उल्लंघन और रिपोर्टिंग समय सीमा की सूचना

1) उद्देश्य और क्षेत्र

संचालन और अनुपालन की आकृति में घटनाओं और उल्लंघनों के मामले में अनिवार्य अधिसूचनाओं के लिए एक समान, सत्यापित और दोहराने योग्य प्रक्रिया स्थापित करें: डेटा सुरक्षा, भुगतान/वित्तीय लेनदेन, विनियामक आवश्यताएं, भागीय एवं दस्तावेज़ समय सीमा, पता, प्रारूप, साथ ही तैयारी और नियंत्रण प्रक्रियाओं को निर्धारित करता है।

2) मुख्य शब्द

रिपोर्ट करने योग्य घटना: एक घटना जिसमें बाहरी पक्षों को अधिसूचना कानून/लाइसेंस/संविदा द्वारा आवश्यक होती है।

DPA एक डेटा सुरक्षा प्राधिकरण (GDPR और एनालॉग्स) है।

एफआईयू - वित्तीय खुफिया (एएमएल/सीएफटी; एसएआर/एसटीआर)।

पीएसपी/अधिग्राहक/कार्ड योजना - भुगतान प्रदाता/अधिग्रहणकर्ता/भुगतान प्रणाली।

CERT/CSIRT - राष्ट्रीय/उद्योग साइबर सुरक्षा घटना प्रतिक्रिया केंद्र।

एलईए - कानून प्रवर्तन।

होल्डिंग स्टेटमेंट - बुनियादी तथ्यों के साथ पहला शॉर्ट नोटिस और अगले अपडेट का समय।

3) अधिसूचनीय घटनाओं की कक्षाएं (श्रेणियां)

1. सूचना सुरक्षा/गोपनीयता: पीआईआई/वित्तीय डेटा का रिसाव, खातों का समझौता।

2. जुआ नियामक: खेल की उपलब्धता/अखंडता/संतुलन को प्रभावित करने वाली चमक; लाइसेंस/विज्ञापन/आरजी शर्तों का उल्लंघन।

3. एएमएल/सीएफटी: एफआईयू में संदिग्ध संचालन/पैटर्न → एसएआर/एसटीआर।

4. भुगतान: पीएसपी की बड़े पैमाने पर अनुपलब्धता, उच्च विचलन, भुगतानकर्ता डेटा का समझौता।

5. उपभोक्ता/खिलाड़ी: प्रभावित व्यक्तियों को सूचना (डेटा उल्लंघन, धन लेनदेन, कंप्यूटर उपाय)।

6. भागीदार/सहयोगी/प्रदाता: ट्रैकिंग, रिपोर्टिंग, वित्तीय बस्तियों पर प्रभाव।

7. CERT/LEA: सार्वजनिक महत्व की साइबर घटनाएं, फ़िशिंग/ब्रांड क्लोनिंग।

8. ऑडिट/लाइसेंस धारक: एसएलए रिपोर्टिंग अनुपालन, उन्मूलन की पुष्टि।

4) टाइमलाइन मैट्रिक्स (बेंचमार्क)

5) आरएसीआई और भूमिकाएँ

आईसी (हादसा कमांडर) समयरेखा और "युद्ध कक्ष" का मालिक है। "(ए)

कानूनी/अनुपालन लीड - योग्यता "रिपोर्टेबल", पते और समय सीमा का विकल्प, अंतिम संकेत। (आर/ए)

सुरक्षा लीड - सूचना सुरक्षा तथ्य, समझौता/पीआईआई की मात्रा, सीईआरटी/एलईए के साथ बातचीत। (आर)

भुगतान लीड - पीएसपी/बैंक/योजनाएं, पीसीआई मुद्दे, रिटर्न/चार्जबैक। (आर)

Comms लीड - टेक्स्ट और चैनल, स्थिति पृष्ठ, CS macros भेजें। (आर)

डाटा/एनालिटिक्स - प्रभावित विषयों/लेनदेन, प्रभाव मूल्यांकन की सूची। (आर)

सीएस/सीआरएम लीड - खिलाड़ियों को सूचनाओं की डिलीवरी, मुआवजा। (आर)

Exec प्रायोजक/CEO - S1 सार्वजनिक बयान। (C/I)

6) एंड-टू-एंड प्रक्रिया (पता लगाने से लेकर बंद करने तक)

• पता लगाना कानूनी योग्यता - "रिपोर्टेबल? करने के लिए? टाइमिंग? ».

