व्यवसाय अपने संचालन के दौरान यकीन से परे मात्रा में डाटा इकट्ठा करते हैं, लेकिन डाटा की समीक्षा करने और उसे मिटा देने के लिए भी शायद ही कभी रुकते हैं।
डाटा रिटेंशन नीति तय करती है कि आपका व्यवसाय अलग-अलग तरह की जानकारी कितनी देर तक रखता है, क्यों रखता है, कौन उसे एक्सेस कर सकता है, और जब वे ज़रूरी न रहें तो उन्हें कैसे मिटा दिया जाए। छोटे और मध्यम व्यवसायों के लिए ये रोज़मर्रा के संचालन को बिना उलझाए अनुपालन जोखिम घटाने के सबसे व्यावहारिक तरीकों में से एक है।
कई कंपनियां डाटा ज़रूरत से ज़्यादा देर तक रखती हैं, क्योंकि उसे मिटा देना जोखिम भरा लगता है। पुराने ग्राहक रिकॉर्ड CRM में पड़े रहते हैं। पूर्व कर्मचारियों की फ़ाइलें शेयर की गई ड्राइव में रह जाती हैं। कॉन्ट्रैक्ट सालों तक इनबॉक्स में पड़े रहते हैं। निर्यात की गई स्प्रेडशीट “अगर ज़रूरत पड़ी तो” के लिए सेव कर ली जाती हैं। वक्त के साथ, व्यवसाय अपनी निजी पहचान योग्य जानकारी (PII), वित्तीय रिकॉर्ड, और इंटरनल जानकारी इतनी ज़्यादा स्टोर करने लगता है जितनी वो ठीक से संभाल ही नहीं सकता।
इससे GDPR के तहत एक समस्या पैदा होती है। स्टोरेज सीमांकन सिद्धांत का मतलब है कि पर्सनल डाटा को उसके इकट्ठा करने के मकसद के लिए ज़रूरी से ज़्यादा देर तक नहीं रखा जाना चाहिए। रिटेंशन नीति उस सिद्धांत को चालू सिस्टम में बदलने में मदद करती है: क्या रखा जाए, कितनी देर तक, कहां रहेगा, उसका मालिक कौन, उसे कैसे हटाएं, और रिटेन किए गए डाटा का एक्सेस कैसे सुरक्षित रखें।
ये इसलिए मायने रखता है क्योंकि कमज़ोर पासवर्ड हर साइज़ के व्यवसायों के लिए सबसे आम कमज़ोरियों में से एक बने हुए हैं, और अगर एक्सेस कंट्रोल कमज़ोर हों तो रिटेन किया गया डाटा भी उजागर रहता है।
डाटा रिटेंशन नीति क्यों ज़रूरी है?
किस तरह के डाटा को रिटेंशन शेड्यूल चाहिए?
यूके डाटा रिटेंशन ज़रूरतें: SMBs को क्या जानना चाहिए
SMBs के लिए डाटा रिटेंशन नीति टेम्पलेट
एक्सेस कंट्रोल और रिटेन किया गया डाटा
डाटा रिटेंशन नीति की आम गलतियां
रिटेंशन नियमों को रोज़मर्रा के अभ्यास में बदलें
डाटा रिटेंशन नीति क्या है?
डाटा रिटेंशन नीति नियमों का एक सेट है जो तय करता है कि व्यवसाय में डाटा की अलग-अलग श्रेणियां कितनी देर तक रखी जानी चाहिए, और रिटेंशन पीरियड खत्म होने पर क्या होता है। इसमें आमतौर पे पर्सनल डाटा, ग्राहक रिकॉर्ड, कर्मचारी फ़ाइलें, वित्तीय दस्तावेज़, कॉन्ट्रैक्ट, संचार, परिचालन रिकॉर्ड, और व्यवसाय के लिए अहम दस्तावेज़ शामिल होते हैं।
एक उपयोगी नीति को इन चार सवालों के जवाब देने चाहिए:
- हम किस तरह का डाटा रखते हैं?
- उसे रखने की ज़रूरत क्यों है?
- उसे कितनी देर तक रखना चाहिए?
- हम उसे सुरक्षित तरीके से कैसे मिटा देंगे, एनोनिमाइज़ करेंगे, या संग्रह में रखेंगे?
