| 对内 | 业务负责人、IT 值班、管理层 |
|---|---|
| 对外 | 法务/合规、监管、客户通知 |
| 要素 | 何事/何时/影响/已做动作/下一步 |
| 禁忌 | 用被控邮箱发通报 |
通报要素模板（复制后填空）
通报要素模板（复制后填空）
【安全事件通报】10 月 12 日 02:14 UTC 发现 web01 存在可疑外联；
影响：该主机官网服务已隔离，目前未发现数据外泄迹象；
已做：隔离主机、封禁 C2、留存证据；
下一步：完成镜像分析与全量排查，预计 24 小时内给出结论。对外沟通口径要随技术结论同步更新，避免前后矛盾被放大。
事件通报与升级路径
明确谁在什么时限内通知谁：安全团队、业务负责人、法务合规，必要时监管与客户。通报要素用一段式模板，防止信息缺项来回问。
易错点
- 事件进行中大范围转发邮件：信息不完整引发误导
- 忘了监管与客户侧的报告时限，事后补报被动
数据来源与参考
- NIST SP 800-61 附录：事件通告
- GB/T 20985.1-2017 信息安全事件管理