应急响应预案模板

密级：机密文档编号：ERP-2026-001

信息安全应急管理系列文档

应急响应预案

数据泄露·勒索软件·拒绝服务攻击

EMERGENCYRESPONSEPLAN

适用组织【组织名称】

覆盖场景数据泄露、勒索软件、分布式拒绝服务攻击

预案版本V1.0

编制日期2026年9月20日

生效日期【YYYY-MM-DD】

复审周期每12个月复审一次，重大变更后即时修订

【编制单位名称】

本预案用于指导安全事件的应急处置，相关人员应熟悉各自职责与操作步骤

文档控制信息

一、版本记录

版本修订日期修订人修订内容审核人批准人

V0.12026-09-04【姓名】完成预案框架与通用流程初稿——

V0.22026-09-12【姓名】补充数据泄露、勒索软件、拒绝服务【姓名】—

三个场景的处置流程

V1.02026-09-20【姓名】补充话术模板、检查清单、常见问【姓名】【姓名】

题，定稿发布

二、签署栏

角色姓名签字日期

编制人【姓名】

审核人【姓名】

批准人【姓名】

业务部门确认【姓名】

技术部门确认【姓名】

三、保密声明

本预案载明了组织在应对安全事件时的组织架构、职责分工、处置流程与操作细节，内容涉及系统的防护机

制、应急资源与联络信息，属于敏感信息。预案接收方应承担保密义务，不得向无关人员披露或在公开渠道传

播。

预案中的操作细节具有一定的敏感性，知悉范围应限定在应急响应相关人员之内。预案的电子版本应存放于受

控位置，纸质版本应存放于可离线获取的位置，以应对电子系统不可用的情形。

四、预案管理说明

管理事项具体要求

发布范围应急指挥组成员、各应急响应小组组长、技术骨干、服务台主管、法务与公关对接人

管理事项具体要求

存放位置受控文档库中存放电子版；同时打印两份纸质版，分别存放于安全值班室与备用办公场所

复审周期每12个月复审一次；组织架构调整、系统重大变更、重大事件处置结束后应即时复审

演练要求每半年至少组织一次桌面推演；每年至少组织一次实操演练，覆盖三个场景中的至少两个

修订流程由安全团队提出修订，经应急指挥组审核后发布；修订记录需完整留存

培训要求新加入应急响应团队的人员应在两周内完成预案培训并通过考核

五、术语与缩略语

术语/缩略语含义说明

安全事件已经发生或可能发生的、对信息系统的保密性、完整性、可用性造成或可能造成损害的情形。

应急响应在安全事件发生后，为控制影响、消除威胁、恢复业务而采取的一系列组织与技术措施。

事件分级根据事件的影响范围、严重程度与处置难度，将事件划分为不同级别，对应不同的响应要求。

遏制采取措施阻止事件影响继续扩大，如隔离受影响系统、阻断攻击来源。

根除清除导致事件的根本原因，如删除恶意程序、修复被利用的缺陷、重置被泄露的凭据。

恢复将业务系统恢复到正常运行状态，并验证其功能与安全性。

证据保全对事件相关的日志、数据、样本进行固定与保存，以备调查、追溯或法律程序使用。

数据泄露受保护的数据被未授权访问、获取、披露或转移的情形。

勒索软件一种恶意程序，通过对文件加密或系统锁定，要求受害者支付赎金以恢复访问。

拒绝服务攻击通过消耗目标系统的资源，使其无法为正常用户提供服务的行为，分布式形式称为分布式拒绝服务

攻击。

流量清洗通过专门的设备或服务，识别并过滤攻击流量，将正常流量转发至目标系统。

业务降级在无法维持全部功能时，主动关闭非核心功能，优先保障核心业务可用。

失陷指标可用于判断系统是否已被攻击控制的特征，如特定文件哈希、异常进程名、异常通信行为。

根因分析查找导致事件发生的根本原因，而非仅处理表面现象。

复盘事件处置结束后，对处置过程进行回顾，总结有效做法与改进点。

响应时限从事件被发现到采取相应处置动作的时间要求。

应急指挥组事件处置期间的决策机构，负责统一指挥、资源调配与重大决策。

单点联系人在应急期间负责与外部单位对接的固定人员，避免多头沟通造成信息不一致。

目录

第一章总则1

1.1编制目的1

1.2编制依据1

1.3适用范围2

1.4工作原则2

1.5预案体系3

第二章应急组织与职责4

