan data, alasan pemprosesan dan jadual pengekalan
• Rekod pengelasan data dan kawalan keselamatan yang sepadan
• Dasar pengekalan, prosedur pemadaman dan rekod pengesahan pemadaman
• Peta pemindahan data, lokasi pemprosesan dan penilaian undang-undang yang berkenaan
• Semakan data legasi, rekod pemadaman dan dokumentasi pemulihan
• Gambar rajah aliran data, senarai penerima pihak ketiga dan rekod integrasi
• Inventori pemprosesan automatik, penilaian risiko privasi dan jejak audit yang berkaitan

Titik buta IT yang perlu dielakkan:

Mengabaikan peranti yang tidak diurus dan titik akhir milik pekerja yang mengakses data korporat. Peranti ini boleh mewujudkan jurang keterlihatan dalam pemprosesan data peribadi dan meningkatkan risiko akses tanpa kebenaran.

3. Asas perundangan & persetujuan

Senarai Semak:

✅ Alasan pemprosesan dokumen: Kenal pasti dan dokumentasikan alasan yang berkenaan untuk memproses data peribadi: persetujuan yang sah atau penggunaan sah tertentu di bawah Seksyen 4 dan 7 Akta DPDP.

✅ Mekanisme persetujuan: Jika persetujuan diperlukan, dapatkan persetujuan yang bebas, khusus, termaklum, tanpa syarat dan jelas melalui tindakan afirmatif yang jelas.

✅ Notis patuh DPDP: Berikan notis yang jelas dan mudah difahami yang menyatakan data peribadi yang dikumpul, tujuan pemprosesan dan bagaimana Prinsipal Data boleh melaksanakan hak mereka.

✅ Mekanisme pengeluaran: Menyediakan kaedah yang mudah diakses oleh Prinsipal Data untuk menarik balik persetujuan semudah yang diberikan, dengan prosedur yang sesuai untuk menghentikan pemprosesan berasaskan persetujuan.

✅ Persetujuan pemasaran: Dapatkan persetujuan untuk pemasaran jika diperlukan, bezakan tujuan pemasaran dengan jelas dan sediakan mekanisme penarikan diri atau berhenti melanggan yang berkenaan.

✅ Data kanak-kanak: Menetapkan prosedur persetujuan ibu bapa yang boleh disahkan sebelum memproses data peribadi kanak-kanak (bawah 18 tahun), tertakluk kepada pengecualian yang berkenaan.

✅ Pemprosesan automatik: Mendokumentasikan pemprosesan automatik yang melibatkan data peribadi, menyampaikan tujuan pemprosesan yang berkaitan dan menilai risiko privasi yang berkaitan.

✅ Pemindahan data rentas sempadan: Dokumenkan pemindahan data peribadi antarabangsa dan pantau sekatan kerajaan yang berkenaan dan keperluan undang-undang lain yang berkaitan.

✅ Rekod persetujuan: Mengekalkan rekod notis persetujuan, tindakan afirmatif, penarikan balik dan alasan pemprosesan yang berkenaan untuk menunjukkan pematuhan.

Bukti pematuhan yang dicadangkan untuk dikekalkan:

• Memproses rekod yang mendokumentasikan alasan dan tujuan undang-undang yang berkenaan
• Borang persetujuan, rekod tindakan afirmatif dan log pengurusan persetujuan
• Notis privasi, semakan undang-undang dan dokumentasi penyampaian notis
• Prosedur penarikan balik persetujuan, log permintaan dan rekod pemberhentian pemprosesan
• Rekod persetujuan pemasaran, tetapan pilihan dan log nyahlanggan
• Prosedur pengesahan umur dan rekod persetujuan ibu bapa yang boleh disahkan
• Inventori pemprosesan automatik, penilaian privasi dan dokumentasi yang berkaitan
• Rekod pemindahan rentas sempadan, peta destinasi dan penilaian undang-undang
• Rekod persetujuan, versi notis, cap masa dan sejarah penarikan diri

Titik buta IT yang perlu dielakkan:

Dengan mengandaikan persetujuan diperlukan untuk setiap aktiviti pemprosesan atau pembatalan pendaftaran peranti secara automatik memenuhi kewajipan penarikan persetujuan. Pasukan IT harus bekerjasama dengan pasukan perundangan dan privasi untuk menggunakan alasan pemprosesan yang sesuai dan menyokong penarikan persetujuan jika berkenaan.

