കണ്ടെത്തലിൽ നിന്ന് അറിയിപ്പിലേക്ക്: നാല് ഘട്ടങ്ങൾ
ഘട്ടം 1: കണ്ടെത്തൽ (T+0 മുതൽ T+2 മണിക്കൂർ)
അവബോധം എന്തിൽ നിന്നുണ്ടായി: നിരീക്ഷണത്തിൽ നിന്നുള്ള മുന്നറിയിപ്പ്, വെണ്ടർ വെളിപ്പെടുത്തൽ, ഉപഭോക്തൃ പരാതി, മാധ്യമപ്രവർത്തകന്റെ അന്വേഷണം, റെഗുലേറ്ററി ബന്ധപ്പെടൽ? ഓരോന്നിനും വ്യത്യസ്ത ആദ്യഘട്ട കൈകാര്യം ചെയ്യൽ വേണം. നിയന്ത്രണമാണ് ഉടനടിയുള്ള മുൻഗണന — ആക്സസ് വഴി അടയ്ക്കുക, ബാധിത സിസ്റ്റങ്ങൾ വേർതിരിക്കുക, തെളിവ് സംരക്ഷിക്കുക.
ഘട്ടം 2: തരംതിരിക്കൽ (T+2 മുതൽ T+12 മണിക്കൂർ)
ക്രോസ്-ഫങ്ഷണൽ സംഭവ പ്രതികരണ ടീം ഒത്തുചേരുന്നു (സാങ്കേതികം, നിയമം, ആശയവിനിമയം, ബിസിനസ് ഉടമ, എക്സിക്യൂട്ടീവ് സ്പോൺസർ). പ്രാഥമിക വ്യാപ്തി വിലയിരുത്തൽ: ഏത് ഡാറ്റ, എത്ര രേഖകൾ, ഏത് ആക്രമണ വഴി. തീവ്രതാ വർഗ്ഗീകരണം: ഇത് അറിയിക്കേണ്ടതാണോ? DPDP പരിധി വിശാലമാണ് — 'അനധികൃത പ്രോസസ്സിംഗ്' അല്ലെങ്കിൽ 'ആകസ്മിക വെളിപ്പെടുത്തൽ' ആയ ഏത് 'വ്യക്തിഗത ഡാറ്റ ലംഘനവും' Section 8(6) പ്രവർത്തനക്ഷമമാക്കുന്നു.
ഘട്ടം 3: അറിയിപ്പ് (T+12 മുതൽ T+72 മണിക്കൂർ)
അറിയിക്കേണ്ടതാണെങ്കിൽ, കാലതാമസമില്ലാതെ രണ്ട് വ്യത്യസ്ത അറിയിപ്പുകൾ പോകണം:
- Data Protection Board of India-ലേക്ക്: Rule 7 പ്രകാരം വിശദമായ റിപ്പോർട്ട് — ലംഘനത്തിന്റെ സ്വഭാവം, വിഭാഗങ്ങളും രേഖകളുടെ ഏകദേശ എണ്ണവും, സാധ്യമായ അനന്തരഫലങ്ങൾ, സ്വീകരിച്ച നടപടികൾ.
- ഓരോ ബാധിത Data Principal-നും: വ്യക്തമായ, ലളിതഭാഷാ അറിയിപ്പ് — എന്ത് സംഭവിച്ചു, ഏത് ഡാറ്റ, അവർ എന്ത് നടപടികൾ സ്വീകരിക്കണം, സഹായത്തിന് ആരെ ബന്ധപ്പെടണം.