2.1应急指挥体系4

2.2应急响应小组构成5

2.3各角色职责6

2.4联络与通报机制8

2.5外部资源与协作单位9

第三章应急响应通用流程10

3.1事件分级标准10

3.2事件分类11

3.3响应流程总览11

3.4监测与发现13

3.5报告与通报14

3.6先期处置15

3.7应急处置16

3.8应急结束17

3.9证据保全规范17

第四章数据泄露应急响应20

4.1场景特征与风险20

4.2监测与发现21

4.3事件确认与定级22

4.4遏制措施23

4.5根除与恢复24

4.6证据固定与调查25

4.7通知与报告义务26

4.8对外沟通话术27

4.9处置检查清单28

第五章勒索软件应急响应30

5.1场景特征与风险30

5.2监测与发现31

5.3立即隔离32

5.4影响评估33

5.5恢复决策34

5.6解密与沟通35

5.7支付决策36

5.8根除与加固37

5.9恢复与验证38

5.10处置检查清单39

第六章拒绝服务攻击应急响应41

6.1场景特征与风险41

6.2监测与发现42

6.3事件确认与分级43

6.4流量清洗与缓解44

6.5业务降级与切换45

6.6溯源与反制46

6.7恢复与总结47

6.8处置检查清单48

第七章应急保障50

7.1人员保障50

7.2技术保障51

7.3物资保障52

7.4培训与演练53

第八章事后处置与持续改进55

8.1事件复盘55

8.2整改与跟踪56

8.3预案修订57

8.4应急能力度量指标57

附录60

附录A应急响应检查清单汇总60

附录B应急联系表模板64

附录C事件报告模板66

附录D对外沟通话术模板69

附录E常见问题解答72

附录F合规与隐私声明76

第一章总则

本章说明预案的编制目的、编制依据、适用范围、工作原则与预案体系，明确本预案在组织整体应急管理体系中

的位置，为后续章节的展开提供统一基础。

1.1编制目的

安全事件的发生往往具有突发性，处置过程具有高度的时效要求。在事件发生的初期，每一分钟的延误都可能

导致影响范围扩大、数据被进一步窃取或业务中断时间延长。如果缺少预先制定的处置流程，现场人员容易陷

入两种情况：一是不知道该做什么，在犹豫中错过最佳处置窗口；二是多人同时采取行动，彼此干扰甚至破坏

关键证据。

本预案的编制目的，是让组织在安全事件真正发生时，能够做到三件事：

序号目标具体要求

1知道该做什么每一个参与处置的角色，都能在预案中找到自己的职责与具体动作，不需要现场

讨论由谁负责。

2知道按什么顺序做明确先隔离还是先取证、先恢复还是先根除。避免因顺序错误导致证据灭失或影

响扩大。

3知道做到什么程度算完成每个阶段都有明确的完成标准与验证方法，避免出现“以为处理完了但实际上威

胁仍在”的情况。

1.2编制依据

类别依据名称

法律法规《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息

保护法》《中华人民共和国突发事件应对法》

国家标准GB/T20984信息安全技术信息安全风险评估方法；GB/T24363信息安全技术信息安全应

急响应计划规范；GB/T22239信息安全技术网络安全等级保护基本要求；GB/T36643信

息安全技术网络安全威胁信息格式规范

行业实践NISTSP800-61计算机安全事件处理指南；ISO/IEC27035信息安全事件管理；SANS事件

响应六阶段模型

组织文件《信息安全管理办法》《数据分类分级管理规定》《业务连续性计划》《信息安全事件报告

管理办法》

依据版本说明

上述法律法规与标准规范的版本与条款内容以引用时点公开的现行有效版本为准。组织在开展合规自查或预案修

订时，应核对所引用文件的最新发布状态。涉及具体报告义务与时限要求的内容，应以主管部门发布的现行有效

文件为准。

1.3适用范围

本预案适用于组织自有的信息系统、网络设施、数据资产在运行过程中发生的安全事件。具体涵盖以下情形：

序号适用情形说明