4. Hak Prinsipal Data

Senarai Semak:

✅ Hak untuk Mengakses Maklumat: Tetapkan proses untuk Pengetua Data meminta ringkasan data peribadi mereka yang sedang diproses, aktiviti pemprosesan berkaitan dan maklumat perkongsian data yang ditetapkan.

✅ Hak untuk Pembetulan: Menyediakan mekanisme untuk individu meminta pembetulan, penyiapan atau pengemaskinian data peribadi yang tidak tepat, tidak lengkap atau ketinggalan zaman.

✅ Hak untuk Memadam: Menetapkan prosedur untuk memadamkan data peribadi atas permintaan yang sah, melainkan pemprosesan berterusan diperlukan untuk tujuan yang dinyatakan atau pengekalan data dikehendaki oleh undang-undang. 

✅ Hak untuk Mencalonkan: Membolehkan Pengetua Data mencalonkan individu lain untuk melaksanakan hak mereka sekiranya berlaku kematian atau ketidakupayaan, jika berkenaan.

✅ Penyelesaian aduan: Mewujudkan mekanisme yang mudah diakses untuk menerima dan menangani aduan dalam tempoh respons yang munasabah dan diterbitkan tidak melebihi 90 hari.

✅ Pengendalian permintaan: Mengekalkan sistem untuk menjejaki, mengesahkan, memberi respons dan mengemukakan permintaan hak Prinsipal Data dalam tempoh masa yang berkenaan.

Bukti pematuhan yang dicadangkan untuk dikekalkan:

• Rekod permintaan hak, log respons dan dokumentasi perkongsian maklumat
• Prosedur pembetulan, penyiapan dan pengemaskinian dengan rekod pemenuhan
• Prosedur pemadaman, rekod pemadaman dan pengecualian pengekalan yang didokumenkan
• Prosedur pencalonan dan rekod pencalonan yang berkaitan
• Prosedur aduan, garis masa tindak balas dan log penyelesaian yang diterbitkan
• Rekod penjejakan permintaan hak, prosedur peningkatan dan jejak audit

Titik buta IT yang perlu dielakkan:

Menggunakan tetapan semula kilang sepenuhnya untuk mengalih keluar data korporat daripada peranti milik pekerja juga boleh memadamkan fail peribadi. Jika disokong, gunakan penyingkiran terpilih data kerja terurus untuk melindungi privasi pekerja.

5. Langkah-langkah teknikal & organisasi

Senarai Semak:

✅ Penyulitan: Lindungi data peribadi semasa dalam perjalanan dan semasa disimpan menggunakan penyulitan yang sesuai dan langkah keselamatan lain, seperti penyamaran atau tokenisasi, berdasarkan risiko.

✅ Kawalan akses: Gunakan akses paling kurang keistimewaan dan kawalan akses berasaskan peranan (RBAC) untuk menyekat akses tanpa kebenaran kepada data peribadi dan sistem pengurusan.

✅ Log audit: Mengekalkan log dan pemantauan yang sesuai untuk mengesan aktiviti yang tidak dibenarkan. Simpan log keselamatan dan data peribadi yang berkaitan selama sekurang-kurangnya satu tahun seperti yang dinyatakan di bawah Peraturan 6, tertakluk kepada keperluan undang-undang yang berkenaan. 

✅ Pengurangan data: Semak semula telemetri titik akhir dan amalan pengumpulan data untuk mengehadkan data peribadi kepada apa yang diperlukan untuk tujuan pemprosesan yang ditentukan.

✅ Anonimisasi: Gunakan anonimisasi atau nama samaran jika sesuai untuk mengurangkan risiko privasi, dengan perlindungan untuk sebarang maklumat pengenalan semula.

✅ Segmentasi sistem: Gunakan segmentasi rangkaian dan pangkalan data jika sesuai untuk menyekat akses yang tidak perlu kepada sistem yang memproses data peribadi.