GDPR हर तरह के डाटा के लिए सटीक समय-सीमा तय नहीं करता, इसलिए संगठनों को खुद तय करना पड़ता है कि उनके मकसदों के लिए क्या ज़रूरी है, उस तर्क को दस्तावेज़ में रखना पड़ता है, और उसे सही ठहराने के लिए तैयार रहना पड़ता है।
डाटा रिटेंशन नीति सिर्फ़ तारीखों की सूची से ज़्यादा है। ये उन तारीखों के पीछे के फ़ैसलों का रिकॉर्ड है। अगर कोई पूछे कि ग्राहक डाटा तीन साल तक क्यों रखा गया या आवेदकों के रिकॉर्ड छह महीने बाद क्यों मिटा दिए गए, तो व्यवसाय को साफ़ वजह बताने में सक्षम होना चाहिए।
डाटा रिटेंशन नीति क्यों ज़रूरी है?
रिटेंशन नीति अनुपालन, सुरक्षा, और परिचालन स्पष्टता में मदद करती है। ये तीन तरीकों से व्यवसाय की रक्षा करती है:
- ये लीक में उजागर हो सकने वाले डाटा की मात्रा घटाती है
- ये जानकारी को ज़रूरत से ज़्यादा देर तक रखने से होने वाला कानूनी और अनुपालन जोखिम घटाती है
- ये पुराने रिकॉर्ड से जुड़ी स्टोरेज लागत काटती है।
अनुपालन के नज़रिए से, ये GDPR डाटा रिटेंशन दायित्वों में सहायता करती है, ये दिखाकर कि आपका व्यवसाय पर्सनल डाटा को बिना वजह अनंत काल तक नहीं रखता। यूके में ICO साफ़ कहता है कि पर्सनल डाटा को “अगर ज़रूरत पड़ी तो” के आधार पे नहीं, बल्कि सिर्फ़ उतनी देर तक रखा जाना चाहिए जितना संबंधित मकसद के लिए ज़रूरी है।
सुरक्षा के नज़रिए से, कम बेवजह का डाटा मतलब कम जोखिम। अगर आपके व्यवसाय को लीक का सामना करना पड़े, तो हर पुराना ग्राहक रिकॉर्ड, पुरानी पेरोल फ़ाइल, बेकार निर्यात, या भूला हुआ इंबॉक्स अटैचमेंट प्रभावित जानकारी की मात्रा बढ़ा सकता है।
इसीलिए रिटेंशन आपके डाटा लीक की रोकथाम के बड़े तरीके का हिस्सा होना चाहिए। आप डाटा कितनी देर तक रखते हैं, उसका सीधा असर जोखिम पे पड़ता है: बेवजह के रिकॉर्ड जितनी देर आपके सिस्टम में रहेंगे, हमलावर के लिए उतना ज़्यादा एक्सेस करने, चुराने, या उजागर करने को मिलेगा।
परिचालन के नज़रिए से, रिटेंशन नियम अंदाज़े कम करते हैं। कर्मचारियों को पता होना चाहिए कि क्या रखना है, कहां स्टोर करना है, कब मिटाना है, और फ़ैसले का मालिक कौन है। ये बढ़ती टीमों के लिए खास तौर पे ज़रूरी है, जहां डाटा ईमेल, क्लाउड स्टोरेज, HR सिस्टम, फ़ाइनेंस सॉफ्टवेयर, CRM, शेयर की गई ड्राइव, और वेंडर प्लेटफॉर्म में बंटा हो सकता है।
किस तरह के डाटा को रिटेंशन शेड्यूल चाहिए?
