क्लाउड स्टोरेज Compliance: GDPR, HIPAA, और आगे

Cloud storage compliance का मतलब है auditors को चार चीज़ें prove करना: data rest और transit में encrypted है, access logged और minimum-necessary है, retention documented policy का पालन करती है, और geographic controls regulatory boundaries से match करते हैं। GDPR, HIPAA, SOC 2 Type II, PCI DSS 4.0, और DPDP Act 2023 प्रत्येक wrinkles जोड़ते हैं — GDPR Article 17 के तहत data subject rights, 45 CFR 164.308-164.316 पर HIPAA Security Rule, और rest पर cardholder data के लिए PCI DSS Requirement 3.5 — लेकिन वे एक common skeleton share करते हैं जिसे आप एक बार build कर सकते हैं।

DPDP Act 2023: भारत में Data Protection के मूल तत्व

डिजिटल Personal Data Protection Act 2023 भारतीय नागरिकों के personal data पर processing करने वाली सभी entities पर लागू होता है, चाहे entity India में हो या बाहर। Data fiduciaries को Data Protection Board of India को register करना होगा और specific technical safeguards लागू करने होंगे।

धारा 6 processing के लिए valid consent documentation की आवश्यकता करती है। धारा 13 (erasure का right) operational challenge है: जब data principal deletion request करे, आपको 30 दिनों के भीतर primary storage, backups, और किसी भी replicated tiers से उनकी files purge करनी होंगी। Object-level tags (data-principal-id: 4829) इसे tractable बनाते हैं; अन्यथा आप petabytes के माध्यम से grep कर रहे हैं। S3 Object Tagging और Azure Blob Index Tags दोनों scale पर indexed deletion support करते हैं।

GDPR: Lawful Basis और Right to Erasure

Cloud buckets में EU residents का personal data store करना GDPR obligations trigger करता है चाहे आपकी company कहाँ हो। Article 6 को एक documented lawful basis की आवश्यकता है — consent, contract, legitimate interest, या तीन अन्य में से एक — हर processing activity के लिए। Article 30 Records of Processing Activities (ROPA) की माँग करता है जो data, purpose, recipients, और retention period नाम देता है।

Article 17 (erasure का "right") operational kicker है। जब data subject deletion request करे, 30 दिनों के भीतर primary storage, backups, और किसी भी replicated tiers से उनकी files purge करनी होंगी।

HIPAA: BAAs, Encryption, और Six-Year Log

HIPAA Security Rule के तीन safeguard categories हैं — administrative (§164.308), physical (§164.310), और technical (§164.312)। Cloud storage के लिए, technical safeguards सबसे अधिक मायने रखते हैं: access control (unique user IDs, automatic logoff, encryption), audit controls (record और examine activity), integrity controls, और transmission security।

PHI handle करने वाले हर cloud provider के साथ Business Associate Agreement (BAA) चाहिए। AWS, Azure, Google Cloud, और Cloudflare सभी BAAs sign करते हैं; smaller consumer services आमतौर पर नहीं करते। §164.316(b)(2)(i) के अनुसार छह वर्षों के लिए audit logs retain करें। Encryption "addressable" है बजाय "required" के, लेकिन OCR enforcement actions इसे effectively required मानते हैं।

SOC 2 Type II: Trust Services Criteria

SOC 2 regulation नहीं बल्कि auditors द्वारा Security, Availability, Processing Integrity, Confidentiality, और Privacy के आसपास controls certify करने के लिए framework है। Type II reports एक 6-12 month observation window cover करते हैं और वही हैं जो अधिकांश enterprise customers signing से पहले actually require करते हैं।

Cloud storage के लिए, key controls include CC6.1 (logical access), CC6.6 (encryption in transit), CC6.7 (encryption at rest), और CC7.2 (monitoring)। आपका audit evidence: IAM policy exports, KMS key rotation records, CloudTrail logs, और bucket policies। Vanta, Drata, और Secureframe evidence collection automate करते हैं; manual SOC 2 प्रति वर्ष 400-600 engineering hours खर्च करती है।

PCI DSS 4.0: Cardholder Data Scope

यदि आपके buckets में किसी फ़ाइल में PAN (Primary Account Number) है, तो पूरा bucket PCI scope में enter करता है। PCI DSS 4.0 Requirement 3.5 PANs को कहीं भी stored अपठनीय require करता है — one-way hash (SHA-256), truncation, tokenization, या strong key management के साथ AES-256 encryption के माध्यम से।

Requirement 4.2.1 public networks पर cardholder data के लिए strong cryptography अनिवार्य करता है, जिसका मतलब है minimum TLS 1.2 (1.3 preferred)। Requirement 10 daily review के साथ cardholder data के सभी access का audit logging माँगता है। सबसे सस्ती compliance strategy: पहले place में PANs store न करें। Payment processor पर tokenize करें और cloud files में केवल tokens store करें।

Cross-Border Transfer Mechanisms

Post-Schrems II, valid safeguards के बिना EU data को US move करना एक violation है। EU-US Data Privacy Framework (July 2023) certified US companies को transfers फिर से enable करता है, लेकिन सभी certified नहीं हैं। Standard Contractual Clauses (SCCs) fallback रहते हैं।

भारतीय context में, DPDP Act 2023 के तहत personal data को Central Government द्वारा approved countries के अलावा border के पार transfer करने पर restrictions हैं। Storage के लिए, इसका मतलब regions deliberately चुनना है। AWS ap-south-1 (Mumbai) और ap-south-2 (Hyderabad) भारतीय data residency requirements के लिए data India में रखते हैं।

Encryption Architecture जो सबको Satisfy करती है

GDPR, HIPAA, PCI, SOC 2, और DPDP Act 2023 में common denominator: documented key management के साथ rest और transit में encryption। Rest पर AES-256-GCM (AWS KMS, Azure Key Vault, Google Cloud KMS) और transit में TLS 1.3 उपयोग करें। Customer master keys को कम से कम annually rotate करें।

Extra-sensitive workloads के लिए, client-side encryption plaintext को provider से पूरी तरह दूर रखती है। Zero-knowledge E2EE करने वाले tools — browser में PBKDF2-derived keys के साथ encrypt करें, केवल ciphertext upload करें — compliance arguments को simpler बनाते हैं क्योंकि provider data को subpoena के तहत भी access नहीं कर सकता। HexaTransfer compliance-sensitive projects के दौरान ad-hoc file sharing के लिए इस तरह काम करता है।

Evidence Pipeline बनाना, Binder नहीं

Auditors continuous evidence चाहते हैं, visit से पहले week assembled snapshot नहीं। CloudTrail/Activity Log/Cloud Audit Logs को SIEM (Splunk, Elastic, Datadog) में pipe करें। हर resource को owner, data-classification, और retention-policy से tag करें। AWS Config Rules, Azure Policy, या Open Policy Agent के साथ automated config checks चलाएं।

Control, evidence source, और owner को single matrix में document करें। जब auditor पूछे "आप कैसे जानते हैं bucket पर MFA enforced है?", जवाब daily automated report का screenshot होना चाहिए, console के माध्यम से scramble नहीं। जो organizations audits के माध्यम से breeze करती हैं वे हैं जो compliance को event नहीं, pipeline मानती हैं।

hexatransfer.com पर आज़माएं — मुफ़्त, कोई अकाउंट नहीं, अधिकतम 10 GB।