✅ Sandaran: Kekalkan sandaran yang selamat dan uji prosedur pemulihan secara berkala untuk menyokong ketersediaan data dan pemprosesan yang berterusan.

✅ Pencegahan kehilangan data (DLP): Gunakan kawalan yang sesuai untuk mengurangkan pemindahan data tanpa kebenaran melalui storan boleh tanggal, perkongsian papan klip dan aplikasi awan.

✅ Penilaian keselamatan: Lakukan secara berkala penilaian kelemahan, ujian penembusan dan semakan keselamatan berdasarkan risiko sistem dan keperluan kawal selia yang berkenaan.

Bukti pematuhan yang dicadangkan untuk dikekalkan:

• Konfigurasi penyulitan, rekod pengurusan kunci dan penilaian keselamatan
• Dasar RBAC, semakan akses dan rekod pengurusan keistimewaan
• Log audit, laporan pemantauan dan rekod pengekalan yang berkenaan
• Semakan pengurangan data dan tujuan pengumpulan yang didokumenkan
• Prosedur anonimisasi atau nama samaran dan perlindungan yang berkaitan
• Gambar rajah seni bina rangkaian, dasar segmentasi dan ujian akses
• Dasar sandaran, keputusan ujian pemulihan dan prosedur pemulihan
• Dasar DLP, rekod insiden dan ujian keberkesanan kawalan
• Laporan penilaian kerentanan, penemuan ujian penembusan dan log pemulihan

Titik buta IT yang perlu dielakkan:

Melayan kawalan keselamatan sebagai konfigurasi sekali sahaja. Tanpa pemantauan dan penilaian keselamatan yang kerap, perubahan konfigurasi dan kerentanan yang tidak ditambal boleh melemahkan perlindungan titik akhir dari semasa ke semasa.

6. Pengurusan pihak ketiga & vendor

Senarai Semak:

✅ Penilaian vendor: Menilai aplikasi dan penyedia perkhidmatan pihak ketiga berdasarkan data peribadi yang mereka proses, amalan keselamatan mereka dan risiko yang berkaitan.

✅ Perjanjian Pemprosesan Data (DPA): Pastikan kontrak yang sah disediakan dengan Pemproses Data yang mengendalikan data peribadi bagi pihak organisasi, seperti yang dikehendaki di bawah Seksyen 8.

✅ Kecukupan DPA: Menyemak kontrak untuk tanggungjawab pemprosesan, perlindungan keselamatan yang munasabah, pelaporan pelanggaran dan syarat perkongsian dan subpemprosesan data yang berkenaan.

✅ Pemberitahuan pelanggaran: Mewujudkan prosedur kontraktual yang mewajibkan Pemproses Data melaporkan pelanggaran data peribadi dengan segera supaya organisasi dapat memenuhi kewajipan pemberitahuan yang berkenaan.

✅ Pemantauan subpemproses: Mengekalkan keterlihatan ke atas subpemproses yang berkaitan dan mewujudkan prosedur untuk menyemak perubahan dalam pengaturan pemprosesan dan risiko yang berkaitan.

✅ Audit vendor yang kerap: Menjalankan penilaian vendor berasaskan risiko dan semakan keselamatan secara berkala, menjejaki isu yang dikenal pasti dan kemajuan pemulihan.

Bukti pematuhan yang dicadangkan untuk dikekalkan:

• Soal selidik penilaian vendor, pensijilan keselamatan dan laporan risiko
• Kontrak pemproses yang dilaksanakan, templat yang diluluskan dan rekod semakan undang-undang
• Klausa kontrak yang meliputi keselamatan, tanggungjawab pemprosesan dan keperluan subpemprosesan yang berkenaan
• Prosedur pemberitahuan pelanggaran, garis masa peningkatan kontrak dan rekod insiden
• Inventori subpemproses, pemberitahuan perubahan dan penilaian risiko
• Jadual semakan vendor, penemuan audit dan rekod pemulihan

Titik buta IT yang perlu dielakkan:

Mengabaikan aplikasi pihak ketiga yang dipasang pada titik akhir korporat. Alat yang tidak diluluskan mungkin mengumpul, mengakses atau berkongsi data peribadi tanpa penilaian keselamatan atau pengawasan organisasi yang mencukupi.

