01 · 应急响应框架演进
应急响应的经典模型正在从"线性生命周期"走向"持续风险管理"。NIST SP 800-61第2版（2012年）确立的"准备—检测分析—遏制根除恢复—事后"四阶段长期是事实标准；2025年4月发布的第3版作出重大升级：将事件响应对齐到NIST CSF 2.0的六大功能（Govern治理、Identify识别、Protect保护、Detect检测、Respond响应、Recover恢复），强调治理（Govern）首次进入事件响应核心——管理层参与、政策资源保障、与供应链及执法机构的协同关系，都是响应能力的组成部分而非外围配套。工程界广泛使用的SANS PICERL六阶段模型（Preparation、Identification、Containment、Eradication、Recovery、Lessons Learned）则提供了更细的操作切分。国内落地以GB/T 20986-2023（分类分级与代码）与GB/T 38645-2020（演练指南）为方法锚点。
02 · 准备阶段：预案与演练体系
2.1 预案三层体系
| 层级 | 内容要点 | 更新频率 |
|---|---|---|
| 综合应急预案 | 应急组织架构、分级响应机制、资源保障、与监管报送的总接口 | 每年评审一次 |
| 专项预案：数据泄露 | 泄露研判流程、影响评估模板、第57条通知决策树、溯源取证启动条件 | 每年+每次真实事件后修订 |
| 专项预案：勒索软件 | 隔离决策、备份启用流程、支付决策的上会与留痕机制、执法联络 | 每年+每次演练后修订 |
| 现场处置方案 | 分角色的操作卡片：SOC值班员、系统管理员、法务、PR、客服话术 | 随系统变更同步 |
2.2 准备阶段的五项硬资产
- 数据地图与RoPA清单（依赖子课题01/02）：泄露影响评估的速度取决于"能否在2小时内回答涉及哪些表、哪些个人信息、多少人"。
- 应急通讯录与升级矩阵：技术、法务、PR、客服、管理层、外部律师、司法鉴定机构、保险公司——含备用联系方式，每季度核验。
- 取证工具箱：预授权的工具与镜像存储介质（见第4页取证流程），避免事件当天临时申请采购。
- 隔离与降级能力：预案中预批准的"断网/下线/关接口"决策权限清单，明确谁在什么级别事件下有权先斩后奏。
- 监管报送模板库：按第2页"报告对象矩阵"预置各主管部门的报告模板与台账格式。
03 · 检测与分析阶段
3.1 告警分诊与事件确认
检测阶段的核心产出是一份可信的事件画像：发生了什么（事件类型，按GB/T 20986-2023七大类定位）、影响了什么（资产与数据）、从何时开始、是否仍在持续。建议分诊四问：
- 是否真实事件？排除误报（DLP误报、用户误操作、测试流量）。
- 事件类型与级别？恶意程序/网络攻击/信息破坏……是否达到"数据泄露"或"勒索软件事件"（GB/T 20986-2023中勒索软件是恶意程序事件子类）。
- 涉及什么数据？调用数据地图与分级标签（子课题01），初判是否核心/重要数据、是否敏感个人信息。
- 是否触发法定动作？个保法第57条"发生或可能发生"即触发——"疑似"阶段的门槛很低，宁可过度启动。
3.2 分析要点：ATT&CK映射与影响评估并行
技术侧按MITRE ATT&CK战术标注攻击行为（初始访问→执行→持久化→权限提升→防御绕过→凭证访问→发现→横向→收集→外渗→指挥控制），判断当前所处阶段以预测下一步动作（如已见"收集/打包"行为，应优先封外发通道）；业务侧同步启动第3页影响评估四维度打分。两条线在第2页"黄金窗口"的时间盒内汇合，形成"初步影响评估结论"。
关键纪律：分析阶段必须同步进行证据保全（第4页取证六步）——遏制动作（关机器、清账号）一旦执行，部分易失性证据将不可恢复。取证优先不等于放任损害扩大，预案中应预置"取证窗口"（如先取内存镜像再隔离）与"紧急止损例外"的决策授权。
04 · 遏制阶段
4.1 遏制决策的三维权衡
遏制（Containment）的目标是在"证据保全、业务影响、泄露扩散"三者间取得平衡：
| 动作 | 适用场景 | 风险与对策 |
|---|---|---|
| 网络隔离 | 横向移动确认、勒索加密进行中 | 业务中断；预案预授权+快速恢复通道 |