1数据泄露事件组织控制的数据被未授权访问、获取、披露、转移，包括个人信息、业

务数据、财务数据等。

2勒索软件事件系统或数据被加密、锁定，攻击者要求支付赎金；或发现勒索软件正在

传播、潜伏。

3拒绝服务攻击事件业务系统因流量攻击导致不可用或响应严重下降，影响正常用户访问。

4其他可能导致上述后果的事件如服务器被入侵控制、账号被批量盗用、关键配置被恶意修改等，参照

相关场景处置。

1.3.1不适用的情形

自然灾害、电力中断、机房环境故障等非网络安全因素导致的事件，按《业务连续性计划》处置，本预案

中涉及系统恢复的通用流程可作参考。

由第三方服务商完全负责运维的系统，在服务商应急处置的同时，组织应履行监督与配合职责，按合同约

定的通报机制处理。

尚未上线、不承载业务数据的开发测试环境，按常规运维流程处理，不启动本预案的完整响应流程。

1.4工作原则

原则说明

人员安全优先任何处置措施都不得以危及人员安全为代价。涉及物理环境的事件，应首先确保人员撤离到安全区

域。

及时报告发现疑似安全事件的人员，应在第一时间按报告路径上报，不得自行处置或延迟报告。宁可报告后

判断为误报，也不可漏报。

统一指挥事件处置期间由应急指挥组统一决策，避免多头指挥造成行动冲突。重大处置动作需经指挥组确认

后执行。

遏制优先在影响范围尚未明确时，优先采取遏制措施控制影响扩大，再开展深入调查。遏制动作应尽量保留

可恢复性与证据完整性。

证据保全在处置过程中同步固定证据。对可能涉及法律责任的事件，证据完整性直接影响后续追责与处理。

原则说明

业务连续在控制安全风险的前提下，尽可能维持核心业务可用。必要时采取降级运行、限流、切换备用环境

等措施。

信息一致对外沟通由指定人员统一进行，避免多个渠道发布不一致的信息，造成误解或引发次生风险。

持续改进每次事件处置结束后进行复盘，将发现的问题转化为改进项，更新预案与技术防护措施。

1.5预案体系

本预案是组织应急管理体系中的专项预案之一，与总体预案、其他专项预案及现场处置方案共同构成完整的预

案体系。

层级文件类型与本预案的关系

第一层总体应急预案规定组织应急管理的总体原则、组织架构与响应机制，本

预案在其框架下编制。

第二层专项应急预案本预案属于信息安全类专项预案，与业务连续性、消防安

全、公共卫生等专项预案并列。

第三层现场处置方案针对具体系统或具体场景的操作说明，如数据库服务器处

置方案、核心交换机处置方案，作为本预案的支撑文件。

配套文件支撑性文档应急联系表、资产清单、网络拓扑图、系统恢复手册、备

份清单等，作为预案执行时的参考资料。

预案体系结构示意

总体应急预案

│

├─信息安全专项预案（本预案）

││

│├─数据泄露处置方案

│├─勒索软件处置方案

│├─拒绝服务攻击处置方案

│└─其他场景处置方案

│

├─业务连续性专项预案

├─消防安全专项预案

└─其他专项预案

配套支撑文件：

应急联系表｜资产清单｜网络拓扑图｜系统恢复手册｜备份清单｜供应商清单

第二章应急组织与职责

事件处置的效率很大程度上取决于组织准备是否充分。本章明确应急指挥体系、响应小组构成、各角色职责与联

络机制，确保事件发生时能够迅速形成处置能力。

2.1应急指挥体系

应急指挥体系分为决策层、协调层与执行层三个层级。决策层负责重大决策与资源调配，协调层负责信息汇总

与任务分派，执行层负责具体技术操作。

层级组成核心职责决策权限

决策层应急指挥组统一指挥事件处置，决定响应级启动或终止应急响应；批准系统关

别，批准重大处置动作，调配资停、数据隔离、对外通报等重大动

源，决定对外沟通口径作

协调层应急协调员汇总事件信息，传达指挥组决定，在授权范围内调整任务优先级，协

跟踪任务执行进度，协调各小组之调资源调度

间的配合

执行层各应急响应小组按职责分工执行具体的技术处置、在既定流程内自主执行操作，超出

取证、沟通、恢复等工作流程的动作需报请批准

2.1.1应急指挥组构成

角色建议担任人在事件处置中的作用

总指挥分管安全的负责人对事件处置负总责，主持指挥组会议，批准重大决策，代表组