7. Tindak balas insiden (IR) & pengurusan pelanggaran

Senarai Semak:

✅ Pelan IR: Dokumenkan pelan tindak balas insiden yang mentakrifkan tanggungjawab, prosedur peningkatan, saluran komunikasi dan tindakan pemulihan.

✅ Keupayaan pengesanan: Melaksanakan kawalan pemantauan dan pengesanan ancaman yang sesuai, seperti alat SIEM dan pengawasan SOC, untuk mengenal pasti potensi insiden keselamatan.

✅ Pemberitahuan pelanggaran: Maklumkan kepada Lembaga Perlindungan Data (DPB) dengan segera setelah mengetahui tentang pelanggaran data peribadi, dan berikan maklumat tambahan yang ditetapkan dalam tempoh 72 jam, melainkan jika tempoh lanjutan dibenarkan.

✅ Pemberitahuan Prinsipal Data: Sediakan saluran komunikasi untuk memaklumkan Prinsipal Data yang terjejas tanpa berlengah apabila menyedari pelanggaran data peribadi, seperti yang dikehendaki di bawah Peraturan 7.

✅ Pemulihan selepas kejadian: Dokumenkan analisis punca utama, tindakan pembetulan dan langkah-langkah untuk mencegah kejadian serupa daripada berulang.

✅ Pengujian dan latihan: Menjalankan latihan tindak balas insiden secara berkala, termasuk pelanggaran titik akhir simulasi, untuk mengenal pasti dan menangani jurang tindak balas.

Bukti pematuhan yang dicadangkan untuk dikekalkan:

• Pelan IR, tanggungjawab yang diberikan dan prosedur peningkatan
• Konfigurasi pemantauan keselamatan, amaran pengesanan dan rekod insiden
• Prosedur pemberitahuan DPB, templat pelaporan, rekod penyerahan dan garis masa
• Templat komunikasi Data Principal, rekod pemberitahuan dan log penghantaran
• Laporan siasatan insiden, analisis punca utama dan rekod pemulihan
• Laporan latihan tindak balas insiden, jurang yang dikenal pasti dan pelan tindakan pembetulan

Titik buta IT yang perlu dielakkan:

Bergantung sepenuhnya kepada pekerja untuk melaporkan peranti yang diceroboh. Tanpa prosedur pemantauan dan peningkatan yang berkesan, pengesanan yang tertangguh boleh meningkatkan impak pelanggaran dan menyukarkan pemberitahuan kawal selia yang tepat pada masanya.

8. Akauntabiliti & dokumentasi

Senarai Semak:

✅ Kecukupan notis privasi: Pastikan notis privasi menerangkan dengan jelas tujuan pemprosesan data peribadi, maklumat yang diperlukan dan cara untuk melaksanakan hak Prinsipal Data, selaras dengan Seksyen 5 dan Peraturan 3.

✅ Notis komunikasi: Berikan notis privasi yang boleh diakses melalui saluran yang sesuai, seperti laman web, aplikasi atau kaedah lain yang digunakan semasa meminta persetujuan.

✅ Rekod Aktiviti Pemprosesan (RoPA): Mengekalkan rekod aktiviti pemprosesan data peribadi, tujuan, penerima dan tempoh penyimpanan, serta mengemas kininya apabila amalan pemprosesan berubah.

✅ Arkib pematuhan: Memusatkan rekod pematuhan yang berkaitan dalam repositori yang selamat dan boleh dicari, dengan menggunakan tempoh pengekalan berdasarkan keperluan undang-undang yang berkenaan.

✅ Audit pematuhan berkala: Menjalankan semakan privasi dan keselamatan secara berkala, termasuk DPIA berkanun dan audit untuk SDF, jika berkenaan.

✅ Kesediaan DPB: Menetapkan prosedur untuk menjawab pertanyaan DPB, termasuk mendapatkan rekod yang berkaitan dan menyelaraskan respons.

