ஏதோ incident நடந்துவிட்டது. முதல் 72 மணி நேரத்தில் என்ன நடக்க வேண்டும்?

Reviewed by InfraVeritas360 ResearchFirst published 10 October 2026Last reviewed 11 October 2026

Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)

இது மொழிபெயர்த்த வழிகாட்டல்; legal advice அல்ல. சட்டச் சொற்கள் அவற்றின் English பெயருடன் காட்டப்பட்டுள்ளன. சந்தேகம் இருந்தால் English version-உம் Act-இன் official text-உம்தான் பொருந்தும். இந்தப் பக்கத்தை ஆங்கிலத்தில் படிக்கவும்

சுருக்கமான பதில்: CERT-In-க்கு ஆறு மணி நேரம்; மக்களுக்கும் Board-க்கும் தாமதமின்றி; detailed report-க்கு 72 மணி நேரம்

முதலில் அதைக் கட்டுப்படுத்துங்கள், பிறகு சொல்லுங்கள். Report செய்ய வேண்டிய cyber incident-ஐக் கவனித்த ஆறு மணி நேரத்துக்குள் CERT-In-க்குத் தெரிவிக்க வேண்டும். DPDP-இன் கீழ், பாதிக்கப்பட்ட ஒவ்வொருவருக்கும் Data Protection Board-க்கும் தாமதமின்றிச் சொல்ல வேண்டும். 72 மணி நேரத்துக்குள் Board-க்கு detailed report வேண்டும். Sector regulators-க்கும் தனி நேரக் கணக்கு இருக்கலாம்.

சட்டம் என்ன சொல்கிறது

Section 8(6) மற்றும் Rule 7: DPDP-இன் கீழ் எடுக்க வேண்டிய steps. 28 April 2022 CERT-In Directions: ஆறு மணி நேர report. Breach என்றால் hacking மட்டும் அல்ல; தவறுதலாக data வெளியாவதும், access இழப்பதும் அடங்கும்.

Section 8(6) · Rule 7: Data Breach intimation — பாதிக்கப்பட்டவர்களுக்குத் தெரிவித்தல். Personal data breach பற்றித் தெரியவந்தவுடன், பாதிக்கப்பட்ட ஒவ்வொருவருக்கும் Data Protection Board-க்கும் தாமதமின்றித் தெரிவிக்க வேண்டும். 72 மணி நேரத்துக்குள் Board-க்கு விரிவான report அனுப்ப வேண்டும். Request செய்து Board கூடுதல் காலம் அனுமதித்தால், அந்தக் காலத்துக்குள் அனுப்பலாம்.
Section 8(5) · Rule 6: Reasonable security safeguards — பாதுகாப்பு ஏற்பாடுகள். Reasonable security safeguards மூலம் personal data-வைப் பாதுகாக்க வேண்டும். Rule 6 குறைந்தபட்சத் தேவைகளைப் பட்டியலிடுகிறது: encryption, masking அல்லது tokenisation; access control; logs மற்றும் monitoring; continuity-க்கு backups; logs-ஐக் குறைந்தது ஒரு ஆண்டு வைத்திருத்தல்; processors-உடனான contracts-இல் security terms.

Steps

ஒரு incident lead, ஒரு back-up பெயரிடுங்கள்; இரவிலும் எடுக்கும் phone numbers-உடன்.
முதல் ஒரு மணி நேர steps-ஐ எழுதுங்கள்: isolate செய்வது, logs-ஐப் பாதுகாப்பது, DPO-க்கும் incident lead-க்கும் சொல்வது.
CERT-In, regulator, Board, பாதிக்கப்பட்டவர்கள் என ஒவ்வொருவருக்கும் drafts தயாராக வைத்திருங்கள்.
ஒவ்வொரு message-க்கும் யார் sign-off செய்வது என்று முன்பே முடிவு செய்யுங்கள்.
உண்மையில் அழைக்கப்படப்போகும் ஆட்களுடன் வருடத்துக்கு ஒரு முறை rehearse செய்யுங்கள்.

