交接文档决定信息是否断层
事件响应常跨班次进行，交接文档是信息传递的唯一可靠载体。一份合格的交接要写清四块内容：当前处置状态、尚未闭环的动作、已发现但未定性的可疑线索、待办事项与对接联系人。只写「一切正常，继续跟进」的交接等于把上一班的工作全部丢失。
口头补充加书面确认
书面模板保证覆盖，口头过一遍保证理解一致。交接时双方按模板逐项确认，重点是未闭环事项的当前进度与下一步由谁执行；确认方式可以是签字，也可以是工作群内的明确回复，留下可追溯的确认记录。
基本信息
| 适用平台 | 应急响应团队内部流程，与工具无关 |
|---|---|
| 四块内容 | 状态 / 未闭环 / 可疑线索 / 待办与联系人 |
| 形式 | 固定模板加口头确认 |
| 确认方式 | 双方签字或工作群内书面确认 |
| 保存 | 与事件处置记录一并归档 |
典型使用场景
- 夜间到白天交接：把夜间采集状态与未完成动作交代清楚
- 人员轮换：新接手者按未闭环清单继续推进，不必重新梳理
- 跨组协作：向网络组或业务方明确待他们完成的事项与时限
- 长周期事件：每天固定时间交接，形成连续记录
- 结案前核对：逐条确认所有交接过的未闭环项都已了结
交接模板
交接模板
【状态】遏制完成，进入溯源阶段；已隔离 H1、H2
【未闭环】H2 内存镜像待采集（原因为设备被业务占用，预计 06:00 释放）
【可疑线索】
- 域名 updates.example.invalid 仅在 03:2x 出现 2 次解析，来源进程待确认
- H1 的 03:15 存在一条来源不明的计划任务，已导出未分析
【待办】
- 对接人：业务方-刘工（电话见值班表），确认 03:20-04:00 的操作授权
- 对接人：网络组-李工，确认出口防火墙该域名封禁是否已下发
【确认】白班-王工 已接收，2026-01-02T09:10Z交接内容填写要点
| 板块 | 必须包含 | 避免 |
|---|---|---|
| 状态 | 当前阶段与已完成的关键动作 | 只写「正常」或「无异常」 |
| 未闭环 | 事项、当前进度、阻塞原因、预计完成时间 | 含糊描述导致接班者重复排查 |
| 线索 | 已有证据指向与尚未确认的部分 | 把推测写成结论 |
| 待办与联系人 | 每项有对接人与联系方式位置 | 只写团队不写人 |
联系人信息按最小必要原则共享：只提供必要的联系方式与姓名岗位，不在通用文档里铺开个人电话与家庭信息。
未闭环项要写明「卡在哪里」而不是只写「未完成」：是等设备释放、等授权，还是等外部回复，这决定了接班者第一步该做什么。