安全事件分级、响应、复盘与通知
为不可避免的异常建立清晰响应机制。
- 用自己的话解释“安全事件分级、响应、复盘与通知”及其核心术语。
- 在真实 AI 产品场景中识别何时应该使用本课方法。
- 完成一份可沉淀进“威胁模型、合规清单、成本模型与发布策略”阶段任务的实践产出。
REAL SCENE
先从一个真实场景开始
系统发生跨租户知识泄露，客服只在群里讨论，工程立即覆盖日志并重启服务，法务两天后才获知。团队既无法确定影响用户，也错过合同和法规通知窗口。安全事件需要预先分级、止损、取证、沟通和复盘机制。
PLAIN EXPLANATION
说人话：它到底是什么？
安全事件响应从发现、分级、遏制、调查、清除、恢复到复盘。分级结合数据敏感度、影响范围、可利用性、持续时间和业务后果。预案明确事件指挥、工程、安全、产品、法务、客服和管理层责任，优先止损同时保护证据；对用户、客户、监管与合作方的通知依据事实、合同和适用法律。
分级与指挥体系
建立严重度标准和升级渠道，任何人可上报。事件指挥统一决定与时间线，技术负责人负责遏制调查，产品评估用户影响，法务判断通知义务，沟通负责人保持口径。
- 严重事件有全天候联系树
- 利益冲突和决策权预定义
- 每次决定记录时间与证据
遏制、取证与恢复
先撤销凭证、关闭工具或切只读，避免扩大；同时保存不可变日志、版本、请求和配置。根因确认后清除漏洞、轮换秘密、修复数据，再按验证门恢复并持续观察。
- 不为重启而破坏关键证据
- 止损动作有副作用评估
- 恢复前验证同类攻击被阻断
通知与无责复盘
通知说明发生了什么、可能影响、已采取措施和用户动作，不猜测不隐瞒；时间与对象依法务判断。复盘聚焦系统与流程，形成负责人、期限和可验证改进，而非寻找替罪者。
- 事实与未确认信息分开
- 客服获得可执行 FAQ
- 改进项进入跟踪并复验
事件预先分级并建立单一指挥、角色和升级路径。
止损与证据保全并行，恢复必须经过安全验证。
通知基于事实与义务，复盘改进系统而非追责个体。
KEY POINT
这节课最重要的结论
- 为什么重要
- 这决定了让 AI 产品安全、合规，并具备可持续的商业模型时，团队是否拥有一致、可验证的判断标准。
- 适用边界
- 当问题目标、数据来源或失败成本发生变化时，不要机械套用；先重新确认假设和风险等级。
EXAMPLES
正确案例与常见反例
监控发现跨租户请求后自动撤销检索工具权限，事件指挥在 15 分钟内集结安全、工程、产品与法务。团队冻结日志和版本，确定受影响租户后修复 ACL、轮换凭证并回归；在合同窗口内向客户说明影响和防护，复盘项目有负责人和截止。
客服先公开猜测“模型偶发幻觉”，工程清日志重启，产品继续全量运行；无人负责影响分析，客户从媒体得知。复盘只写“工程师要更仔细”，没有监控、权限、测试或通知流程改进，同类漏洞仍可复现。
“P1 触发后先 revoke RAG tool 和冻结 audit storage，保留 model/prompt/kb/deploy 版本。请不要覆盖日志；按 tenant/requestId 枚举影响。恢复 gate 包括 ACL 回归、红队、凭证轮换和 24 小时监控。”
HANDS-ON
必做实操任务
本节产出：“威胁模型、合规清单、成本模型与发布策略”阶段任务中的《安全事件分级、响应、复盘与通知》一页实践卡
步骤 1为数据泄露、危险输出、越权执行和服务中断定义严重度矩阵。
步骤 2建立事件指挥、技术、安全、产品、法务、客服的 RACI 与联系树。
步骤 3桌面演练一次跨租户泄露，记录发现到恢复的分钟级时间线。
步骤 4编写用户通知草案和无责复盘，给改进项设置证据门。
实践结果会自动保存在本机，并进入项目工坊的任务来源。
事件类型与触发：____
严重度：P0/P1/P2/P3 依据：敏感度____ 范围____ 可利用____ 后果____
事件指挥：____
技术/安全/产品/法务/客服/沟通：____
首 15 分钟止损：____
证据保全：日志____ 请求____ 版本____ 配置____
影响枚举：____
根因与清除：____
凭证/权限/数据修复：____
恢复 gate 与观察期：____
客户/用户/监管通知对象、期限、内容：____
客服 FAQ：____
复盘时间线：____
改进项｜负责人｜期限｜验证：____CHECKLIST
产品经理工作检查表
MASTERY QUIZ
掌握测验
达到 60% 即可完成本课。
INTERVIEW
常见面试题
展开参考回答
按敏感度、范围、可利用性和后果分级，启动事件指挥与工程、安全、产品、法务、客服；立即撤权隔离止损，同时冻结日志、请求、版本和配置。枚举受影响对象、修复根因、轮换凭证并通过回归红队后分阶段恢复。依法规合同基于事实通知，最后无责复盘并跟踪可验证改进。
RECAP & FURTHER READING
重点回顾、延伸阅读与下一步
- 1
围绕“安全事件分级、响应、复盘与通知”继续阅读：阅读一份完整项目复盘，沿着目标、证据、方案、交付、结果和反思还原决策链。
- 2
用“事件响应、安全复盘、SLA”作为检索词，分别写下一条定义、一条适用边界和一个反例。
- 3
对照本课正确案例与反例，寻找一个公开案例并记录其中可复用的判断与不能照搬的条件。