आपूर्ति श्रृंखला सुरक्षा: NIS2 और DPDP अधिनियम के तहत तृतीय-पक्ष दायित्व

आधुनिक व्यावसायिक पारिस्थितिकी तंत्र में, संगठन सैकड़ों तृतीय-पक्ष विक्रेताओं, आपूर्तिकर्ताओं और सेवा प्रदाताओं पर निर्भर हैं। हालांकि, यूरोपीय संघ का NIS2 निर्देश और भारत का डिजिटल व्यक्तिगत डेटा संरक्षण (DPDP) अधिनियम 2023 ने आपूर्ति श्रृंखला साइबर सुरक्षा जोखिमों के लिए जवाबदेही का परिदृश्य मौलिक रूप से बदल दिया है।

नियामक आवश्यकताएं

NIS2 निर्देश आवश्यकताएं

अक्टूबर 2024 से प्रभावी, NIS2 यूरोप में संचालन करने वाली या यूरोपीय ग्राहकों की सेवा करने वाली भारतीय कंपनियों पर लागू होता है:

• आपूर्तिकर्ता जोखिम मूल्यांकन: सभी महत्वपूर्ण विक्रेताओं का व्यापक साइबर सुरक्षा मूल्यांकन
• संविदात्मक सुरक्षा उपाय: सभी आपूर्तिकर्ता अनुबंधों में विशिष्ट सुरक्षा खंड
• निरंतर निगरानी: तृतीय-पक्ष सुरक्षा स्थिति की चल रही निगरानी
• घटना रिपोर्टिंग: आपूर्तिकर्ता से संबंधित घटनाओं के लिए 24 घंटे की सूचना अवधि
• ऑडिट अधिकार: आपूर्तिकर्ता सुरक्षा नियंत्रणों की नियमित जांच करने की क्षमता

DPDP अधिनियम 2023 आवश्यकताएं

भारत का डेटा संरक्षण कानून स्पष्ट रूप से डेटा प्रोसेसर (आपूर्तिकर्ता) और डेटा फिड्यूशियरी (आपके संगठन) की जिम्मेदारियों को परिभाषित करता है:

• डेटा प्रोसेसर समझौते: सभी विक्रेताओं के साथ औपचारिक अनुबंध जो व्यक्तिगत डेटा संभालते हैं
• उद्देश्य सीमा: विक्रेता केवल निर्दिष्ट उद्देश्यों के लिए डेटा संसाधित कर सकते हैं
• डेटा स्थानीयकरण: भारतीय नागरिकों का डेटा भारत में संग्रहीत होना चाहिए (छूट के साथ)
• उल्लंघन सूचना: डेटा प्रोसेसर को 6 घंटे के भीतर CERT-In को रिपोर्ट करना होगा
• संयुक्त दायित्व: उल्लंघन के मामले में फिड्यूशियरी और प्रोसेसर दोनों उत्तरदायी हो सकते हैं

सामान्य आपूर्ति श्रृंखला जोखिम

उच्च जोखिम वाली श्रेणियां

1. क्लाउड सेवा प्रदाता: AWS, Azure, GCP - डेटा भंडारण और पहुंच नियंत्रण जोखिम
2. SaaS अनुप्रयोग: Salesforce, Workday, SAP - डेटा एकीकरण और पहुंच
3. IT सेवा प्रदाता: आउटसोर्स SOC, NOC, हेल्पडेस्क - विशेषाधिकार पहुंच
4. सॉफ़्टवेयर विक्रेता: ओपन-सोर्स घटक, तृतीय-पक्ष लाइब्रेरी - आपूर्ति श्रृंखला हमले
5. भुगतान प्रोसेसर: गेटवे, पर्स - वित्तीय डेटा जोखिम
6. मार्केटिंग तकनीक: विश्लेषिकी, CRM, ईमेल प्लेटफ़ॉर्म - ग्राहक डेटा प्रसंस्करण

AIHackers तृतीय-पक्ष जोखिम प्रबंधन फ्रेमवर्क

आपूर्ति श्रृंखला हमलों से बचाव

CERT-In आपूर्ति श्रृंखला दिशानिर्देश

जनवरी 2025 में, CERT-In ने आपूर्ति श्रृंखला सुरक्षा के लिए अद्यतन दिशानिर्देश जारी किए, जिसमें शामिल हैं:

• अनिवार्य रजिस्ट्री: सभी महत्वपूर्ण बुनियादी ढांचे के संचालकों को तृतीय-पक्ष विक्रेताओं को CERT-In के साथ पंजीकृत करना होगा
• उत्पत्ति का बिल: सॉफ़्टवेयर घटकों और निर्भरताओं का प्रलेखन
• शून्य-दिवस प्रकटीकरण: विक्रेताओं को CERT-In को 24 घंटे के भीतर सूचित करना होगा
• आपूर्तिकर्ता ब्लैकलिस्ट: समझौता किए गए विक्रेताओं की CERT-In सूची

AIHackers भारत की अग्रणी तृतीय-पक्ष साइबर जोखिम प्रबंधन फर्म है, जो Fortune 500 कंपनियों को वैश्विक नियामक अनुपालन प्राप्त करने में मदद करती है।