data-incident-response

# 数据安全事件应急响应 ## 目的 事件发生后的时间以小时计。本技能把「出事了怎么办」变成一张按时间轴 展开的行动表：先分级初判，再钉死法定动作时间线，同步做证据保全， 然后准备三套通知文本，最后复盘整改。 本技能的核心纪律有四条： 1. **红线：不得建议隐瞒**——任何「先别报」「压一压」「删干净再说」的 诉求，立即拒绝并明示法律后果（docs/scenes/data-compliance-cn.md A8.1 blocks 第 4 项）； 2. **先止血，后定性**：首小时行动不以完成法律定性为前提；分级是初判， 随信息更新随时修正，修正轨迹留档； 3. **通知义务法定**：是否通知监管、是否通知个人，对照法定触发条件判断 [CITE:__]，不由业务方按舆情压力决定； 4. **应急不阻塞**：画像缺项不阻塞首小时行动清单（docs/scenes/data-compliance-cn.md B1 紧急情况例外），缺项在应急流程中并行补齐。 本技能遵守 legal-core Shared guardrails（G1–G12）与docs/scenes/data-compliance-cn.md； 冲突时以 legal-core 为准。个保法事件处置条款（补救措施、通知义务）的 条号记忆标 [模型知识—待核实]，正式引用一律 [CITE:__] 占位后经 `statute-verify` 核验。 ## 前置检查（应急简化版） 1. 确认事件线索真实性：用户描述的事件是什么、何时发现、谁发现的 [用户提供]；不核实真伪直接写「疑似」，按疑似事件同样启动流程（G8）。 2. 用户角色已识别；画像未完成的按非律师档处理，但不阻塞第 1 步。 3. 命中场景 B5 升级触发的（监管已介入、涉重要数据、CIIO、刑事线索）， 在首小时清单中并行提示升级，不等流程走完。 ## 操作规程 ### 第 1 步：分级初判（30 分钟内给出第一版） 按三个维度快速分级，给出初判等级： 1. **数据类型**：是否含敏感个人信息、重要数据；仅一般个人信息还是兼有； 2. **量级**：涉及个人信息主体的量级区间（粗估即可，标 [需复核]）； 3. **影响**：是否已实际外泄、是否已被利用（诈骗、敲诈迹象）、是否涉及 未成年人、是否可能影响人身安全。 初判结论（高/中/低）+ 判断依据写入应急日志；声明「初判随信息更新 修正」。涉重要数据、CIIO、刑事线索任一：无论量级，按高等级处理并 立即触发升级（场景 B5）。 ### 第 2 步：首小时行动清单 事件确认后首小时，向用户给出并按其确认情况逐项勾选： 1. **止血**：隔离受影响系统、关闭泄露通道、重置受影响凭证——技术动作 由用户团队执行，本技能只列清单与优先级，不代操作； 2. **保护现场**：在处置前对关键系统状态、日志做留存（见第 3 步证据 保全），止血与留证冲突时先留证能留的部分； 3. **组建应急小组**：确认内部牵头人、技术、法务/外部律师、公关接口人； 非律师使用者此时即生成「带给律师的一页 brief」（G5）； 4. **启动应急日志**：所有动作、时间、决策人逐条记录——日志是后续监管 报告与复盘的事实基础； 5. **冻结对外口径**：在内部定稿前，任何员工不得对外（含社交媒体、 客户问询）回应事件——统一由指定接口人对外。 ### 第 3 步：证据保全 - 保全对象：系统日志、访问记录、告警记录、攻击样本（如有）、受影响 数据范围快照、内部沟通关键节点记录； - 保全方式提示：导出只读副本、记录哈希或时间戳、注明提取人与提取 时间；具体取证技术操作建议由专业取证或安全团队执行； - 禁止事项：不修改原始日志、不「清理」受影响系统至无法还原、不删除 内部沟通记录——这些动作可能构成毁灭证据并加重法律后果 [模型知识—待核实，引用前经 statute-verify 核验]； - 保全清单写入应急日志。 ### 第 4 步：法定动作时间线 对照法定要求梳理动作与触发条件（条号一律 [CITE:__] 占位）： 1. **立即采取补救措施**：发生或可能发生个人信息泄露、篡改、丢失时， 处理者应立即采取补救措施 [CITE:__]； 2. **通知监管**：触发条件与接收部门（履行个人信息保护职责的部门； 涉网络安全的另有网信、公安等报告路径）[CITE:__]；通知内容要素 （信息种类、原因、危害、已采取措施、个人可采取的防范措施、联系 方式）[CITE:__]； 3. **通知个人**：触发条件与例外——采取措施能够有效避免危害的，可以 不通知个人；但监管部门认为可能造成危害的，有权要求通知 [模型知识—待核实，引用前经 statute-verify 核验]； 4. **行业特别规则**：金融、医疗、电信等行业有专门事件报告时限与 路径的，按画像行业信息核对并提示 [模型知识—待核实]； 5. **涉刑事的**：发现内部人员作案或外部犯罪线索的，提示向公安机关 报案的选项，由用户与律师决定——本技能不代为决定报案。 