ஒரு incident-இல் client-இன் data சிக்கியிருக்கிறது. யார் யாரிடம் சொல்வது?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
இது மொழிபெயர்த்த வழிகாட்டல்; legal advice அல்ல. சட்டச் சொற்கள் அவற்றின் English பெயருடன் காட்டப்பட்டுள்ளன. சந்தேகம் இருந்தால் English version-உம் Act-இன் official text-உம்தான் பொருந்தும். இந்தப் பக்கத்தை ஆங்கிலத்தில் படிக்கவும்
சுருக்கமான பதில்: முதலில் client, contract நேரத்துக்குள்; CERT-In ஆறு மணி நேரத்தில்
முதலில் client-இடம் சொல்லுங்கள், உங்கள் contract சொல்லும் நேரத்துக்குள். ஏனென்றால் client தான் fiduciary. அவர்கள்தான் தங்கள் customers-க்கும் Board-க்கும் சொல்ல வேண்டும். Incident reportable என்றால் ஆறு மணி நேரத்துக்குள் CERT-In-க்கு report செய்யுங்கள். Logs-ஐயும் நடந்த விவரங்களையும் client-க்கு வேகமாகக் கொடுங்கள். Client கேட்டால் ஒழிய, client-இன் customers-ஐ நீங்களே தொடர்புகொள்ள வேண்டாம்.
சட்டம் என்ன சொல்கிறது
மக்களிடம் சொல்லும் கடமையை Section 8(6) fiduciary மேல் வைக்கிறது. நீங்கள் processor என்பதால், client-க்கான உங்கள் கடமையை contract முடிவு செய்கிறது.
- Section 8(6) · Rule 7: Data Breach intimation — பாதிக்கப்பட்டவர்களுக்குத் தெரிவித்தல். Personal data breach பற்றித் தெரியவந்தவுடன், பாதிக்கப்பட்ட ஒவ்வொருவருக்கும் Data Protection Board-க்கும் தாமதமின்றித் தெரிவிக்க வேண்டும். 72 மணி நேரத்துக்குள் Board-க்கு விரிவான report அனுப்ப வேண்டும். Request செய்து Board கூடுதல் காலம் அனுமதித்தால், அந்தக் காலத்துக்குள் அனுப்பலாம்.
- Section 8(1)–(2): Data Fiduciary responsibility — vendor வேலை செய்தாலும் பொறுப்பு உங்களுடையது. Data எதற்காக, எப்படிப் பயன்படுத்தப்படுகிறது என்று முடிவு செய்யும் நிறுவனமே (Data Fiduciary) பொறுப்பு. வேலையை ஒரு vendor (Data Processor) செய்தாலும் இது மாறாது. Valid contract இருந்தால் மட்டுமே ஒரு processor-ஐ engage செய்யலாம்.
Steps
- ஒவ்வொரு client-இன் notice நேரத்தையும் ஒரு list-இல் வையுங்கள்.
- ஒவ்வொரு client-ஐயும் யார் call செய்வது என்று பெயரோடு முடிவு செய்யுங்கள்.
- Client incident template தயார் செய்யுங்கள்.
- Reportable என்றால் CERT-In-க்கு file செய்யுங்கள்.
- Logs-ஐயும் எழுத்து மூலமான விவரத்தையும் share செய்யுங்கள்.
வைத்திருக்க வேண்டிய evidence
- Clients-இன் notice நேர list
- Incident timeline
- CERT-In-க்கு file செய்த பதிவு
பொதுவான தவறுகள்
- Investigation முடியும் வரை client-இடம் சொல்லாமல் காத்திருப்பது
- Client-இன் customers-ஐ நேரடியாகத் தொடர்புகொள்வது
- CERT-In clock-ஐத் தவறவிடுவது
யார் என்ன செய்ய வேண்டும்
- CISO / Security Head: இரண்டு clocks-ஐயும் தொடங்குங்கள்: client, CERT-In.
- Director: கடந்த drill-இல் மிக வேகமான, மிகத் தாமதமான client notice எவ்வளவு என்று கேளுங்கள்.
- Legal & Compliance: Contract-இல் உள்ள notice நேரங்கள் நடைமுறைக்கு ஏற்றவையா என்று பாருங்கள்.
- Delivery Head: Client-ஐ அழைப்பது நீங்கள். தொலைபேசி எண்ணைத் தயாராக வையுங்கள்.
உதாரணம் (ஆங்கிலத்தில்)
A developer's laptop with client data is stolen at night. The client is told within the four hours the contract sets, and CERT-In within six. The client handles notices to its own customers.
Management-இடமிருந்து நல்ல பதில் எப்படி இருக்கும்
“ஒவ்வொரு client-இன் notice நேரமும் எங்களுக்குத் தெரியும். கடைசி drill-இல் இரண்டு மணி நேரத்துக்குள் client-க்குச் சொன்னோம்.” முயற்சியும் நேரமும்: குறைவு · 3 முதல் 4 வாரங்கள்.
உங்கள் பொறுப்புக்கான முழுப் பக்கத்தைத் திறக்கவும் →