ISO21434全套体系文件-ZXC-CYB-PR-019 网络安全事件响应与漏洞管理程序

智行车联汽车电子网络安全事件响应与漏洞管理程序ZXC-CYB-PR-019版本A/0二级文件条款ISO/SAE21434:2021第9.5章、第14章（事件响应）；UNECER1557.4；《网络产品安全漏洞管理规定》密级：内部受控ZXC-CYB-PR-019第1页共2页受控文件宁波智行车联汽车电子科技有限公司NINGBOZHIXINGCHELIANAUTOMOTIVEELECTRONICTECHNOLOGYCO.,LTD.二级文件网络安全事件响应与漏洞管理程序（规范PSIRT事件分级、响应时限、取证保全、漏洞修复与复盘改进全流程）文件编号ZXC-CYB-PR-019版本/修订A/0/第1次发布对应标准条款ISO/SAE21434:2021第9.5章、第14章（事件响应）；UNECER1557.4；《网络产品安全漏洞管理规定》编制曹梦琪/PSIRT负责人/网络安全应急响应组长审核王海峰/技术总监/网络安全管理委员会主席批准林伟东/总经理发布日期2026-03-02实施日期2026-03-09分发范围公司级、部门级、项目级受控状态☑受控□非受控受控号：DCC-CYB-042宁波智行车联汽车电子科技有限公司发布2026-03-02

修订历史版本/修订日期修订人修订说明批准A/02026-03-02曹梦琪首次发布林伟东注：本文件为受控文件，修改须经文控中心（DCC）按《文件与记录控制程序》执行；未经书面许可不得复制、外传或用于其他项目。

目录TOC\o"1-2"\h\z\u1目的 72适用范围 83术语与定义 94职责 105工作程序 125.1接收与启动（T+0~1h） 125.2上报（至24h）与决策（S1立即） 125.3四级分类判据（S1~S4） 135.4响应流程时间线 145.5取证与证据保全 145.6漏洞研判与修复 155.7监管与客户通报 165.8复盘与改进（CAPA） 175.10外部支援与应急资源 175.9禁止行为 186相关文件 197记录与表单 208附则 21

1目的规定宁波智行车联汽车电子科技有限公司网络安全事件与产品漏洞的接收、分级、响应、取证、处置、通报与复盘要求，确保：1)任何来源的事件/漏洞信息在1h内启动响应、24h内上报张启明（首席网络安全官）、5个工作日内完成初判，处置满足TTR（风险处置时间）承诺；2)分级判据统一（S1~S4四级，结合CVSS分数区间与业务影响），避免各部门口径不一；3)取证与证据保全满足监管调查、客户索赔与诉讼对抗的需要，事件编号（INC）与取证编号（FR）可互相追溯；4)修复活动与监控（PR-018）、披露（PR-020）、改进（PR-003）、TARA复评（PR-006）形成闭环；5)支撑UNECER155CSMS“对事件作出响应”要求与R155型式批准保持义务，维护CSMS证书CSMS-NL-2025-0418有效性。本程序是PSIRT（产品安全应急响应团队）运行的纲领文件，与《ZXC-CYB-PR-018运营、维护与网络安全监控程序》构成“监控发现—响应处置”的前后段关系。响应原则（全员必须遵循）：1)人身与车辆安全优先：凡可能涉及DS-01（非授权远程指令致车辆失控）、DS-03（伪造刷写致ECU失效）的场景，遏制动作先于根因分析，先断威胁后查原因；2)证据先于结论：任何定级、通报、复判（含“不构成事件”）必须有取证或复现证据支撑，禁止以推测关闭条目；3)单一出口、统一口径：对外披露与通报以张启明为唯一批准人，通告、客户函件、监管报送内容完全一致（与PR-020衔接）；4)全程时间线记录：响应动作精确到分钟记入事件档案，事后不得修改，更正以追加行方式进行；5)指挥集成：S1响应期间PSIRT自动获得跨部门资源调度授权，网络安全管理委员会于4h内召开临时会议确认决策，避免层级等待；6)学习导向：复盘结论必须回写体系文件（PR-006/PR-016/PR-018/WI），不追究无惩罚报告范围内的个人失误（手册5.3）。

