GDPR Article 32 को सिक्योरिटी उपायों के "नियमित परीक्षण, आकलन, और मूल्यांकन" की आवश्यकता है। वल्नरेबिलिटी-असेसमेंट और पेनिट्रेशन टेस्ट इसे प्रदर्शित करने के प्राथमिक तकनीकी तंत्र हैं। KENSAI आपको अपने GDPR कंप्लायंस प्रोग्राम में निरंतर सिक्योरिटी टेस्टिंग बनाने में मदद करता है।
GDPR सिक्योरिटी असेसमेंट शुरू करें → डेमो बुक करेंGDPR का Article 32 कंट्रोलर और प्रोसेसर को जोखिम के अनुरूप सुरक्षा सुनिश्चित करने के लिए "उपयुक्त तकनीकी और संगठनात्मक उपाय" लागू करने की आवश्यकता रखता है। महत्वपूर्ण रूप से, इसमें स्पष्ट रूप से शामिल है:
"...a process for regularly testing, assessing and evaluating the effectiveness of technical and organisational measures for ensuring the security of the processing." यह वल्नरेबिलिटी-असेसमेंट और सिक्योरिटी टेस्टिंग के लिए GDPR में सबसे स्पष्ट मैंडेट है।
प्रोसेसिंग-सिस्टम की निरंतर कॉन्फ़िडेंशियलिटी, इंटीग्रिटी, एवेलेबिलिटी, और रेज़िलिएंस सुनिश्चित करें। वल्नरेबिलिटी-मैनेजमेंट कमज़ोरियों की पहचान करके इसे सीधे समर्थन करता है, इससे पहले कि उनका शोषण किया जा सके।
सिक्योरिटी को शुरुआत से ही एम्बेड किया जाना चाहिए। डेवलपमेंट-पाइपलाइन में सिक्योरिटी टेस्टिंग (SAST, DAST) डेटा प्रोटेक्शन बाय डिज़ाइन सिद्धांतों को प्रदर्शित करती है।
Meta पर €1.2 बिलियन (2023), Amazon पर €746 मिलियन, WhatsApp पर €225 मिलियन का जुर्माना लगाया गया। कई GDPR प्रवर्तन कार्रवाइयाँ पर्याप्त सिक्योरिटी उपाय लागू करने में विफलता का हवाला देती हैं, जिसमें अपर्याप्त वल्नरेबिलिटी-मैनेजमेंट शामिल है। Irish DPC, CNIL, और राष्ट्रीय प्राधिकरणों ने जुर्माना-गणना में तकनीकी सिक्योरिटी विफलताओं को गंभीरता बढ़ाने वाले कारकों के रूप में उद्धृत किया है। GDPR के तहत, जुर्माना वैश्विक वार्षिक टर्नओवर के 4% तक पहुँच सकता है।
GDPR का जवाबदेही सिद्धांत (Article 5(2)) कंट्रोलर को कंप्लायंस प्रदर्शित करने की आवश्यकता रखता है। सिक्योरिटी टेस्टिंग वह ऑडिट-ट्रेल बनाती है जो यह प्रदर्शित करता है कि आपका सिक्योरिटी प्रोग्राम प्रभावी है:
| GDPR सिद्धांत | सिक्योरिटी टेस्टिंग इसे कैसे समर्थन देती है |
|---|---|
| Integrity & Confidentiality (Art. 5(1)(f)) | वल्नरेबिलिटी-स्कैनिंग डेटा-प्रोटेक्शन नियंत्रणों में कमज़ोरियों की पहचान करती है |
| Regular Testing (Art. 32(1)(d)) | दस्तावेज़ीकृत स्कैन-शेड्यूल और परिणाम निरंतर टेस्टिंग-प्रोग्राम दिखाते हैं |
| Accountability (Art. 5(2)) | सुधार-रिकॉर्ड उत्तरदायी सिक्योरिटी-मैनेजमेंट प्रदर्शित करते हैं |
| Risk-Based Approach (Art. 32(1)) | CVSS स्कोरिंग + बिज़नेस-संदर्भ जोखिम-आनुपातिक सिक्योरिटी दिखाता है |
| Data Breach Prevention (Art. 33-34) | सक्रिय वल्नरेबिलिटी-मैनेजमेंट ब्रीच की संभावना को कम करता है |
GDPR एक जोखिम-आधारित दृष्टिकोण अपनाता है — सिक्योरिटी आवश्यकताएँ प्रोसेस किए जा रहे डेटा की संवेदनशीलता के साथ स्केल होती हैं। उच्च-जोखिम श्रेणियों को अधिक कठोर टेस्टिंग की आवश्यकता होती है:
आपके नियमित टेस्टिंग-प्रोग्राम का दस्तावेज़ीकरण करने वाली स्वचालित रिपोर्ट — टाइमस्टैम्प्ड, व्यापक, और DPA जाँच के लिए ऑडिट-तैयार।
उन सिस्टम और डेटाबेस की पहचान करता है जिनमें पर्सनल डेटा होने की संभावना है, डेटा-संवेदनशीलता के आधार पर सिक्योरिटी टेस्टिंग को प्राथमिकता देते हुए।
शोषण से पहले भेद्यताओं को खोजना और ठीक करना Article 33 के तहत सूचना की आवश्यकता वाले डेटा-ब्रीच की संभावना को सीधे कम करता है।
डेटा-प्रोसेसर के सिक्योरिटी-पॉश्चर का आकलन करें — प्रोसेसर-चयन के लिए आपके Article 28 ड्यू-डिलिजेंस दायित्वों को पूरा करते हुए।
सत्यापित करता है कि पर्सनल डेटा ट्रांज़िट में ठीक से एन्क्रिप्टेड है और कमज़ोर या टूटी क्रिप्टोग्राफ़ी का उपयोग करने वाले सिस्टम की पहचान करता है।
सिक्योरिटी-असेसमेंट आउटपुट Data Protection Impact Assessment में इंटीग्रेट होते हैं, जो Article 35 द्वारा आवश्यक तकनीकी जोखिम-विश्लेषण प्रदान करते हैं।
KENSAI डेटा-प्रोटेक्शन प्राधिकरणों को GDPR Article 32 कंप्लायंस प्रदर्शित करने के लिए आवश्यक निरंतर सिक्योरिटी टेस्टिंग और दस्तावेज़ीकरण प्रदान करता है। सक्रिय सिक्योरिटी टेस्टिंग दिखाकर प्रवर्तन कार्रवाई से बचें।
GDPR सिक्योरिटी टेस्टिंग शुरू करें → GDPR एक्सपर्ट से बात करें