Se conformer à
la loi indienne sur la protection
des données personnelles numériques (DPDPA)

Répondez à cette exigence avec ManageEngine :

Protégez les données personnelles en appliquant un chiffrement robuste, des accès contrôlés et un masquage sélectif des données sur les identités, les terminaux, l'infrastructure et les opérations informatiques.

• Chiffrement au repos et en transitRépondez à cette exigence avec ManageEngine :
• Chiffrement intégral des disques des terminaux utilisateursTous les terminaux utilisateurs utilisent le chiffrement intégral du disque afin de protéger les données en cas de perte, de vol ou de compromission.
• Gestion centralisée des clés et des certificatsLes clés cryptographiques et les certificats sont générés, stockés, renouvelés et surveillés de manière centralisée afin de maintenir un chiffrement robuste et à jour sur tous les systèmes.
• Masquage et occultation des donnéesLes données personnelles sont masquées ou occultées dans les interfaces, rapports, tableaux de bord et transferts de données afin de limiter leur exposition au strict nécessaire.
• Contrôles contre l'extraction non autorisée de donnéesDes contrôles techniques empêchent la copie de données personnelles vers des supports amovibles non autorisés ou non chiffrés.
• Chiffrement et obfuscation au niveau applicatifLes attributs sensibles (e-mails, numéros de téléphone, adresses IP, URL, noms d'hôte, jetons d'accès) sont chiffrés ou obfusqués au niveau applicatif afin de limiter l'exposition interne.

Répondez à cette exigence avec ManageEngine :

Assurez un contrôle strict et de bout en bout de l'accès aux ressources informatiques en appliquant des contrôles fondés sur l'identité, le principe du moindre privilège et une supervision continue des utilisateurs, administrateurs, terminaux et systèmes privilégiés.

• Accès fondé sur les rôles et le moindre privilègeL'accès aux systèmes, applications et appareils est appliqué au moyen du RBAC, afin que les utilisateurs et administrateurs ne disposent que des autorisations nécessaires à leurs fonctions.
• Contrôle d'accès contextuelLes décisions d'accès sont évaluées dynamiquement à partir de signaux contextuels tels que l'identité de l'utilisateur, l'état de sécurité de l'appareil, l'emplacement, l'adresse IP et l'heure d'accès, afin de réduire les accès non autorisés ou à haut risque.
• Gestion automatisée du cycle de vie des accèsL'attribution des comptes, les changements de rôle et la suppression des accès sont automatisés afin que les droits soient accordés, modifiés ou révoqués immédiatement lorsque les responsabilités évoluent.
• Gestion des accès à privilègesL'accès aux ressources sensibles est soumis à approbation et limité dans le temps, avec une élévation juste à temps (JIT) et des examens périodiques des accès afin de réduire les privilèges permanents.
• Isolation des identifiants et surveillance des sessionsLes accès privilégiés sont intermédiés sans exposer les identifiants, et toutes les sessions privilégiées sont surveillées, enregistrées et auditables.
• Contrôles d'accès aux terminaux et appareilsLes droits d'administrateur local, les accès au niveau des appareils, les supports amovibles et l'utilisation des périphériques sont limités aux utilisateurs autorisés.
• Journalisation et surveillance continuesTous les accès aux ressources informatiques sont journalisés et surveillés, avec des alertes en cas d'activité anormale ou non autorisée.

Répondez à cette exigence avec ManageEngine :

Bénéficiez d'une visibilité continue et auditable sur la manière dont les données personnelles sont consultées en collectant, corrélant et analysant les événements d'accès provenant des identités, terminaux, applications, réseaux et flux de données.

• Journalisation centralisée des accèsLes événements d'accès issus des annuaires, terminaux, applications, serveurs, équipements réseau et systèmes de protection des données sont collectés et normalisés de manière centralisée afin de constituer une piste d'audit unique.
• Surveillance et analyse en temps réelL'activité des utilisateurs et des systèmes est surveillée et analysée en continu afin de détecter les accès anormaux ou suspects aux systèmes traitant des données personnelles.
• Pistes d'audit complètesLes journaux consignent les événements d'authentification, l'accès aux ressources, les actions administratives, les opérations sur les fichiers, les transferts de données, l'utilisation des périphériques et les événements de sécurité afin d'assurer une traçabilité complète.
• Alertes et réponse aux incidentsDes alertes en temps réel signalent les schémas d'accès inhabituels, les violations de politique et les incidents de sécurité potentiels afin de permettre une enquête et une réponse rapides.
• Conservation des journaux et appui aux analyses forensiquesLes journaux d'accès sont conservés de manière sécurisée pour appuyer les analyses forensiques, les audits internes et les demandes des autorités de contrôle.
• Rapports et visibilité prêts pour l'auditDes tableaux de bord fondés sur les rôles, des rapports automatisés et des journaux interrogeables fournissent aux auditeurs et aux parties prenantes des preuves claires des accès aux données personnelles.
• Corrélation entre sourcesLes données d'accès sont corrélées entre les systèmes informatiques et de sécurité afin de détecter les abus de privilèges, les chemins d'accès cachés et les activités à haut risque.