2适用范围事件范围：涉及边界内产品（智能车载终端T-Box（ZXCL-TBOX-200系列）全系、自研TSPSDK、OTA签名工具、产线密钥注入工装）的网络安全事件，包括：已发生的现实危害、可合理预期的攻击尝试、以及虽未遂但暴露系统性缺陷的告警聚集。不构成网络安全事件的误报（如测试脚本误用）亦按本程序初判与关闭流程处理。漏洞范围：来自CNVD/NVD/AUTOSAR/供应商通告/客户CERT/VDP白帽提交/内部测试发现的产品漏洞，含组件（mbedTLS、AUTOSAR栈、模组固件、SEapplet）漏洞。不适用：纯企业办公IT安全事件（邮件泄露、终端中毒等，由《ZXC-CYB-PR-024组织级信息与网络安全技术防护程序》按ISMS事件流程处置，涉及产品密钥/代码泄露时升级转回本程序）；整车级事件指挥（由OEM依DIA-DX11-2025-06主导，本公司作为供方支撑）。场所：PSIRT值班室（浙江省宁波市北仑区梅山街道海成路288号智行科技园A栋研发中心A栋4F）、云端取证分析环境（阿里云华东2）、必要时客户现场与事故车辆返厂检验工位。启动判据速查（任一满足即按5.1启动，无需等待会议）：1)车端安全日志出现S1/S2特征告警（验签失败后持续重试刷写、SecureBoot失败）；2)订阅源情报经SBOM比对命中在用版本且CVSS≥7.0；3)客户CERT/监管来函点名本公司产品或供方组件；4)VDP渠道提交的PoC在受控台架复现成功；5)内部测试（渗透/模糊测试，冯建国或赛宝）发现可利用高危缺陷；6)产线检出密钥注入异常且无法排除外部植入（联动马志强隔离批次）。责任接口矩阵：本公司响应动作对其他方的依赖关系——遏制云端服务需客户TSP接口人配合（DIA约定4h响应）；固件修复依赖天泽通信/芯联微电子补丁；SEapplet问题依赖恒安云信（CCEAL5+支持协议）；渗透复测委托赛宝实验室；上述供方SLA逾期由沈亦舟按PR-009升级。

3术语与定义1)网络安全事件：由使用缺陷、漏洞、非法操作或程序引起的、导致车辆或相关系统机密性/完整性/可用性/安全性受损或面临现实威胁的发生或已识别可能的发生的情况（R155口径）。2)S1~S4分级：本公司事件与漏洞内部四级分类，判据见5.3。3)CVSS：通用漏洞评分系统（FIRST，v3.1），基础分0~10；内部判级参考区间见5.3，业务影响优先于分数。4)TTR：TimetoTreatRisk，风险处置时间要求；本项目CL3/CL4为6个月，漏洞级承诺如CVE-2026-2145为60天。5)INC编号：事件编号，规则INC-YYYY-NNN（如INC-2026-004），由PSIRT值班在启动响应时赋号。6)FR编号：取证编号，规则FR-YYYY-NNN，一件事件可对应多个FR物证，编号与INC关联登记。7)VDB：PSIRT漏洞库，收录全部接收、研判、处置中的漏洞条目，编号与FM-044一致。8)初判：完成影响面界定与定级的首次正式结论，时限为启动响应后5个工作日。9)遏制：阻止危害继续扩大的临时措施（云端风控开关、禁用受影响服务、下线接口、隔离产线工装等），不代表根因消除。10)复盘：关闭后对响应过程、根因、体系缺口的一次性总结（5.8），输出CAPA。11)无惩罚报告：员工主动报告疏漏不追责（手册5.3），适用于本程序全部接收渠道。12)遏制（Containment）：阻止危害扩大的临时技术措施，区别于根因修复；预授权清单见5.5第4款。13)根因（RootCause）：导致事件/漏洞产生或未被更早发现的最上游原因，复盘须回答“为什么会发生+为什么没被防住”两问。14)MTTD/MTTA：平均检测时延/平均响应启动时延，本程序绩效观察值，目标MTTA≤1h（检测时延依赖PR-018监控指标）。15)事件关闭：修复达成（或经批准的风险接受）+通报完成+档案齐套三条件同时满足的行政状态；复盘不阻塞关闭但逾期须挂“复盘超期”标记。

