पत्ता लाग्नेदेखि सूचनासम्म: चार चरण
चरण 1: पत्ता लाग्ने (T+0 देखि T+2 घण्टा)
जानकारी केबाट आयो: निगरानीबाट चेतावनी, विक्रेताको खुलासा, ग्राहक उजुरी, पत्रकारको सोधपुछ, नियामक सम्पर्क? प्रत्येकका लागि फरक प्रारम्भिक-चरण व्यवस्थापन चाहिन्छ। नियन्त्रण तत्काल प्राथमिकता हो — पहुँच बाटो बन्द गर्नुहोस्, प्रभावित सिस्टम अलग गर्नुहोस्, प्रमाण संरक्षण गर्नुहोस्।
चरण 2: वर्गीकरण (T+2 देखि T+12 घण्टा)
क्रस-फङ्सनल घटना प्रतिक्रिया टोली बस्छ (प्राविधिक, कानुनी, सञ्चार, व्यापार मालिक, कार्यकारी प्रायोजक)। प्रारम्भिक दायरा मूल्याङ्कन: कुन डेटा, कति रेकर्ड, कुन आक्रमण बाटो। तीव्रता वर्गीकरण: के यो सूचनायोग्य छ? DPDP को सीमा फराकिलो छ — 'अनधिकृत प्रशोधन' वा 'आकस्मिक खुलासा' भएको कुनै पनि 'व्यक्तिगत डेटा उल्लङ्घन' ले Section 8(6) सक्रिय गर्छ।
चरण 3: सूचना (T+12 देखि T+72 घण्टा)
यदि सूचनायोग्य छ भने, ढिलाइ नगरी दुई फरक सूचना जानुपर्छ:
- Data Protection Board of India लाई: Rule 7 अनुसार विस्तृत प्रतिवेदन — उल्लङ्घनको प्रकृति, वर्ग र रेकर्डको अनुमानित सङ्ख्या, सम्भावित परिणाम, लिइएका कदम।
- प्रत्येक प्रभावित Data Principal लाई: स्पष्ट, सरल-भाषाको सूचना — के भयो, कुन डेटा, उनीहरूले के कदम लिनुपर्छ, सहायताका लागि कोसँग सम्पर्क गर्ने।
'ढिलाइ नगरी' भनेको 72 घण्टा होइन। 72-घण्टाको अङ्क GDPR को हो — DPDP ले तोक्दैन, तर कार्यान्वयन अपेक्षा सम्भवतः उस्तै हुनेछ। पूर्ण अनुसन्धानको पर्खाइ नगर्नुहोस्; जे थाहा छ त्यसैसहित प्रारम्भिक सूचना पठाउनुहोस्, र थप स्थापित हुँदा अद्यावधिक गर्नुहोस्।
चरण 4: नियन्त्रण, पुनःप्राप्ति, पाठ (T+72 घण्टापछि)
पूर्ण फोरेन्सिक अनुसन्धान, मूल-कारण विश्लेषण, उपचार योजना, नियामक अनुगमन, ग्राहक सञ्चार, घटनापछिको समीक्षा। घटनापछिको समीक्षा निर्णायक छ — Section 8(5) अन्तर्गत दायित्व सीमित गर्ने 'उचित उपाय'को प्रमाण त्यही हो।
सञ्चारको व्यवस्था
पहिल्यै तयार सूचना टेम्प्लेट (Template 05 प्रयोग गर्नुहोस्) ले वास्तविक घटनाका बेला 6+ घण्टा बचाउँछन्। टेम्प्लेटमा घटना-निर्दिष्ट डेटाका लागि स्थानधारक हुनुपर्छ, तर संरचना, स्वर र आवश्यक तत्त्व स्थिर हुनुपर्छ।
आन्तरिक सञ्चार: प्रत्येक प्राथमिक सम्पर्कका लागि विकल्पसहित स्थापित एस्केलेसन रूख। T+0 मा वार-रुम च्यानल स्थापित।
निर्णय अधिकार
कसलाई अधिकार छ लेख्नुहोस्: घटना घोषणा गर्ने, Board सम्म एस्केलेट गर्ने, सूचना सुरु गर्ने, पछिको कुनै दाबीको मिलापत्रमा सहमत हुने, सार्वजनिक रूपमा सञ्चार गर्ने। यी निर्णय घटनाका बेला पहिलो पटक लिन सकिँदैन।
रनबुक
Template 04 (72-Hour Breach Runbook) सबै छ चरण (T+0 देखि T+30) समेट्ने हाम्रो 25-पृष्ठको सन्दर्भ हो, भूमिका-निर्दिष्ट जाँचसूची, तीव्रता वर्गीकरण, निर्णय रूख र टेबलटप परिदृश्यसहित। आवश्यक पर्नुअघि नै पढ्नुहोस्।