શોધથી અધિસૂચના સુધી: ચાર તબક્કા
તબક્કો 1: શોધ (T+0 થી T+2 કલાક)
જાગૃતિ શાનાથી આવી: દેખરેખમાંથી ચેતવણી, વિક્રેતાનું જાહેર કરવું, ગ્રાહક ફરિયાદ, પત્રકારની પૂછપરછ, નિયામક સંપર્ક? દરેક માટે અલગ પ્રારંભિક-તબક્કાની સંભાળ જોઈએ. નિયંત્રણ એ તાત્કાલિક પ્રાથમિકતા — પ્રવેશ માર્ગ બંધ કરો, અસરગ્રસ્ત સિસ્ટમો અલગ કરો, પુરાવો સાચવો.
તબક્કો 2: વર્ગીકરણ (T+2 થી T+12 કલાક)
ક્રોસ-ફંક્શનલ ઘટના પ્રતિસાદ ટીમ બેસે છે (તકનીકી, કાયદેસર, સંચાર, વ્યવસાય માલિક, કાર્યકારી પ્રાયોજક). પ્રારંભિક વ્યાપ મૂલ્યાંકન: કયો ડેટા, કેટલી નોંધો, કયો હુમલા માર્ગ. તીવ્રતા વર્ગીકરણ: આ અધિસૂચનાયોગ્ય છે? DPDP ની મર્યાદા વ્યાપક છે — 'અનધિકૃત પ્રક્રિયા' કે 'આકસ્મિક જાહેરાત' હોય એવું કોઈપણ 'વ્યક્તિગત ડેટા ઉલ્લંઘન' Section 8(6) ને સક્રિય કરે છે.
તબક્કો 3: અધિસૂચના (T+12 થી T+72 કલાક)
અધિસૂચનાયોગ્ય હોય, તો વિલંબ વગર બે અલગ અધિસૂચનાઓ જવી જોઈએ:
- Data Protection Board of India ને: Rule 7 મુજબ વિગતવાર અહેવાલ — ઉલ્લંઘનનું સ્વરૂપ, શ્રેણીઓ અને નોંધોની અંદાજિત સંખ્યા, સંભવિત પરિણામો, લીધેલાં પગલાં.
- દરેક અસરગ્રસ્ત Data Principal ને: સ્પષ્ટ, સાદી-ભાષાની સૂચના — શું થયું, કયો ડેટા, તેમણે કયાં પગલાં લેવાં, મદદ માટે કોનો સંપર્ક કરવો.
'વિલંબ વગર' એટલે 72 કલાક નહીં. 72-કલાકનો આંકડો GDPR નો છે — DPDP નિર્દિષ્ટ કરતું નથી, પણ અમલીકરણ અપેક્ષાઓ કદાચ સમાન હશે. સંપૂર્ણ તપાસની રાહ ન જુઓ; જે જાણીતું છે તેની સાથે પ્રારંભિક અધિસૂચના મોકલો, અને વધુ સ્થાપિત થાય તેમ અપડેટ કરો.
તબક્કો 4: નિયંત્રણ, પુનઃપ્રાપ્તિ, બોધપાઠ (T+72 કલાક પછી)
સંપૂર્ણ ફોરેન્સિક તપાસ, મૂળ-કારણ વિશ્લેષણ, ઉપાય યોજના, નિયામક અનુવર્તન, ગ્રાહક સંચાર, ઘટના-પછીની સમીક્ષા. ઘટના-પછીની સમીક્ષા નિર્ણાયક છે — Section 8(5) હેઠળ જવાબદારી મર્યાદિત કરતો 'વાજબી પગલાં' નો પુરાવો એ જ છે.
સંચારની ગોઠવણી
પહેલેથી તૈયાર અધિસૂચના ટેમ્પલેટ (Template 05 વાપરો) ખરી ઘટના દરમિયાન 6+ કલાક બચાવે છે. ટેમ્પલેટમાં ઘટના-વિશિષ્ટ ડેટા માટે સ્થાનધારક હોવા જોઈએ, પણ રચના, સૂર અને જરૂરી ઘટકો સ્થિર હોવા જોઈએ.
આંતરિક સંચાર: દરેક પ્રાથમિક સંપર્ક માટે વિકલ્પો સાથે સ્થાપિત એસ્કલેશન વૃક્ષ. T+0 પર વોર-રૂમ ચેનલ સ્થાપિત.
નિર્ણય સત્તાઓ
કોની પાસે સત્તા છે તે નોંધો: ઘટના જાહેર કરવી, Board સુધી એસ્કલેટ કરવું, અધિસૂચના શરૂ કરવી, પછીના કોઈપણ દાવાના સમાધાન પર સંમત થવું, જાહેરમાં સંચાર કરવો. આ નિર્ણયો ઘટના દરમિયાન પહેલી વાર લઈ શકાય નહીં.
રનબુક
Template 04 (72-Hour Breach Runbook) એ બધા છ તબક્કા (T+0 થી T+30) આવરતો અમારો 25-પાનાંનો સંદર્ભ છે, ભૂમિકા-વિશિષ્ટ ચેકલિસ્ટ, તીવ્રતા વર્ગીકરણ, નિર્ણય વૃક્ષ અને ટેબલટોપ પરિસ્થિતિઓ સાથે. જરૂર પડે તે પહેલાં જ વાંચો.