4职责R=执行A=负责C=咨询I=知会。活动林伟东张启明王海峰孙雅琪曹梦琪吴嘉豪冯建国方立诚罗俊杰事件接收与1h启动IAICRIIIIS1~S4定级IACCRCCII遏制措施决策IACIRCIIC取证与证据保全IAIIRCCCI漏洞修复与验证IACICRRIITTR跟踪与关闭IAICRCCII监管与客户通报IACCRIICC重大事件对外发言AAIICIICR复盘与CAPAIACRRCCIIPSIRT常设组成与值班职责：角色人员/岗位事件中的职责PSIRT负责人曹梦琪总协调、定级提议、TTR跟踪、对外通告起草，7×24升级第一接点体系接口孙雅琪风险登记册更新、CAPA立项、复评触发软件修复吴嘉豪根因定位、补丁开发、SBOM更新硬件/密钥接口郑晓琳SE/HSM相关问题分析、密钥泄露评估验证冯建国修复验证、回归测试、PoC复现取证支持杨帆日志调取、云端证据固定、时间戳售后苏明轩车辆召回、返厂检测、用户沟通素材法务方立诚证据合规性、监管文书、诉讼保全客户接口罗俊杰客户通报发送与回执其他职责：王海峰对技术资源调度负责；林伟东对S1级事件所需专项资源与对外重大声明批准负责；张启明为事件响应最终责任人并行使一票否决（2026年曾以PV阶段SecOCFreshness验证不完整为由暂停DX-11首批交付3天，该权限同样适用于量产响应）。岗位补充要求：1)马志强（生产总监）：涉产线工装/MES的事件（密钥注入异常、版本哈希不符批次）中负责批次隔离与停线决定，2h内可执行；2)何静（人力资源经理）：响应期间临时增援人员的调配与背景审查加急通道；接触未公开漏洞人员名单最小化登记；3)田晓芳（文控主管）：事件档案（INC/FR包）的受控归档、密级标识与借阅审批；4)崔浩然（外部专家）：S1/S2复杂研判（侧信道、HSM固件）咨询支持，按委托协议签署保密条款；5)秦朗（客户代表，示例：吉利远程）：整车侧信息与指令的接入口，其来函一律视同客户CERT渠道（5.1）；6)值班与备份：每一关键岗位设AB角，A角不可用时B角自动继承权限，AB角同时不可用视为升级链断链（按PR-0185.2第4款处理）。

5工作程序响应全流程为“接收启动（5.1）→上报决策（5.2）→定级（5.3）→时间线管控（5.4）→取证（5.5）→修复（5.6）→通报（5.7）→复盘（5.8）”，外加纪律底线（5.9）与外部资源（5.10）两个支撑节；每小节按“输入—活动—输出—责任岗位—时机—判据”六要素书写，未特别标注责任岗位的默认主责为曹梦琪。5.1接收与启动（T+0~1h）输入：PR-018升级工单（L2及以上）、客户CERT来文、VDP提交（security@）、监管通报、内部报告。活动：PSIRT值班确认信息完整性（产品、版本、现象、来源），赋INC/漏洞编号，建立事件档案。输出：FM-042（事件）或FM-044（漏洞）立案条目。时机：任何渠道收到即算T+0，1h内完成启动。判据：启动率100%；启动动作含初派遏制评估（是否需紧急开关）。1)值班工程师有权在启动阶段直接实施预授权遏制动作（清单见5.4第4款），不得以“未定级”为由等待；2)事件档案自动包含：来源证据原件、时间线初始记录、联系人；3)无法确认与本公司产品相关性的，按L1情报口径转入PR-018周评审，不占用响应资源，但保留追溯记录；4)启动同时建立事件时间线首行（T+0精确到分钟），后续每条动作按“时刻—人员—动作—证据引用”四要素追加记录；5)值班对“是否启动”存疑时按启动处理（就高原则），事后由曹梦琪撤销的，撤销理由写入档案，不视为违规；6)涉及两个以上客户车型共用的组件缺陷，档案只建一份、通报按5.7分别发送，防止多线口径漂移。5.2上报（至24h）与决策（S1立即）输入：立案信息。活动：向张启明报告并视级别通知王海峰/林伟东/网络安全管理委员会。输出：FM-042上报栏、FM-002会议纪要（临时会议）。时机：S2及以上24h内书面报张启明；S1立即电话报张启明并同步林伟东，2h内书面。判据：事件按时上报率100%（KPIOB-03，2026年1—9月实绩100%）。