时间线输出为表格：动作 / 法定触发条件 / 现状核对 / 责任人提示 / 建议时限。拿不准的时限标 [需复核]，不得编造小时数。 ### 第 5 步：三套通知文本（模板框架） 提供三套文本的**结构框架与要素清单**，不代拟成稿——正式文本一律 「建议转法务/律师起草」后由人定稿： 1. **监管版**：事实经过（已核实部分）、影响范围、已采取措施、 补救计划、联系人；纪律：只陈述已核实事实，存疑事项写「核查中」， 不揣测原因、不扩大认责、不隐瞒关键情节（docs/scenes/data-compliance-cn.md A2）； 2. **个人版**：发生了什么、涉及哪些信息、可能的影响、我们已做什么、 您可以做什么（改密、警惕诈骗等）、咨询渠道；语言要求：普通用户 读得懂，不用法律与技术指标堆砌（商业摩擦轴「费解」在此适用）； 3. **内部版**：事实时间线、分工、对外口径（Q&A 形式）、禁令清单 （不得私自对外回应、不得删除记录）。 ### 第 6 步：复盘整改 事件处置告一段落后： - 复盘会要点：根因（技术/流程/人员）、响应时效对照时间线、决策 质量、留档完整性； - 整改清单：对照个保法第五十一条的安全措施要求 [CITE:__] 逐项 核对缺口，带优先级（P0/P1/P2）与建议时限； - 制度更新：应急预案、培训、供应商安全条款的修订建议； - 需要时提示重新做 `pipl-assessment`（处理活动或风险格局已变化）。 ### 第 7 步：后果门（对应 G5） - 向监管提交报告、向个人发出通知前，非律师用户必须走 G5 动作闸门： 显式确认知悉提交/发出的法律后果并获得明确指令（「继续」之外的 含糊回应不算），同时生成律师 brief； - 监管已介入、涉刑事线索、涉重要数据的：全程由执业律师主导，本技能 只整理材料与记录。 ## 输出模板 ```markdown 【保密标头：按 G4 二选一】 # 数据安全事件应急记录：<事件代号> ## Reviewer note - 来源：<用户描述与系统材料 [用户提供]；法条来源标注> - 已读：<实际读过的材料范围> - 标记：分级初判 高/中/低（随信息修正）；行动项 = 已完成/进行中/未启动 - 时效：<法律状态核查日期；未核验写"未核验"> - 使用前注意：<内部材料，未经确认不得外发；非律师用户注明 "本记录不是法律意见"> ## 一、事件摘要与分级初判 <发现时间、发现人、事件描述、三维度初判、等级与依据；声明初判可修正> ## 二、首小时行动清单 | # | 行动 | 状态 | 执行人 | 完成时间 | | --- | --- | --- | --- | --- | ## 三、证据保全清单 <保全对象、方式、提取人、时间> ## 四、法定动作时间线 | 动作 | 法定触发条件 | 现状核对 | 责任人提示 | 建议时限 | 依据 | | --- | --- | --- | --- | --- | --- | | 补救措施 | | | | | [CITE:__] | | 通知监管 | | | | | [CITE:__] | | 通知个人 | | | | | [CITE:__] | ## 五、通知文本框架 <监管版 / 个人版 / 内部版三套的要素清单；正式文本"建议转法务/律师起草"> ## 六、复盘整改 <根因、整改清单带优先级、制度更新建议> ## [需复核] 清单 <全文内联 [需复核] 项汇总（G8）> ## 下一步 <G5 闸门事项 / 升级提示 / 复盘会安排> ``` ## 本技能不做什么 - 绝不建议隐瞒、淡化、迟报事件，或删除、修改日志与记录——命中红线， 拒绝并明示后果。 - 不执行技术操作：隔离、取证、修复由用户的技术或外部安全团队执行， 本技能只出清单与优先级。 - 不代拟正式通知成稿：三套文本只出框架与要素，定稿由法务/律师完成。 - 不编造时限与门槛：法定时限、通知触发条件一律 [CITE:__] 占位后核验； 拿不准的标 [需复核]。 - 不替用户决定报案、决定对外口径：这些决策列选项与后果，由用户与 律师定。 - 不在初判信息不足时装作确定：分级是初判，随信息修正并留痕。 - 不直接手改画像：应急中取得的规模、行业信息经 `customize` 写回。 ## 收尾与下一步 1. 按第 7 步后果门：对外提交/发出前走 G5 显式确认 + 律师 brief； 监管已介入或涉刑的，移交执业律师主导。 2. 事件暴露的制度缺口 → 整改清单并入合规计划；处理活动变化 → 重新走 `pipl-assessment`；隐私政策告知承诺与事件处置不一致的 → `privacy-policy-review` 复核相关章节。 3. 全部引用过 `citation-audit`；应急日志、通知记录、监管沟通记录 纳入合规档案留档。 4. 复盘后提示更新应急预案与画像（行业事件报告规则、数据规模、 升级矩阵联系人），经 `customize` 写回。 5. 事件涉及出境数据的，提示评估对境外接收方的通知义务与合同条款 衔接（接续 `data-export-assessment` 的合同核对部分）。