事故應變計劃（incident response plan）是一份書面指引，說明當保安或可用性事故發生時，團隊應做甚麼、由誰負責，以及如何溝通直至情況受控。它涵蓋勒索軟件、網絡釣魚導致的帳戶被盜用，以及令員工或客戶無法使用關鍵系統的嚴重中斷。
及早寫好計劃，可減少壓力下的猶豫；目標是清晰步驟，而非完美文件。
甚麼算是事故
對多數中小企，常見觸發情況包括：
- 帳戶確認或懷疑被盜用：電郵、雲端管理或財務系統遭未授權使用。
- 惡意軟件或勒索軟件：檔案被加密、出現勒索字條或大範圍可疑活動。
- 資料外洩：個人資料被錯誤發送、公開或被複製。
- 重大服務中斷：網站、付款、電郵或內部系統長時間停頓。
- 付款或供應商詐騙：緊急要求更改銀行資料，可能屬商業電郵詐騙或深偽詐騙。
計劃應訂明誰可判定為「事故」，以及日常故障排查何時升級。
典型應變階段
- 準備：聯絡人、權限、日誌、備份與短清單。
- 偵測與通報：員工如何呈報、警示如何上報給應變負責人。
- 遏制：隔離裝置、重設憑證、撤銷工作階段，或以受控方式暫停受影響服務。
- 清除與復原：移除成因（如可行）、從可靠備份還原，並按測試次序恢復服務。
- 檢討：紀錄經過、有效做法，以及存取、監察或培訓上要改甚麼。
對小型團隊，遏制往往比深度取證更重要。先阻止擴散並保護付款與客戶資料。
應變團隊角色
即使公司規模小，仍應指明角色並安排代理人：
- 事故負責人：判定嚴重程度、協調步驟、掌握時間線。
- 技術負責人：系統、雲端、電郵與日誌，並與外判服務商合作。
- 通訊：以核准措辭更新員工，有需要時通知客戶。
- 業務／財務：凍結付款、聯絡銀行及安排替代方案。
- 法律／合規聯絡人：個人資料問題及顧問建議的通報步驟。計劃不要自行發明法律責任，應指向專業意見。
保持最新聯絡清單：流動電話、MSP 或託管商、銀行詐騙專線；香港網絡事故可參考 HKCERT 事故報告（諮詢熱線 +852 8105 6060）。雲端以外亦應保留離線副本。
書面計劃應寫入甚麼
- 嚴重程度分級及各級須通知的人；
- 首小時清單：遏制、重設高價值帳戶、開設單一事故頻道；
- 如何快速撤銷存取，包括事故後檢視角色權限管理（RBAC）；
- 事故前已為電郵、VPN、雲端管理與財務工具啟用多重身份驗證；
- 備份位置、誰可還原、最近一次成功還原測試日期；
- 外部聯絡人，以及何時可決定暫時關閉系統。
如何保持計劃可用
人事變動、更換電郵或雲端服務商，以及真實事故之後都應覆核。每年可做一至兩次桌上演練，並在有人離職時更新電話。計劃不能取代軟件更新、最小權限、日誌與經測試的備份。
常見問題
只有大公司才需要事故應變計劃嗎？
不是。小型團隊往往更需要清晰計劃。先有聯絡人、嚴重程度規則與首小時清單，已足夠起步。
這與災難復原計劃有何不同？
災難復原着重重大中斷後還原系統與資料。事故應變涵蓋攻擊或懷疑入侵期間的人員與保安步驟——遏制、憑證、溝通與證據——以及復原。不少中小企把兩者放在同一份文件，但仍會分開兩份清單。
是否要聘請事故應變待命服務？
視乎風險與內部能力。不少企業由資訊科技服務商做第一線，複雜個案才找專家。應事先決定緊急時打給誰，並寫進計劃。
每宗事故都要向監管機構報告嗎？
視乎涉及資料、行業及顧問意見。計劃應訂明由誰判斷、要多快決定。在香港，《個人資料（私隱）條例》目前沒有強制規定通報資料外洩事故，但私隱專員公署鼓勵資料使用者透過其資料外洩事故通報表格自願通報。受規管機構（例如銀行、證監會持牌機構）或有另外的通報要求，應向顧問確認。網絡事故的技術協助可參考 HKCERT 指引。
如需協助檢視存取權限、日誌或事故準備清單，可見我們的網絡安全與合規服務。