第1章：场景定义与分类
1. 适用场景
本章定义的场景分类框架适用于以下组织场景：
- 企业安全团队计划开展数据泄露模拟演练前的分类准备阶段；
- 跨部门（法务、IT、合规、公关）联合演练的场景遴选与目标对齐；
- 第三方安全服务商为客户设计定制化泄露演练方案时的分类参考。
2. 前置条件
| 序号 | 前置条件 | 说明 |
|---|
| 1 | 已建立数据资产清单 | 至少包含敏感数据类型、存储位置、责任人 |
| 2 | 安全团队具备演练设计能力 | 成员至少参加过1次桌面推演或技术模拟 |
| 3 | 管理层已批复演练预算与资源 | 包括人员工时、沙箱环境、监控工具授权 |
| 4 | 演练范围与边界已书面确认 | 明确不涉及生产系统真实数据，避免业务中断 |
3. 操作步骤
- 确认演练级别：根据组织成熟度选择桌面推演（L1）、技术模拟（L2）或红蓝对抗（L3）。
- 选取数据泄露类型：从预设分类（见下文表格）中至少选取3类，确保覆盖内部、外部、意外三大方向。
- 定义模拟目标：为每个场景写入1～3个可测量目标（例如“检测时间≤15分钟”“响应流程合规率≥90%”）。
- 编写场景卡片：按标准模板填写触发事件、威胁源、泄露数据、检测点与期望动作。
- 审批归档：将场景卡片、目标矩阵、资源清单提交安全负责人签字后入档。
提示： L1（桌面推演）仅需会议室+投影，适合首次演练；L2（技术模拟）需要隔离沙箱环境；L3（红蓝对抗）需额外授权工具链（如C2框架、流量劫持插件）。
4. 输入输出物
| 输入物 | 输出物 |
|---|
| 数据资产清单 | 《演练场景分类矩阵》 |
| 历史安全事件报告（可选） | 《模拟目标定义表》 |
| 组织网络拓扑与权限架构 | 每场景一份《场景卡片》（含触发条件、检测点、期望动作） |
| 管理层批准函 | 《场景与目标审批签字表》 |
5. 责任边界
- 安全团队：负责分类设计、场景卡片编写、技术可行性评估；
- 数据所有者（业务部门）：确认泄露数据类型的真实性与敏感性级别；
- 法务合规部：审核演练场景是否触碰真实监管红线（如GDPR、等级保护）；
- 演练总指挥：终审所有场景与目标，并签发启动指令。
6. 记录材料
| 记录名称 | 保存形式 | 保存期限 |
|---|
| 演练场景分类矩阵 | Excel/CSV（含版本号） | 整个演练项目周期+1年 |
| 模拟目标定义表 | Word/PDF（责任人签字） | 项目结束后3年 |
| 场景卡片集 | Markdown/内部Wiki | 持续更新，直至场景废弃 |
| 审批签字表 | 扫描件（PDF） | 项目结束后5年 |
7. 异常处理
| 异常情形 | 处理措施 | 责任角色 |
|---|
| 选取的泄露类型与组织实际资产不符 | 退回安全团队重新匹配资产清单 | 数据所有者 |
| 模拟目标超出当前技术能力 | 降低演练级别或分阶段实现目标 | 安全团队+演练总指挥 |
| 场景涉及真实客户数据（即使脱敏） | 立即暂停，由法务评估风险后替换为模拟数据集 | 法务合规部 |
| 跨部门资源协调失败 | 升级至管理层会议，重新分配优先级 | 演练总指挥 |
8. 验收标准
- 所有场景的泄露类型、模拟目标、演练级别三者之间存在明确的逻辑对应关系；
- 每张场景卡片包含至少1个可测量的检测点与1个期望响应动作；
- 审批签字表100%签齐，无遗漏；
- 场景矩阵经一次跨部门评审后修改次数≤3。
场景定义与分类结构图
关键提醒： 演练级别不可逆。如果初始选择L1桌面推演，后续再升级至L2/L3时，需重新进行场景定义与分类，并更新所有相关记录材料。严禁直接套用L1场景卡片执行L3对抗演练。