一份可落地的应急响应预案模板

预案写在纸上容易，落地上难在模板太虚。一份能用的预案，四个部分一件不能少：分级、联系人、处置步骤、复盘要求。照这四块填，半夜出事才用得上。 一、事件分级和响应时限 分三级就够用。P1：业务中断或数据泄露，十五分钟内响应，负责人必须到场；P2：部分功能受损但有绕行方案，一小时内响应；P3：一般异常，当天处理。分级的目的不是写文档，是让值班员不用层层请示就知道该通知谁、多快通知。判断依据也写清：按影响用户数和资金损失估量级，现场拿不准的先按高一级处理，宁可小题大做。 二、联系人表要具体到人 每一级事件列清楚：第一负责人、备份人、值班电话、云服务商的工单与客服入口，涉及对外的再加法务与公关接口人。电话号码每月核一次，人员离职当天更新。联系人表过期是预案失效最常见的方式，号码打不通，后面写得再好也是空转。 三、处置步骤按顺序写 P1 的标准动作固定成清单：第一步隔离，断网、下线、改密码，先按住损失面；第二步取证，对涉事主机做快照、留存日志，然后才动手清理，顺序反了证据就没了；第三步恢复，从确认干净的备份重建，更换全部相关密钥；第四步对外，统一口径，该通知受影响用户的不拖延。还有一步常被漏掉：恢复之前确认入侵路径已经堵上，否则重建起来的是一扇给攻击者留门的系统。每一步写明执行人和预计耗时，别写"视情况处理"这种没法执行的句子。 四、复盘要求写进预案 事件平息后七十二小时内出复盘记录，固定四项：时间线、影响面、根因、改进项。复盘在预案里只占一行字，但它是整个流程里让下次少受损的部分，缺了它，预案只是灭火器不是疫苗。 预案写完半年不演练就会过期。建议每半年拿一次模拟事件，把分级、通知、处置完整走一遍，走不下去的地方就是要修的地方。