Répondez à cette exigence avec ManageEngine :

Maintenez la disponibilité des systèmes traitant des données personnelles en combinant des mécanismes de sauvegarde fiables, des capacités de récupération rapide et des contrôles de résilience opérationnelle afin de réduire au minimum les interruptions et les pertes de données.

• Sauvegardes automatisées et planifiéesLes systèmes gérant des données personnelles sont sauvegardés selon un calendrier défini, avec des sauvegardes incrémentielles et une gestion des versions permettant une restauration à un instant donné.
• Capacités de récupération granulaireLes données personnelles et les composants du système peuvent être restaurés à des niveaux granulaires (utilisateurs, objets, attributs, fichiers) afin de réduire le temps de récupération et les perturbations.
• Restauration complète de l'environnementLes environnements d'identité et d'annuaire peuvent être ramenés à un état sain connu après une corruption, une erreur de configuration ou un incident de sécurité.
• Stockage et conservation résilients des sauvegardesLes sauvegardes sont stockées dans des dépôts résilients selon des politiques de conservation définies, afin de permettre une récupération après un rançongiciel, un sinistre ou une défaillance d'infrastructure.
• Récupération des systèmes opérationnels et des terminauxLes terminaux et systèmes peuvent être rapidement restaurés au moyen d'une correction centralisée, de l'application des configurations et de la mise à jour corrective.

Répondez à cette exigence avec ManageEngine :

Permet aux organisations de respecter leurs obligations de conservation des journaux grâce à un stockage configurable à long terme des journaux d'accès et des traces d'audit liés aux données personnelles, tout en préservant leur intégrité et leur accessibilité pour les contrôles et les enquêtes.

• Conservation configurable des journaux à long termeLes journaux et données d'audit sont conservés pendant au moins 365 jours, avec des durées configurables pour répondre aux exigences réglementaires et organisationnelles.
• Archivage automatisé avec stockage hiérarchiséLes journaux sont automatiquement archivés sur des niveaux de stockage adaptés : les données récentes restent interrogeables tandis que les enregistrements plus anciens sont conservés de manière sécurisée à des fins de conformité.
• Application uniforme de la conservationLes politiques de conservation sont appliquées de manière cohérente aux systèmes d'identité, aux terminaux et aux plateformes de surveillance afin d'éviter les lacunes de couverture.
• Stockage des journaux résistant à la falsificationLes journaux archivés sont stockés dans des formats protégés en intégrité et résistants à la falsification afin d'empêcher toute modification ou suppression non autorisée.
• Infrastructures de stockage évolutivesLa conservation à long terme est prise en charge sur des stockages évolutifs sur site, hors site ou dans le cloud.
• Accès aux journaux historiques prêt pour l'auditLes journaux archivés peuvent être restaurés et interrogés pour les audits, les enquêtes et les contrôles réglementaires.

Répondez à cette exigence avec ManageEngine :

Aide les responsables du traitement à mettre en pratique les exigences contractuelles grâce à une gouvernance centralisée des contrats, à la traçabilité des sous-traitants et à des contrôles techniques permettant de vérifier et de faire respecter les garanties de sécurité convenues.

