Why Every Small Business Needs a Cyber Incident Response Plan
मान लीजिए कि एक दिन सुबह दुकान खुलते ही आपका accountant आपको फ़ोन करता है और बोलता है कि “सर, बैंक से पैसे कट गए, और मैंने कोई OTP नहीं दिया।” या आपका Gmail खुल ही नहीं रहा, और customers को आपके नाम से अजीब messages जा रहे हैं। तो ऐसे समय में किसी को भी सबसे ज्यादा घबराहट होती है, और इसमें पहले कुछ घंटे सबसे ज़्यादा मायने रखते हैं।
इस guide में हम एक सरल cyber incident response plan for small business in India बना रहे हैं। इसमें पहले 60 मिनट में क्या करना है, किसे report करना है, और किस नंबर पर call करना है इसकी जानकारी देंगे। इसमें सारी जानकारी official sources पर आधारित हैं। और साथ में दो free templates भी हैं जिन्हें आप copy करके अपनी टीम के लिए use कर सकते हैं।
हमारी पिछली post में हमने best password manager for small business in India पर बात की थी। वह बचाव का पहला कदम है, और यह guide तब काम आता है जब बचाव में चूक हो जाती है।
What Counts as a Cyber Incident
हर एक परेशानी cyber incident नहीं होती। भारत की CERT-In ने अपनी official Directions में उन घटनाओं की सूची दी है जिन्हें report करना ज़रूरी होता है। और छोटे बिज़नेस के लिए इनमें से ये सबसे ज़्यादा काम की हैं,
- आपके IT systems या data में unauthorized access
- Phishing, identity theft और spoofing
- Virus, Trojan, spyware और ransomware जैसे malicious code attacks
- Website का defacement, या उसमें malicious code या links डाल दिया जाना
- Data breach और data leak
- Social media accounts में unauthorized access
- Digital payment systems को प्रभावित करने वाले attacks
- Fake mobile apps (जैसे आपके नाम से बना नकली app)
- DoS और DDoS attacks
अगर आपके साथ इनमें से कुछ भी हुआ है, तो आपको इसे बहुत ही गंभीरता से लेना चाहिए।
The First 60 Minutes: What to Do Right Now
cyber fraud में शुरुआती समय को “golden hour” कहा जाता है। पश्चिम बंगाल सरकार की एक advisory के अनुसार, अगर पीड़ित पहले घंटे में fraud report कर दे, तो पैसे रुकने की संभावना बढ़ जाती है। इसलिए नीचे दिए गए steps को क्रम से अपनाइए,
- अगर आपके पैसे कटे हैं, तो तुरंत 1930 पर call करें: यह राष्ट्रीय cyber fraud helpline है और 24 घंटे चालू रहती है। साथ ही अपने बैंक को भी तुरंत सूचित करें।
- बाकी Details तैयार रखें: Helpline number पे call करते समय बाकी जानकारी भी तैयार रखें जैसे की, आपका नाम और mobile number, नज़दीकी police station और district, बैंक का नाम, कटी हुई रकम, जिस account, wallet या UPI ID से पैसे कटे उसकी जानकारी, हर transaction का ID, और घटना का छोटासा विवरण।
- एक सुरक्षित device से passwords बदलें: सबसे पहले प्रभावित account का password बदलें, फिर वे सभी accounts जिनमें वही password use हुआ था। Google की official guidance भी यही कहती है।
- अनजान devices को हटाएँ: अपने accounts की security settings में देखें कि कोई अनजान device logged in तो नहीं है, और अगर device logged in है तो उसे तुरंत हटा दें।
- कुछ भी delete न करें: Emails, messages, screenshots, transaction IDs और logs सबूत हैं। इन्हें संभालकर रखें।
- समय नोट करें: आपने घटना कब देखी, यह तुरंत लिख लें। आगे समझाया गया 6-hour नियम इसी समय से गिना जाता है।
- एक व्यक्ति को ज़िम्मेदारी दें: पूरी टीम एक साथ अलग-अलग जगह call करे, इससे गड़बड़ी होती है। इसलिए किसी एक को लीड बनाइए।
Who Should You Report To
अलग-अलग घटना के लिए अलग जगह report करनी पड़ती है। यह table आपको तुरंत रास्ता बताएगा,
| Situation | कहाँ report करें |
| UPI, net banking या card से पैसे कटे | बैंक, 1930 helpline, और cybercrime.gov.in |
