4. 事件分级与启动响应

数据安全事件发生后的前几十分钟，往往决定了后续处置是被动救火还是有序推进。而决定节奏的关键动作，就是事件定级。定级不是给事件贴一个“严重/不严重”的标签，而是把数据敏感度、影响范围、业务损失三个维度量化成可比较的分数，再映射到明确的响应级别，从而回答三个问题：要不要启动响应、启动哪一级、谁必须在多长时间内到场。

一、三个定级维度如何量化

定级维度必须可观测、可复算，否则不同值班人员会给出不同结论。建议采用“维度打分—加权求和—映射级别”的方式。

数据敏感度（S）：按数据分类分级结果取值。公开数据记 1 分，内部数据记 2 分，重要数据或个人敏感信息记 3 分，核心数据、大批量个人敏感信息或依法禁止出境的数据记 4 分。判断依据是数据资产清单中的定级标签，而不是现场人员的直觉。

影响范围（R）：按受影响主体数量与系统数量取值。单一内部账号或单台终端记 1 分，单个业务系统内小范围记 2 分，跨系统或影响 1 万～10 万用户记 3 分，跨区域、跨多个核心系统或影响 10 万以上用户记 4 分。

业务损失（B）：按可用性、资金与合规后果取值。无业务中断记 1 分，局部功能降级记 2 分，核心业务中断或存在明确监管上报义务记 3 分，造成直接资金损失、大规模服务中断或重大声誉事件记 4 分。

综合分值可采用加权公式：总分 = S×0.4 + R×0.35 + B×0.25，权重体现“数据本身的价值优先”。以某电商企业一次疑似订单数据泄露为例：涉及姓名、手机号、收货地址，属个人敏感信息，S=3；初步判断影响约 3 万用户，R=3；订单系统仍可用但客服咨询激增，B=2。则总分 = 3×0.4 + 3×0.35 + 2×0.25 = 1.2 + 1.05 + 0.5 = 2.75。按下面的映射规则，落入“较大事件（Ⅱ级）”。

二、级别映射与响应启动条件

把连续分值切成离散级别，便于指挥与资源调度。可采用四档：总分 ≥3.5 为特别重大（Ⅰ级），2.5～3.5 为较大（Ⅱ级），1.8～2.5 为一般（Ⅲ级），<1.8 为提示（Ⅳ级）。同时设置“一票升级”条件：只要命中任一硬条件，直接跳到对应级别，不再计算加权分。例如涉及核心数据出境、已确认被勒索加密、监管已介入问询，直接定Ⅰ级；涉及 10 万以上个人信息、核心系统不可用超过 30 分钟，直接定Ⅱ级。

响应启动条件要与级别绑定，明确“谁在多久内做什么”。Ⅳ级由值班工程师在 30 分钟内确认并记录，无需拉群；Ⅲ级由安全运营负责人在 1 小时内启动，通知系统负责人；Ⅱ级需在 30 分钟内成立处置小组，安全负责人、业务负责人、法务同步到场；Ⅰ级则立即上报数据安全委员会，1 小时内向监管口报，并启动对外沟通预案。

三、升级流程与降级纪律

定级不是一次性的。事件在处置过程中会暴露新信息：最初以为只泄露 3000 条，排查后发现关联表被拖走 8 万条；最初以为只是配置错误，后来发现攻击者已建立持久化通道。因此必须规定升级触发条件：影响范围扩大一个数量级、发现新的数据类别、业务中断时间超过阈值、出现对外传播或监管问询，任一命中即由当前级别向上一级提级，并在 15 分钟内重新通知对应人员。

与升级相对的是降级。降级必须谨慎，要求由原定级审批人书面确认，说明“新增证据表明影响可控”的具体依据，例如确认攻击者仅访问了脱敏测试库、确认未发生数据外传。禁止由一线人员口头降级，避免为了减少工作量而压低级别。

四、可直接使用的定级记录表

为了让定级过程可追溯、可复盘，建议在事件工单中固化以下字段。下表为示例填写，数值均为教学假设，用于说明填写方式。