• Gestion centralisée des contrats de sous-traitance et des accords de traitement des donnéesLes contrats de sous-traitance et accords de traitement des données sont stockés, versionnés et gérés de manière centralisée afin que les clauses de sécurité soient consignées et prêtes pour l'audit.
• Traçabilité entre sous-traitants, contrats et systèmesLes contrats sont reliés aux fournisseurs, services et actifs, donnant une visibilité claire sur les sous-traitants qui gèrent des systèmes et des données personnelles précis.
• Gouvernance du cycle de vie des contratsLe suivi des renouvellements, les alertes et les historiques facilitent l'examen périodique des obligations des sous-traitants et préviennent toute interruption des garanties contractuelles.
• Sécurité dès la conception lors de l'intégration et des achatsLa gestion des contrats est intégrée aux processus d'achat et d'approbation afin que les exigences de sécurité soient appliquées dès l'intégration du sous-traitant.
• Accès des sous-traitants contrôlé et conforme aux contratsLes accès tiers reposent sur les rôles, sont limités dans le temps et utilisent des mécanismes JIT conformes aux restrictions contractuelles.
• Surveillance active de l'activité des sous-traitantsLes sessions privilégiées des sous-traitants peuvent être surveillées, supervisées et interrompues en temps réel afin de faire respecter les obligations contractuelles de sécurité.
• Vérification de la posture de sécurité des sous-traitantsUne visibilité centralisée sur la sécurité des terminaux, les correctifs, le chiffrement et les contrôles d'accès des sous-traitants permet de valider leur conformité contractuelle.

Répondez à cette exigence avec ManageEngine :

Rétablissez rapidement les activités après une violation de données personnelles, corrigez les causes profondes et produisez des preuves claires et auditables des mesures correctives exigées pour les notifications de violation.

• Restauration rapide des services et des donnéesLes systèmes traitant des données personnelles peuvent être rapidement restaurés au moyen de sauvegardes incrémentielles et de plusieurs options de récupération afin de limiter la perte de données et les interruptions.
• Confinement et isolement des systèmes compromisLes terminaux et environnements touchés peuvent être isolés, verrouillés ou effacés à distance afin d'arrêter toute exposition supplémentaire avant le rétablissement des services.
• Correction ciblée et restauration d'un état antérieurLes activités malveillantes, transferts de données non autorisés et erreurs de configuration sont bloqués, supprimés ou annulés afin de ramener les systèmes à un état sécurisé connu et d'éviter toute récidive.
• Renforcement des référentiels de sécuritéLes contrôles d'accès, politiques des terminaux et restrictions des appareils sont réappliqués afin que les systèmes restaurés respectent les référentiels de sécurité requis avant la reprise des activités.
• Contrôles de récupération après rançongicielL'activité de chiffrement est interrompue, les données touchées sont restaurées par des mécanismes de retour en arrière et la propagation latérale est contenue avant de confirmer la récupération.
• Preuves documentées des mesures correctivesToutes les actions de confinement, de récupération et de correction sont consignées avec leur horodatage afin de fournir des preuves vérifiables des mesures d'atténuation.

Répondez à cette exigence avec ManageEngine :

Générez, conservez et examinez les journaux de preuve vérifiables nécessaires pour étayer les notifications de violation, les déclarations relatives aux mesures d'atténuation et les rapports réglementaires.

• Journalisation complète des preuvesLes événements d'accès, l'activité des systèmes, les mouvements de données, les actions sur les terminaux et les incidents liés aux logiciels malveillants ou rançongiciels sont consignés avec leur contexte complet, notamment les acteurs, les horodatages et les systèmes touchés.
• Corrélation centralisée et reconstitution de la violationLes journaux des terminaux, contrôles de protection des données, défenses contre les logiciels malveillants et événements système sont corrélés dans une vue d'enquête unifiée afin de reconstituer précisément la chronologie et l'impact de la violation.
• Conservation et recherche de niveau forensiqueLes journaux de preuve sont conservés de manière sécurisée et restent interrogeables pendant de longues périodes afin d'appuyer les enquêtes, les demandes des autorités et la validation des faits liés à la violation.
• Tentatives d'exposition de données documentéesLes enregistrements des transferts de données tentés ou bloqués, des accès aux fichiers, de l'utilisation des appareils et des activités malveillantes définissent l'étendue de l'exposition potentielle des données personnelles et identifient les personnes concernées.
• Conservation des preuves d'atténuation et de récupérationLes actions de détection, de confinement, de nettoyage et de récupération sont consignées avec leur horodatage afin de fournir une preuve vérifiable des mesures d'atténuation et de prévention.
• Notification et rapports étayés par des preuvesLes preuves consolidées permettent de produire des notifications de violation exactes et rédigées en langage clair, ainsi que des rapports défendables destinés aux autorités de contrôle et aux personnes concernées.

Répondez à cette exigence avec ManageEngine :

Découvrez, classez et cartographiez systématiquement les emplacements des données personnelles sur les terminaux, systèmes de fichiers, bases de données et supports amovibles, afin de poser les bases d'une conservation et d'une suppression conformes.

