事件响应

人们所说的“事件响应”其实包含两件截然不同的事，我两件都做：一是在事情发生之前制定计划，二是在事情真正发生时成为电话那头的人。第二件事是对第一件事的真实检验，而大多数组织是在真正的事件中才发现，自己的计划存在漏洞，只是当它还只是一份文件时没有人注意到。

事件发生之前

规划工作意味着制定一份足够具体、真正有用的响应计划：明确角色，这样在混乱的第一个小时里没人需要琢磨谁来负责；沟通计划涵盖法务、高管、客户以及必要时的监管机构；并针对您真正可能遇到的事件类型准备应对手册：勒索软件、商务邮件欺诈（BEC）、云账号被攻陷、供应商数据泄露波及您的数据。我会依据这些计划组织桌面推演，因为读懂一份计划和在压力下执行它是两种不同的能力，而桌面推演能让您在风险较低时发现两者之间的差距。

事件发生期间

事情真正发生时，首要任务是遏制、弄清究竟发生了什么，并在不让情况恶化的前提下恢复正常运营。我会帮助您区分哪些是已知、哪些只是假设，做出既能止血又不会毁掉日后所需证据的遏制决策，并与其他需要到场的各方协调：法律顾问、取证专家、必要时的执法部门、保险公司，以及需要与客户或监管机构沟通的人员。事件期间，对于我还不知道的事情，我会直言不讳，因为最初几个小时里的虚假确定性，造成的损害远大于承认自己仍在查明真相。

事件结束之后

局面稳定之后，经验教训复盘与响应本身同样重要：究竟发生了什么，计划哪些地方做对了，哪些地方有遗漏，下一次之前要改变什么。跳过这一步，组织就会把同一个教训学上两次。

适合哪些组织

适合没有经过测试的事件响应计划的组织，想通过贴近实战的桌面推演检验现有计划的团队，以及此刻正在应对进行中事件、需要一位经验丰富的人在电话那头的任何人。