| Business के systems में hack, ransomware, phishing, website defacement | CERT-In (6 घंटे के नियम के साथ, नीचे देखें) |
| Customers का personal data leak हुआ | प्रभावित customers (बिना देरी के), और DPDP Rules के अनुसार Data Protection Board |
| Gmail या Google Workspace account hack हुआ | Google account recovery page, और Workspace में admin |
| Google Ads account में गड़बड़ी | Google Ads का “Report compromised account” |
| Impersonation, online cheating जैसे दूसरे online अपराध | cybercrime.gov.in |
The CERT-In 6-Hour Rule Explained
CERT-In (Indian Computer Emergency Response Team) भारत सरकार के MeitY के तहत काम करने वाली national agency है। 28 अप्रैल 2022 को इसने official Directions जारी कीं, जिनके मुख्य बिंदु ये हैं,
- 6 घंटे का नियम: सूची में शामिल cyber incidents को देखने या उनकी जानकारी मिलने के 6 घंटे के अंदर CERT-In को report करना है।
- Report कैसे करें: Email (incident@cert-in.org.in), phone (1800-11-4949) या fax (1800-11-6969)।
- Logs सुरक्षित रखें: सभी ICT systems के logs enable करके उन्हें अगले 180 दिनों तक, भारत की सीमा के अंदर, सुरक्षित रखना है, और CERT-In के माँगने पर या incident report के साथ देना है।
- Point of Contact: संस्था को CERT-In से संपर्क के लिए एक Point of Contact नियुक्त करना है, जिसकी जानकारी info@cert-in.org.in पर बताए गए format में भेजनी है।
- Clock sync: ICT systems की घड़ियाँ NIC या NPL के NTP server से sync रखनी हैं।
- Non-compliance: जानकारी न देने या निर्देश न मानने पर IT Act की धारा 70B(7) के तहत कार्रवाई हो सकती है।
Does the 6-Hour Rule Apply to Your Business
CERT-In की Directions “service providers, intermediaries, data centres, body corporate और Government organizations” पर लागू होती हैं। IT Act की धारा 43A में “body corporate” की परिभाषा में company के साथ firm, sole proprietorship और व्यावसायिक गतिविधि करने वाले दूसरे संगठन भी शामिल हैं। लेकिन यह परिभाषा उसी धारा के लिए लिखी गई है, इसलिए आपके specific बिज़नेस पर 6-hour नियम कैसे लागू होता है, यह किसी कानूनी सलाहकार से जरूर confirm कर लें। सावधानी के लिए, गंभीर incident में report करना और समय को नोट करना बेहतर है।
DPDP Act and Data Breaches
अगर आपके पास customers का personal data है (नाम, फ़ोन नंबर, पता), तो आप Digital Personal Data Protection Act, 2023 के तहत “Data Fiduciary” हो सकते हैं। PIB के अनुसार DPDP Rules, 2025 ये नवंबर 2025 में notify हुए है, और इनके लिए 18 महीने की phased compliance अवधि रखी गई है।
अगर आपका Data breach होता है तो Rules के अनुसार,
- आपको प्रभावित सभी लोगों को बिना देरी के सूचित करना होगा।
- इसका संदेश सरल भाषा में होना चाहिए, और उसमें यह बताना होगा कि क्या हुआ, संभावित असर क्या है, और आपने क्या कदम उठाए। साथ में मदद के लिए संपर्क की जानकारी भी देनी होगी।
PIB के अनुसार Act में ऐसे मामलों में भारी जुर्माने का प्रावधान भी है जैसे की, reasonable security safeguards न रखने पर अधिकतम ₹250 करोड़ तक, और Board या प्रभावित लोगों को breach की सूचना न देने पर अधिकतम ₹200 करोड़ तक जुर्माना लगाया जा सकता है। ये अधिकतम सीमाएँ हैं और हर मामले में लागू नहीं होतीं, पर इनसे पता चलता है कि कानून इसे कितनी गंभीरता से लेता है। कौन सा नियम किस तारीख़ से लागू होगा और Board को सूचना की सटीक समय-सीमा क्या है, यह MeitY की official Rules PDF में देखें (MeitY official website)। (पूरे compliance के लिए कानूनी सलाहकार से बात करें।)
Scenario Playbooks for Real Situations
नीचे दिए गए तीन आम स्थितियों के लिए step-by-step playbooks हैं, जो official guidance पर आधारित हैं। और आपके cyber incident response plan का सबसे उपयोगी हिस्सा हैं।
