通报与升级路径指什么
事件发生时，谁在什么时限内通知谁必须有明文规定：对内是业务负责人、IT 值班与管理层，对外是法务合规、监管与客户。通报内容用固定要素（何事、何时、影响、已做动作、下一步），避免来回追问耽误时间。最忌讳的做法是用可能已被控制的邮箱或群聊发布通报——那等于把处置进展同步给攻击者。
基本信息
| 对内对象 | 业务负责人、IT 值班、管理层 |
|---|---|
| 对外对象 | 法务合规、监管机构、客户 |
| 通报要素 | 何事、何时、影响范围、已做动作、下一步计划 |
| 优先渠道 | 带外渠道：电话、独立临时群、会议桥 |
| 禁忌 | 用被怀疑失陷的邮箱发通报 |
| 时限 | 按内部预案与所属行业监管要求逐条核对 |
典型使用场景
- 事件确认后的第一时间通报与升级
- 需要跨部门协调（业务、法务、公关）时的统一口径
- 监管与客户通知的准备与发布
- 演练中检验通讯录是否有效、通报时限是否可行
- 事件进展的定期同步，而不是只在开头报一次
- 结案通报：影响范围与整改情况
通报要素模板
通报要素模板
# 复制后逐项填空，缺项说明情况还没搞清楚，不要勉强发出去
# 【安全事件通报】某日某时发现某主机存在可疑外联；
# 影响：该主机的某服务已隔离，目前未发现数据外泄迹象；
# 已做：隔离主机、封禁外联地址、留存证据；
# 下一步：完成镜像分析与全量排查，预计多少小时内给出结论。
# 带外渠道交接临时口令时，只记录「已通过电话交接」这一事实，不写口令本身通报对象与重点
| 对象 | 内容重点 | 时限来源 |
|---|---|---|
| 业务负责人 | 服务影响与预计恢复时间 | 内部应急预案 |
| 管理层 | 影响级别与需要拍板的事项 | 内部应急预案 |
| 法务与合规 | 披露义务与措辞边界 | 法规与行业要求 |
| 监管机构 | 事件要素与整改计划 | 行业监管规定 |
| 客户或用户 | 影响范围与补救措施 | 合同约定与法务口径 |
通报是持续动作而不是一次性动作：约定固定节奏（例如每两小时一次进展通报），能明显减少各部门反复追问带来的干扰与误传。
对外口径要随技术结论同步更新：前后矛盾的表述会被放大成信任问题，因此对外信息必须经法务与公关确认后再发布。