📋 事件发现与报告机制
异常检测 · 告警 · 内部报告 · 监管上报 (72h)
📌 合规必修课
⏳ 72h
监管上报窗口
⏱️ 发现 立即启动
📢 内部报告 2h内
📮 监管上报 ≤72h
🔍 异常检测
- 行为基线分析 — 用户/实体行为画像 (UEBA)
- 流量与日志监控 — 网络DPI、数据库审计日志
- 规则+ML混合引擎 — 已知威胁签名 + 异常聚类
- 数据防泄漏 (DLP) — 敏感内容正则、指纹、OCR
⚡ 典型场景：非工作时间批量导出、异常地理位置登录
🚨 告警机制
- 多级告警 — 信息/低/中/高/严重 (颜色标签)
- 通知渠道 — 邮件、企业、短信、SIEM工单
- 告警聚合与降噪 — 基于规则去重、事件关联
- 升级策略 — 未确认告警自动升级至TL2/TL3
⏰ SLA：严重告警 < 15min 响应
🏢 内部报告流程
- 一线发现 — 运维/安全分析师 初步确认
- 事件分类 — 数据泄露、勒索、内鬼、误操作
- 上报路径 — 安全负责人 → 数据保护官 (DPO) → 管理层
- 事件工单 — 记录时间、影响范围、证据链
- 应急响应启动 — 隔离、取证、通知法务
📋 模板：IR-2025-xxxx
📮 监管报告义务
- 72小时上报 — 依据《数据安全法》《个人信息保护法》
- 报告内容 — 事件类型、数据量、影响评估、处置措施
- 上报对象 — 网信办、行业主管（金融/医疗/汽车等）
- 延期申请 — 复杂事件可申请延长，但需书面说明
⚠️ 未按时上报：最高罚款 5000万或上年营收5%
| 报告要素 | 详细说明 | 时限/备注 |
|---|
| 事件编号 & 类型 | 数据泄露 / 勒索攻击 / 违规访问 / 丢失设备 | 发现即分配 |
| 发生时间 & 发现时间 | 精确到分钟，时区标注 | 影响72h计算 |
| 涉及数据类型 & 数量 | 个人敏感信息、商业秘密、重要数据 | 条数/存储量 |
| 影响评估 (RBI) | 对主体权益、国家安全、公共利益影响 | 高/中/低 |
| 已采取/计划处置措施 | 隔离、删除、通知用户、密码重置 | 持续更新 |
| 上报机构 & 联系人 | DPO / 安全负责人 联系方式 | 保持畅通 |
📄 内部事件报告模板 (示例)
{
"event_id": "IR-2025-03-21-001",
"detection_time": "2025-03-21T14:32:00+08:00",
"severity": "高",
"description": "发现非授权外网IP批量下载客户订单表(含身份证)",
"data_class": "个人敏感信息",
"affected_records": 12450,
"initial_action": "封锁源IP, 冻结数据库账户, 启动取证",
"notified": ["安全总监", "DPO", "法务"],
"status": "调查中"
}