Reporting of Cyber Security Incidents by Regulated Entities · IRDAI/GA&HR/CIR/MISC/128/06/2023

भारतीय बीमा विनियामक और विकास प्राधिकरण INSURANCE REGULATORY AND DEVELOPMENT AUTHORITY OF INDIA

संदर्भ: आईआरडीएआई/जीए&एचआर/सीआईआर/विविध/128/06/2023 Ref: IRDAI/GA&HR/CIR/MISC/128/06/2023

13 जून, 2023 13th June, 2023

प्रति / To, सभी विनियमित संस्थाएँ / All Regulated Entities

विषय: विनियमित संस्थाओं द्वारा साइबर घटनाओं की रिपोर्टिंग Subject: Reporting of Cyber Security Incidents by Regulated Entities

1. आईआरडीएआई साइबर सुरक्षा दिशानिर्देश, 2023 दिनांक 24 अप्रैल 2023 में 'घटना और समस्या का प्रबंध' की नीति 2.10 के अंतर्गत 'विनियामक प्राधिकरणों को सूचना' के पैरा 3.5 की ओर ध्यान आकर्षित किया जाता है, जिसमें यह कहा गया है कि "संस्था साइबर घटनाओं की सूचना अधिदेशात्मक (मैंडेटरी) तौर पर सर्ट-इन को ऐसी घटनाओं को देखने अथवा उनके बारे में उसकी जानकारी में लाये जाने के 6 घंटों के अंदर देगी तथा उसकी एक प्रति आईआरडीएआई और अन्य संबंधित विनियमितकर्ताओं/प्राधिकरणों को प्रेषित करेगी।"

Reference is drawn to para 3.5 ‘Notification to Regulatory Authorities’ under policy no. 2.10 ‘Incident and Problem Management’ in IRDAI Information and Cyber Security Guidelines, 2023 dated 24th Apr, 2023, wherein it is stated that “Organization shall mandatorily report cyber incidents to Cert-In within 6 hours of noticing or being brought to notice about such incidents with a copy to IRDAI and other concerned regulators / authorities.”

2. इस संबंध में यह देखा गया है कि विनियमित संस्थाएँ उपर्युक्त समय-सीमाओं का पालन नहीं कर रही हैं तथा सर्ट-इन को दी गई अपनी सूचनाओं के दायरे में प्राधिकरण को नहीं रख रही हैं।

In this connection, it is observed that the Regulatory Entities are not adhering to the above mentioned timelines and also not keeping the Authority in loop in their communications to Cert-In.

3. उपर्युक्त को ध्यान में रखते हुए, सभी विनियमित संस्थाओं को निदेश दिया जाता है कि वे आईआरडीएआई और सर्ट-इन को घटना की सूचना देने के संबंध में उक्त उपबंधों का सावधानीपूर्वक अनुसरण करें। इसके अलावा, विनियमित संस्थाओं से अपेक्षित है कि वे साइबर सुरक्षा घटना का उपलब्ध विवरण प्राधिकरण को संलग्न फॉर्मेट में उक्त घटना की जानकारी मिलने के 24 घंटे के अंदर प्रस्तुत करें।

In view of the above, all Regulated Entities are directed to scrupulously follow the provisions regarding reporting of incident to IRDAI and Cert-In. Further, Regulated Entities are required to submit available details of Cyber Security Incident to the Authority in an enclosed format within 24 hrs of intimation of the incident.

4. इसके अतिरिक्त, न्यायिक (फोरेंसिक) विश्लेषण से सूचना जब भी उपलब्ध होती है तब उसके साथ रिपोर्टिंग फॉर्मेट में निहित विवरण को अद्यतन करने तथा उसे ऐसी सूचना के उपलब्ध होने के 24 घंटे के अंदर अनुवर्ती वृत्तांत (वर्शन) के रूप में प्राधिकरण को प्रस्तुत करने की आवश्यकता है।

Further, the details in the reporting format needs to be updated with flow of information from the forensic analysis as and when obtained and submitted to the Authority as subsequent version(s) within 24 hrs of such information being made available.

(दीपक गायकवाड / Deepak Gaikwad) (सीआईएसओ/CISO)

सर्वे नं. 115/1, फाइनेंशियल डिस्ट्रिक्ट, नानकरामगुडा, हैदराबाद-500 032, भारत Survey No. 115/1, Financial District, Nanakramguda, Hyderabad-500 032, India : +91-40-20204000, वेबसाइट : www.irdai.gov.in : +91-40-20204000, Website : www.irdai.gov.in