Home Depot、Sony Pictures接連中招證明：被攻擊不是「如果」，而是「何時」。關鍵在於事後前6小時、24小時、72小時的應對質量。本文提煉六大關鍵行動，助企業將損失降至最低、最快恢復業務、重建利益相關方信任。
行動一：冷靜啟動應急預案（無預案即刻制定）
- 預案必含：總指揮/參與角色/具體行動/負責人/技術工具/法律配合/業務影響評估/損失量化
- SANS專家Eric Cole警告：無序搶修易毀滅證據、擴大影響
- 執行三重點：
1. 隔離遏制： 斷開受感染網段/賬號/VPN，阻斷攻擊者持久化通道
2. 徹底清理： 找根因→修補漏洞→清除後門/計劃任務/異常服務/啟動項 → 驗證無殘留再上線
3. 驗證恢復： 灰度放流→全流量回放測試→滿負載壓測→安全掃描無報警→正式切回
- 恢復後持續監控 30-90 天，防二次入侵
行動二：組建跨部門應急小組
- Travelers專家Tim Francis建議：IT(主導)、業務、HR、公關、法務、運營全員到齊
- 法務介入關鍵：隱私法合規(GDPR/CCPA/HIPAA/PIPL)、供應商合同責任劃分、信用卡品牌罰款協商
行動三：引入廠商/專家外腦
- 案例：伊利諾伊理工VMware NTP反射漏洞(CVE-2013-5211)被利用發起DDoS，廠商技術支持協助定位漏洞、推送補丁、指導加固(關閉非必要服務/定期打補丁/邊界防火牆)
- 選擇有應急響應資質(IRST/CSIRT)的廠商，簽保密協議，授權取證
行動四：謹慎處理法律合規
- 內外部法務聯動：評估通報義務(72小時/GDPR、無不合理延遲/PIPL、特定行業HIPAA/HITECH/GLBA)
- 證據保全鐵律：
• 服務器/筆記本/桌面 全盤鏡像(FTK Imager/DD/EnCase)
• 所有調查操作在鏡像上進行，原始證據封存保管鏈完整
• 文檔/郵件/日誌/配置 全量複製歸檔
- 原則：盡早準備、盡可能透明。動態調查中信息不全時，誠實告知「正在調查、將持續通報」優於沉默/推卸。
行動五：啟動網絡保險理賠
- 第一時間通知保險經紀人/理賠專員
- 理賠憑證包：事件日志(含時間戳/受影響服務器/攻擊向量)、數據分類清單(PII/PHI/財務/知識產權)、停機損失/人力成本/外部專家費/法律費/通報成本/公關費明細
- 重點保護最敏感數據類別，優先分配資源
行動六：主動透明對外溝通
- 員工/客戶/合作夥伴/監管機構 分層分級通報：發生時間/影響範圍/已採取措施/用戶自護建議(改密/啟用MFA/凍結信用)/後續節奏
- 案例：Evernote全量用戶強制重置密碼(含未受影響)、多渠道通報、情緒分析工具監控社交媒體輿情實時響應
- 沉默 = 無能/混亂/隱瞞，主動溝通 = 專業/負責/可信
事後必做：複盤報告與戰略升級
- 根因分析報告(5 Why/魚骨圖)
- 安全架構重審：零信任/微隔離/EDR/XDR/SASE 落地規劃
- 紅藍對抗常態化、桌面推演季度化
- 董事會級風險報告，安全預算納入戰略規劃
被攻破不可恥，恥於無預案、不透明、不複盤。六大行動+事後複盤，讓危機成為安全升級的催化劑。