Bukti pematuhan yang dicadangkan untuk dikekalkan:

• Notis privasi, rekod semakan undang-undang dan versi bahasa yang berkenaan
• Notis rekod komunikasi, tangkapan skrin laman web atau aplikasi dan dokumentasi berkaitan persetujuan
• Rekod aktiviti pemprosesan, peta aliran data dan kemas kini berkala
• Arkib pematuhan, kawalan akses dan jadual pengekalan yang selamat
• Laporan audit privasi, DPIA (untuk SDF), penemuan dan rekod pemulihan
• Prosedur tindak balas kawal selia, surat-menyurat berkaitan dan taklimat kepimpinan

Titik buta IT yang perlu dielakkan:

Dokumentasi yang berselerak dan jejak audit yang tidak lengkap boleh melambatkan tindak balas kawal selia. Kekalkan rekod kawalan keselamatan, aktiviti pemprosesan dan keputusan pematuhan yang berkaitan yang teratur dan mudah diakses.

Penilaian kematangan keselamatan titik akhir untuk kesediaan DPDP

Keselamatan endpoint merupakan bahagian penting dalam kesediaan DPDP, tetapi ia tidak menentukan pematuhan undang-undang secara keseluruhan. Penilaian ini membantu pasukan IT menilai perlindungan teknikal merentasi armada peranti mereka, mengenal pasti jurang keselamatan dan mengutamakan penambahbaikan.

Catatan: Ini merupakan penilaian kematangan keselamatan titik akhir yang ilustrasi, bukan sistem pemarkahan pematuhan DPDP rasmi.

Bahagian 1: Nilaikan kawalan keselamatan titik akhir anda

Nilaikan armada peranti anda berdasarkan 10 kawalan berikut. Berikan 0 mata jika kawalan tiada, 5 jika sebahagiannya dilaksanakan dan 10 jika dilaksanakan dan disahkan merentasi peranti yang berkenaan. Tandakan kawalan yang tidak terpakai pada persekitaran anda sebagai N/A dan kecualikannya daripada jumlah skor yang mungkin.

Kira peratusan kematangan anda dengan membahagikan mata yang diperolehi dengan mata maksimum untuk kawalan yang berkenaan dan darabkan dengan 100. Pertimbangkan contoh berikut,

Kawalan yang berkenaan: 8/10

Mata yang diperolehi: 60/80

Skor kematangan: 75%

Catatan: Tandakan kawalan sebagai N/A hanya jika ia tidak terpakai pada persekitaran anda, bukan kerana ia tidak dilaksanakan atau tidak disokong oleh penyelesaian pengurusan anda.

Pemeriksaan kesihatan keselamatan titik akhir 10 titik

1. Keterlihatan armada: Kekalkan inventori peranti terurus yang dikemas kini dan kenal pasti titik akhir yang tidak terurus yang mengakses sumber korporat.
2. Penyulitan storan: Kuatkuasakan kawalan penyulitan peranti yang disokong, seperti BitLocker, FileVault dan penyulitan mudah alih natif platform.
3. Pemisahan data kerja: Gunakan konfigurasi pengurusan BYOD yang disokong untuk memisahkan data organisasi daripada data peribadi.
4. DLP: Hadkan perkongsian data tanpa kebenaran melalui papan klip, tangkapan skrin dan kawalan aplikasi yang disokong.
5. Kawalan periferal: Hadkan storan boleh tanggal dan akses persisian yang tidak dibenarkan pada titik akhir yang disokong.
6. Pemadaman data jarak jauh: Konfigurasikan penyingkiran data kerja terpilih untuk penggunaan BYOD yang disokong dan pemadaman peranti penuh untuk peranti korporat yang berkenaan.
7. Tadbir urus aplikasi: Urus aplikasi yang diluluskan dan hadkan pemasangan tanpa kebenaran melalui dasar aplikasi yang disokong.
8. Pengurusan tampalan OS: Pantau dan gunakan kemas kini OS yang disokong secara berpusat untuk mengurangkan pendedahan kepada kelemahan yang diketahui.
9. Akses bersyarat: Menggunakan dasar pematuhan dan akses peranti pada aplikasi dan sumber korporat yang disokong.
10. Log audit: Kumpul dan semak log aktiviti peranti, keselamatan dan dasar yang berkaitan untuk menyokong penyiasatan dan penilaian pematuhan.

