শনাক্তকরণ থেকে বিজ্ঞপ্তি: চারটি পর্ব
পর্ব 1: শনাক্তকরণ (T+0 থেকে T+2 ঘণ্টা)
সচেতনতা কী থেকে এল: পর্যবেক্ষণ থেকে সতর্কবার্তা, বিক্রেতার প্রকাশ, গ্রাহকের অভিযোগ, সাংবাদিকের অনুসন্ধান, নিয়ন্ত্রকের যোগাযোগ? প্রতিটির জন্য ভিন্ন প্রাথমিক-পর্যায়ের ব্যবস্থাপনা দরকার। প্রতিরোধই তাৎক্ষণিক অগ্রাধিকার — অ্যাক্সেস পথ বন্ধ করুন, প্রভাবিত সিস্টেম বিচ্ছিন্ন করুন, প্রমাণ সংরক্ষণ করুন।
পর্ব 2: বাছাই (T+2 থেকে T+12 ঘণ্টা)
ক্রস-ফাংশনাল ঘটনা প্রতিক্রিয়া দল বসে (প্রযুক্তিগত, আইনি, যোগাযোগ, ব্যবসায়িক মালিক, নির্বাহী পৃষ্ঠপোষক)। প্রাথমিক পরিধি মূল্যায়ন: কোন ডেটা, কতগুলি রেকর্ড, কোন আক্রমণ পথ। তীব্রতা শ্রেণিবিন্যাস: এটি কি বিজ্ঞপ্তিযোগ্য? DPDP-এর সীমা বিস্তৃত — যেকোনও 'ব্যক্তিগত ডেটা লঙ্ঘন' যা 'অননুমোদিত প্রক্রিয়াকরণ' বা 'আকস্মিক প্রকাশ', তা Section 8(6) সক্রিয় করে।
পর্ব 3: বিজ্ঞপ্তি (T+12 থেকে T+72 ঘণ্টা)
বিজ্ঞপ্তিযোগ্য হলে, বিলম্ব না করে দুটি পৃথক বিজ্ঞপ্তি যেতে হবে:
- Data Protection Board of India-কে: Rule 7 অনুসারে বিশদ প্রতিবেদন — লঙ্ঘনের প্রকৃতি, বিভাগ ও রেকর্ডের আনুমানিক সংখ্যা, সম্ভাব্য পরিণতি, গৃহীত ব্যবস্থা।
- প্রতিটি প্রভাবিত Data Principal-কে: স্পষ্ট, সহজ-ভাষার বিজ্ঞপ্তি — কী ঘটেছে, কোন ডেটা, তাঁদের কী পদক্ষেপ নেওয়া উচিত, সাহায্যের জন্য কার সঙ্গে যোগাযোগ করবেন।
'বিলম্ব না করে' মানে 72 ঘণ্টা নয়। 72-ঘণ্টার সংখ্যাটি GDPR-এর — DPDP নির্দিষ্ট করে না, তবে প্রয়োগের প্রত্যাশা সম্ভবত অনুরূপ হবে। সম্পূর্ণ তদন্তের অপেক্ষা করবেন না; যা জানা আছে তা নিয়ে প্রাথমিক বিজ্ঞপ্তি পাঠান, এবং আরও প্রতিষ্ঠিত হলে হালনাগাদ করুন।
পর্ব 4: প্রতিরোধ, পুনরুদ্ধার, শিক্ষা (T+72 ঘণ্টার পর)
সম্পূর্ণ ফরেনসিক তদন্ত, মূল-কারণ বিশ্লেষণ, প্রতিকার পরিকল্পনা, নিয়ন্ত্রক অনুসরণ, গ্রাহক যোগাযোগ, ঘটনা-পরবর্তী পর্যালোচনা। ঘটনা-পরবর্তী পর্যালোচনা অত্যন্ত গুরুত্বপূর্ণ — এটিই 'যুক্তিসঙ্গত ব্যবস্থার' প্রমাণ যা Section 8(5) অনুসারে দায় সীমিত করে।
যোগাযোগের বিন্যাস
আগে থেকে তৈরি বিজ্ঞপ্তি টেমপ্লেট (Template 05 ব্যবহার করুন) প্রকৃত ঘটনার সময় 6+ ঘণ্টা বাঁচায়। টেমপ্লেটে ঘটনা-নির্দিষ্ট ডেটার জন্য স্থানধারক থাকা উচিত, কিন্তু কাঠামো, সুর ও প্রয়োজনীয় উপাদান স্থির থাকা উচিত।
অভ্যন্তরীণ যোগাযোগ: একটি প্রতিষ্ঠিত এস্কেলেশন বৃক্ষ, প্রতিটি প্রাথমিক যোগাযোগের জন্য বিকল্প সহ। T+0-তে ওয়ার-রুম চ্যানেল প্রতিষ্ঠিত।
সিদ্ধান্ত কর্তৃপক্ষ
নথিভুক্ত করুন কার কর্তৃত্ব আছে: ঘটনা ঘোষণা করার, Board পর্যন্ত এস্কেলেট করার, বিজ্ঞপ্তি শুরু করার, পরবর্তী কোনও দাবির নিষ্পত্তিতে সম্মত হওয়ার, প্রকাশ্যে যোগাযোগ করার। এই সিদ্ধান্তগুলি ঘটনার সময় প্রথমবার নেওয়া যায় না।
রানবুক
Template 04 (72-Hour Breach Runbook) আমাদের 25-পৃষ্ঠার রেফারেন্স যা ছয়টি পর্বই (T+0 থেকে T+30) কভার করে, ভূমিকা-নির্দিষ্ট চেকলিস্ট, তীব্রতা শ্রেণিবিন্যাস, সিদ্ধান্ত বৃক্ষ ও টেবিলটপ পরিস্থিতি সহ। প্রয়োজন পড়ার আগেই পড়ুন।