डाटा रिटेंशन शेड्यूल, डाटा रिटेंशन नीति का चालु हिस्सा है। ये हर डाटा श्रेणी को एक रिटेंशन पीरियड, मालिक, स्टोरेज स्थान, मिटाने के तरीके, डाटा लीक सुरक्षा उपायों, और उसे रखने की वजह से जोड़ता है।
SMBs को उन डाटा श्रेणियों से शुरू करना चाहिए जिनका वे रोज़ इस्तेमाल करते हैं।
कर्मचारी रिकॉर्ड
कर्मचारी रिकॉर्ड सब एक ही रिटेंशन लॉजिक नहीं फॉलो करते। कुछ को कानूनी ज़रूरतों की वजह से रखना पड़ता है, कुछ को इसलिए कि विवाद सुलझाने के लिए ज़रूरत पड़ सकती है, और कुछ सिर्फ़ तब तक जब तक कोई साफ़ व्यावसायिक वजह हो।
उदाहरण के लिए, ACAS(नई विंडो) कहता है कि नियोक्ताओं को छुट्टी के रिकॉर्ड उनकी तारीख से कम से कम छह साल तक रखने होते हैं, जबकि GOV.UK(नई विंडो) की स्टाफ़ रिकॉर्ड गाइडेंस कहती है कि कर्मचारी जानकारी सिर्फ़ उतनी देर तक रखी जानी चाहिए जब तक व्यवसाय को उसकी साफ़ ज़रूरत है, फिर उसे सुरक्षित तरीके से निपटाया जाए।
ग्राहक और संभावित ग्राहक डाटा
ग्राहक डाटा में संपर्क जानकारी, खरीद इतिहास, सहायता टिकट, बिलिंग जानकारी, कॉन्ट्रैक्ट, खाता रिकॉर्ड, और संचार इतिहास शामिल हो सकते हैं। संभावित ग्राहक डाटा में मार्केटिंग लीड, कार्यक्रम साइनअप, न्यूज़लेटर सदस्यताएं, और सेल्स नोट्स शामिल हो सकते हैं।
ग्राहक डाटा उतनी देर तक रखें जितनी देर आपको सेवा देने, कॉन्ट्रैक्चुअल दायित्व पूरे करने, विवाद संभालने, अकाउंटिंग नियमों का पालन करने, या कानूनी ज़रूरतें पूरी करने के लिए ज़रूरत है। मार्केटिंग डाटा को खास ध्यान चाहिए क्योंकि सहमति, वैध हित, सदस्यता रद्द करने के अनुरोध, और मकसद की सीमाएं सब उसे कितनी देर तक रिटेन किया जाए, उसे प्रभावित करती हैं।
वित्तीय और कर रिकॉर्ड
वित्तीय रिकॉर्ड में इनवॉइस, रसीदें, पेरोल रिकॉर्ड, बैंक स्टेटमेंट, खर्च क्लेम, VAT रिकॉर्ड, अकाउंटिंग रिकॉर्ड, कर दस्तावेज़, कॉन्ट्रैक्ट और खरीद आदेश, ऑडिट रिपोर्ट, क्रेडिट कार्ड और लोन रिकॉर्ड, और जहां लागू हो, कर्मचारी लाभ या पेंशन रिकॉर्ड शामिल हैं।
कई क्षेत्राधिकारों में, कंपनी और कर कानून अकाउंटिंग और वित्तीय रिकॉर्ड रखने के लिए न्यूनतम अवधि तय करते हैं, हालांकि सटीक अवधि देश और कंपनी के तरह के हिसाब से अलग-अलग होती है।
कॉन्ट्रैक्ट और कानूनी दस्तावेज़
कॉन्ट्रैक्ट, वर्क स्टेटमेंट, वेंडर एग्रीमेंट, क्लाइंट एग्रीमेंट, लीज़, और कानूनी पत्राचार को कॉन्ट्रैक्ट अवधि के दौरान और बाद में विवादों की स्थिति में कुछ समय तक रिटेन करना पड़ सकता है।
सटीक अवधि कॉन्ट्रैक्ट, सीमा अवधियों, क्षेत्र की ज़रूरतों, और कानूनी सलाह पे निर्भर करती है। नीति को इन रिकॉर्ड के लिए एक मालिक तय करना चाहिए, आमतौर पे कानूनी, फ़ाइनेंस, ऑपरेशन, या लीडरशिप।
