01 · 成熟度自评模型（5域5级）
参考DSMM（GB/T 36073-2018）"非正式执行—计划跟踪—充分定义—量化控制—持续优化"五级思想，结合本子课题能力域定制。自评方法：对5个能力域分别定级（取各域评分的众数），每级需同时满足"制度—流程—工具—证据"四要素，防止"有制度无运行"的虚高自评。
| 能力域 | L1 初始 | L2 计划 | L3 定义 | L4 量化 | L5 优化 |
|---|---|---|---|---|---|
| 治理与组织 | 无应急组织，事件靠临场 | 有预案文本，职责模糊 | 预案三层体系+RACI明确，管理层知情 | 高管定期审议KRI，预算与演练计划制度化 | 治理融入NIST 800-61r3的Govern功能，跨部门演练常态化 |
| 监测与发现 | 无外部监测，靠用户投诉 | 接入商业情报服务，无内部分流 | 内外双层监测（第3页四层体系）+告警分级 | MTTD量化达标，Canary与水印体系在线 | 情报反哺反钓鱼闭环，发现能力持续调优 |
| 溯源与取证 | 日志不全，无法还原 | 日志集中，留存≥6个月 | 审计全覆盖+完整性保护+取证流程文档化 | 能力达第4页L4级（标记溯源），证据包模板化 | 司法就绪（L5），与鉴定机构协作机制运行 |
| 响应与通报 | 无法定动作概念 | 知道义务，无报送模板 | 法定动作对齐表落地，报送路径预置 | MTTR量化，通知决策留痕率100% | 行业协同报送，演练覆盖全部场景库 |
| 恢复与韧性 | 无备份或无验证 | 有备份，未演练恢复 | 3-2-1-1-0落地，季度恢复演练 | RTO/RPO达成率量化，不可变备份全覆盖 | 勒索场景全链路演练达标，韧性成为管理报告指标 |
说明：本模型为课题自评框架（非国家标准条款）；与DSMM测评、等保2.0测评结果互相印证使用。
02 · KRI/KPI指标体系
| 指标 | 定义 | 参考目标（建议值） | 数据来源 |
|---|---|---|---|
| 平均检测时间 MTTD | 从攻击/泄露发生到组织发现的平均时长 | 内部事件≤24小时 | SIEM/事件台账 |
| 平均响应时间 MTTR | 从确认事件到完成遏制的平均时长 | ≤4小时（高危事件） | 事件单时间线 |
| 外部先于内部发现占比 | 由第三方先于组织发现的事件占比 | 持续下降，趋近0 | 事件来源统计 |
| KEV漏洞修复达标率 | KEV入列漏洞72小时内修复的比例 | ≥95% | 漏洞管理平台 |
| 恢复演练达标率 | 季度恢复演练中RTO/RPO达标次数占比 | 100% | 演练记录 |
| 不可变备份覆盖率 | 纳入不可变/离线保护的关键系统备份占比 | 100% | 备份平台 |
| 钓鱼点击率 | 模拟钓鱼演练中的点击率/凭证提交率 | 逐季下降（对齐行业基线） | 演练平台（本学院攻防演练） |
| 法定动作留痕率 | 事件处置记录完整覆盖义务图谱的比例 | 100% | 第2页证据目录核对 |
| 通知决策文档化率 | 第57条豁免/通知判断均留存书面评估的比例 | 100% | 法务台账 |
| 整改闭环率 | 复盘整改项按期闭环的比例 | ≥90% | 风险台账 |
说明：参考目标为课题建议基线，组织应按行业、规模与风险容忍度调整；指标口径应写入内部指标定义文件并保持一致性。
03 · 三年实施路线图
| 阶段 | 关键任务 | 验收标准 |
|---|---|---|
| 0—3月 | 义务差距分析（第2页图谱）；预案建档；日志留存核查与补齐；应急通讯录与外部资源（律师/鉴定/保险）协议签署 | 义务图谱覆盖率100%；预案通过管理层签发；日志抽查达标 |
| 3—12月 | 审计与DLP部署；商业暗网监测接入；首个"泄露场景"跨部门桌面推演；从不可变备份完成首次恢复演练；57条通知模板法务审定 | MTTD基线建立；演练报告+整改项；通知决策树全员培训 |
| 第2年 | UEBA规则上线；水印/Canary试点；红蓝对抗实测；供应商与并购安全条款模板化；KRI/KPI首年度报告 | 不可变备份覆盖率100%；MTTR改善≥50%；KPI看板运行 |
| 第3年 | 证据包模板化与鉴定协作；行业协同（反钓鱼工作组）情报互通；成熟度自评达L4；对照审计清单完成预演 | 自评报告；审计预演零重大缺陷；管理层年度审议常态化 |
04 · 审计核查准备清单
对照《个人信息保护合规审计管理办法》（2025年5月1日施行）及等保2.0、DSMM测评关注点，预置以下材料目录（即第2页义务图谱"留痕证据"列的运行化）：
| 材料类别 | 具体材料 |
|---|---|
| 制度类 | 应急预案（三层）及修订记录、事件分级制度（GB/T 20986-2023映射）、信息安全政策（含员工监测告知条款）、保密与水印制度 |
| 运行类 | 演练方案/脚本/评估报告（近一年）、真实事件处置卷宗（时间线、遏制记录、报告回执）、备份恢复演练记录、KEV漏洞处置台账 |