Playbook 1: UPI or Net Banking Fraud
- तुरंत 1930 पर call करें। इसमें Police operator आपकी transaction details और जानकारी नोट करके उसे Citizen Financial Cyber Fraud Reporting and Management System में दर्ज करता है।
- आपको SMS में एक acknowledgement number मिलेगा। उसी number से 24 घंटे के अंदर पूरी details cybercrime.gov.in पर जमा करें। और अपने बैंक को भी तुरंत सूचित करें।
- Acknowledgement number, transaction IDs और screenshots ये सारी details संभालकर रखें।
Playbook 2: Hacked Gmail or Google Workspace Account
अगर आपका सामान्य Google account है तो,
- अगर किसी ने आपका password या recovery phone बदल दिया है, तो Google के account recovery page से शुरू करें और सवालों के जवाब जितना सही दे सकें उतना दें।
- Account के activity को जाँचें और अनजान devices को हटाएँ।
- जिन दूसरी services में वही password use हुआ था, उन services के भी passwords बदलें।
- 2-Step Verification चालू करें। अगर “less secure apps” की access चालू है, तो Google उसे बंद करने की सलाह देता है।
- ज़्यादा सुरक्षा चाहिए तो Google का Advanced Protection Program देखें (पर इसको चालू करने के लिए security key ज़रूरी है)।
अगर आप Google Workspace (business email) इस्तेमाल करते हैं, तो Google की admin checklist के अनुसार,
- संदिग्ध user account को अस्थायी रूप से suspend करें।
- Admin audit logs में देखें कि कोई settings तो नहीं बदली गई।
- Email log search से आने-जाने वाले emails जाँचें।
- उस account का access revoke करें और password reset करें।
- Account unsuspend करें, recovery options update करें, और activity alerts चालू करें।
Playbook 3: Compromised Google Ads Account
अगर आप Google Ads पर Advertisement चलाते हैं और अनजान charges या campaigns दिख रहे हैं, तो Google की official guidance के अनुसार,
- पहले अपना Google account recover करें।
- Google Ads के “Report compromised account” से इसकी सूचना दें।
- अगर आपका dedicated account manager है, तो उसे तुरंत call करें।
- Account recover होने के बाद 2-Step Verification चालू करें।
Google के अनुसार इसके बाद वह प्रभावित account की जाँच करता है, unauthorized activity को हटाता है, और 2-Step Verification चालू होने पर unauthorized activity से हुए charges के reimbursement की प्रक्रिया भी करता है।
Free Incident Response Plan Template: Incident Log
नीचे दिया हुआ template अपने Notes, Google Doc या diary में copy करें। 6-hour नियम और police या बैंक से बात करते समय यह आपका सबसे बड़ा सहारा बनेगा,
| INCIDENT LOG Date and time noticed: Who noticed it: What was noticed (short description): Accounts / systems affected: Money lost (amount, bank, transaction IDs): ACTIONS TAKEN Time | Action | Done by REPORTED TO Bank (time, reference no.): 1930 / cybercrime.gov.in (time, acknowledgement no.): CERT-In (time, reference): Google / other platform (time, ticket): Customers informed (date, how): NEXT STEPS |
Free Template: Emergency Contact Card
इसे आपके cyber incident response plan का पहला पन्ना समझिए और आप इसको प्रिंट करके अपने दुकान या office में लगा दिजिए, और अपने फ़ोन में भी save कीजिए,
| CYBER EMERGENCY CONTACTS Cyber fraud helpline: 1930 Portal: cybercrime.gov.in CERT-In: incident@cert-in.org.in | 1800-11-4949 My bank’s fraud helpline: ______________________ Hosting / website provider: __________________________ Our IT person / lead for incidents: ___________________________ |
30-Minute Checklist to Prepare Your Cyber Incident Response Plan
