Pemberitahuan Pelanggaran Data DBN 72 Jam: Panduan Pematuhan PDPA
Pindaan PDPA 2024 memperkenalkan rangka kerja pemberitahuan pelanggaran data peribadi (DBN) yang menjangkakan pengawal data melaporkan insiden yang ketara kepada Pesuruhjaya Perlindungan Data Peribadi dalam jangka masa yang singkat, lazimnya disebut sebagai 72 jam berdasarkan panduan rasmi DBN. Artikel ini meringkaskan rangka kerja tersebut, maklumat yang perlu dimasukkan, peranan pasukan respons insiden (IR), khidmat siap sedia dan templat komunikasi pelanggan. Rujukan: https://www.pdp.gov.my/ppdpv1/en/akta/personal-data-protection-guidelines-on-data-breach-notification-dbn/
Apakah DBN dan Bilakah Ia Dicetuskan?
Pemberitahuan Pelanggaran Data (Data Breach Notification atau DBN) ialah kewajipan formal untuk melaporkan pelanggaran data peribadi yang ketara kepada Pesuruhjaya PDP. Berdasarkan panduan rasmi yang diterbitkan, pelanggaran yang ketara biasanya dikenal pasti melalui kriteria seperti bilangan rekod yang terjejas, kepekaan data, kemungkinan kemudaratan dan sama ada langkah perlindungan teknikal (contohnya penyulitan) berkesan.
Bukan setiap insiden keselamatan ialah pelanggaran data yang perlu diberitahu. Namun, penilaian perlu dibuat dengan cepat dan didokumentasikan, kerana keputusan untuk tidak melaporkan boleh dicabar.
Jangka Masa 72 Jam
Banyak panduan DBN menyebut jangka masa 72 jam selepas organisasi menyedari pelanggaran tersebut sebagai sasaran pemberitahuan awal. Walau bagaimanapun, jangka masa rasmi dan kriteria 'kesedaran' perlu disahkan dengan teks panduan terkini di portal PDP.
Tempoh 72 jam ialah jangka masa yang pendek dari segi operasi. Pasukan respons insiden perlu dapat menggerakkan langkah pengesanan, pengasingan, penilaian skop dan persediaan pemberitahuan dalam tempoh ini. Tanpa persediaan, jangka masa ini sukar dicapai.
Maklumat yang Perlu Dimasukkan dalam Pemberitahuan
Berdasarkan panduan rasmi DBN, pemberitahuan biasanya mengandungi maklumat seperti yang berikut:
- Sifat pelanggaran (jenis insiden, vektor, masa kejadian)
- Kategori dan anggaran bilangan subjek data yang terjejas
- Kategori dan anggaran bilangan rekod data peribadi yang terjejas
- Akibat yang mungkin berlaku kepada subjek data
- Langkah pengurangan risiko yang sedang dan akan dilaksanakan
- Maklumat hubungan DPO atau pegawai yang bertanggungjawab
Peranan Khidmat Siap Sedia Respons Insiden
Memenuhi kewajipan DBN dalam tekanan masa ialah cabaran besar tanpa persediaan. Khidmat siap sedia respons insiden, iaitu kontrak dengan pembekal DFIR, menyediakan akses pantas kepada penyiasat bertauliah, peguam siber dan komunikasi krisis.
Khidmat siap sedia yang biasa termasuk masa respons yang terjamin, buku panduan operasi (runbook) bersama, latihan simulasi meja tahunan dan akses kepada platform forensik. Bagi organisasi yang mengendalikan data peribadi berskala besar, khidmat siap sedia ialah pelaburan yang lebih munasabah daripada kos pemulihan tanpa persediaan.
Nota penting: maklumat dalam artikel ini bersifat panduan umum. Organisasi disyorkan merujuk teks rasmi akta, garis panduan terkini pengawal selia (BNM, NACSA, Pesuruhjaya Perlindungan Data Peribadi) dan mendapatkan nasihat peguam atau juruaudit bertauliah sebelum membuat keputusan pematuhan.
Komunikasi kepada Subjek Data
Dalam keadaan tertentu, komunikasi terus kepada subjek data yang terjejas mungkin diperlukan, terutamanya jika risiko kemudaratan tinggi. Templat komunikasi perlu disediakan terlebih dahulu dengan input daripada pasukan undang-undang, komunikasi dan pengurusan kanan.
Komunikasi perlu jelas, tidak terlalu teknikal dan menawarkan langkah praktikal kepada subjek data (contohnya memantau penyata bank dan menukar kata laluan). Komunikasi yang terlewat atau mengelirukan boleh memburukkan reputasi.
- Templat e-mel pemberitahuan (bahasa Malaysia dan bahasa Inggeris)
- Soalan Lazim (FAQ) untuk pasukan khidmat pelanggan
- Skrip respons telefon
- Kenyataan media (jika perlu)
Latihan Simulasi Meja dan Persediaan
Latihan simulasi meja (tabletop exercise) secara berkala, sekurang-kurangnya setahun sekali, ialah amalan terbaik. Senario lazim termasuk perisian tebusan (ransomware) dengan pencurian data, kebocoran data daripada baldi (bucket) S3 awam, pencerobohan terhadap pembekal dan serangan dalaman.
Latihan ini bukan sekadar latihan teknikal kerana ia melibatkan pengurusan kanan, pasukan undang-undang, komunikasi dan operasi. Hasilnya, jangkaan dan proses membuat keputusan dapat dilatih sebelum tekanan sebenar berlaku.
Bacaan Lanjut dan Perkhidmatan nCrypt
Soalan Lazim
Adakah semua pelanggaran data perlu dilaporkan?
Tidak. Hanya pelanggaran yang ketara dan berkemungkinan menjejaskan subjek data perlu dilaporkan. Walau bagaimanapun, semua insiden perlu didokumentasikan secara dalaman walaupun tidak dilaporkan.
Bagaimanakah jika kami belum mengetahui skop penuh dalam tempoh 72 jam?
Panduan rasmi biasanya membenarkan pemberitahuan awal dengan maklumat yang ada, disusuli kemas kini kemudian. Lebih baik melapor awal dengan maklumat yang tidak lengkap daripada terlewat kerana menunggu butiran penuh.
Adakah penyulitan mengecualikan keperluan DBN?
Tidak secara automatik. Walaupun penyulitan mengurangkan risiko, penilaian masih perlu dibuat, terutamanya jika kunci penyulitan turut terdedah atau jika data sensitif lain (seperti metadata) didedahkan.
Berbincang dengan Pasukan nCrypt
Pasukan kami yang sejajar dengan CREST membantu institusi kewangan, agensi kerajaan dan PKS Malaysia merancang ujian penembusan, pematuhan dan respons insiden. Dapatkan sebut harga atau tempah perbincangan percuma hari ini.