काहीतरी चुकले आहे. पहिल्या 72 तासांत काय करायचे?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
भाषांतरित मार्गदर्शन, legal advice नाही. Legal terms त्यांच्या English नावानेच दिले आहेत. शंका असल्यास English version आणि Act चा official text ग्राह्य धरा. हे पान इंग्रजीत वाचा
थोडक्यात उत्तर: CERT-In ला सहा तास; लोक आणि Board ला without delay; detailed report 72 तासांत
आधी ते थांबवा (contain करा), मग कळवा. Report करावा लागणारा cyber incident लक्षात आल्यापासून सहा तासांत CERT-In कडे जातो. DPDP नुसार प्रत्येक बाधित व्यक्तीला आणि Data Protection Board ला without delay कळवायचे, आणि Board ला 72 तासांत detailed report द्यायचा. Sector regulators ची स्वतःची वेगळी मुदतही असू शकते.
कायदा काय सांगतो
Section 8(6) आणि Rule 7 DPDP मधल्या steps ठरवतात. 28 April 2022 च्या CERT-In Directions सहा तासांचा report ठरवतात. Data Breach म्हणजे फक्त hacking नाही; चुकून data उघड होणे आणि access गमावणे हेही त्यात येते.
- Section 8(6) · Rule 7: Personal data breach intimation — breach बद्दल कळवणे. Personal data breach लक्षात येताच, प्रत्येक बाधित व्यक्तीला आणि Data Protection Board ला विलंब न करता कळवा. Board ला 72 तासांच्या आत सविस्तर report पाठवा. Request केल्यावर Board ने जास्त वेळ दिला, तर त्या मुदतीत.
- Section 8(5) · Rule 6: Reasonable security safeguards — data सुरक्षित ठेवणे. Personal data reasonable security safeguards ने सुरक्षित ठेवा. Rule 6 किमान गोष्टी सांगतो: encryption, masking किंवा tokenisation; access control; logs आणि monitoring; continuity साठी backups; logs किमान एक वर्ष ठेवणे; आणि processors सोबतच्या contracts मध्ये security terms.
Steps
- एक incident lead आणि एक back-up ठरवा, रात्रीही लागणाऱ्या phone numbers सह.
- पहिल्या तासातल्या steps लिहा: isolate करा, logs जपा, DPO आणि incident lead ला कळवा.
- CERT-In, regulator, Board आणि बाधित लोकांसाठी drafts आधीच तयार ठेवा.
- प्रत्येक message वर कोण sign-off करणार, हे आधीच ठरवा.
- ज्यांना प्रत्यक्ष call जाईल त्या लोकांसोबत वर्षातून एकदा rehearsal करा.
ठेवायचा evidence
- Clocks सह incident plan
- Rehearsal चा record
- प्रत्येक step च्या वेळेसह incident log
नेहमीच्या चुका
- Investigation पूर्ण होईपर्यंत कोणालाच न कळवणे
- चुकीचा email किंवा हरवलेला laptop 'breach नाही' मानणे
- Plan फक्त IT ला माहीत असणे
कोणाची काय जबाबदारी
- DPO / Privacy Lead: लोकांना आणि Data Protection Board ला कळवायचे की नाही, हे तुम्ही ठरवता. म्हणून पहिल्या call वरच तुम्ही असायला हवे. दुसऱ्या दिवशी सकाळी कळून चालणार नाही.
- CISO / Security Head: CERT-In चे सहा तासांचे clock तुम्ही सुरू करता. लोकांना आणि Board ला पाठवायच्या messages साठी लागणारी माहिती तुम्हीच DPO ला देता. Timeline चा evidence ठेवा: कोणी काय पाहिले, आणि कधी.
- CEO / MD: काही बिघडले तर public face तुम्हीच असाल. तुम्हाला कोण call करणार, किती वाजता, आणि customers व media शी कोण बोलणार, हे माहीत ठेवा.
- Director: Plan चे शेवटचे rehearsal कधी झाले, कोण सहभागी होते, आणि drill मध्ये काय चुकले, ते विचारा. ज्या drill मध्ये एकही finding नाही, तो बहुधा फारच सोपा होता.
- HR Head: Leak झालेली salary sheet किंवा ID folder हा breach आहे. अशा वेळी लगेच DPO ला call करायचा, हे HR ला माहीत असू द्या.
- Branch / Business Head: Wrong sends आणि हरवलेले papers आधी तुमच्याच floor वर घडतात. Report करणे जलद आणि सुरक्षित ठेवा.
- Chief Risk Officer: तुम्हाला लागू होणारे प्रत्येक reporting clock एका page वर map करा: CERT-In, तुमचा regulator आणि Data Protection Board.
- Internal Audit Head: शेवटचा drill record आणि त्याचे findings मागा.
- Company Secretary: Incident बद्दल board ला कधी कळवायचे, आणि कोण कळवणार, हे माहीत ठेवा.
- Chief Compliance Officer: लागू होणारे प्रत्येक reporting clock एकाच page वर ठेवा.
- IT विभाग: बहुतेक वेळा IT लाच आधी लक्षात येते. पहिल्या तासातल्या steps आणि कोणाला call करायचा, ते माहीत ठेवा.
- Administration विभाग: हरवलेले register किंवा चोरीला गेलेला laptop हा breach आहे. त्याच दिवशी DPO ला call करा.
- Finance विभाग: चुकीकडे गेलेली salary file किंवा payment list हा breach आहे. लगेच DPO ला report करा.
- Procurement विभाग: Vendor contracts मध्ये incident notice ची वेळ कमी हवी, तासांत.
- Internal Audit विभाग: Drill findings मागा.
- Information security / SOC विभाग: CERT-In clock सुरू करा, आणि DPO ला लगेच कळवा.
- Facilities आणि physical security विभाग: हरवलेले register हा breach आहे.
- Training आणि L&D विभाग: पहिल्या तासातल्या steps शिकवा.
- Records आणि archives विभाग: हरवलेली file हा breach आहे.
Management कडून चांगले उत्तर कसे असते
“आमचा एकच plan आहे जो प्रत्येक clock पाळतो. त्याची rehearsal या वर्षी झाली, आणि पुढच्या rehearsal ची तारीख ठरलेली आहे.” मेहनत आणि वेळ: मध्यम · 4 ते 8 आठवडे, मग दरवर्षी drill.
तुमच्या भूमिकेसाठी पूर्ण पान उघडा →