कुछ गड़बड़ हो गई है। पहले 72 घंटों में क्या करना है?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है। यह पेज अंग्रेज़ी में पढ़ें
छोटा जवाब: CERT-In को छह घंटे; लोगों और Board को बिना देर; detailed report 72 घंटे में
पहले इसे रोकिए, फिर बताइए। Reportable cyber incident पता चलने के छह घंटे के अंदर CERT-In को जाना है। DPDP के तहत हर affected व्यक्ति और Data Protection Board को बिना देर बताना है, और Board को 72 घंटे के अंदर detailed report चाहिए। Sector regulators की अपनी timeline भी हो सकती है।
कानून क्या कहता है
Section 8(6) और Rule 7 DPDP के steps तय करते हैं। 28 April 2022 के CERT-In Directions छह घंटे की report तय करते हैं। Data Breach में गलती से हुआ disclosure और access खो जाना भी आता है, सिर्फ़ hacking नहीं।
- Section 8(6) · Rule 7: Data Breach intimation — लोगों और Board को बताना. Personal data breach का पता चलते ही हर प्रभावित व्यक्ति और Data Protection Board को बिना देरी बताएँ। Board को 72 घंटे के अंदर detailed report भेजें, या request करने पर Board जो लंबा समय दे, उसके अंदर।
- Section 8(5) · Rule 6: Reasonable security safeguards — data को सुरक्षित रखना. Personal data को reasonable security safeguards से सुरक्षित रखें। Rule 6 में minimum बताया गया है: encryption, masking या tokenisation; access control; logs और monitoring; continuity के लिए backups; logs कम से कम एक साल रखना; और processors के contracts में security terms।
Steps
- एक incident lead और एक back-up तय कीजिए, ऐसे phone numbers के साथ जो रात में भी लगें।
- पहले घंटे के steps लिखिए: isolate कीजिए, logs बचाइए, DPO और incident lead को बताइए।
- CERT-In, regulator, Board और affected लोगों के लिए drafts पहले से तैयार रखिए।
- पहले से तय कीजिए कि कौन-सा message कौन sign off करेगा।
- साल में एक बार उन्हीं लोगों के साथ rehearsal कीजिए जिन्हें सच में call जाएगा।
कौन-सा evidence रखना है
- Timelines के साथ incident plan
- Rehearsal record
- हर step के समय के साथ incident log
आम गलतियाँ
- किसी को बताने से पहले investigation पूरी होने का इंतज़ार करना
- गलत email या खोए laptop को 'Data Breach नहीं' मान लेना
- Plan सिर्फ़ IT को पता होना
किसकी क्या ज़िम्मेदारी
- DPO / Privacy Lead: लोगों और Data Protection Board को बताना है या नहीं, यह फ़ैसला आपका है। इसलिए आपको पहली call पर होना चाहिए, अगली सुबह खबर मिलने पर नहीं।
- CISO / Security Head: छह घंटे वाली CERT-In की घड़ी आप शुरू करते हैं। लोगों और Board को भेजे जाने वाले messages के लिए जो चाहिए, वह DPO को दें। Timeline का evidence रखें: किसने क्या देखा, और कब।
- CEO / MD: कुछ गलत हुआ तो public face आप होंगे। पता होना चाहिए कि आपको कौन call करेगा, किस समय, और customers व media से कौन बात करेगा।
- Director: पूछें कि plan का आखिरी rehearsal कब हुआ, उसमें कौन था, और drill में क्या गलत हुआ। जिस drill में कोई finding नहीं निकली, वह शायद बहुत आसान थी।
- HR Head: Leak हुई salary sheet या ID folder भी breach है। पक्का करें कि HR को पता हो कि तुरंत DPO को call करना है।
- Branch / Business Head: Wrong sends और खोए हुए papers सबसे पहले आपके floor पर होते हैं। Reporting को जल्दी और safe बनाएँ।
- Chief Risk Officer: आप पर लागू हर reporting deadline एक page पर map करें: CERT-In, आपका regulator और Data Protection Board।
- Internal Audit Head: आखिरी drill का record और उसकी findings माँगें।
- Company Secretary: पता रखें कि किसी incident के बारे में board को कब बताना है, और कौन बताएगा।
- Chief Compliance Officer: एक page रखें जिस पर लागू होने वाली हर reporting deadline हो।
- IT department: अक्सर IT को सबसे पहले पता चलता है। पहले घंटे के steps और किसे call करना है, यह पता रखें।
- Administration department: खोया हुआ register या चोरी हुआ laptop भी breach है। उसी दिन DPO को call करें।
- Finance department: गलत जगह गई salary file या payment list भी breach है। तुरंत DPO को report करें।
- Procurement department: Vendor contracts में incident notice का समय छोटा हो, घंटों में।
- Internal Audit department: Drill की findings माँगें।
- Information security / SOC department: CERT-In की घड़ी शुरू करें और तुरंत DPO को बताएँ।
- Facilities और physical security department: खोया हुआ register भी breach है।
- Training और L&D department: पहले घंटे के steps सिखाएँ।
- Records और archives department: गुम हुई file भी breach है।
Management का अच्छा जवाब कैसा होता है
“हमारा एक plan है जो हर timeline पूरी करता है। इस साल इसका rehearsal हुआ, और अगले rehearsal की तारीख तय है।” Effort और समय: मध्यम · 4 से 8 हफ़्ते, फिर हर साल drill.
अपनी भूमिका के लिए पूरा पेज खोलें →