什麼是事件應變計畫範本？
發生資安侵害事件時，團隊沒有時間從頭開始摸索工作流程。範本可將高階事件應變策略轉化為實用且可重複使用的藍圖，讓組織在危機發生前做好準備。使用標準化範本可幫助團隊：
- 在壓力下更快應變：按照預先核准的工作流程，毫不猶豫地進行分類、防堵、清除和復原
- 消除角色混淆：明確劃分技術和高階主管利害關係人的決策權、交接和提報路徑
- 落實法規遵循義務：確保證據處理、法律審查及法規通報時程皆有完整且一致的記錄
- 建立營運韌性：從沙盤推演和過往事件中汲取經驗，轉化為可重複執行的防禦改善措施
事件應變計畫包含哪些內容？
雖然具體內容會因產業、基礎架構和法規而異，但所有事件應變計畫和範本都具有相同的核心結構。為確保計畫完整，請根據這五個基本要素進行建構，並將您的草稿與以下範本範例進行比較：
定義與分類
建立資安活動的具體定義和分類，例如行動與事件的差別為何？問題演變到哪種程度即視為危機？
嚴重程度矩陣
納入嚴重程度矩陣，用於安排各類事件的處理優先順序、定義事件嚴重程度，以及指定應變時限。
角色與職責
明確指出事件應變核心團隊成員的角色與責任，包括決策單位、高階主管、總監、外部法律顧問、數位鑑識專家、公關單位和網路保險供應商。
溝通計畫
制定溝通計畫，包括內部相關人員和法律顧問核准的範本，其中明確安排適當的優先聯絡對象和時機。
訓練、測試和維護時間表
制定定期訓練、測試和維護時間表，包括模擬沙盤推演，以應對不同攻擊向量，確保團隊和程序隨時準備就緒。
如何制定有效的事件應變計畫
專家普遍認為，最好根據美國國家標準暨技術研究院 (NIST) 在《Computer Security Incident Handling Guide》(電腦安全事件處理指南，特別出版品 800-61，第 2 次修訂版) 中提出的多項建議，制定事件應變計畫。其中一項建議指出，NIST 框架下的機構制定計畫的過程分為四個步驟：
1. 準備
制定並維護事件處理人員通訊計畫，包括聯絡資訊、事件回報機制、事件追蹤系統、戰情室，以及加密通訊軟體。
2. 偵測與分析
偵測是指掌握攻擊向量，例如電子郵件中的惡意軟體、惡意網站、冒用身分、卸除式媒體、暴力攻擊和異常活動。之後使用 IDPS、SIEM、防毒軟體、垃圾郵件防範機制和記錄等工具，發出警告。分析則包括剖析網路系統、瞭解正常行為、制定記錄保留政策，以及執行事件關聯性分析。
3. 防堵、清除與復原
驗證主機 IP 位址、使用事件資料庫、監控攻擊者通訊管道並透過搜尋引擎研究，多管齊下找出攻擊者。應變團隊應按照優先順序，分階段清除及復原。
4. 事件後行動
從幾個關鍵問題判斷組織能如何避免攻擊：發生什麼事？何時發生？應變團隊採取的哪些步驟可能拖慢復原速度？
事件應變計畫範本範例
歡迎探索下方經 NIST、CISA 和 CSA 專家審核的權威性長期範本。如要查看更多應對手冊，請前往各機構的資源中心。如需選擇範本方面的協助，請與 Mandiant 專家聯絡。
企業雲端事件應變計畫範本
企業雲端和混合式環境本身屬於採用共同責任模式的分散架構，因此產生特有的事件應變難題。企業雲端範本會列出應納入的內容，包括多租戶安全、身分、API 相關威脅，以及調查整體暫時工作負載事件。這些範本整合雲端原生監控和鑑識工具、定義與雲端服務供應商協調的程序，並建立通訊協定來保留動態環境中的證據。您可以前往 Cloud Security Alliance 雲端事件應變框架網頁，查看雲端專屬指南，並在 CISA 的 網路安全事件和安全漏洞應變應對手冊資源頁面，查看標準化事件應變工作流程。
企業 IT 和端點事件應變範本
企業 IT 和電腦安全事件應變範本，著重於保護地端部署和混合式基礎架構內的端點和網路安全。這些範本提供完整程序摘要，用於處理影響工作站和伺服器的惡意軟體感染問題、未經授權嘗試存取行為，以及資料侵害事件。這些程序會詳細列出步驟，指引應變團隊隔離受影響系統、從硬碟和記憶體收集鑑識證據、恢復作業並同時維持證據保管鏈。如需基本指引，請造訪 NIST 最新的事件應變建議和注意事項 (SP 800-61 Rev. 3) 出版品網頁。