Bahagian 2: Tafsirkan skor kematangan keselamatan titik akhir anda

Kira peratusan kematangan anda berdasarkan kawalan yang berkenaan untuk menilai keberkesanan organisasi anda melaksanakan dan mengekalkan perlindungan keselamatan titik akhir.

Matriks kematangan keselamatan titik akhir 4-Tier

penting: Skor kematangan yang lebih tinggi mencerminkan pelaksanaan kawalan keselamatan titik akhir yang dinilai dengan lebih kukuh. Ia tidak menunjukkan pematuhan DPDP atau menghapuskan risiko pelanggaran data peribadi.

Penalti Akta DPDP kerana ketidakpatuhan

Akta DPDP, 2023 menetapkan penalti kewangan bagi pelanggaran peruntukannya. Penalti ini akan terpakai apabila peruntukan yang berkaitan berkuat kuasa. DPB boleh mengenakan penalti susulan siasatan, bergantung pada sifat dan tahap pelanggaran tersebut.

• Sehingga ₹250 crore kerana kegagalan melaksanakan perlindungan keselamatan yang munasabah untuk mencegah pelanggaran data peribadi
• Sehingga ₹200 crore kerana kegagalan untuk memaklumkan DPB atau Prinsipal Data yang terjejas tentang pelanggaran data peribadi
• Sehingga ₹200 crore kerana melanggar kewajipan tambahan yang berkaitan dengan data peribadi kanak-kanak
• Sehingga ₹150 crore kerana melanggar kewajipan tambahan yang terpakai kepada SDF
• Sehingga ₹50 crore kerana melanggar peruntukan lain Akta atau Peraturan DPDP
• Sehingga ₹10,000 untuk Prinsipal Data yang melanggar kewajipan berkanun mereka di bawah Seksyen 15

Penalti tidak automatik. Berikutan siasatan, DPB boleh mengenakan penalti kewangan bagi pelanggaran yang ketara, dengan mengambil kira faktor-faktor yang dinyatakan dalam Seksyen 33 Akta tersebut.

Bagaimana Scalefusion menyokong kesediaan DPDP berterusan

Memenuhi keperluan Akta DPDP melibatkan lebih daripada sekadar mendokumentasikan dasar privasi. Organisasi juga memerlukan perlindungan teknikal dan organisasi yang sesuai untuk melindungi data peribadi.

Scalefusion Perisian pematuhan DPDP membantu pasukan IT dan keselamatan menangani keperluan kesediaan berkaitan titik akhir melalui keterlihatan peranti, kawalan akses, pengurusan aplikasi, pengurusan kelemahan, dan pemantauan keselamatan. Keupayaan ini menyokong perlindungan teknikal terpilih dalam rangka kerja pematuhan DPDP yang lebih luas.

1. Memperkukuhkan tadbir urus titik akhir

Urus peranti yang didaftarkan melalui papan pemuka berpusat dan gunakan RBAC untuk menentukan kebenaran dan tanggungjawab pentadbir. Semak akses pentadbiran dan log aktiviti yang tersedia untuk menyokong akauntabiliti dan pengawasan operasi pengurusan peranti.

2. Tingkatkan inventori dan keterlihatan peranti

Jejaki peranti korporat dan milik pekerja yang berdaftar, semak maklumat peranti dan aplikasi yang tersedia dan jana laporan inventori. Rekod ini boleh menyokong pengurusan aset dan usaha pemetaan data peribadi yang lebih luas.

3. Sokong pengurusan BYOD yang mementingkan privasi

Gunakan Profil Kerja Android Enterprise dan Pendaftaran Pengguna Apple, jika disokong, untuk memisahkan data kerja terurus daripada data peribadi. Konfigurasi ini membantu organisasi mengurus sumber korporat sambil mengehadkan akses pentadbiran kepada kandungan peribadi.

4. Sokong penyingkiran peranti selamat

Alih keluar data kerja terurus daripada peranti milik pekerja yang disokong atau mulakan pemadaman jauh untuk peranti milik korporat yang berkenaan. Keupayaan ini membantu pasukan IT mengalih keluar peranti dengan selamat, mengalih keluar data organisasi dan mengurangkan risiko akses tanpa kebenaran selepas peranti dihentikan atau ditugaskan semula.

