پتہ چلنے سے اطلاع تک: چار مراحل
مرحلہ 1: پتہ چلنا (T+0 سے T+2 گھنٹے)
آگاہی کس سے ہوئی: نگرانی سے انتباہ، وینڈر کا انکشاف، گاہک کی شکایت، صحافی کی پوچھ گچھ، ریگولیٹر سے رابطہ؟ ہر ایک کے لیے مختلف ابتدائی مرحلے کی ہینڈلنگ چاہیے۔ روک تھام فوری ترجیح ہے — رسائی کا راستہ بند کریں، متاثرہ سسٹمز الگ کریں، ثبوت محفوظ کریں۔
مرحلہ 2: درجہ بندی (T+2 سے T+12 گھنٹے)
کراس فنکشنل واقعہ ردعمل ٹیم بیٹھتی ہے (تکنیکی، قانونی، ابلاغ، کاروباری مالک، انتظامی سرپرست)۔ ابتدائی دائرہ کار کا جائزہ: کون سا ڈیٹا، کتنے ریکارڈ، کون سا حملے کا راستہ۔ شدت کی درجہ بندی: کیا یہ قابلِ اطلاع ہے؟ DPDP کی حد وسیع ہے — 'غیر مجاز پروسیسنگ' یا 'حادثاتی انکشاف' والی کوئی بھی 'ذاتی ڈیٹا کی خلاف ورزی' Section 8(6) کو فعال کرتی ہے۔
مرحلہ 3: اطلاع (T+12 سے T+72 گھنٹے)
اگر قابلِ اطلاع ہے، تو تاخیر کے بغیر دو الگ اطلاعات جانی چاہئیں:
- Data Protection Board of India کو: Rule 7 کے مطابق تفصیلی رپورٹ — خلاف ورزی کی نوعیت، زمرے اور ریکارڈز کی تخمینی تعداد، ممکنہ نتائج، اٹھائے گئے اقدامات۔
- ہر متاثرہ Data Principal کو: واضح، سادہ زبان کا نوٹس — کیا ہوا، کون سا ڈیٹا، انہیں کیا اقدامات کرنے چاہئیں، مدد کے لیے کس سے رابطہ کریں۔
'تاخیر کے بغیر' کا مطلب 72 گھنٹے نہیں۔ 72 گھنٹے کا ہندسہ GDPR کا ہے — DPDP متعین نہیں کرتا، مگر نفاذ کی توقعات شاید ویسی ہی ہوں گی۔ مکمل تفتیش کا انتظار نہ کریں؛ جو معلوم ہے اس کے ساتھ ابتدائی اطلاع بھیجیں، اور مزید طے ہونے پر اپڈیٹ کریں۔
مرحلہ 4: روک تھام، بحالی، سبق (T+72 گھنٹے کے بعد)
مکمل فارنزک تفتیش، بنیادی وجہ کا تجزیہ، تدارک کا منصوبہ، ریگولیٹری پیروی، گاہک سے ابلاغ، واقعے کے بعد کا جائزہ۔ واقعے کے بعد کا جائزہ فیصلہ کن ہے — Section 8(5) کے تحت ذمہ داری محدود کرنے والے 'معقول اقدامات' کا ثبوت وہی ہے۔
ابلاغ کی ترتیب
پہلے سے تیار اطلاعی ٹیمپلیٹ (Template 05 استعمال کریں) اصل واقعے کے دوران 6+ گھنٹے بچاتے ہیں۔ ٹیمپلیٹس میں واقعے سے متعلق ڈیٹا کے لیے جگہ رکھنے والے ہونے چاہئیں، مگر ساخت، لہجہ اور مطلوبہ عناصر مستقل رہنے چاہئیں۔
اندرونی ابلاغ: ہر بنیادی رابطے کے لیے متبادل کے ساتھ قائم شدہ ایسکلیشن ٹری۔ T+0 پر وار روم چینل قائم۔
فیصلے کے اختیارات
کس کے پاس اختیار ہے، درج کریں: واقعے کا اعلان، Board تک ایسکلیٹ کرنا، اطلاع شروع کرنا، بعد کے کسی دعوے کے تصفیے پر رضامند ہونا، عوامی طور پر ابلاغ کرنا۔ یہ فیصلے واقعے کے دوران پہلی بار نہیں لیے جا سکتے۔
رن بک
Template 04 (72-Hour Breach Runbook) تمام چھ مراحل (T+0 سے T+30) کا احاطہ کرنے والا ہمارا 25 صفحات کا حوالہ ہے، کردار کے لحاظ سے چیک لسٹ، شدت کی درجہ بندی، فیصلہ ٹری اور ٹیبل ٹاپ منظرناموں کے ساتھ۔ ضرورت پڑنے سے پہلے ہی پڑھیں۔