• तथ्य/कलाकृति संग्रह - गंभीरता वर्गीकरण टेम्पलेट चयन सुलह (कानूनी/कॉम्स/आईसी)।

• चैनलों (नियामक पोर्टल्स, सुरक्षित मेल, एपीआई, पेपर फॉर्म) के माध्यम से डिलीवरी → रसीद भेजने और पुष्टि करने का समय रिकॉर्ड करना।

• अनुसूची/मील के पत्थर → पाठ संस्करण → स्थिति पृष्ठ के साथ तुल्यकालन।

• अंतिम रिपोर्ट CAPA योजना - बंद और रेट्रो ( 7 दिन)।

7) नोटिस की न्यूनतम संरचना (कंकाल)

1. हादसा आईडी, तिथि/समय (यूटीसी और स्थानीय)।

2. घटना और प्रभाव की त्रिज्या का संक्षिप्त विवरण।

3. प्रभावित डेटा/ग्राहक/लेनदेन की श्रेणियां।

4. कार्रवाई की गई (रोकथाम/वसूली)।

5. जोखिम मूल्यांकन और वर्तमान स्थिति

6. अगले चरण की योजना और अगले अपडेट का ईटीए।

7. व्यक्ति/प्रतिक्रिया चैनल से संपर्क करें

8. लाइसेंस/कंपनी का कानूनी विवरण (यदि आवश्यक हो)।

9. अनुप्रयोग: समयरेखा, तकनीकी कलाकृतियाँ, विषयों की सूची।

8) साँचा (त्वरित आवेषण)

8. 1 डीपीए (डेटा उल्लंघन, प्रारंभिक अधिसूचना):

डिस्कवरी घटना/तिथि

डेटा श्रेणियां/आयतन/भौगोलिक

नुकसान न्यूनतम उपाय (टोकन रीसेट, एमएफए, निगरानी)

विषय जोखिम मूल्यांकन

विषय अधिसूचना योजना और समय सीमा

डीपीओ/कानूनी से संपर्क करें

8. 2 खिलाड़ियों के लिए (डेटा उल्लंघन):

विषय: आपके खाते की सुरक्षा के बारे में महत्वपूर

शरीर: क्या हुआ (बिना तकनीक के। विवरण और पीआईआई के बिना), क्या उपाय किए गए हैं, अब खिलाड़ी के लिए क्या करना है (पासवर्ड बदलें, एमएफए को सक्षम करें), जहां अपडेट का पालन करें, मदद/मुआवजा कैसे प्राप्त करें।

8. 3 जुआ नियामक (पहुंच/अखंडता विफलता):

क्या: सेवा/खेल/बटुआ, समय स्लॉट, क्षेत्र

प्रभाव: दरों/शेष की ब्याज/संख्या

उपाय: रोलबैक, रिजर्व, सुरक्षित-मोड वॉलेट

अपेक्षित वसूली ईटीए, अखंडता/संतुलन नियंत्रण

अंतिम सत्यापन और रिपोर्टिंग योजना

8. 4 एफआईयू (एसएआर/एसटीआर, संक्षिप्त):

तथ्य और संदेह के आधार ("ग्राहक चेतावनी" के बिना)

मात्रा/लिंक खाते/व्यवहार

अनुप्रयोग (लेनदेन/लिंक ग्राफ)

एएमएल जिम्मेदार संपर्क

8. 5 पीएसपी/अधिग्रहणकर्ता/कार्ड योजना:

क्या हुआ (योजनाएं/तरीके प्रभावित), पीसीआई जोखिम मार्कर

व्यावसायिक प्रभाव (ऑथ-रेट, विफलता/विलंबता)

उपाय/बाईपास, संयुक्त निदान के लिए अनुरोध

ग्राहक मुआवजा योजना/रिटर्न प्रोसेसिंग

8. 6 CERT/CSIRT:

समझौता (आईओसी), टीटीपी, वैक्टर के संकेतक

उपाय किए गए और शेष जोखिम

टेलीमेट्री समन्वय/साझाकरण अनुरोध

9) चेकलिस्ट

प्रारंभिक सूचना भेजने से पहले

• तथ्यों की पुष्टि; रहस्य/पीआईआई को छोड़ कर।
• कानूनी/अनुपालन से सहमत; गंतव्य/चैनल चयनित।
• निम्न अद्यतन (तिथि/समय/चैनल) निर्दिष्ट है।
• स्क्रीनशॉट/ARTEFACTS और ऐप हैश पर कब्जा कर लिया गया है।
• स्थानीयकरण/भाषा की जाँच की जाए (यदि आवश्यक हो)।

