در صورت نشت داده‌های هویتی چه اقداماتی لازم است؟

در چارچوب حقوق ایران، نشت داده‌های هویتی (اطلاعات شخصی شناسایی‌کننده مانند نام، کد ملی، شماره تماس، آدرس، تصویر ویدئویی/سلفی احراز هویت، اسکن مدارک، داده‌های بیومتریک، سوابق تراکنش هویتی) مستلزم اقدام فوری، مستند و متناسب با مقررات حوزه حفاظت از داده، افتای کشور و الزامات رگولاتورهای بخشی است. راهنمای عملی زیر با ارجاع به مقررات بالادستی و رویه‌های پذیرفته‌شده ارائه می‌شود: 1) اقدام فوری فنی-عملیاتی (Golden 24–72 hours) - مهار رخداد: قطع دسترسی‌های مشکوک، ایزوله‌کردن سامانه/سرویس آلوده، غیرفعال‌سازی کلیدها و توکن‌ها، تغییر کلمات عبور و اعمال MFA، مسدودسازی IP/دامنه‌های مخرب. - حفظ ادله الکترونیکی: طبق قانون جرایم رایانه‌ای و آیین دادرسی کیفری، لاگ‌ها، تصاویر حافظه، پیکربندی‌ها و تکه‌داده‌های مرتبط را بدون دست‌کاری نگهداری کنید تا قابلیت استناد قضایی حفظ شود. - ارزیابی اولیه شدت: نوع داده‌های افشا‌شده (به‌ویژه بیومتریک و مدارک هویتی)، حجم افراد متاثر، احتمال سوءاستفاده، دامنه جغرافیایی، و اثر بر خدمات حیاتی. مبنای حقوقی/فنی: - قانون جرایم رایانه‌ای 1388 (مواد 1 تا 3 و 11: دسترسی غیرمجاز، شنود و تخریب/اختلال؛ لزوم مستندسازی برای تعقیب) - دستورالعمل‌های مرکز ماهر/آپا و مرکز مدیریت امداد و هماهنگی عملیات رخدادهای رایانه‌ای (CSIRT ملی) 2) اطلاع‌رسانی و گزارش‌دهی به مراجع ذی‌صلاح - گزارش فوری رخداد به مرکز ماهر/امرتا (CERT ملی) و تیم آپای بخشی/سازمانی؛ پیروی از رویه Incident Handling ملی. - اگر ارائه‌دهنده خدمات پایه کاربردی سکو/پلتفرم داخلی هستید: رعایت الزامات قانون حمایت از کاربران و خدمات پایه کاربردی فضای مجازی (در حد مصوبات اجرایی)، و مصوبات کارگروه تعیین مصادیق م