织对外沟通

技术指挥安全团队负责人负责技术方向的判断与决策，指导各技术小组开展处置，评估

技术风险

业务代表受影响业务的负责人评估事件对业务的影响，提出业务侧的处置需求，参与恢复优

先级的确定

法务代表法务部门负责人评估法律责任与报告义务，指导证据保全的合规要求，审核对

外沟通内容

沟通代表公关或宣传部门负责人负责对外沟通与媒体应对，统一信息发布口径

行政支持行政或综合管理部门负责人负责后勤保障、人员调度、外部资源联络等支持性工作

2.2应急响应小组构成

应急响应小组按职能划分，事件发生时根据事件类型与级别，由指挥组决定启动哪些小组。

序号小组名称核心职能启动条件

1监测分析组持续监测各类告警与日志，对疑似事件全部级别的事件均启动

进行初步分析，判断事件真实性与影响

范围

2应急处置组执行隔离、阻断、清除、恢复等技术操全部级别的事件均启动

作

3取证调查组固定证据、分析攻击路径、还原事件过三级及以上事件启动；涉及法律责任的事

程、确定影响范围件必启动

4业务恢复组评估业务影响，制定恢复方案，执行系影响业务可用性的事件启动

统恢复与数据恢复，验证业务功能

5沟通联络组负责内部通报、外部报告、客户沟通、三级及以上事件启动；涉及数据泄露的事

媒体应对件必启动

6后勤保障组提供场地、设备、通讯、餐饮、交通等二级及以上事件启动

支持，协调外部资源

7法务合规组评估法律义务，审核对外文件，指导证涉及个人信息泄露、可能引发法律责任的

据合规性事件启动

2.3各角色职责

2.3.1总指挥职责

序号职责具体要求

1启动应急响应接报后评估事件严重程度，决定是否启动应急响应及响应级别

2主持指挥组会议定期召开会议，听取进展汇报，协调解决处置中的障碍

3批准重大决策批准系统关停、数据隔离、对外通报、支付赎金等重大决策

4调配资源协调人力、资金、外部服务等资源保障处置需要

5对外代表代表组织与监管部门、客户、媒体等进行沟通

6决定响应终止确认事件已得到控制后，决定终止应急响应

2.3.2技术指挥职责

序号职责具体要求

1技术研判根据监测分析组的报告，判断事件性质、攻击手法与可能的影响范围

2制定处置方案确定遏制、根除、恢复的技术路线与操作顺序

3指导技术操作指导应急处置组执行具体操作，对高风险操作进行确认

序号职责具体要求

4评估技术风险评估各项处置动作可能带来的副作用，提前准备应对方案

5把关恢复条件确认威胁已根除、漏洞已修复后，方可同意恢复业务

6技术汇报向指挥组汇报技术进展与判断，提出需要决策的事项

2.3.3监测分析组职责

序号职责具体要求

1告警接收保持监测渠道畅通，及时接收各类安全告警与异常报告

2初步分析对告警进行初步研判，排除误报，确认真实事件

3信息汇总汇总日志、流量、终端等多源信息，形成事件初步画像

4影响初判初步判断受影响的系统、数据与用户范围

5持续监测处置期间持续监测，及时发现新的异常与攻击活动

6记录留痕完整记录分析过程与结论，为后续调查提供依据

2.3.4应急处置组职责

序号职责具体要求

1执行隔离按指令对受影响系统实施网络隔离、账号禁用、访问阻断

2阻断攻击封禁攻击来源，调整防护策略，阻断攻击路径

3清除威胁清除恶意程序、后门、异常账号，修复被利用的缺陷

4重置凭据重置可能被泄露的账号凭据与密钥

5配合取证在取证调查组指导下保全现场，配合证据提取

6操作记录记录每一步操作的时间、内容、执行人与结果

2.3.5取证调查组职责

序号职责具体要求

1现场保全对受影响的系统进行内存、磁盘、日志的固定，避免证据被覆盖

2样本提取提取恶意程序样本、异常文件、可疑账号信息

3日志分析分析系统日志、应用日志、网络日志，还原攻击时间线

4路径还原确定攻击者的入口、横向移动路径与目标

5影响确定确定被访问、被窃取、被篡改的数据范围与数量

序号职责具体要求

6出具报告编写取证分析报告，作为后续处理与追责的依据

2.3.6业务恢复组职责

序号职责具体要求

1业务影响评估评估事件对业务功能、用户、收入的影响程度