भेजने के बाद

• पावती प्राप्त/टिकट संख्या/रजिस्ट्री आईडी।
• अद्यतन योजना और मालिकों ने बनाया।
• स्थिति पृष्ठ/FAQ/CS मैक्रोस पर सिंक्रनाइज़पाठ।

बन्द करना

• अंतिम रिपोर्ट भेजी और पुष्टि की।
• CAPA समयसीमा और प्रदर्शन मेट्रिक्स के साथ पंजीकृत हैं।
• रेट्रो ≤ 7 दिन।

10) शर्तों और पते का रजिस्टर (डेटा संरचना)

11) कलाकृतियाँ और प्रतिधारण

समय रेखा (मिनट सटीकता), सभी सूचनाओं के संस्करण, पावती।

वे। कलाकृतियाँ: लॉग, डंप, निर्यात मेट्रिक्स, आईओसी, कॉन्फ़िगरेशन स्नैपशॉट।

अधिसूचना/क्षतिपूर्ति के लिए प्रयुक्त इकाई/लेनदेन सूची।

प्रतिधारण: लाइसेंस/कानूनों की आवश्यकताओं के अनुसार भंडारण (आमतौर पर 1-7 वर्ष, अधिकार क्षेत्र द्वारा निर्दिष्ट)।

12) अनुपालन मैट्रिक्स

समयबद्धता: समय पर (श्रेणी के अनुसार) भेजी गई सूचनाओं का%।

पूर्णता - सूचनाओं का प्रतिशत पहली बार प्राप्त हुआ (बिना पैच अनुरोध के)।

पावती एसएलए: पावती प्राप्त करने का औसत समय।

अद्यतन अनुशासन: अद्यतन अंतराल का अनुपालन।

CAPA प्रभावशीलता: समय पर बंद CAPAs का प्रतिशत।

13) उपकरण और स्वचालन

हादसा बॉट: '/सूचित करें <श्रेणी> ', समय सीमा/चैनलों का स्वतः-प्रतिस्थापन, समय सीमा के बारे में अनुस्मारक.

साँचा इंजन: घटना मापदंडों से सूचनाओं को इकट्ठा करना; संस्करण/स्थानीयकरण।

स्थिति पृष्ठ: बाहरी अपडेट के साथ तुल्यकालिक; टीटीएस (समय-से-कथन) निगरानी।

SOAR/SIEM: DPA/CERT के लिए स्वचालित कलाकृति संग्रह।

DWH/CRM: प्रभावित विषय खंड, वितरण और डिस्कवरी ट्रैकिंग।

14) शासन

धारा स्वामी: अनुपालन प्रमुख (आरक्षित - कानूनी परामर्शदाता)।

रजिस्टर संशोधन ( 10): कम से कम त्रैमासिक और प्रत्येक के बाद।

अभ्यास: डीपीए/नियामक/एएमएल द्वारा तालिका-शीर्ष - त्रैमासिक; लाइव-ड्रिल सूचना सुरक्षा - हर छह महीने में एक बार।

लेखा परीक्षा: सूचनाओं के समय और पूर्णता के अनुपालन का वार्षिक स्वतंत्र सत्यापन।

15) त्वरित शुरुआत (30-दिवसीय कार्यान्वयन)

1. सभी लाइसेंसों/बाजारों के लिए अनिवार्य पते की एक सूची बनाएं और उन्हें रजिस्टर में दर्ज करें (। 10)।

2. अधिसूचना टेम्पलेट ( 8) को मंजूरी दें और उन्हें घटना बॉट से जोड़ें।

3. एसएलए मैट्रिक्स ( 12) और "रेगुलेटरी रिपोर्टिंग" डैशबोर्ड कॉन्फ़िगर करें।

4. आचरण व्यायाम: डेटा उल्लंघन → DPA + खिलाड़ी, भुगतान संकट → PSP, AML-SAR → FIU।

5. समय सीमा अनुस्मारक और ऑटो-जनरेशन होल्डिंग स्टेटमेंट सक्षम करें।

6. पहले अभ्यास के परिणामों के बाद रेट्रो लॉन्च करें, प्लेबुक को अपडेट करें।

• संकट प्रबंधन और संचार
• हादसा प्लेबुक और स्क्रिप्ट
• व्यापार निरंतरता योजना (बीसीपी)
• आपदा वसूली योजना (डीआरपी)
• एस्केलेशन मैट्रिक्स
• अधिसूचना और चेतावनी तंत्र
• जिम्मेदार खेल और खिलाड़ी सुरक