• Découverte automatisée des données personnellesLes sources de données structurées et non structurées sont analysées afin d'identifier les données personnelles et de tenir un inventaire de leurs emplacements de stockage.
• Classification des données fondée sur les risquesLes données découvertes sont classées selon leur sensibilité et leur contexte afin de distinguer les données personnelles à haut risque et d'appliquer les règles appropriées de conservation et de suppression.
• Visibilité sur les terminaux et les environnements utilisateursLes terminaux gérés et les systèmes utilisateurs sont inventoriés afin d'identifier les emplacements où des données personnelles peuvent se trouver, notamment les stockages locaux et les données applicatives.
• Surveillance des mouvements de données et du stockage temporaireLes transferts de fichiers impliquant des supports amovibles et des périphériques sont surveillés et journalisés afin de cartographier les mouvements et les chemins de stockage des données personnelles.
• Identification des données touchées par un incidentLes données touchées par un logiciel malveillant ou un rançongiciel sont identifiées afin d'évaluer leur exposition potentielle et d'éclairer les décisions de conservation ou de suppression.
• Rapports de découverte à des fins de conformitéLes rapports de découverte et indicateurs de risque permettent de justifier les décisions relatives au périmètre de conservation, à la conservation obligatoire et aux délais de suppression licite.

Répondez à cette exigence avec ManageEngine :

Appliquez des contrôles pilotés par la classification pour assurer la conservation obligatoire des données personnelles pendant un an, puis leur suppression systématique, sauf si la loi exige de les conserver plus longtemps.

• Application automatisée de la conservationLes données personnelles sont automatiquement conservées puis arrivées à expiration selon des politiques pilotées par la classification et alignées sur les exigences réglementaires.
• Identification automatisée des données pouvant être suppriméesLes données ayant dépassé les durées de conservation obligatoires sont continuellement identifiées et signalées pour suppression, sans intervention manuelle.
• Processus de suppression contrôlés et appliqués par le systèmeLa suppression s'effectue au moyen de processus contrôlés par le système et susceptibles d'être examinés, afin d'éviter tout effacement prématuré tout en garantissant une conformité dans les délais.
• Gestion automatisée des exceptions légales de conservationLes obligations de conservation légales, réglementaires et liées aux enquêtes sont appliquées par le système, qui exclut automatiquement les données concernées de la suppression.
• Preuves de conservation et de suppression prêtes pour l'auditDes rapports et journaux automatisés fournissent des preuves vérifiables de l'application des règles de conservation et des actions de suppression.

Répondez à cette exigence avec ManageEngine :

Identifie les utilisateurs inactifs et les données obsolètes, afin de favoriser la minimisation et la suppression licites des données personnelles après la période de conservation obligatoire d'un an.

• Détection des comptes utilisateurs inactifsL'activité des utilisateurs est surveillée afin d'identifier les comptes inactifs au-delà des seuils définis.
• Historique d'inactivité fondé sur des preuvesLes données historiques de connexion et d'inactivité sont conservées afin de justifier les décisions de désactivation ou de suppression.
• Gestion automatisée des comptes obsolètesLes comptes inactifs sont automatiquement désactivés, déplacés ou supprimés au moyen de processus contrôlés afin de réduire les risques et la conservation inutile de données.
• Examen des données personnelles liées aux utilisateurs inactifsLes données personnelles associées aux comptes inactifs sont signalées afin de déterminer si elles doivent être supprimées ou légalement conservées plus longtemps.
• Rapports d'inactivité prêts pour l'auditLes rapports consignent les comptes inactifs identifiés, les mesures prises et les résultats en matière de conservation afin de démontrer le respect des exigences de minimisation et de suppression

Répondez à cette exigence avec ManageEngine :

Conservez les journaux de traitement et de trafic pendant la durée minimale obligatoire, puis assurez leur effacement licite dans les délais.

• Conservation minimale configurable des journauxLes journaux de traitement et de trafic sont conservés pendant au moins un an grâce à des politiques de conservation configurables.
• Archivage automatisé des journauxLes journaux plus anciens sont automatiquement archivés selon des fenêtres de conservation définies afin de préserver leur disponibilité sans nuire aux performances du système.
• Stockage protégé en intégritéLes journaux archivés sont chiffrés et horodatés afin d'empêcher leur falsification et de préserver leur valeur probante.
• Suppression automatisée après la période de conservationLes journaux sont automatiquement supprimés à l'expiration de la durée de conservation afin d'éviter toute conservation excessive et illicite.
• Application cohérente de la conservationLes politiques de conservation sont appliquées uniformément aux terminaux et aux systèmes afin d'éviter les lacunes de conformité.