'കാലതാമസമില്ലാതെ' എന്നാൽ 72 മണിക്കൂർ അല്ല. 72-മണിക്കൂർ കണക്ക് GDPR-ന്റേതാണ് — DPDP വ്യക്തമാക്കുന്നില്ല, പക്ഷേ നടപ്പാക്കൽ പ്രതീക്ഷകൾ സമാനമായിരിക്കാൻ സാധ്യതയുണ്ട്. പൂർണ്ണ അന്വേഷണത്തിനായി കാത്തിരിക്കരുത്; അറിയാവുന്നതുമായി പ്രാഥമിക അറിയിപ്പ് അയയ്ക്കുക, കൂടുതൽ സ്ഥാപിതമാകുമ്പോൾ അപ്ഡേറ്റ് ചെയ്യുക.
ഘട്ടം 4: നിയന്ത്രണം, വീണ്ടെടുക്കൽ, പാഠങ്ങൾ (T+72 മണിക്കൂറിന് ശേഷം)
പൂർണ്ണ ഫോറൻസിക് അന്വേഷണം, മൂല-കാരണ വിശകലനം, പരിഹാര പദ്ധതി, റെഗുലേറ്ററി തുടർനടപടി, ഉപഭോക്തൃ ആശയവിനിമയം, സംഭവാനന്തര അവലോകനം. സംഭവാനന്തര അവലോകനം നിർണ്ണായകമാണ് — Section 8(5) പ്രകാരം ബാധ്യത പരിമിതപ്പെടുത്തുന്ന 'ന്യായമായ നടപടികളുടെ' തെളിവ് അതാണ്.
ആശയവിനിമയ ക്രമീകരണം
മുൻകൂട്ടി തയ്യാറാക്കിയ അറിയിപ്പ് ടെംപ്ലേറ്റുകൾ (Template 05 ഉപയോഗിക്കുക) യഥാർത്ഥ സംഭവത്തിനിടെ 6+ മണിക്കൂർ ലാഭിക്കുന്നു. ടെംപ്ലേറ്റുകളിൽ സംഭവ-നിർദ്ദിഷ്ട ഡാറ്റയ്ക്കായി പ്ലേസ്‌ഹോൾഡറുകൾ ഉണ്ടായിരിക്കണം, പക്ഷേ ഘടന, സ്വരം, ആവശ്യമായ ഘടകങ്ങൾ എന്നിവ സ്ഥിരമായിരിക്കണം.
ആന്തരിക ആശയവിനിമയം: ഓരോ പ്രാഥമിക ബന്ധത്തിനും ബാക്കപ്പുകളോടെ സ്ഥാപിതമായ എസ്കലേഷൻ ട്രീ. T+0-ൽ വാർ-റൂം ചാനൽ സ്ഥാപിക്കൽ.
തീരുമാന അധികാരങ്ങൾ
ആർക്കാണ് അധികാരമെന്ന് രേഖപ്പെടുത്തുക: സംഭവം പ്രഖ്യാപിക്കാൻ, Board വരെ എസ്കലേറ്റ് ചെയ്യാൻ, അറിയിപ്പ് ആരംഭിക്കാൻ, തുടർന്നുള്ള ഏതെങ്കിലും ക്ലെയിമിന്റെ ഒത്തുതീർപ്പിന് സമ്മതിക്കാൻ, പരസ്യമായി ആശയവിനിമയം നടത്താൻ. ഈ തീരുമാനങ്ങൾ സംഭവസമയത്ത് ആദ്യമായി എടുക്കാനാവില്ല.
റൺബുക്ക്
Template 04 (72-Hour Breach Runbook) ആറ് ഘട്ടങ്ങളും (T+0 മുതൽ T+30 വരെ) ഉൾക്കൊള്ളുന്ന ഞങ്ങളുടെ 25-പേജ് റഫറൻസാണ്, റോൾ-നിർദ്ദിഷ്ട ചെക്ക്‌ലിസ്റ്റുകൾ, തീവ്രതാ വർഗ്ഗീകരണം, തീരുമാന ട്രീകൾ, ടേബിൾടോപ്പ് സാഹചര്യങ്ങൾ എന്നിവയോടൊപ്പം. ആവശ്യം വരുന്നതിന് മുമ്പ് ഇത് വായിക്കുക.