ईमेल संचार और इंटरनल दस्तावेज़
बिज़नेस ईमेल अक्सर वो जगह है जहां रिटेंशन नीतियां परखी जाती हैं। इंबॉक्स में कॉन्ट्रैक्ट, पर्सनल डाटा, अटैचमेंट, ग्राहक शिकायतें, इनवॉइस, उम्मीदवार जानकारी, पासवर्ड, और गोपनीय व्यावसायिक फ़ैसले रह सकते हैं।
रिटेंशन शेड्यूल को तय करना चाहिए कि क्या ईमेल में रहना चाहिए, क्या मंज़ूरशुदा सिस्टम में भेजा जाए, और पुराने संदेश कब मिटा दिए जाएं या संग्रह में रखे जाएं। वही लॉजिक इंटरनल दस्तावेज़ों, निर्यात की गई रिपोर्टों, स्प्रेडशीट, शेयर किए गए फोल्डर, और चैट अटैचमेंट पे लागू होता है। लेकिन नीति को लागू करने की एक व्यवस्था भी चाहिए।
रिटेंशन नियमों को मंज़ूरी शुदा सिस्टम, जहां संभव हो ऑटोमेटेड मिटाने की सेटिंग, संग्रह नियम, और मालिकी की जांच से जोड़ा जाना चाहिए, ताकि डाटा सिर्फ़ इसलिए अनंत काल तक न रह जाए कि रिटेंशन पीरियड खत्म होने पे किसी ने काम नहीं किया।
प्रमाण, एक्सेस रिकॉर्ड, और सुरक्षा लॉग
रिटेंशन सुरक्षा रिकॉर्ड पे भी लागू करें। इसमें एक्सेस लॉग, ऑडिट ट्रेल, पासवर्ड रिकॉर्ड, रिकवर कोड, एडमिन गतिविधि, इंसिडेंट रिपोर्ट, और सत्यापन रिकॉर्ड शामिल हो सकते हैं।
कुछ सुरक्षा रिकॉर्ड जांच, अनुपालन, या परिचालन समीक्षा के लिए रखने ज़रूरी हैं। बाकी को सिर्फ़ तय मकसद और दस्तावेज़ी अवधि के लिए रिटेन किया जाना चाहिए, फिर नीति के मुताबिक़ मिटा दिया जाए या संग्रह में रखा जाए, खासकर जब वे बताएं कि आपके सिस्टम कैसे काम करते हैं या संवेदनशील एक्सेस जानकारी उजागर करें।
डाटा रिटेंशन, क्रेडेंशियल मैनेजमेंट, और एक्सेस कंट्रोल आपस में जुड़े हैं: रिटेन किए गए सुरक्षा रिकॉर्ड को मज़बूत एक्सेस कंट्रोल चाहिए क्योंकि वे बता सकते हैं कि आपके व्यवसाय के सिस्टम कैसे काम करते हैं।
यूके डाटा रिटेंशन ज़रूरतें: SMBs को क्या जानना चाहिए
यूके डाटा रिटेंशन ज़रूरतें अलग-अलग होती हैं। वे डाटा के तरह, उसे रखने की वजह, और उसके पीछे की कानूनी, कर, कॉन्ट्रैक्चुअल, या व्यावसायिक ज़िम्मेदारी पे निर्भर करती हैं।
GDPR डाटा रिटेंशन के लिए, शुरुआती बिंदु स्टोरेज सीमांकन है: पर्सनल डाटा सिर्फ़ मकसद के लिए ज़रूरी जितनी देर तक रखा जाना चाहिए। यूके GDPR की हर श्रेणी के लिए एक तय अवधि नहीं है, इसलिए व्यवसायों को अपनी रिटेंशन अवधियां तय करनी होती हैं और उन्हें सही ठहराना होता है।
कुछ रिकॉर्ड के नियम ज़्यादा साफ़ होते हैं। लिमिटेड कंपनियों को आमतौर पे अकाउंटिंग रिकॉर्ड संबंधित वित्तीय साल के खत्म होने से छह साल तक रखने होते हैं, और खास परिस्थितियों में कभी-कभी ज़्यादा भी। स्टाफ़ रिकॉर्ड रिकॉर्ड के तरह के हिसाब से अलग होते हैं, इसलिए संवेदनशील रोज़गार डाटा को सावधानी से श्रेणीबद्ध करना चाहिए और ज़रूरत पड़ने पे कानूनी या HR सलाह से समीक्षा करनी चाहिए।
