【 4-5 】
数据安全事件应急响应
第4.5章 数据安全事件应急响应
本章内容依据《数据安全工程技术人员（初级）第4模块零基础详细学习教材》整理，系统讲解数据安全事件应急响应。
5.1 常见事件类型
| 事件类型 | 表现 | 处置重点 |
|---|---|---|
| 数据泄露 | 外发、公开暴露、误共享、账号盗用 | 止损、范围确认、证据、通知与报告 |
| 数据篡改 | 关键记录修改、配置异常、校验失败 | 隔离、恢复可信版本、审计追溯 |
| 数据丢失/不可用 | 误删、勒索、存储故障、备份失效 | 恢复优先级、备份可用性和业务连续性 |
| 权限滥用 | 越权、离职账号、管理员权限滥用 | 账号控制、权限复核、审批和审计 |
| 接口/第三方风险 | 接口泄露、传输异常、外包处置不当 | 暂停接口、核查范围、协调处置 |
5.2 应急响应七阶段
1. 发现与报告：记录发生了什么，按预案通知
↓
2. 研判与分级：确认数据、范围、影响和紧急程度
↓
3. 遏制与隔离：冻结账号、终止会话、限制接口或隔离终端
↓
4. 证据保护：保全日志、配置、文件和工单
↓
5. 根除与修复：修补漏洞、回收权限、清除恶意因素
↓
6. 恢复与验证：恢复系统、数据、安全控制和业务流程
↓
7. 复盘与改进：还原时间线，整改制度、工具和培训
↓
2. 研判与分级：确认数据、范围、影响和紧急程度
↓
3. 遏制与隔离：冻结账号、终止会话、限制接口或隔离终端
↓
4. 证据保护：保全日志、配置、文件和工单
↓
5. 根除与修复：修补漏洞、回收权限、清除恶意因素
↓
6. 恢复与验证：恢复系统、数据、安全控制和业务流程
↓
7. 复盘与改进：还原时间线，整改制度、工具和培训
5.3 初级人员在各阶段做什么
| 阶段 | 初级人员工作 |
|---|---|
| 发现报告 | 记录告警、时间、资产、账号和初步影响，按流程上报 |
| 研判分级 | 收集日志、资产、数据类型、审批和业务影响 |
| 遏制隔离 | 在授权下冻结账号、终止会话、限流或调整访问控制 |
| 证据保护 | 导出原始日志、配置快照和相关记录，登记保存位置 |
| 根除修复 | 协助补丁、配置修正、权限回收和安全加固 |
| 恢复验证 | 检查服务、数据完整性、权限、接口、日志和告警 |
| 复盘改进 | 整理时间线、问题清单、责任人和整改期限 |
5.4 事件初步分级
| 参考级别 | 典型情形 | 处置节奏 |
|---|---|---|
| 一般 | 单账号异常、少量非敏感数据误操作、未确认外泄 | 登记、核查、纠正和复测 |
| 较大 | 敏感数据外泄迹象、关键业务局部影响、多个资产关联异常 | 快速上报、遏制、扩大排查 |
| 重大 | 大规模敏感数据泄露、核心系统长时间不可用、影响重要业务 | 启动预案、统一指挥、持续处置 |
正式分级：实际分级应依据组织制度、行业要求和主管部门规定，由授权负责人结合数据规模、敏感程度、业务影响和外部要求确认。
5.5 遏制措施如何选择
| 措施 | 适用情况 | 注意事项 |
|---|---|---|
| 冻结账号 | 账号疑似被盗用或滥用 | 保存会话和认证日志，避免误伤关键服务账号 |
| 终止会话 | 异常访问仍在持续 | 记录会话标识、时间和来源 |
| 接口限流/关闭 | 接口异常调用或外传 | 评估业务影响并保留调用日志 |
| 隔离终端 | 终端疑似被控制或持续外发 | 保留现场和终端日志 |
| 收敛权限 | 权限扩大或配置错误 | 记录变更前后权限和审批 |
| 网络阻断 | 明确恶意来源或异常外联 | 限定范围，准备恢复规则 |
5.6 遏制、根除和恢复的区别
| 阶段 | 目标 | 示例 |
|---|---|---|
| 遏制 | 立即阻止影响继续扩大 | 冻结账号、终止会话、隔离终端 |
| 根除 | 消除导致事件的根因 | 修复漏洞、删除恶意任务、回收异常权限 |
| 恢复 | 使业务和数据回到可信、可用状态 | 恢复数据库、验证权限和日志、重新开放服务 |
5.7 恢复验证清单
- 核心业务功能和接口是否可用。
- 数据记录数、关键字段和校验结果是否一致。
- 账号、角色和权限是否恢复到批准状态。
- 审计、日志转发和告警是否连续。
- 备份任务和恢复链是否正常。
- 临时遏制措施是否需要保留、调整或撤销。
- 是否仍存在异常访问和持续外传。
5.8 事件关闭条件
事件关闭前，应确认影响已经控制、根因已处理、业务和数据已恢复、证据和记录完整、遗留风险有责任人和期限，并经过负责人批准。关闭事件不代表所有改进工作结束，后续整改仍需跟踪。
本节自测
1. 遏制、根除和恢复分别解决什么问题？
2. 发现疑似数据外传时，初级人员的首要工作有哪些？
3. 事件关闭前为什么要检查日志和告警是否恢复？