事件响应计划（incident response plan）是一份书面指引，说明当安全或可用性事件发生时，团队应做什么、由谁负责，以及如何沟通直到情况受控。它覆盖勒索软件、网络钓鱼导致的账户被盗用，以及让员工或客户无法使用关键系统的严重中断。
提前写好计划，可减少压力下的犹豫；目标是清晰步骤，而非完美文档。
什么算作事件
对多数中小企业，常见触发情况包括：
- 账户确认或疑似被盗用：邮箱、云管理或财务系统遭未授权使用。
- 恶意软件或勒索软件：文件被加密、出现勒索信息或大范围可疑活动。
- 数据暴露：个人数据被错发、公开或被复制。
- 重大服务中断：网站、支付、邮箱或内部系统长时间停摆。
- 付款或供应商欺诈：紧急要求更改银行账户，可能是商业邮件诈骗或深度伪造诈骗。
计划应写明谁可判定为“事件”，以及日常排障何时升级。
典型响应阶段
- 准备：联系人、权限、日志、备份与短清单。
- 检测与报告：员工如何上报、告警如何交给响应负责人。
- 遏制：隔离设备、重置凭据、撤销会话，或以可控方式暂停受影响服务。
- 清除与恢复：在可行范围内清除原因、从可靠备份还原，并按测试顺序恢复服务。
- 复盘：记录经过、有效做法，以及访问控制、监控或培训上要改什么。
对小团队，遏制往往比深度取证更重要。先阻止扩散，并保护支付与客户数据。
响应团队角色
即使公司规模小，也应指定角色并安排代理人：
- 事件负责人：判定严重程度、协调步骤、掌握时间线。
- 技术负责人：系统、云、邮箱与日志，并与外包服务商配合。
- 沟通：用批准措辞更新员工，必要时通知客户。
- 业务／财务：冻结付款、联系银行并安排替代方案。
- 法律／合规联系人：个人数据问题及顾问建议的通报步骤。计划不要自行编造法律责任，应指向专业意见。
保持最新联系清单：手机号码、MSP 或托管商、银行欺诈专线；香港网络事件可参考 HKCERT 事件报告（咨询热线 +852 8105 6060）。除云端外也应保留离线副本。
书面计划应写入什么
- 严重程度分级及各级须通知的人；
- 首小时清单：遏制、重置高价值账户、开设单一事件频道；
- 如何快速撤销访问，包括事件后检查基于角色的访问控制；
- 事件前已为邮箱、VPN、云管理与财务工具启用多重身份验证；
- 备份位置、谁可还原、最近一次成功还原测试日期；
- 外部联系人，以及何时可决定暂时关闭系统。
如何保持计划可用
人员变动、更换邮箱或云服务商，以及真实事件之后都应复核。每年可做一到两次桌面演练，并在有人离职时更新电话。计划不能代替软件更新、最小权限、日志与经过测试的备份。
常见问题
只有大公司才需要事件响应计划吗？
不是。小团队往往更需要清晰计划。先有联系人、严重程度规则与首小时清单，就足够起步。
这与灾难恢复计划有何不同？
灾难恢复侧重重大中断后还原系统与数据。事件响应覆盖攻击或疑似入侵期间的人员与安全步骤——遏制、凭据、沟通与证据——以及恢复。不少中小企业把两者放在同一份文档里，但仍会分开两份清单。
是否要聘请事件响应待命服务？
取决于风险与内部能力。不少企业由 IT 服务商做一线，复杂个案再找专家。应事先决定紧急时打给谁，并写进计划。
每起事件都要向监管机构报告吗？
取决于涉及数据、行业及顾问意见。计划应写明由谁判断、要多快决定。在香港，《个人资料（私隐）条例》目前没有强制要求通报数据泄露事件，但个人资料私隐专员公署鼓励资料使用者通过其资料外泄事故通报表格自愿通报。受监管机构（例如银行、证监会持牌机构）可能另有通报要求，应向顾问确认。网络事件的技术协助可参考 HKCERT 指引。
如需协助检查访问权限、日志或事件准备清单，可见我们的网络安全与合规服务。