आपकी कोई भी system hack होने से पहले ये तैयारी कर लें,
- अपने सभी महत्वपूर्ण accounts पर 2-Step Verification चालू करें
- Google account की recovery details (फ़ोन और backup email) अपडेट करें
- एक Point of Contact तय करें जो incident की स्थिति में lead करेगा
- Systems और services के logs चालू रखें
- ऊपर दी गई Emergency Contact Card भरकर लगाएँ
- Incident Log template को अपने shared drive में रखें
- एक password manager का use करें ताकि हर account का password अलग रहे
Common Mistakes to Avoid
- इंतज़ार करना: शुरुआती समय सबसे कीमती है, इसलिए “देखते हैं शायद ठीक हो जाए” वाली सोच नुकसान को और बढ़ाती है।
- एक ही password कई जगह पे use करना: Google की guidance भी कहती है कि जिन accounts में same password होता है, उन्हें बदलना बहुत ज़रूरी है।
- सबूत मिटा देना: Messages, emails और logs को delete करने से जाँच कठिन हो जाती है।
- सिर्फ़ बैंक को बताना: केवल बैंक को सूचित करने तक सीमित ना रहे इसके साथ-साथ 1930 और cybercrime.gov.in पर भी report करें।
- Customers को न बताना: जब personal data leak हो जाता है, तब कानून प्रभावित लोगों को बिना देरी के सूचित करने की बात करता है।
Final Takeaway: Build Your Cyber Incident Response Plan Today
Cyber हमला यह किसी के साथ भी हो सकता है, लेकीन इससे बचने की तैयारी से उसका नुकसान काफ़ी कम किया जा सकता है। एक अच्छा cyber incident response plan काफी महँगा या complex नहीं होता। इस post से तीन चीज़ें आज ही कर दिजिए: Emergency Contact Card भरिए, 2-Step Verification चालू कीजिए, और Incident Log template अपने shared drive में रखिए। यह सब सिर्फ 30 मिनट का काम है।
Frequently Asked Questions
Q1. Which Number Should I Call If Money Is Fraudulently Debited Online?
Ans: तुरंत 1930 पर call कीजिए, जो राष्ट्रीय cyber fraud helpline है। इसके बाद cybercrime.gov.in पर पूरी शिकायत दर्ज कीजिए और बैंक को भी सूचित कीजिए।
Q2. Is the 1930 Helpline Available 24 Hours?
Ans: Kerala Police के official page के अनुसार 1930 helpline 24 घंटे उपलब्ध होती है।
Q3. Do Small Businesses Have to Report to CERT-In?
Ans: CERT-In की Directions “body corporate” समेत कई संस्थाओं पर लागू होती हैं। आपके बिज़नेस पर यह कैसे लागू होता है, यह कानूनी सलाहकार से confirm करें। गंभीर incident में report करना हि सुरक्षित रास्ता होता है।
Q4. What Should I Do First If My Gmail Is Hacked?
Ans: Google के account recovery page से शुरू करें, अनजान devices हटाएँ, उसी password वाले दूसरे accounts के passwords बदलें, और 2-Step Verification चालू करें।
Q5. When Do the DPDP Breach Rules Apply to My Business?
Ans: DPDP Rules नवंबर 2025 में notify हुए है और उनके लिए 18 महीने की phased compliance अवधि है। किस नियम की क्या तारीख़ है, यह MeitY की official Rules PDF (MeitY official website) में देखें।
Official Sources and Further Reading
- CERT-In Directions (28 April 2022): official website
- PIB, DPDP Rules 2025 Notified (17 Nov 2025): pib, dpdp rules
- MeitY, Full DPDP Rules 2025 (PDF): meity.gov.in
- National Cyber Crime Reporting Portal: cybercrime.gov.in
- Google Help, Secure a hacked or compromised Google Account: support.google.com
- Google Workspace Admin Help, Identify and secure compromised accounts: support.google.com
- Google Ads Help, What to do if your account is compromised: support.google.com/google-ads
Disclaimer: यह post सामान्य जानकारी के लिए है, कानूनी सलाह नहीं है। नियम और helpline की जानकारी समय के साथ बदल सकती है, इसलिए official sources पर जाकर latest जानकारी को जरूर देखें।