1)报告内容至少含：已知事实、不确定项、初判方向、已采取措施、下一步与所需决策；2)禁止压缩或修饰事实，允许“信息暂缺”但须列补充计划与时限；3)张启明决定：是否召集网络安全管理委员会临时会议、是否启动外部专家崔浩然或赛宝实验室支持、是否触发对外披露程序（PR-020）；4)上报采用统一模板（FM-042第3页附表），字段缺失视为未上报，防止“报了但没法决策”；5)S1/S2期间PSIRT设立单一信息板（内部，权限最小化），所有成员以信息板为唯一事实源，禁止平行口头传讯；6)上报后24h内曹梦琪须获得张启明对遏制授权范围的批复，未批事项默认不执行但列入下一日追问清单。5.3四级分类判据（S1~S4）输入：立案信息、CVSS基础分、业务影响分析。活动：曹梦琪提议定级，张启明批准；争议或边界案例提交网络安全管理委员会决议。输出：FM-042定级栏（含判据引用）。时机：初判完成前（5个工作日内）给出正式级别；48h内给出临时级别驱动资源投入。判据：下表“CVSS区间”与“业务影响判据”取最高者定级，就高不就低；涉及安全属性破坏致直接行车安全的（A-01/DS-01、A-04/DS-04被现实利用）一律S1。级别名称CVSS3.1参考区间业务影响判据（任一满足）时限要求2026年实例口径S1严重9.0~10.0车辆控制指令通道被非授权利用（DS-01）；密钥被批量提取/仿冒车队（DS-04）；eCall等安全功能失效；涉人员伤亡事故调查立即上报，2h书面，TTR由网络安全管理委员会专项确定（≤30天）本年度无S2高危7.0~8.9单车可被远程利用致车控/诊断/OTA通道失守；个人数据批量泄露（DS-02/DS-06）；批量刷写失败致ECU失效（DS-03）24h报张启明，5工作日初判，TTR≤60天CVE-2026-2145（CVSS8.1，5G模组AT命令栈溢出）S3中危4.0~6.9需近距离/物理接触或特定条件利用；日志/审计受损（DS-07）；服务局部拒绝服务（DS-05）5工作日初判，TTR按CL对应（≤2年）CVE-2026-33902（mbedTLS侧信道，CVSS5.9）S4低危0.1~3.9理论风险无现实攻击路径；纵深防御类改进项纳入季度评审，随例行版本处置例行SCA扫描提示项1)定级调整（升/降级）须重走批准人链条并记录原因，降级不得用于规避TTR时限；2)与客户合同（DIA附录）约定更严判据的，从客户判据；3)“不构成网络安全事件”的复判结论（如INC-2026-004：客户反馈3台车定位上报异常，取证证明为测试脚本误用，复判不构成网络安全事件，2026-06-09关闭）由曹梦琪提议、张启明批准，须以取证结论为依据，禁止无证据撤销立案；4)影响面界定输出三清单：受影响产品/固件版本清单（对照FM-033）、受影响车辆清单（按VIN段或车队）、受影响接口清单（IF-xx），作为5.6修复与5.7通报的共同底稿；5)供方组件黑盒（如天泽通信模组固件）无法自行穷尽分析时，定级按供方声明与客户TARA输入交叉验证，缺证从严（临时级别不低于S2，直至供方提供渗透报告）；6)定级依据的业务影响判据与TARA的CL不是一回事：CL描述“风险大小”，S级描述“响应强度”，二者映射关系为S1↔现实化的CL4/CL3、S2↔CL3、S3↔CL2、S4↔CL1，出现映射冲突以网络安全管理委员会决议为准并回写5.3判据表；7)任何部门不得以“影响客户交付/验收”为由延迟定级或调低级别，此类干预记录将直接呈报林伟东（对应CSCO独立汇报线原则）。