| 账号冻结/凭证重置 | 凭证泄露或账号接管 | 误伤共享账号；同步排查服务账号依赖 |
| 接口与域名下线 | 暴露面接口被利用 | 对外服务中断；准备降级方案与公告话术 |
| 外发通道阻断 | 数据外渗进行中 | 可能刺激攻击者加速；评估后执行并加强监控 |
| 备份隔离保护 | 勒索场景 | 备份联动域被攻击（Change Healthcare教训，第7页） |
4.2 遏制的法定意义
数安法第29条与个保法第57条的"立即采取补救措施"，在实务中的主体内容就是遏制动作的执行记录。每一次遏制决策都应形成时间戳记录：谁、何时、基于什么判断、执行了什么、效果如何——这既是法定"补救措施"的证据，也是监管与审计评价响应质量的核心材料。
05 · 根除与恢复阶段
- 根除（Eradication）：清除持久化机制（后门、WebShell、恶意任务计划、违规账号）、修复根因漏洞、全量凭证重置（含服务账号与API密钥）、验证无残留。勒索场景下还需确认加密器未潜伏于备份与镜像中。
- 恢复（Recovery）：按"干净环境→基线系统→数据恢复→分阶段上线→加强监控"的顺序执行；恢复数据须经过恶意代码扫描；上线后提高该环境告警级别并延长观察期。
- 恢复验证：对关键业务执行恢复演练式验证（完整性校验、业务功能核对、抽样数据比对），并将验证结果纳入事件报告。
"恢复即安全事件"原则：恢复阶段是二次入侵的高发期——攻击者可能保留未被清除的访问通道，或利用恢复过程中临时开放的网络与权限。恢复期间的访问应视为"受控开放"：最小授权、全程审计、限期回收。
06 · 事后活动与持续改进
- 复盘会（Lessons Learned）：事件结束后两周内召开，技术线（检测为何滞后/遏制是否有效）、业务线（影响评估是否准确）、法务线（通知与报告是否合规）三线分别给出结论。
- 证据保全：与法务确认证据保留期限（应对潜在诉讼、监管问询与保险索赔），超期销毁走审批流程。
- 整改闭环：整改项入风险台账，明确责任人与期限；重大整改项向管理层专项汇报。
- 预案修订：每一次真实事件都是免费的演练——把本次事件的时间线写回预案的"场景库"。
- 审计归档：按第2页义务图谱的证据目录归档全套材料，作为合规审计（《个人信息保护合规审计管理办法》，2025年5月1日施行）的输入。
07 · 法定动作对齐与监管报送
| 响应阶段 | 对应法定义务 | 留痕要求 |
|---|---|---|
| 准备 | 网安法25条（制定预案）；数安法27条（全流程制度）；个保法51条（个人信息安全事件应急预案） | 预案及修订记录、演练报告、制度公示记录 |
| 检测分析 | 数安法29条（风险监测） | 告警与研判记录、定级依据（GB/T 20986-2023代码） |
| 遏制 | 数安法29条、个保法57条（"立即采取补救措施"） | 遏制决策时间线、操作日志、效果验证 |
| 根除恢复 | 网数条例（消除安全隐患、防止危害扩大） | 根因修复记录、恢复验证报告 |
| 报告与告知 | 网安法25条（按规定报告）；数安法29条（告知用户+报告）；个保法57条（通知部门+通知个人三要素）；民法典1038条；关基运营者双通道（关基条例） | 报告回执、通知文本与发送记录、豁免评估书面依据 |
| 事后 | 数安法30条（重要数据风险评估报告）；合规审计办法 | 复盘报告、整改闭环证据、审计材料 |
报送路径总图见第2页第06节"法定动作序列"；本表为阶段级对齐，操作级检查清单见第8页审计准备清单。
08 · 用户告知的决策与文案
8.1 决策树
- 事件是否涉及（或疑似涉及）个人信息？→否：按一般网络安全事件流程处理；→是：进入下一步。
- 是否"发生或可能发生"泄露、篡改、丢失？→是：立即补救义务触发（与第1步同步）。
- 补救措施能否有效避免危害？→能：可依法不通知个人，但必须留存书面影响评估；不能（或判断存疑）：通知个人。
- 通知是否齐备三要素（信息种类/原因/可能危害；补救措施与个人可采取的措施；联系方式）？→按模板发送并留存记录；监管部门另有要求的从其决定（个保法第57条但书后半句）。
8.2 通知文案要点
