21、隐私事件响应与业务连续性规划全解析

隐私事件响应与业务连续性规划全解析

1. 隐私事件后处理活动

1.1 经验教训回顾

隐私事件在隐私和安全专业人员处理完紧急情况后并未结束。当直接危险过去且正常运营恢复后，事件响应团队进入事件后活动阶段。此阶段中，团队成员会进行经验教训回顾，以改进后续事件的处理流程和工具。

经验教训回顾应在全员参与（现场或线上）的会议中进行，由未参与事件响应且被视为客观局外人的独立主持人引导。回顾过程需回答以下问题：
1. 具体发生了什么以及发生的时间？
2. 事件的根本原因是什么？
3. 员工和管理层在应对事件时表现如何？
4. 是否遵循了记录的程序？这些程序是否足够？
5. 哪些信息需要更早获取？
6. 是否采取了可能阻碍恢复的步骤或行动？
7. 下次类似事件发生时，员工和管理层会有何不同做法？
8. 与其他组织的信息共享如何改进？
9. 哪些纠正措施可以防止未来发生类似事件？
10. 未来应关注哪些先兆或指标以检测类似事件？
11. 检测、分析和缓解未来事件需要哪些额外的工具或资源？

回答完这些问题后，管理层要确保组织采取适当的后续行动，以提升未来的事件响应能力。

1.2 证据保留

事件结束时，团队通常会收集大量证据。团队领导应与员工合作，确定内部和外部的证据保留要求。若事件可能导致民事诉讼或刑事起诉，团队在丢弃任何证据前应咨询组织律师。若证据不太可能在法庭上使用，团队应遵循组织现有的保留政策。

若组织没有隐私事件的证据保留政策，现在是创建的好时机。许多组织选择对无其他保留要求的证据实施两年保留期