事件沟通节奏
事件处理期间的沟通节奏决定协作是否有效：首报要快，后续按小时或阶段更新。每次同步固定写五段内容——状态、影响、已做、待决、下次更新时间，这样所有参与者都能对齐同一份事实，而不是各自猜测进度。
基本信息
| 首报要求 | 确认事件后尽快发出，先给结论与影响面 |
|---|---|
| 更新频率 | 平稳期按小时，重大阶段结束时立即更新 |
| 固定结构 | 状态、影响、已做动作、待决事项、下次更新时间 |
| 渠道划分 | 内部同步与对外沟通分开 |
| 留档方式 | 每次更新留档，可并入报告附录 |
| 责任分工 | 指定单一对外同步人，避免多头发布 |
典型使用场景
- 向管理层快速说明事件影响与进展
- 与运维、业务、合规保持同一事实基线
- 记录决策依据与决策时间点
- 交接班时避免信息在传递中丢失
- 复盘时还原响应过程与决策链条
最小示例
最小示例
# 内部同步示例（纯文本，便于复制到工单或群公告）
# 状态：遏制中
# 影响：2 台主机已隔离，业务未中断
# 已做：封禁外联域名；相关账号临时禁用并重置口令
# 待决：是否对同网段其余主机做全量排查（需审批）
# 下次更新：16:00
# 每次更新附上本次新增与变更的证据编号要素与要求
| 要素 | 内容要求 | 常见问题 |
|---|---|---|
| 状态 | 调查、遏制、恢复或关闭 | 用词含糊导致理解偏差 |
| 影响 | 受影响范围与业务中断情况 | 只写技术细节不写业务影响 |
| 已做 | 具体动作与完成时间 | 把计划写成已完成 |
| 待决 | 需决策事项与审批人 | 隐含假设没有列出 |
| 下次更新 | 明确的时间点 | 不写具体时间等于没有承诺 |
对外发布口径由指定渠道统一输出，内部讨论不直接外发，避免未定稿信息扩散造成二次影响。
每次更新写明新增与变更的部分，接收方才不需要重读全部内容就能抓住进展。
沟通材料不要附带未脱敏的账号口令、个人数据与原始证据文件；截图也可能包含敏感信息。