- 先说事实与风险，再说措施与建议：清晰说明"什么信息、因何事件、可能造成什么危害"，避免技术黑话。
- 给个人可执行的建议：修改密码、警惕精准诈骗电话/短信（这正是本学院反钓鱼教育的主场景）、关注账户异动、必要时挂失证件/卡片。
- 提供可信联系方式：官方客服渠道与事件专线，防冒名二次诈骗——攻击者常在泄露后冒充企业进行钓鱼，通知本身就是反钓鱼防线（发布渠道须经官方认证账号与官网双通道）。
- 留存证据：通知文本、发送范围、时间戳、渠道记录归档，纳入审计材料。
09 · 演练体系年度化
依据GB/T 38645-2020，建议按"小步高频"组织演练：
| 演练形态 | 内容 | 频率建议 |
|---|---|---|
| 桌面推演 | 围绕泄露场景脚本走查决策链（研判→遏制→通知），检验预案可执行性 | 每季度一次 |
| 专项技术演练 | 备份恢复演练（含勒索场景下从不可变备份恢复）、隔离演练、报送流程演练 | 每半年一次 |
| 实战演练/红蓝对抗 | 模拟窃取数据的完整攻击链，检验检测与遏制时效（MTTD/MTTR实测） | 每年一次 |
| 跨部门联合演练 | 技术+法务+PR+客服+管理层同场，演练"黄金24小时"全要素 | 每年一次（可与实战演练合并） |
演练记录（方案、脚本、评估报告、整改项）是预案"在运行"的直接证据，纳入合规审计材料；涉及真实个人信息的演练数据应脱敏或使用合成数据。
10 · 事件分级与响应启动矩阵（建议口径）
GB/T 20986-2023给出事件分级要素（影响对象的重要程度、影响范围、危害程度），组织应将其转化为可执行的启动矩阵——谁有权启动、多快启动、启动后做什么：
| 事件级别 | 启动主体 | 决策权限 | 内部初报时限建议 | 通报与联动 |
|---|---|---|---|---|
| 一般（Ⅳ级/蓝色） | SOC值班＋相关部门 | 值班经理 | 24小时内记录定级 | 内部台账，月度汇总分析 |
| 较大（Ⅲ级/黄色） | CSIRT | 安全负责人 | 4小时内初报 | 分管领导、法务知会 |
| 重大（Ⅱ级/橙色） | 应急指挥部 | 分管高管 | 1小时内初报 | 管理层、法务合规；评估主管部门报告 |
| 特别重大（Ⅰ级/红色） | 公司级指挥部 | 主要负责人 | 立即 | 全部法定通道（第2页报告对象矩阵），7×24轮值 |
10.2 CSIRT最小角色配置
| 角色 | 职责 |
|---|---|
| 事件指挥官 | 全局决策、资源调度、对外口径唯一出口 |
| 技术处置组 | 遏制、取证、恢复（第4、5页执行主体） |
| 法务合规联络 | 义务判断、通知与报告文本、证据保全的法律要件 |
| 对外沟通（PR/客服） | 用户告知执行、媒体口径、防冒名二次诈骗提示（第08节） |
| 记录员（Scribe） | 全程时间线记录——"决策留痕即法定补救证据"的第一责任人 |
说明：本矩阵时限为内部建议口径，法定口径以"立即/及时/按照有关规定"为准；矩阵应写入预案并随每次演练修订。
本节参考来源（第5页）
以下均为真实可查的权威来源，用于支撑本页事实性表述。
NIST SP 800-61 Rev.3《Incident Response Recommendations and Considerations for Cybersecurity Risk Management》（2025年4月发布，第2版同时撤回）：NIST CSRC。
GB/T 20986-2023（事件分类分级，含勒索软件事件子类）；GB/T 38645-2020（应急演练指南）：国家标准全文公开系统。
《网络安全法》第25条；《数据安全法》第29、30条；《个人信息保护法》第51、57条；《民法典》第1038条：中国政府网。
MITRE ATT&CK知识库：attack.mitre.org。
SANS事件处理六阶段模型（PICERL）与SANS Reading Room：SANS Institute。
《个人信息保护合规审计管理办法》（国家网信办令第18号，2025年5月1日施行）：中国网信网。
GB/T 20986-2023（事件分级要素）与《国家网络安全事件应急预案》（四级事件分级与红橙黄蓝预警）为本节矩阵的方法依据。