安全事件报告义务是什么
安全事件报告义务指在发生安全事件（尤其是数据泄露）时，按适用法规向监管机构、受影响个人，以及合同约定的客户与合作伙伴通报。时限因法域而异：GDPR 要求知悉后 72 小时内（可行时）向监管机构通知；对个人的通知通常在可能造成高风险时触发；中国法域下网络安全与个人信息保护相关法规各有报告要求。通报内容一般需要覆盖事件概况、影响范围、处置措施与联系人。
基本信息
| 对象 | 监管机构、受影响个人、客户与合作伙伴 |
|---|---|
| 时限 | 按适用法规（如 GDPR 72 小时、PIPL 立即通知） |
| 内容 | 事件概况、影响范围、处置措施、联系人 |
| 分工 | 安全团队判事实、法务判义务、公关与客服管对外口径 |
| 记录 | 评估结论与通报时点全程留痕，供事后核查 |
典型使用场景
- 用户数据被未授权访问，需要判断是否触发监管与个人通知
- 客户合同约定了事件通报时限，需要按约履行
- 供应链或第三方泄露波及自身业务，需要评估自身报告义务
- 监管检查要求提供历史事件处置与通报记录
- 勒索或数据窃取事件中同时涉及警方报案与合规通报
通报要点示例
通报要点示例
事件概述：何时发现、何种类型 # 只陈述已知事实，避免推测性表述
影响：涉及数据种类、人数估计 # 人数用区间并注明仍在校核
处置：已采取措施与当前状态 # 已遏制或仍在处置要写清
后续：计划与联系人 # 给出下一次更新的时间点
口径：对外通报与内部记录保持一致 # 两套口径不一致会直接损害可信度报告对象与要点
| 对象 | 触发条件 | 内容要点 |
|---|---|---|
| 监管机构 | 按适用法规的时限与门槛 | 事件性质、影响范围、已采取措施、联系人与后续更新 |
| 受影响个人 | 通知可能对个人权益造成高风险时 | 发生了什么、可能影响、建议采取的行动与支持渠道 |
| 客户与合作伙伴 | 合同约定的通报条款 | 按约定时限与格式通报，避免对外口径分歧 |
| 执法机关 | 涉嫌犯罪的情形 | 配合报案与取证，保留原始证据 |
| 内部管理层 | 达到内部事件分级标准 | 事实、影响、决策需求与资源请求 |
隐瞒或延迟报告的代价通常高于事件本身：错过时限会带来处罚，也失去主动披露的信任空间；是否触发通知义务应由法务按适用法规判断，安全团队不要自行决定不报。