| 通知与报告类 | 第57条影响评估模板及实例、通知文本与发送记录、豁免判断书面依据、向主管部门报告的台账与回执 |
| 技术证据类 | 日志留存策略配置与抽查记录、数据库审计覆盖清单、不可变备份配置证明、取证流程执行记录与校验值 |
| 改进类 | 复盘报告、整改台账（闭环证据）、成熟度自评报告、KPI年度报告 |
预演纪律：每年抽取一个真实或模拟事件，按审计视角"陌生人对卷"——不看解释只看材料，能否还原完整动作链？任何断点即为下一年度整改项。
05 · 组织保障与RACI
| 关键活动 | 安全负责人 | 法务合规 | IT/运维 | 业务负责人 | 管理层 |
|---|---|---|---|---|---|
| 预案制定与签发 | R | C | C | C | A |
| 监测与研判 | A/R | I | R | I | I |
| 遏制与恢复 | A | I | R | C | I |
| 影响评估 | R | A | C | C | I |
| 通知与报告 | C | A/R | I | C | A（重大） |
| 复盘与整改 | A/R | C | R | C | A |
| 审计对接 | R | A/R | C | I | A |
R=执行，A=问责，C=咨询，I=知会。建议设立"个人信息保护负责人"（个保法第52条要求处理量达到规定数量的处理者指定）作为通知义务的法定接口人。
06 · 全文总结与课题导航
本子课题八页构成一个自洽的闭环：第1页回答"为什么必须一体化治理"；第2页把"立即、及时、按照规定"翻译为五对应义务图谱与法定动作序列；第3页解决"能不能先于攻击者发现"；第4页解决"能不能说清谁、何时、泄露了什么"；第5页解决"能不能在法定时限内完成补救、报告与告知"；第6页解决"能不能拒绝勒索者的筹码"；第7页用8个公开案例验证上述方法的有效性；第8页回答"如何证明这一切在运行"。
| 页码 | 主题 | 核心交付 |
|---|---|---|
| 01 | 研究总览与背景定位 | 三重态势判断、五层分析框架 |
| 02 | 法律与制度基座深度解读 | 义务图谱总表、法定动作序列 |
| 03 | 数据泄露监测与情报体系 | 四层情报体系、验证四步法、影响评估模型 |
| 04 | 数据泄露溯源与电子数据取证 | 日志基线、水印体系、取证六步、L1—L5分级 |
| 05 | 网络安全事件应急响应与监管报送 | 五阶段流程、法定动作对齐表、告知决策树 |
| 06 | 勒索软件治理与双重勒索应对 | 三支柱基线、支付决策树、韧性验证 |
| 07 | 重大数据泄露与勒索事件案例深度复盘 | 8案例教训库、7类根因聚类、自查清单 |
| 08 | 成熟度评估、审计核查与实施路线图 | 5域5级自评、KPI体系、三年路线图、审计清单 |
07 · 常见审计问询问题与答辩要点
对照《个人信息保护合规审计管理办法》及等保2.0测评实践，预演以下高频问询——答辩质量取决于"证据是否随问随取"：
| 审计问询 | 答辩要点（对应证据索引） |
|---|---|
| 应急预案最近一次修订与演练是什么时候？ | 出示演练方案、脚本、评估报告与整改闭环记录（第04节"运行类"材料） |
| 发生泄露后，能否在2小时内定位涉及的数据表与个人信息种类？ | 现场演示数据地图/RoPA检索；出示最近一次演练的计时记录 |
| 上次备份恢复演练的RTO/RPO实际值是多少？ | 出示演练记录与目标比对；未达标项附整改计划与时限 |
| 援引第57条豁免不通知个人的判断依据是什么？ | 出示书面影响评估（法务与个人信息保护负责人双签）及"能够有效避免危害"的论证链 |
| KEV目录漏洞的平均修复时长是多少？ | 漏洞管理平台台账导出；达标率与例外审批记录 |
| 能否完整还原"立即补救—报告—告知"时间线？ | 按第2页义务图谱"留痕证据"列逐条对卷（"陌生人对卷"预演纪律） |
答辩纪律：所有数字必须来自系统台账而非口头记忆；无法当场出示证据的承诺，在审计语境中等同于不存在。
本节参考来源（第8页）
以下均为真实可查的权威来源，用于支撑本页事实性表述。
GB/T 36073-2018《信息安全技术 数据安全能力成熟度模型》：国家标准全文公开系统。
《个人信息保护合规审计管理办法》（国家网信办令第18号，2025年2月公布、5月1日施行）；GB/T 22239-2019（等保2.0）：中国网信网、国家标准全文公开系统。
《个人信息保护法》第52条（个人信息保护负责人指定要求）：中国政府网。
NIST SP 800-61 Rev.3（2025年4月，Govern功能与持续改进框架）：NIST CSRC。
本课题第2—7页各章节（义务图谱、KRI口径、演练体系等）为本页框架的直接输入。
《个人信息保护合规审计管理办法》（2025年5月1日施行）及国家网信办发布的配套理解与适用材料：中国网信网。