5.4响应流程时间线节点时限（自T+0）责任岗位输出记录完成判据启动响应1hPSIRT值班FM-042/FM-044立案编号生成、档案建立上报张启明S2+24h；S1立即曹梦琪FM-042上报栏送达回执遏制措施威胁持续则≤24h张启明批准，曹梦琪协调遏制记录（FM-043）危害不再扩大取证启动与遏制并行，≤48h曹梦琪/杨帆FR物证清单证据固定完成初判报告5个工作日曹梦琪（赵文博支持影响分析）FM-043定级+影响面+根因假设修复方案评审初判后5个工作日王海峰主持会议纪要（FM-002）方案与TTR确认修复验证发布按PR-016/PR-018门限吴嘉豪/冯建国FM-037、发布单验证100%通过TTR关闭漏洞≤TTR（S2实例60天）曹梦琪FM-044关闭栏修复达成或经批准的风险接受（FM-019）复盘报告关闭后30天孙雅琪FM-043复盘栏、CAPA根因与措施立项时间线纪律：1)各节点时限以“完成证据入库”为准，不以“口头完成”为准；节点逾期50%自动升级张启明，S1事件逾期即升林伟东；2)修复方案评审可与取证并行，但验证发布节点必须晚于取证中“破坏性操作”完成（防止证据灭失）；3)时间线数据每月汇总为MTTD/MTTA观察报表，由曹梦琪提供给PR-023绩效统计（不直接对应KPI编号，作为OB-02/OB-03的过程指标）；4)与供方的交互时限（整改函回复、补丁交付）写入FM-044备注栏，逾期同步沈亦舟记入供方档案（PR-009）。5.5取证与证据保全输入：事件车辆/设备、云端日志、构建物、通讯记录。活动：按《ZXC-CYB-WI-015事件处置与取证操作指导书》采集、固定、封存。输出：FR物证包与取证报告（并入FM-043）。时机：遏制后立即、破坏性操作（重刷写、报废）前必须完成。判据：证据链无断点，哈希校验100%。1)FR编号规则：FR-YYYY-NNN（年度流水，如FR-2026-004对应INC-2026-004取证包），一物一码，物证标签含采集人、时间（UTC+8精确到分钟）、位置；2)可采证据类型：整车/部件回读镜像（Flashdump）、车端与云端安全日志、网络抓包、异常上报原始报文、OTA任务记录、构建产物及哈希（对照FM-037）、密钥ceremony记录（FM-051）、访谈记录；3)完整性方法：SHA-256哈希+只读封存介质+双人交接签字；电子证据由杨帆出具时间戳，纸面证据由曹梦琪骑缝签名；4)预授权遏制动作清单（值班可直接执行）：云端风控开关（限制受影响指令通道）、暂停在途OTA任务（报张启明追认）、隔离受影响产线工装、吊销/暂停测试证书；S1级可临时下线受影响云服务接口；5)保存期限：未涉诉讼事件物证保存≥12个月；涉监管调查、诉讼、召回的保存至程序终结后3年；销毁须方立诚与曹梦琪双签；6)车辆取证须遵守车主授权与《个人信息保护法》，远程取证优先，实车返厂由苏明轩办理借用/召回手续；7)取证操作本身不得引入新风险：禁止在生产车辆上执行未经验证的调试指令，台架复现使用专用测试密钥（开发/测试/生产三套密钥隔离，手册10.2口径）；8)证据包索引（FR清单）随事件档案每月向方立诚报备一次，涉诉证据启用只读归档（WORM）模式；9)取证结论必须区分“攻击证据、缺陷证据、排除证据”三类，INC-2026-004的关闭依据即“排除证据”（测试脚本操作记录与上报报文时间戳吻合）。5.6漏洞研判与修复输入：FM-044立案条目、SBOM基线（FM-033）、FM-013资产清单。活动：真实性复现→影响面分析（哪些产品/版本/车队）→修复路径决策（补丁/缓解/风险接受）→开发与验证→发布与完成率跟踪。输出：FM-044更新、修复版本、FM-037登记。时机：修复启动不晚于初判后10个工作日；TTR全程不放松。判据：漏洞按TTR关闭率≥95%（KPIOB-02，2026年1—9月实绩93.2%，未达标根因为天泽通信模组安全补丁响应延迟，已启动供方改进并要求2026-12-31前提交模组渗透测试报告，同时以云端风控补偿措施维持风险可控）。研判遵循“先复现、后定界、再定径”：台架复现由冯建国执行（CAL3项委托赛宝独立复测），定界输出以三清单（5.3第4款）为准，路径决策由张启明在5.2报告节点批复。