事件响应标准操作程序

本标准操作程序定义了 Blevins Holdings 识别、遏制、解决安全、系统和运营事件并从中恢复的流程。所有员工都有责任报告疑似事件。

1. 发现疑似事件的人员应立即报告。
2. 通过以下任一方式报告：
   • Slack 频道 #incidents
   • 电子邮件发送至安全团队
   • 事件管理系统提交工单
3. 报告应包括：事件时间、受影响的系统/人员、已知影响范围和严重性初步评估。
4. 安全团队或值班人员确认事件并分配严重性级别。

1. 事件负责人评估需要立即遏制的范围。
2. 短期遏制措施可能包括：
   • 隔离受影响的系统或网段
   • 停用受影响的用户账号
   • 阻止可疑的 IP 地址或域名
   • 暂停受影响的服务
3. 记录所有遏制行动及其时间。
4. 确保保留证据用于后续分析。

1. 确定事件的根本原因和完整影响范围。
2. 评估数据泄露的程度（如适用）。
3. 记录受影响的系统、数据和人员清单。
4. 根据评估结果更新严重性级别。
5. 确定是否需要调用外部资源（安全顾问、法律顾问等）。

根据严重性级别通知相应的利益相关方：

1. 消除事件的根本原因（修补漏洞、移除恶意软件、修复配置等）。
2. 从已知良好的备份或镜像恢复受影响的系统。
3. 验证系统完整性和安全状态。
4. 逐步恢复服务并监控异常情况。
5. 确认所有受影响的系统已恢复正常运行。

所有 P1 和 P2 事件必须在事件解决后 5 个工作日内进行事后复盘。P3 事件由事件负责人决定是否进行复盘。 复盘应包括：

1. 时间线：从发现到解决的完整事件时间线。
2. 根本原因分析：识别导致事件的根本原因。
3. 影响评估：量化业务影响（停机时间、数据损失、财务影响等）。
4. 响应评估：评估响应的有效性和及时性。
5. 改进措施：制定具体的改进行动项，分配负责人和截止日期。
6. 经验教训：总结可供团队和组织借鉴的经验。

• 内部沟通：使用专用的 Slack 频道 #incidents 进行实时沟通。P1 事件应建立专用的作战频道。
• 外部沟通：所有对外沟通必须经过法务和公关团队的审核。
• 状态更新：P1 事件每 30 分钟发布一次状态更新，P2 事件每 2 小时更新一次。
• 事后沟通：事后复盘报告摘要应分享给所有相关利益相关方。

• 变更管理标准操作程序
• 供应商管理标准操作程序