5. Memperkukuhkan kawalan keselamatan titik akhir

Konfigurasikan dasar penyulitan BitLocker dan FileVault yang disokong, sekatan aplikasi dan tetapan keselamatan peranti. Scalefusion OneIdP menyokong dasar akses yang boleh dikonfigurasikan untuk aplikasi bersepadu SSO yang serasi, membantu pasukan IT mengurus akses aplikasi berdasarkan peranti dan keadaan keselamatan yang disokong.

6. Kenal pasti dan pulihkan kelemahan titik akhir

Veltar perisian pengurusan kerentanan membantu mengenal pasti kelemahan yang diketahui dalam OS dan aplikasi merentasi peranti Windows dan macOS yang diurus. Menggunakan penunjuk seperti CVSS, EPSS dan KEV, pentadbir IT boleh mengutamakan pemulihan, memulakan aliran kerja penampalan OS dan aplikasi yang disokong dan menjejaki pendedahan kelemahan.

7. Urus risiko aplikasi pihak ketiga

Gunakan dasar pengurusan aplikasi untuk menggunakan aplikasi perniagaan yang diluluskan dan menyekat aplikasi yang tidak dibenarkan pada peranti yang disokong, membantu mengurangkan pendedahan kepada perisian yang tidak diurus. Semak aplikasi yang dipasang secara berkala dan kemas kini dasar aplikasi untuk menangani risiko keselamatan yang muncul.

8. Meningkatkan pengesanan dan tindak balas insiden

Pantau isyarat keselamatan dan pematuhan peranti yang disokong, semak amaran dan gunakan respons yang dikonfigurasikan untuk pelanggaran yang dikenal pasti. Kawalan ini boleh menyokong penyiasatan dan pembendungan insiden. Kekalkan rekod peristiwa keselamatan dan tindakan respons untuk menyokong semakan insiden dan mengenal pasti bidang untuk penambahbaikan.

9. Mengekalkan pemantauan pematuhan titik akhir yang berterusan

Scalefusion Veltar membantu pasukan IT menilai konfigurasi keselamatan titik akhir yang disokong dan memantau isyarat berkaitan pematuhan. Pentadbir IT boleh menyemak sisihan dasar yang dikenal pasti, mengambil tindakan pembetulan yang disokong dan menggunakan laporan yang tersedia untuk menyokong penilaian keselamatan dalaman.

Semua keupayaan ini bersama-sama membantu organisasi mengukuhkan keselamatan titik akhir dan mengekalkan bukti perlindungan teknikal terpilih. Walau bagaimanapun, pematuhan DPDP secara keseluruhan masih memerlukan proses perundangan, privasi, tadbir urus dan organisasi yang sesuai.

Tingkatkan kesediaan DPDP dengan keselamatan titik akhir

Kesediaan DPDP memerlukan organisasi untuk mengubah dasar privasi menjadi langkah keselamatan yang praktikal. Peranti yang tidak diurus, perisian yang ketinggalan zaman dan kawalan akses yang tidak mencukupi boleh meningkatkan risiko pelanggaran data peribadi dan menjadikan pematuhan peraturan lebih mencabar.

Apabila armada peranti berkembang, pengurusan titik akhir berpusat dapat membantu pasukan IT melaksanakan dan memantau perlindungan keselamatan secara konsisten. Scalefusion menyokong usaha ini melalui keterlihatan peranti, dasar penyulitan, pengurusan aplikasi dan kawalan pemisahan data BYOD yang disokong. Dengan OneIdP dan Veltar, ia juga membantu memperkukuh keselamatan akses, pengurusan kerentanan dan pemantauan pematuhan titik akhir.

Walaupun pengurusan titik akhir sahaja tidak dapat mewujudkan pematuhan DPDP, Scalefusion membantu organisasi menangani perlindungan teknikal yang penting dan mengekalkan pengawasan yang lebih kukuh terhadap peranti terurus mereka.

Kukuhkan keselamatan titik akhir anda dan ambil langkah seterusnya ke arah kesediaan DPDP.

Mulakan percubaan percuma anda hari ini.

Cuba secara percuma