条目来源定级研判结论处置路径结果（记录口径）CVE-2026-2145（5G模组AT命令栈溢出）NVD+天泽通告S2（CVSS8.1）影响ZXCL-TBOX-100/200，可远程触发固件2.04.11修复，TTR60天，OTA按PR-018灰度OTA推送2026-08-25完成率92.7%，剩余车辆转售后回店，曹梦琪按月跟踪至关闭CVE-2026-33902（mbedTLS侧信道）NVD/内部SCAS3（CVSS5.9）影响SoC通信栈，需局部时序条件升级mbedTLS3.6.1纳入2026-Q4例行升级，验证由冯建国闭环INC-2026-004（3台车定位上报异常）客户反馈初判S3→复判不构成事件取证（FR-2026-004）证明测试脚本误用，非攻击复判关闭并纠正监控规则2026-06-09关闭，教训转化：批量异常先排查非攻击因素（PR-0185.3）1)组件漏洞优先由供方修复：曹梦琪向承接该组件的T2供应商（天泽通信、芯联微电子、恒安云信、中科睿码）发《供方安全整改函》，时限对齐本公司对客承诺，逾期升级许文斌/沈亦舟按PR-009供方绩效处置；2)无修复方案的登记临时缓解（云端风控、服务开关、用户告知）并按《ZXC-CYB-PR-007网络安全风险处置与接受程序》评估是否构成风险接受（FM-019，张启明批准）；3)修复引入的变更一律经CCPM（PR-016）；绕过变更管理为KPIOB-08红线（目标0，实绩0）；4)修复验证最小集：PoC不再成立、验签/回滚保护不回归、CAL对应证据更新（PR-021）、FM-033SBOM刷新；5)研判技术工具边界：静态分析PolarisPCS（TCL2）、渗透工具CoreImpact（TCL1）、编译器IAR9.32.2（TCL3）——工具结论作为证据引用时须标注TCL等级，TCL3工具输出不得单独作为“不构成”结论的唯一依据（手册10.2口径）；6)多漏洞合并处置：同一版本窗口的S3/S4条目可合并为一个修复包发布，但FM-044各条目的TTR判定仍逐条计算，合并不得延长任何单条期限；7)修复不可达场景（车辆失联、硬件代差）：由赵文博出具技术论证、张启明批准风险接受（FM-019）并向客户书面披露敞口清单，同步登记FM-017持续监控。5.7监管与客户通报输入：定级与初判结论、DIA/合同条款、法规清单。活动：曹梦琪起草、方立诚合规校核、张启明批准、罗俊杰归口发送。输出：FM-046。时机与判据：下表。通报对象触发时限依据客户（受影响OEM）S1/S2定级后高危24h、中危5个工作日PR-0185.7、DIA-DX11-2025-06型式批准机构（RDW等）重大事件（S1，及S2中影响型式批准符合性者）立即启动通报义务，重大事件按R155要求及时报告，事件与纠正全貌于6个月内以CSMS监督材料补正UNECER155、CSMS-NL-2025-0418保持条件工信部漏洞管理平台（CNVD）发现产品漏洞发现/接收后2日内报送《网络产品安全漏洞管理规定》，执行见PR-020车主/用户修复发布或影响使用随OTA告知/售后通知《汽车数据安全管理若干规定》、ISO24089供应商涉及其组件48h内整改函SUB-IF-09/10/03/01通报后所有补充信息（影响扩大、修复变更）按原渠道及时更新；对监管与客户的口径必须与PR-020对外通告完全一致，差异由张启明裁决并留痕。通报补充纪律：1)“重大事件立即”指S1及经张启明认定的重大S2：电话/既定应急通道即时触达对方责任人，书面材料24h内跟进，不得以“材料未齐”为由延迟首次触达；2)监管通报（含CNVD报送，PR-0205.7执行2日时限）与客户通报相互独立，任一方撤回意见不改变法定报送义务；3)客户要求的响应时限严于本程序时（如DIA附录约定4h确认），按客户时限执行并在FM-046备注栏标注依据条款；4)通报内容涉及其他供方组件缺陷的，表述以已验证事实为限，不使用归责性语言，避免商务与法律风险（方立诚审核）。5.8复盘与改进（CAPA）输入：已关闭事件/漏洞档案。活动：孙雅琪于关闭后30天内组织复盘会（S1/S2必须开会，S3抽样、S4季度合并复盘），审查响应时效、定级准确性、根因深度、体系缺口。输出：FM-043复盘栏、CAPA项（转《ZXC-CYB-PR-003网络安全持续改进程序》跟踪，验证表FM-049）。