आखिर में, सब पे एक रिटेंशन अवधि लागू करना संभव नहीं है। डाटा को श्रेणी के हिसाब से अलग करें, उसे रखने की वजह तय करें, और दस्तावेज़ करें कि हर अवधि क्यों उचित है।
SMBs के लिए डाटा रिटेंशन नीति टेम्पलेट
इस ढांचे को एक सरल डाटा रिटेंशन नीति टेम्पलेट की तरह इस्तेमाल करें। वाक्यांश को अपने व्यवसाय, क्षेत्र, और कानूनी ज़रूरतों के मुताबिक़ बदलें।
1. मकसद और दायरा
टेम्पलेट टेक्स्ट: ये डाटा रिटेंशन नीति समझाती है कि [कंपनी का नाम] व्यावसायिक और पर्सनल डाटा को कैसे स्टोर करता है, रिटेन करता है, संग्रह में रखता है, मिटा देता है, और सुरक्षित रखता है। ये कर्मचारियों, ठेकेदारों, वेंडरों, सिस्टमों, और उन सेवाओं पर लागू होती है जो कंपनी डाटा को इकट्ठा करती हैं, प्रोसेस करती हैं, स्टोर करती हैं, या उसे एक्सेस करती हैं।
2. डाटा श्रेणियां
टेम्पलेट टेक्स्ट: [कंपनी का नाम] डाटा को श्रेणियों में ग्रुप करता है, जिनमें ग्राहक डाटा, संभावित ग्राहक डाटा, कर्मचारी रिकॉर्ड, वित्तीय रिकॉर्ड, कॉन्ट्रैक्ट, परिचालन रिकॉर्ड, सुरक्षा लॉग, और इंटरनल संचार शामिल हैं। हर श्रेणी का एक मालिक, स्टोरेज स्थान, रिटेंशन अवधि, और मिटाने का तरीका होना चाहिए।
3. रिटेंशन शेड्यूल
टेम्पलेट टेक्स्ट: डाटा सिर्फ़ व्यावसायिक, कानूनी, नियामकीय, कॉन्ट्रैक्चुअल, या सुरक्षा मकसदों के लिए ज़रूरी जितनी देर तक ही रखा जाना चाहिए। हर डाटा श्रेणी को रिटेंशन शेड्यूल में तय रिटेंशन अवधि और वजह के साथ सूचीबद्ध होना चाहिए।
उदाहरण शेड्यूल:
| डाटा श्रेणी | उदाहरण रिकॉर्ड | सुझाई गई रिटेंशन विधि | मालिक | मिटाने का तरीका |
| ग्राहक डाटा | खाता रिकॉर्ड, सहायता टिकट, सेवा इतिहास | जब तक ग्राहक संबंध सक्रिय है, तब तक रखें, फिर सिर्फ़ कानूनी, कॉन्ट्रैक्चुअल, या विवाद मकसदों के लिए ज़रूरत जितना ही रिटेन करें | ऑपरेशन या कस्टमर सक्सेस | CRM और सहायता सिस्टम से मिटा दें या एनोनिमाइज़ करें |
| वित्तीय रिकॉर्ड | इनवॉइस, रसीदें, पेरोल, कर दस्तावेज़ | आमतौर पे संबंधित वित्तीय साल के बाद छह साल तक रखें, जब तक कि ज़्यादा लंबी रिटेंशन ज़रूरी न हो | वित्त | सुरक्षित तरीके से संग्रह में रखें, फिर मिटा दें |
| कर्मचारी रिकॉर्ड | कॉन्ट्रैक्ट, पेरोल, छुट्टी रिकॉर्ड, HR फ़ाइलें | रिकॉर्ड के तरह, कानूनी नियमों, और व्यावसायिक ज़रूरत के हिसाब से रिटेन करें | HR या ऑपरेशन | HR सिस्टम और शेयर किए गए स्टोरेज से सुरक्षित तरीके से मिटा दें |
| कॉन्ट्रैक्ट | क्लाइंट एग्रीमेंट, वेंडर कॉन्ट्रैक्ट, वर्क स्टेटमेंट | कॉन्ट्रैक्ट अवधि के दौरान और एक तय विवाद अवधि तक रखें | कानूनी, वित्त, या लीडरशिप | सुरक्षित तरीके से संग्रह में रखें, फिर मिटा दें |
