గుర్తింపు నుండి నోటిఫికేషన్ వరకు: నాలుగు దశలు
దశ 1: గుర్తింపు (T+0 నుండి T+2 గంటలు)
అవగాహన దేని వల్ల కలిగింది: పర్యవేక్షణ నుండి హెచ్చరిక, విక్రేత వెల్లడి, కస్టమర్ ఫిర్యాదు, జర్నలిస్ట్ విచారణ, నియంత్రణ సంస్థ సంప్రదింపు? ప్రతిదానికీ వేర్వేరు తొలి-దశ నిర్వహణ కావాలి. నియంత్రణ తక్షణ ప్రాధాన్యత — యాక్సెస్ మార్గాన్ని మూసివేయండి, ప్రభావిత సిస్టమ్‌లను వేరు చేయండి, సాక్ష్యాన్ని భద్రపరచండి.
దశ 2: వర్గీకరణ (T+2 నుండి T+12 గంటలు)
క్రాస్-ఫంక్షనల్ సంఘటన స్పందన బృందం సమావేశమవుతుంది (సాంకేతిక, న్యాయ, సమాచార, వ్యాపార యజమాని, కార్యనిర్వాహక ప్రాయోజకుడు). ప్రాథమిక పరిధి అంచనా: ఏ డేటా, ఎన్ని రికార్డులు, ఏ దాడి మార్గం. తీవ్రత వర్గీకరణ: ఇది నోటిఫై చేయదగినదా? DPDP పరిమితి విస్తృతం — 'అనధికార ప్రాసెసింగ్' లేదా 'ప్రమాదవశాత్తు వెల్లడి' అయిన ఏ 'వ్యక్తిగత డేటా ఉల్లంఘన' అయినా Section 8(6) ను ప్రేరేపిస్తుంది.
దశ 3: నోటిఫికేషన్ (T+12 నుండి T+72 గంటలు)
నోటిఫై చేయదగినదైతే, ఆలస్యం లేకుండా రెండు వేర్వేరు నోటిఫికేషన్లు వెళ్లాలి:
- Data Protection Board of India కు: Rule 7 ప్రకారం వివరణాత్మక నివేదిక — ఉల్లంఘన స్వభావం, వర్గాలు మరియు రికార్డుల సుమారు సంఖ్య, సంభావ్య పరిణామాలు, తీసుకున్న చర్యలు.
- ప్రతి ప్రభావిత Data Principal కు: స్పష్టమైన, సరళ-భాషా నోటీసు — ఏమి జరిగింది, ఏ డేటా, వారు ఏ చర్యలు తీసుకోవాలి, సహాయం కోసం ఎవరిని సంప్రదించాలి.
'ఆలస్యం లేకుండా' అంటే 72 గంటలు కాదు. 72-గంటల సంఖ్య GDPR దానిది — DPDP నిర్దేశించదు, కానీ అమలు అంచనాలు బహుశా అలాగే ఉంటాయి. పూర్తి దర్యాప్తు కోసం వేచి ఉండకండి; తెలిసిన దానితో ప్రాథమిక నోటిఫికేషన్ పంపి, మరింత స్థిరపడినప్పుడు నవీకరించండి.
దశ 4: నియంత్రణ, పునరుద్ధరణ, పాఠాలు (T+72 గంటల తర్వాత)
పూర్తి ఫోరెన్సిక్ దర్యాప్తు, మూల-కారణ విశ్లేషణ, పరిహార ప్రణాళిక, నియంత్రణ సంస్థ అనుసరణ, కస్టమర్ సమాచార ప్రసారం, సంఘటన-అనంతర సమీక్ష. సంఘటన-అనంతర సమీక్ష కీలకం — Section 8(5) కింద బాధ్యతను పరిమితం చేసే 'సహేతుకమైన చర్యల' సాక్ష్యం అదే.
సమాచార ప్రసార క్రమం
ముందుగా సిద్ధం చేసిన నోటిఫికేషన్ టెంప్లేట్‌లు (Template 05 వాడండి) నిజమైన సంఘటన సమయంలో 6+ గంటలు ఆదా చేస్తాయి. టెంప్లేట్లలో సంఘటన-నిర్దిష్ట డేటా కోసం ప్లేస్‌హోల్డర్లు ఉండాలి, కానీ నిర్మాణం, స్వరం, అవసరమైన అంశాలు స్థిరంగా ఉండాలి.
అంతర్గత సమాచార ప్రసారం: ప్రతి ప్రాథమిక సంప్రదింపుకు బ్యాకప్‌లతో స్థాపిత ఎస్కలేషన్ వృక్షం. T+0 వద్ద వార్-రూమ్ ఛానెల్ ఏర్పాటు.
నిర్ణయ అధికారాలు
ఎవరికి అధికారం ఉందో నమోదు చేయండి: సంఘటనను ప్రకటించడం, Board వరకు ఎస్కలేట్ చేయడం, నోటిఫికేషన్ ప్రారంభించడం, తదుపరి ఏదైనా క్లెయిమ్ పరిష్కారానికి అంగీకరించడం, బహిరంగంగా సమాచారం ఇవ్వడం. ఈ నిర్ణయాలను సంఘటన సమయంలో మొదటిసారి తీసుకోలేరు.
రన్‌బుక్
Template 04 (72-Hour Breach Runbook) అనేది ఆరు దశలనూ (T+0 నుండి T+30) కవర్ చేసే మా 25-పేజీల సూచన, పాత్ర-నిర్దిష్ట చెక్‌లిస్ట్‌లు, తీవ్రత వర్గీకరణ, నిర్ణయ వృక్షాలు, టేబుల్‌టాప్ దృశ్యాలతో సహా. అవసరం రాకముందే దీన్ని చదవండి.