判据：S1/S2复盘覆盖率100%；根因不得停留在“人的失误”，须落到流程/技术/资源层。1)复盘标准问题清单：监控为何未更早发现（PR-018阈值/订阅源）？分级是否恰当？TTR承诺是否合理？供方SLA是否约束到位？通报是否及时充分？2)体系性改进回写文件：如CVE-2026-2145复盘推动供方补丁SLA与云端补偿措施条款；INC-2026-004复盘推动“批量异常先排非攻击因素”的监控规则；第2次内审严重项NCR-2026-09-03（产线工装密钥备份未双人控制）复盘推动WI-014修订——同类事件复盘结论须于60天内完成文件修订或书面说明理由；3)复盘输出同步触发5.6修复有效性再确认与PR-006TARA复评评估；4)复盘报告向网络安全管理委员会例会汇报（纪要CYB-CMT-2026-0xx），改进关闭率纳入PR-023绩效统计；5)复盘会议程固定五问（检测、分级、遏制、修复、通报各环节的最差时点），会议纪要附时间线全表，张启明签认后归档；6)复盘发现的能力缺口（人员、工具、预算）转《ZXC-CYB-PR-004人员能力与安全意识培训程序》或管理评审输入（PR-023），不得以“下不为例”结案。5.10外部支援与应急资源支援来源启用场景启用权限协议/口径赛宝实验室（广州，CNASL1234）渗透复测、独立取证复核、S1/S2验证外包张启明年度测试服务框架协议，保密协议已签外部专家崔浩然（宁波大学网络空间安全学院）侧信道、HSM/SE相关复杂研判王海峰咨询协议，按次调用恒安云信（IF-10，CCEAL5+）SEapplet缺陷根因与补丁曹梦琪（通报即触发）SUB-IF-10支持条款天泽通信（IF-03）5G模组固件漏洞补丁（CVE-2026-2145类）曹梦琪发整改函SUB-IF-03，逾期转沈亦舟按PR-009处置芯联微电子（IF-09）MCUBSP/HSM固件问题曹梦琪SUB-IF-09，2026-03-12现场审核合格基线客户CERT/整车厂整车级协调、车辆召回决策支持张启明DIA-DX11-2025-06及同等条款CNVD/监管渠道报送、协调、合规问询曹梦琪（抄送张启明）《网络产品安全漏洞管理规定》1)外部支援材料一律脱敏并经田晓芳登记外发台账，密级不低于“秘密”；2)与支援方共享的漏洞细节自动纳入embargo约束（PR-0205.3），协议中明确其保密义务与转披露禁止；3)每年与主要支援方各做一次联合演练（含取证交接），演练结果记入FM-043附页。5.9禁止行为1)不得隐瞒：任何部门和个人不得瞒报、迟报、压级（降格处理）、以“商务考虑”为由修改定级或通报口径；隐瞒一经查实按《员工手册》顶格处理并开严重不符合（FM-048）；2)不得先发布后补票：任何对外披露、客户沟通稿、媒体声明、供方公开回应，未经张启明批准不得发布；紧急遏制动作可先执行后24h内追认，但追认不等于对外发布许可；3)不得删除、修改或丢弃原始证据与时间线记录，更正采用追加方式；4)不得向无关人员扩散未公开漏洞细节、PoC与客户数据（密级“秘密”，PR-002）；5)不得以事件响应为名绕过CCPM实施产品变更；6)鼓励无惩罚主动报告（手册5.3，2026年主动报告17件、采纳改进12件），主动报告者不因报告内容涉及自身失误被追责；7)不得对外分享事件档案与取证材料（含向竞品“技术交流”、向学术投稿引用未脱敏案例），确有需要的经张启明与方立诚双批准；8)禁止在协调期（PR-0205.3）内于任何内部群聊、会议投影、代码提交信息中泄露漏洞细节，提交信息仅引用编号。

6相关文件1)《ZXC-CYB-SC-001汽车网络安全手册》第11.2节、第12章2)《ZXC-CYB-PR-018运营、维护与网络安全监控程序》3)《ZXC-CYB-PR-020协调式漏洞披露与通报程序》4)《ZXC-CYB-PR-006威胁分析与风险评估管理程序》5)《ZXC-CYB-PR-007网络安全风险处置与接受程序》6)《ZXC-CYB