ஒரே incident, பல regulators: ஒவ்வொரு clock-ஐயும் எப்படிச் சந்திப்பது?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
இது மொழிபெயர்த்த வழிகாட்டல்; legal advice அல்ல. சட்டச் சொற்கள் அவற்றின் English பெயருடன் காட்டப்பட்டுள்ளன. சந்தேகம் இருந்தால் English version-உம் Act-இன் official text-உம்தான் பொருந்தும். இந்தப் பக்கத்தை ஆங்கிலத்தில் படிக்கவும்
சுருக்கமான பதில்: CERT-In-க்கு ஆறு மணி நேரம்; regulator-க்கு அதன் rules படி; DPDP-க்கு தாமதமின்றி, பிறகு 72 மணி நேரம்
பெரும்பாலான BFSI incidents-க்கு ஆறு மணி நேரத்துக்குள் CERT-In report வேண்டும். உங்கள் regulator-க்கு அதன் rules சொல்லும்படி report வேண்டும் (CERT-In report-இலிருந்து 24 மணி நேரத்துக்குள் என்று IRDAI கேட்கிறது). DPDP-யின் கீழ் customers-க்கும் Data Protection Board-க்கும் தாமதமின்றி message, 72 மணி நேரத்துக்குள் Board-க்கு விரிவான report. ஒரே playbook, ஒரே timeline இருந்தால் எந்த step-உம் விடுபடாது.
சட்டம் என்ன சொல்கிறது
DPDP steps-ஐ Section 8(6), Rule 7 சொல்கின்றன. மற்றவற்றை CERT-In-உம் உங்கள் regulator-உம் சொல்கின்றன.
- Section 8(6) · Rule 7: Data Breach intimation — பாதிக்கப்பட்டவர்களுக்குத் தெரிவித்தல். Personal data breach பற்றித் தெரியவந்தவுடன், பாதிக்கப்பட்ட ஒவ்வொருவருக்கும் Data Protection Board-க்கும் தாமதமின்றித் தெரிவிக்க வேண்டும். 72 மணி நேரத்துக்குள் Board-க்கு விரிவான report அனுப்ப வேண்டும். Request செய்து Board கூடுதல் காலம் அனுமதித்தால், அந்தக் காலத்துக்குள் அனுப்பலாம்.
- Section 8(5) · Rule 6: Reasonable security safeguards — பாதுகாப்பு ஏற்பாடுகள். Reasonable security safeguards மூலம் personal data-வைப் பாதுகாக்க வேண்டும். Rule 6 குறைந்தபட்சத் தேவைகளைப் பட்டியலிடுகிறது: encryption, masking அல்லது tokenisation; access control; logs மற்றும் monitoring; continuity-க்கு backups; logs-ஐக் குறைந்தது ஒரு ஆண்டு வைத்திருத்தல்; processors-உடனான contracts-இல் security terms.
Steps
- எல்லா clocks-ஐயும் ஒரே பக்கத்தில் வையுங்கள்.
- ஒவ்வொரு report-ஐயும் யார் file செய்வது என்று பெயரோடு முடிவு செய்யுங்கள்.
- Templates-ஐ முன்பே தயாராக வையுங்கள்.
- File செய்யும் எல்லோரும் இருக்கும்போது rehearse செய்யுங்கள்.
- ஒவ்வொரு report எப்போது போனது என்ற நேரத்தை log செய்யுங்கள்.
வைத்திருக்க வேண்டிய evidence
- எல்லா clocks-உம் உள்ள ஒரு பக்கம்
- தயாராக உள்ள templates
- Drill பதிவு
பொதுவான தவறுகள்
- ஒவ்வொரு regulator-க்கும் தனி playbook
- DPO-வுக்குக் கடைசியாகச் சொல்வது
- Customer message template இல்லாதது
யார் என்ன செய்ய வேண்டும்
- DPO / Privacy Lead: Customer-க்கும் Board-க்கும் என்ன message போகும் என்பதை நீங்கள் முடிவு செய்கிறீர்கள்.
- CISO / Security Head: Clocks-ஐ தொடங்குவது நீங்கள்தான். Timeline evidence-ஐ பத்திரமாக வையுங்கள்.
- Director: எல்லா filing teams-உம் கடைசியாக எப்போது சேர்ந்து rehearsal செய்தன என்று கேளுங்கள்.
- Chief Risk Officer: Clock page-ஐ risk register-இல் வையுங்கள்.
உதாரணம் (ஆங்கிலத்தில்)
An insurer's incident lead files with CERT-In at hour five, IRDAI within 24 hours of that, and the DPO's first note to the Data Protection Board the same day. One page lists all three times.
Management-இடமிருந்து நல்ல பதில் எப்படி இருக்கும்
“ஒரே playbook CERT-In, எங்கள் regulator, Data Protection Board மூன்றையும் கவர் செய்கிறது. இந்த ஆண்டு file செய்யும் எல்லோருடனும் rehearse செய்தோம்.” முயற்சியும் நேரமும்: குறைவு · 3 முதல் 6 வாரங்கள்.
உங்கள் பொறுப்புக்கான முழுப் பக்கத்தைத் திறக்கவும் →