| सुरक्षा लॉग | एक्सेस लॉग, एडमिन गतिविधि, इंसिडेंट रिकॉर्ड | जांच, सुरक्षा, और जवाबदेही की ज़रूरतों के लिए रखें, फिर जोखिम के हिसाब से मिटा दें या संग्रह में रखें | IT या सुरक्षा मालिक | सुरक्षित तरीके से मिटा दें या संग्रह में रखें |
| मार्केटिंग डाटा | लीड, न्यूज़लेटर सूचियां, कैंपेन रिकॉर्ड | जब तक वैध मकसद है और सप्रेशन नियमों का पालन है, तब तक रखें | मार्केटिंग | मौके के हिसाब से मिटा दें, एनोनिमाइज़ करें, या सप्रेस करें |
4. एक्सेस कंट्रोल
टेम्पलेट टेक्स्ट: रिटेन किए गए डाटा का एक्सेस सिर्फ़ उन लोगों तक सीमित होना चाहिए जिन्हें अपनी भूमिका के लिए उसकी ज़रूरत है। संवेदनशील डाटा मंज़ूरी शुदा सिस्टम में स्टोर किया जाना चाहिए, मज़बूत सत्यापन से सुरक्षित रहना चाहिए, और नियमित तौर पे समीक्षा होनी चाहिए। शेयर किए गए प्रमाण का इस्तेमाल रिटेन किए डाटा के एक्सेस के लिए नहीं करना चाहिए, जब तक कि वे मंज़ूरी शुदा बिज़नेस पासवर्ड मैनेजर से संभाले न जा रहे हों।
ये वो हिस्सा है जहां रिटेंशन सीधे क्रेडेंशियल मैनेजमेंट से जुड़ता है। जो डाटा रखना ज़रूरी है, उसे भी सुरक्षा चाहिए। अगर पुराने कॉन्ट्रैक्ट, पेरोल फ़ाइलें, ग्राहक रिकॉर्ड, या सुरक्षा लॉग उन लोगों के लिए एक्सेस करने लायक़ रह जाएं जिन्हें अब उनकी ज़रूरत नहीं, तो रिटेंशन नीति समस्या का सिर्फ़ आधा हिस्सा ही सुलझा रही है।
बिज़नेस पासवर्ड मैनेजर एक्सेस कंट्रोल में सहायता करता है, टीमों को मज़बूत प्रमाण बनाने, उन्हें सुरक्षित स्टोर करने, और एक्सेस सिर्फ़ अधिकृत लोगों के साथ शेयर करने में मदद करके। Proton Pass for Business टीमों को एन्क्रिप्ट किए गए तिजोरियों में प्रमाण संभालने और सुरक्षित शेयरिंग इस्तेमाल करने में मदद करता है, ताकि रिटेन किया गया डाटा दोबारा इस्तेमाल किए गए पासवर्ड या अनौपचारिक एक्सेस से कम उजागर हो।
5. मिटाना और निपटान
टेम्पलेट टेक्स्ट: जब रिटेंशन अवधि खत्म हो जाए, तो डाटा को रिटेंशन शेड्यूल के मुताबिक़ सुरक्षित तरीके से मिटा दें, एनोनिमाइज़ करें, या संग्रह में रखें। काग़ज़ी रिकॉर्ड को कतरनी से काटकर या सुरक्षित तरीके से निपटाया जाना चाहिए। डिजिटल रिकॉर्ड को मंज़ूरी शुदा सिस्टमों, शेयर की गई ड्राइवों, जहां उचित हो बैकअप, और किसी भी बिना प्रबंधित स्टोरेज स्थान से मिटा दें। संवेदनशील डाटा के मिटाने का दस्तावेज़ीकरण होना चाहिए। कर्मचारियों को ये भी पता होना चाहिए कि जानकारी कहां स्टोर नहीं करनी है, जैसे पर्सनल ड्राइव, बिना मंज़ूरी की स्प्रेडशीट, या चैट थ्रेड। अगर कोई डाटा श्रेणी कानूनी होल्ड, विवाद, ऑडिट, या जांच के अधीन हो जाए, तो मिटाना कानूनी या लीडरशिप के अगले कदम की मंज़ूरी तक रुकना चाहिए।