வைத்திருக்க வேண்டிய evidence

நேரக் கணக்குகளுடன் incident plan
Rehearsal record
ஒவ்வொரு step-இன் நேரத்துடன் incident log

பொதுவான தவறுகள்

Investigation முடியும் வரை யாருக்கும் சொல்லாமல் காத்திருப்பது
தவறான email-ஐயோ தொலைந்த laptop-ஐயோ 'breach இல்லை' என்று நினைப்பது
Plan IT-க்கு மட்டுமே தெரிந்திருப்பது

யார் என்ன செய்ய வேண்டும்

DPO / Privacy Lead: மக்களுக்கும் Data Protection Board-க்கும் சொல்ல வேண்டுமா என்று முடிவு செய்வது நீங்கள்தான். அதனால் மறுநாள் காலை தகவல் வருவதல்ல, முதல் call-இலேயே நீங்கள் இருக்க வேண்டும்.
CISO / Security Head: ஆறு மணி நேர CERT-In clock-ஐத் தொடங்குவது நீங்கள். மக்களுக்கும் Board-க்கும் போகும் messages-க்குத் தேவையானதை DPO-வுக்குக் கொடுங்கள். யார் எதை, எப்போது பார்த்தார்கள் என்ற timeline evidence-ஐ வையுங்கள்.
CEO / MD: ஏதாவது தவறு நடந்தால் வெளியே முகமாக நிற்பது நீங்கள்தான். உங்களை யார், எந்த நேரத்தில் call செய்வார்கள், customers-இடமும் media-விடமும் யார் பேசுவார்கள் என்று தெரிந்து வையுங்கள்.
Director: Plan கடைசியாக எப்போது rehearse செய்யப்பட்டது, யார் கலந்துகொண்டார்கள், drill-இல் என்ன தவறு நடந்தது என்று கேளுங்கள். Findings எதுவும் இல்லாத drill பெரும்பாலும் மிக எளிதாக இருந்திருக்கும்.
HR Head: வெளியே கசிந்த salary sheet அல்லது ID folder ஒரு Data Breach தான். HR உடனே DPO-வை call செய்ய வேண்டும் என்று தெரிந்திருக்க வேண்டும்.
Branch / Business Head: தவறான நபருக்கு அனுப்புவதும் papers தொலைவதும் முதலில் நடப்பது உங்கள் floor-இல்தான். Report செய்வதை வேகமாகவும் பயமில்லாமலும் ஆக்குங்கள்.
Chief Risk Officer: உங்களுக்குப் பொருந்தும் ஒவ்வொரு reporting clock-ஐயும் ஒரே பக்கத்தில் map செய்யுங்கள்: CERT-In, உங்கள் regulator, Data Protection Board.
Internal Audit Head: கடைசி drill record-ஐயும் அதன் findings-ஐயும் கேளுங்கள்.
Company Secretary: ஒரு incident பற்றி board-க்கு எப்போது சொல்ல வேண்டும், யார் சொல்வார் என்று தெரிந்து வையுங்கள்.
Chief Compliance Officer: பொருந்தும் ஒவ்வொரு reporting clock-உம் உள்ள ஒரு பக்கத்தை வையுங்கள்.
IT துறை: வழக்கமாக முதலில் கவனிப்பது IT தான். முதல் ஒரு மணி நேரத்தில் என்ன செய்வது, யாரை call செய்வது என்று தெரிந்து வையுங்கள்.
Admin துறை: தொலைந்த register அல்லது திருடுபோன laptop ஒரு Data Breach தான். அதே நாளில் DPO-வை call செய்யுங்கள்.
Finance துறை: தவறான முகவரிக்குப் போன salary file அல்லது payment list ஒரு Data Breach தான். உடனே DPO-வுக்கு report செய்யுங்கள்.
Procurement துறை: Vendor contracts-இல் incident notice நேரம் குறுகியதாக, மணி நேரங்களில் இருக்க வேண்டும்.
Internal Audit துறை: Drill findings-ஐக் கேளுங்கள்.
Information security / SOC துறை: CERT-In clock-ஐத் தொடங்கி, உடனே DPO-விடம் சொல்லுங்கள்.
Facilities & security துறை: தொலைந்த register ஒரு Data Breach தான்.
Training & L&D துறை: முதல் ஒரு மணி நேரத்தில் செய்ய வேண்டியவற்றைக் கற்றுக்கொடுங்கள்.
Records & archives துறை: காணாமல் போன file ஒரு Data Breach தான்.

Management-இடமிருந்து நல்ல பதில் எப்படி இருக்கும்

“எல்லா நேரக் கணக்குகளையும் சந்திக்கும் ஒரே plan எங்களிடம் உள்ளது. இந்த வருடம் rehearse செய்தோம். அடுத்த rehearsal தேதியும் fix ஆகிவிட்டது.” முயற்சியும் நேரமும்: நடுத்தரம் · 4 முதல் 8 வாரங்கள், பிறகு வருடாந்திர drill.

உங்கள் பொறுப்புக்கான முழுப் பக்கத்தைத் திறக்கவும் →