事件响应 · 规划
服务类别: 网络安全在安全事件发生之前，就决定好如何应对
我们帮助您编写一份实用的事件响应计划，针对您最可能遇到的情境制定应对手册，并通过桌面推演与管理层一起演练，让真实事件发生后的最初几个小时不必临场摸索。
概览
- 服务内容
- 制定事件响应计划和情境应对手册，并主持桌面推演
- 适合对象
- 员工约5至200人、尚无经过测试的书面事件响应计划的机构
- 交付成果
- 事件响应计划、角色分工和联络名单、情境应对手册、沟通模板、桌面推演以及事后复盘报告
- 明确不属于
- 取证预约服务、数据泄露调查、法律建议或赎金谈判服务
- 参考框架
- NIST CSF 2.0 的响应（Respond）和恢复（Recover）职能、NIST 事件处理指南，以及加拿大网络安全中心的事件规划指南
- 计价方式
- 计划和推演按固定费用收取，年度复核可选，均以书面报价确认
- 如何开始
- 预约咨询，选定演练情境和参与人员
事件响应规划能为您带来什么
事件响应计划明确规定在怀疑发生安全事件时谁负责做什么：谁有权关闭系统、谁联系保险公司、谁与员工和客户沟通、如何保全证据，以及企业如何判断何时可以安全地恢复运营。应对手册则针对具体情境提供逐步指引，例如勒索软件、邮箱被入侵或笔记本电脑丢失。
计划只有经过演练才能真正发挥作用。桌面推演把管理团队置于一个贴近现实的情境中，实时走一遍各项决策。它能在真实事件发生之前，暴露出缺失的联系人、不明确的决策权限，以及对备份或保险的错误假设。
这是一项规划服务，不是取证预约服务，也不是随时待命的数据泄露响应团队。计划的一部分内容，是确定在需要取证调查和法律建议时该联系谁（通常通过您的网络安全保险公司指定的服务商名单），并确保这些联系人已准备就绪。
为什么需要计划
没人知道由谁拍板
事件发生时，员工都在等待批准才敢断开系统或联系保险公司，白白浪费宝贵的时间。
缺少联系方式
保险公司的数据泄露热线、保单号和法律顾问的联系方式都埋在邮件里，而此时谁也打不开邮箱。
证据被无意中销毁
好心的员工在日志被保全之前就清除并重装了设备，给调查增加了难度。
不确定是否需要通知
管理层不确定隐私法律、合同或监管机构是否要求发出通知，也不清楚时限是多久。
我们与您共同制定的内容
事件响应计划
为您的机构量身编写，涵盖角色、决策权限、严重级别、上报路径、证据保全基本要求以及恢复决策标准。
联络与资源清单
内部角色、IT服务商、保险公司、数据泄露应对顾问、法律顾问、取证公司和主要供应商，离线也能随时取用。
情境应对手册
针对您可能遇到的情境编写的简明步骤，通常包括勒索软件、企业邮箱被入侵（BEC）、设备丢失或被盗，以及内部人员滥用数据。
沟通模板
面向员工、客户和供应商的消息草稿，使用前须经您的法律顾问审阅。
桌面推演
由我们主持，带领管理层走一遍不断演变的情境，过程中穿插突发状况和决策节点。
事后复盘报告
总结推演中的发现，提出计划更新和改进措施，并指定负责人。
服务范围
包含
- 与管理层、IT联系人和关键员工进行访谈
- 审阅您提供的保单中关于安全事件的要求
- 书面事件响应计划和联络名单
- 针对商定情境的应对手册
- 供法律审阅的沟通模板
- 一次由我们主持的桌面推演及事后复盘报告
不包含
- 取证预约服务，或对事件响应随时可用作出任何承诺
- 数据泄露调查、恶意软件分析或用于诉讼的证据处理
- 法律建议，包括是否适用《个人信息保护和电子文件法》（PIPEDA）或省级数据泄露报告规定
- 赎金谈判或支付
- 公共关系或危机沟通服务
使用的工具和参考标准
- NIST CSF 2.0 的响应（Respond）和恢复（Recover）职能
- NIST SP 800-61 事件处理指南
- 加拿大网络安全中心面向中小型机构的事件响应规划指南
- 与证据保全相关的 Microsoft 365 审计日志和 Defender 数据来源
- 加拿大隐私专员办公室发布的数据泄露报告资料，供您的法律顾问参考
适合哪些机构
没有书面计划的机构
如果今天发生事件，只能靠记忆和大家的热心来应对的企业。
持有个人信息的公司
医疗、会计、法律和非营利机构，需要随时准备好快速评估隐私方面的义务。
需要答复保险公司的管理层
网络安全保险申请中被问到是否有事件响应计划、是否经过测试的机构。
带来的好处
- 在事件发生后的最初几个小时做出更快、更清晰的决定
- 为保险公司、调查人员和法律顾问保全证据
- 在需要之前就商定好联系人和决策权限
- 管理层因演练过情境而更有信心
- 一份可向客户、保险公司和审计人员出示的书面计划
项目如何进行
前期摸底
我们访谈管理层和IT人员，审阅您的保险要求，并选定优先演练的情境。
起草计划
我们编写计划、联络名单和应对手册，并与您一起审阅。
设计推演
我们根据您的系统和人员，设计一个贴近现实、穿插突发状况的情境。
桌面推演
我们与您的管理团队一起进行推演，可远程进行，经确认后也可现场进行。
复盘与更新
我们提交推演发现，更新计划，并建议每年复核一次。
购买方式
费用为拟定价格，以书面报价确认。
计划与推演套餐
以固定费用提供完整计划、应对手册和一次桌面推演。
仅桌面推演
适合已有计划、需要检验其有效性的机构。
年度复核
每年更新一次计划和联系人，并以新情境进行推演。
关于数据泄露报告义务
根据《个人信息保护和电子文件法》（PIPEDA），如果涉及个人信息的安全防护遭到破坏，并造成重大伤害的实际风险，机构必须向加拿大隐私专员办公室报告并通知受影响的个人，同时保留所有此类泄露事件的记录。省级隐私法律和合同也可能适用。您的计划会写明由哪位法律顾问作出相关判断；我们不提供法律建议。
常见问题
这和事件响应预约服务是一回事吗？
不是。我们负责为您准备好计划和团队。与取证公司签订的预约服务（通常可通过您的网络安全保险公司获得）会在事件发生时提供调查人员。您的计划会写明是哪家公司以及如何启动其服务。
如果真的发生事件，你们会提供帮助吗？
如果您是我们的托管服务客户，我们会在约定的服务范围和时间内按照计划进行遏制并恢复系统。取证调查和法律建议则由计划中指定的专业机构提供。
一次桌面推演需要多长时间？
管理层通常需要投入几个小时。具体形式和时长会在设计情境时确认。
计划需要更新吗？
需要。人员、保险公司、系统和供应商都会变化。我们建议至少每年复核一次，并在发生重大事件或组织变动后及时更新。