6. ज़िम्मेदारियां
टेम्पलेट टेक्स्ट: हर डाटा श्रेणी का एक मालिक होना चाहिए जो रिटेंशन फ़ैसलों, एक्सेस समीक्षाओं, मिटाने, और नीति अपडेट के लिए ज़िम्मेदार हो। कर्मचारी डाटा को मंज़ूरी शुदा सिस्टम में स्टोर करने और उस डाटा की रिपोर्ट करने के लिए ज़िम्मेदार हैं जिसे वे पुराना, डुप्लीकेट, या गलत जगह स्टोर किया हुआ समझते हैं।
7. समीक्षा चक्र
टेम्पलेट टेक्स्ट: इस नीति और रिटेंशन शेड्यूल की समीक्षा कम से कम साल में एक बार होगी, और जल्दी होगी अगर [कंपनी का नाम] नए सिस्टम लाए, कानूनी दायित्व बदलें, कोई सुरक्षा इंसिडेंट हो, या पर्सनल डाटा इकट्ठा करने या प्रोसेस करने का तरीका बदलें।
एक्सेस कंट्रोल और रिटेन किया गया डाटा
रिटेंशन नीति को एक्सेस कंट्रोल से कभी अलग नहीं करना चाहिए। डाटा को वैध वजह से रखने का मतलब ये नहीं कि सब उस तक पहुंच सकें।
रिटेन किए गए डाटा में अक्सर संवेदनशील जानकारी शामिल होती है: कर्मचारी फ़ाइलें, ग्राहक रिकॉर्ड, कर दस्तावेज़, कॉन्ट्रैक्ट, सुरक्षा लॉग, और इंसिडेंट रिपोर्ट। अगर एक्सेस बिना प्रबंधन के है, तो पुराना डाटा खाता छेड़छाड़ के दौरान आसान निशाना बन सकता है। ये इंटरनल जोखिम भी पैदा कर सकता है अगर कर्मचारी अपनी भूमिका से जुड़े नहीं रिकॉर्ड खोल सकें।
एक्सेस कंट्रोल को इनके जवाब देने चाहिए:
- कौन हर रिटेन की गई डाटा श्रेणी को एक्सेस कर सकता है?
- कौन से सिस्टम उसे स्टोर करते हैं?
- कौन से प्रमाण उसकी सुरक्षा करते हैं?
- क्या MFA सक्षम है?
- क्या शेयर किए गए प्रमाण कंट्रोल में हैं?
- एक्सेस की आखिरी समीक्षा कब हुई?
- क्या होता है जब कोई जाता है या भूमिका बदलता है?
- क्या तीसरें-पार्टी वेंडरों और सप्लायरों को एक्सेस दिया जाता है, और क्या वो कंट्रोल में है?
डाटा रिटेंशन क्रेडेंशियल मैनेजमेंट से जुड़ा है। लीक की रोकथाम के लिए, एक्सेस कंट्रोल असर का दायरा भी घटाता है। अगर हमलावर एक खाते की छेड़छाड़ कर दे, तो उसे ऑटोमैटिक रूप से सालों का संग्रहित ग्राहक डाटा, पुराने कॉन्ट्रैक्ट, या कर्मचारी रिकॉर्ड नहीं मिलने चाहिए। पासवर्ड नीति बनाना टीमों को पासवर्ड बनाने, शेयरिंग, एक्सेस मैनेजमेंट, और सत्यापन के नियम तय करने में मदद कर सकता है।
लीक की रोकथाम के लिए, एक्सेस कंट्रोल असर का दायरा भी घटाता है। अगर हमलावर एक खाते की छेड़छाड़ कर दे, तो उसे ऑटोमैटिक रूप से सालों का संग्रहित ग्राहक डाटा, पुराने कॉन्ट्रैक्ट, या कर्मचारी रिकॉर्ड नहीं मिलने चाहिए। व्यवसायों के लिए Proton की डाटा लीक सुरक्षा गाइड समझाती है कि इंसिडेंट होने से पहले एक्सेस सीमित करना और बेवजह का जोखिम घटाना क्यों ज़रूरी है।
