एकच incident, अनेक regulators: प्रत्येक clock कसे पाळायचे?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
भाषांतरित मार्गदर्शन, legal advice नाही. Legal terms त्यांच्या English नावानेच दिले आहेत. शंका असल्यास English version आणि Act चा official text ग्राह्य धरा. हे पान इंग्रजीत वाचा
थोडक्यात उत्तर: CERT-In ला सहा तास; regulator त्याच्या नियमाप्रमाणे; DPDP without delay आणि 72 तास
बहुतेक BFSI incidents मध्ये सहा तासांत CERT-In report लागतो. तुमच्या regulator ला त्याच्या नियमांप्रमाणे report लागतो (IRDAI, CERT-In report नंतर 24 तासांत मागते). DPDP नुसार customers आणि Data Protection Board ला without delay कळवावे लागते, आणि 72 तासांत Board ला detailed report लागतो. एकच playbook आणि एकच timeline ठेवली तर steps सुटत नाहीत.
कायदा काय सांगतो
Section 8(6) आणि Rule 7 DPDP च्या steps ठरवतात. बाकीच्या steps CERT-In आणि तुमचा regulator ठरवतात.
- Section 8(6) · Rule 7: Personal data breach intimation — breach बद्दल कळवणे. Personal data breach लक्षात येताच, प्रत्येक बाधित व्यक्तीला आणि Data Protection Board ला विलंब न करता कळवा. Board ला 72 तासांच्या आत सविस्तर report पाठवा. Request केल्यावर Board ने जास्त वेळ दिला, तर त्या मुदतीत.
- Section 8(5) · Rule 6: Reasonable security safeguards — data सुरक्षित ठेवणे. Personal data reasonable security safeguards ने सुरक्षित ठेवा. Rule 6 किमान गोष्टी सांगतो: encryption, masking किंवा tokenisation; access control; logs आणि monitoring; continuity साठी backups; logs किमान एक वर्ष ठेवणे; आणि processors सोबतच्या contracts मध्ये security terms.
Steps
- सगळे clocks एकाच page वर ठेवा.
- प्रत्येक report कोण file करणार ते ठरवा.
- Templates तयार ठेवा.
- सगळे filers हजर ठेवून rehearsal करा.
- प्रत्येक report किती वाजता गेला ते log करा.
ठेवायचा evidence
- सगळ्या clocks चे page
- तयार templates
- Drill ची नोंद
नेहमीच्या चुका
- प्रत्येक regulator साठी वेगळे playbook
- DPO ला सर्वात शेवटी कळवणे
- Customer message चे template नाही
कोणाची काय जबाबदारी
- DPO / Privacy Lead: Customer आणि Board ला कोणता message जाईल, ते तुम्ही ठरवता.
- CISO / Security Head: Clocks तुम्ही सुरू करता. Timeline चा evidence नीट जपून ठेवा.
- Director: सर्व filing teams ने शेवटची rehearsal एकत्र कधी केली, ते विचारा.
- Chief Risk Officer: Clock page risk register मध्ये ठेवा.
उदाहरण (इंग्रजीत)
An insurer's incident lead files with CERT-In at hour five, IRDAI within 24 hours of that, and the DPO's first note to the Data Protection Board the same day. One page lists all three times.
Management कडून चांगले उत्तर कसे असते
“एकाच playbook मध्ये CERT-In, आमचा regulator आणि Data Protection Board येतात. या वर्षी सगळ्या filers सोबत त्याचे rehearsal झाले.” मेहनत आणि वेळ: कमी · 3 ते 6 आठवडे.
तुमच्या भूमिकेसाठी पूर्ण पान उघडा →