2确定恢复优先级按业务重要性排序，确定恢复顺序

3制定恢复方案确定恢复方式，如从备份恢复、切换备用环境、重建系统

4执行恢复按方案执行数据恢复与系统重建

5功能验证验证业务功能正常、数据完整、性能达标

6用户沟通向用户说明恢复情况，处理用户反馈的问题

2.3.7沟通联络组职责

序号职责具体要求

1内部通报按分级要求向内部相关人员通报事件情况与处置进展

2外部报告按法规要求向监管部门报告，准备报告材料

3客户沟通向受影响客户说明情况，回应客户关切

4媒体应对统一对外口径，应对媒体询问

5信息记录记录所有对外沟通的内容与时间，留存备查

6口径维护根据处置进展更新沟通口径，确保信息准确一致

2.4联络与通报机制

2.4.1报告路径

事件报告路径

发现人（任何员工）

│

│发现疑似安全事件，立即报告

▼

服务台/安全值班（24小时）

│

│记录基本信息，5分钟内通知监测分析组

▼

监测分析组

│

│15分钟内完成初步研判，判断是否为真实事件

▼

技术指挥

│

│30分钟内评估严重程度，提出响应级别建议

▼

总指挥

│

│60分钟内决定是否启动应急响应及响应级别

▼

应急指挥组（启动后）

│

├─向各响应小组下达任务

├─按规定向监管部门报告

└─按规定向客户与相关方通报

2.4.2通报时限要求

响应级别内部通报时限指挥组启动时限外部报告要求

一级发现后15分钟内发现后30分钟内按法规要求立即报告，一般不超

过1小时

二级发现后30分钟内发现后1小时内按法规要求报告，一般不超过4

小时

响应级别内部通报时限指挥组启动时限外部报告要求

三级发现后2小时内发现后4小时内按内部要求通报，评估后确定是

否外部报告

四级发现后1个工作日内由技术指挥决定是否启动一般不需要外部报告

报告义务说明

涉及个人信息泄露、关键信息基础设施安全事件等情形时，法律法规对报告义务与时限有明确要求。具体报告对

象、报告内容与时限应以主管部门发布的现行有效文件为准，法务合规组应在事件发生后尽快评估组织的具体义

务。

2.5外部资源与协作单位

序号资源类型可提供的支持联络方式

1网络安全专业服务商现场应急支持、取证分析、恶意样本分【联络方式，按合同约定】

析、流量清洗

2云服务提供商云上资源隔离、日志调取、流量清洗、【联络方式，按合同约定】

镜像恢复

3网络运营商流量清洗、流量牵引、攻击来源溯源配【联络方式，按合同约定】

合

4法律服务机构法律义务评估、对外文件审核、纠纷处【联络方式，按合同约定】

理

5数据恢复服务商被加密或损坏数据的恢复尝试【联络方式，按合同约定】

6监管部门事件报告、处置指导、协查配合【按主管部门公开渠道】

7保险机构网络安全保险理赔【联络方式，按合同约定】

外部资源准备要求

与外部服务商的合作协议中应明确应急支持条款，包括响应时限、联络方式、服务内容与费用标准。建议在事件

发生前完成服务商的能力评估与合作协议签署，避免事件发生时临时寻找资源。外部服务商的联络信息应记录在

应急联系表中，并保持定期更新。

第三章应急响应通用流程

本章给出适用于各类安全事件的通用响应流程，包括事件分级、分类、监测发现、报告通报、先期处置、应急处

置、应急结束与证据保全。后续章节针对具体场景的处置，均在本章框架内展开。

3.1事件分级标准

事件分级用于确定响应级别与资源投入。分级由技术指挥初判，总指挥确认。事件处置过程中影响范围扩大

时，应及时上调级别。

级别标识判定标准响应要求指挥层级

一级特别重大核心业务系统全面中断；大规模个人信立即启动全部响应小总指挥直接指挥，决策

息泄露；核心数据被加密且无可用备组，24小时不间断处层全员参与

份；影响范围波及大量用户或涉及监管置

重点关注领域

二级重大重要业务系统部分中断；一定规模的敏启动主要响应小组，总指挥或授权技术指挥

感数据泄露；部分服务器被加密；攻击集中处置指挥

仍在持续且有扩散趋势

三级较大非核心系统受影响；少量数据被访问；启动监测分析组、应技术指挥指挥，向总指

单台服务器失陷；攻击已被初步控制急处置组，必要时启挥报告