Proton Pass for Business जैसा बिज़नेस पासवर्ड मैनेजर टीमों को उन प्रमाणों के एक्सेस को कंट्रोल और समीक्षा करने में भी मदद कर सकता है जो रिटेन किए डाटा को खोलते हैं, सेंट्रलाइज़्ड मैनेजमेंट, सुरक्षित शेयरिंग, और एडमिन पैनल से ज़्यादा साफ़ मालिकी के साथ।
डाटा रिटेंशन नीति की आम गलतियां
कई SMBs के पास पहले से अनौपचारिक रिटेंशन आदतें होती हैं, लेकिन भरोसेमंद नीति नहीं। सबसे आम गलतियां करने में आसान हैं: बहुत ज़्यादा डाटा रखना, हर रिकॉर्ड पे एक ही नियम लागू करना, रोज़मर्रा के सिस्टमों में कॉपियां भूल जाना, कानूनी होल्ड चेक किए बिना मिटा देना, या रिटेन किया डाटा बहुत ज़्यादा लोगों के लिए एक्सेस करने लायक़ रखना।
| गलती | ये जोखिम क्यों पैदा करती है | इसकी जगह क्या करें |
| सब कुछ हमेशा के लिए रखना | डाटा “अगर ज़रूरत पड़ी तो” स्टोर करना अनुपालन जोखिम और लीक का जोखिम बढ़ा सकता है। | डाटा सिर्फ़ तब तक रखें जब तक कोई साफ़ कानूनी, कॉन्ट्रैक्चुअल, सुरक्षा, या व्यावसायिक वजह हो। |
| सब कुछ के लिए एक ही रिटेंशन अवधि इस्तेमाल करना | वित्तीय रिकॉर्ड, कर्मचारी फ़ाइलें, मार्केटिंग लीड, कॉन्ट्रैक्ट, और लॉग अलग-अलग मकसदों के लिए होते हैं। | रिटेंशन अवधियां डाटा श्रेणी के हिसाब से तय करें। |
| ईमेल, स्प्रेडशीट, और निर्यात भूल जाना | कॉपियां इंबॉक्स, डाउनलोड फोल्डर, शेयर की गई ड्राइव, या बिना प्रबंधित फ़ाइलों में रह सकती हैं। | नीति में सेकेंडरी स्टोरेज स्थान शामिल करें। |
| कानूनी होल्ड चेक किए बिना मिटा देना | कुछ डाटा को विवादों, ऑडिट, जांच, या नियामकीय दायित्वों के लिए संरक्षित रखना पड़ सकता है। | मिटाने से पहले एक समीक्षा कदम जोड़ें। |
| रिटेन किए डाटा के एक्सेस को नज़रअंदाज़ करना | रखा हुआ डाटा फिर भी उजागर हो सकता है अगर बहुत ज़्यादा लोग उसे एक्सेस कर सकें। | मालिक तय करें, अनुमतियां सीमित करें, और नियमित तौर पे एक्सेस की समीक्षा करें। |
रिटेंशन नियमों को रोज़मर्रा के अभ्यास में बदलें
एक व्यावहारिक नीति उस डाटा से शुरू होती है जो आपका व्यवसाय पहले से रखता है, और उसे एक ऐसे शेड्यूल में बदलती है जिसका पालन लोग कर सकें। हर श्रेणी के रखने की एक वजह, एक मालिक, एक समीक्षा चक्र, और एक साफ़ मिटाने की प्रक्रिया होनी चाहिए। जब तक वो डाटा आपके सिस्टम में रहे, एक्सेस सिर्फ़ उन्हीं लोगों तक सीमित रहना चाहिए जिन्हें सच में उसकी ज़रूरत है।
कई SMBs के लिए, क्रेडेंशियल मैनेजमेंट सुधार के सबसे आसान तरीकों में से एक है। मज़बूत पासवर्ड, सुरक्षित शेयरिंग, और कंट्रोल्ड एक्सेस मदद करते हैं कि रिटेन किया डाटा सिर्फ़ उन्हीं लोगों के लिए उपलब्ध हो जिन्हें उसकी ज़रूरत है।
एक सुरक्षित बिज़नेस पासवर्ड मैनेजर से कंट्रोल करें कि आपके व्यवसाय में रिटेन किए डाटा को कौन एक्सेस कर सकता है।