網路安全管理與控管計畫範本
專為網路安全部門經理和資安主管設計的範本，著重於涵蓋多個團隊和相關人員的協調與通訊策略。這些框架總結了呈報高階主管所需的提報矩陣、法規通知範本，以及在重大事件期間的公關管理程序。此外，這些框架提供相關指引，包括資源分配、供應商管理，以及提供給董事會和監管機構的事件後報告。如需簡潔的規劃檢查清單，請造訪 CISA 的事件應變計畫 (IRP) 基本概念資源頁面。
醫療照護網路安全事件應變計畫範本
醫療照護事件應變範本可解決這個產業特有的安全難題，在保護病患資料的同時，確保重要臨床照護系統持續運作。這些範本概述《健康保險流通與責任法案》(HIPAA) 侵害通知規定、醫療器材遭勒索軟體攻擊的處理程序，以及系統服務中斷期間的病患照護維持準則。此外，範本提供具體指南，來說明如何與電子健康記錄供應商合作、協調區域健康資訊交換庫，以及管理可能影響病患安全的事件。 您可以前往 HHS 405(d) 醫療保健產業網路安全實務資源中心，瀏覽各產業專屬的事前準備工具包。
加州科技部事件應變計畫
加州科技部 (CDT) 的範本提供完善框架，專為管理重大公共服務的州政府機關和公部門組織設計。該範本著重於跨機關協調、資訊公開規定，以及公民資料保護程序，包括如何與州立危機管理辦事處協調的協議，以及在網路攻擊期間維持政府服務不中斷。如要瞭解其他公部門資安政策，請前往加州科技部資訊安全資源中心。
美國國家衛生研究院事件回報範本
美國國家衛生研究院 (NIH) 的範本旨在因應各項專業需求，包括保護敏感的研究資料，以及維護科學與臨床運算環境的完整性。這個框架概述了在通報和應對事件時應記錄的內容，包括受影響的研究協議、臨床試驗影響、防堵行動，以及各研究機構的修正措施。如需政策背景資訊和通報指南，請造訪 NIH 科學政策辦公室事件報告網頁。
美國康乃狄克大學事件應變計畫範本
在開放研究環境與安全需求之間取得平衡，是學術機構特有的難題。康乃狄克大學 (UConn) 的範本專門處理會影響學生、教職員和研究人員等不同校園社群的事件。該範本列出明確程序來因應多種情況，包括處理重要學術期間的事件、依《家庭教育權利與隱私法》(FERPA) 保護學生記錄，以及協調各處 IT 部門的應變措施。請參閱下方專屬計畫網頁，瞭解康乃狄克大學如何制定全校應變程序。
如何使用事件應變計畫範本
事件應變計畫範本可做為安全應變策略的基礎，組織仍需依自身情況自訂，才能發揮效用。請根據貴組織的安全基礎架構檢查範本，並按照下列五個實作步驟進行調整：
根據組織架構自訂範本各部分
根據組織架構和作業流程，自訂範本的每個部分。指派專責人員和備用人員擔任範本定義的每個角色，確保所有相關人員在資安事件發生時都能各司其職。
在聯絡人清單中填入所有相關人員的聯絡資訊
在聯絡人清單中，填入所有內外部相關人員的主要和備用聯絡資訊，包括資安主管、IT 主管、高階主管、重要供應商、外部法律顧問、事件應變服務預付型協議供應商，以及可能需要通報的監管組織。
定義事件分類標準
根據組織的風險評估結果，定義事件分類條件和提報門檻，指定輕微、重大和嚴重資安事件的可衡量參數。
制定情境專屬執行手冊
針對最可能發生的威脅情境 (例如勒索軟體、憑證外洩或雲端資料竊取)，制定可行的技術執行手冊，詳細說明分類、防堵、清除和復原的逐步程序。
安排定期檢查及更新
定期檢查及更新計畫，納入從實際資安事件、基礎架構異動、人員異動和模擬沙盤推演中學到的經驗。
事件應變相關產品和服務
Mandiant Consulting 服務與第一線資源可以協助組織做好準備、應對及從高影響力的安全事件中復原。相關選項包括：
制定事件應變計畫，做好應變準備
閱讀最佳做法指南探索 Mandiant 報告和威脅研究
查看 Mandiant 資源瀏覽 Mandiant Consulting 服務
查看 Mandiant 服務目錄
