第9节：应对事件并评估通知需求
在本节中，您将学习：
应对事件并评估通报需求
即使采取了完善的防护措施，错误、设备故障和网络攻击仍可能发生。制定应对预案有助于您的非营利组织迅速采取行动、保护人员安全并继续开展重要工作。.
事件响应计划明确了由谁负责、应联系谁以及首先应采取哪些措施。. 起初，它可以是一份简短的文件，其中包含联系人名单和明确的职责分工。你们不必亲自调查每一个问题，但应该知道如何寻求帮助。.
了解哪些情况需要上报
事件是指影响或可能影响您的信息、账户、设备或服务安全的情况。例如：
并非每次系统中断都是网络攻击，也并非每起事件都涉及个人信息。请及时报告相关问题，以便相关负责人进行评估。员工和志愿者在寻求帮助时，不应被要求先证明已造成损害。.
在需要计划之前就要做好准备
就以下安排达成一致：
|
责任
|
需要确定什么
|
|---|---|
|
协调应对措施 |
一名负责人和一名后备人员，能够组织行动并作出决策 |
|
提供技术支持 |
值得信赖的服务提供商联系方式、支持服务时间及紧急援助安排 |
|
评估隐私和通知要求 |
一名可寻求适当隐私或法律建议的指定人员 |
|
批准决策和沟通内容 |
谁负责批准支出、服务调整以及向受影响人群发送通知？ |
|
维持基本服务 |
在运营中断期间，哪些工作必须继续进行，以及员工如何确保安全工作 |
请备好该计划的备份副本及联系方式，以防无法访问您的常规电子邮件或共享驱动器。其中应包括金融机构、重要服务提供商以及贵组织合作的任何保险公司。.
在发生事件之前，应确认哪些隐私要求和合同规定的通知义务适用。.
第一反应：报告、控制危害并记录
正确的应对措施取决于具体情况。误发的电子邮件与可能感染病毒的笔记本电脑需要采取不同的应对措施。.
请联系响应负责人或其备用人。如果电子邮件可能已遭泄露，请使用其他已建立的沟通渠道。.
请停止向该人发送信息、批准其请求或与其进行任何互动。.
与响应负责人或服务提供商合作，限制信息共享范围，保障受影响账户的安全，或隔离受影响的设备。.
请记录时间、受影响的账户或文件、已采取的措施以及尚未解决的问题。.
如果设备疑似感染病毒，请在确保安全的前提下将其断开网络连接，并联系您信赖的技术支持服务商。切勿通过擦除数据、重新安装系统或重启设备等临时措施进行处理；这些操作可能会导致证据丢失。加拿大网络安全中心的指导意见强调，在应对系统遭入侵时，应优先保留证据。.
如果资金是被欺诈性转出的，请立即通过可信渠道联系金融机构。不要等待全面评估结束。.
一份应急响应脚本
收到事件报告时，请使用以下内容：
“感谢您报告此事。请立即停止相关操作，并保留相关消息或信息。请告知我发生了什么情况、您何时发现的、涉及哪个账户、设备或信息，以及您已经采取了哪些措施。您无需确定这是否确实是一次攻击。我们将协调后续处理措施。”
在询问事实时不要指责对方。及时报告有助于将危害降到最低；而担心难堪则可能导致报告延迟。.
请勿要求他人将密码、登录码或敏感记录的非必要副本作为报告的一部分发送过来。.
保留信息，但不传播
请妥善保存相关消息、截图、服务商通知及操作记录。技术支持人员可能需要原始消息或系统记录来查明事件经过。.
限制对事件记录的访问权限。在可能的情况下，应描述受影响的信息，而不是将整个客户档案复制到事件日志中。. 记录：
- 事件发生的时间（如已知）以及何时被发现。.
- 哪些信息、账户、设备或服务可能会受到影响。.
- 哪些人可能已收到或查阅了该信息。.
- 防控措施及实施者。.
- 已听取建议，已做出决定，需要跟进。.
区分已证实的事实与假设。一旦获得新信息，应及时更新记录。.
判断是否涉及个人信息
隐私泄露可能涉及个人信息丢失、未经授权的访问或意外披露。这并不一定需要黑客的介入。.
例如，即使所有账户都保持安全，将参与者名单通过电子邮件发送给错误的人，也可能需要进行隐私评估。.
通知分流是指确定哪些需求和联系人需要关注。. 这只是一项初步评估，不能替代在做出艰难决定时所需的建议。.
|
问题
|
需要确定什么
|
|---|---|
|
涉及哪些信息？ |
信息类型、敏感程度及受影响人群 |
|
它怎么了？ |
无论是丢失、被访问、被复制、被披露还是被公开 |
|
这会有什么危害呢？ |
对安全、财务、身份、声誉、人际关系或服务获取方面的风险 |
|
发生滥用的可能性有多大？ |
谁收到了该信息或能够访问该信息，该信息是否受到保护，以及有哪些证据 |
|
有哪些要求？ |
相关的隐私法律、合同、资助方要求及保险条款 |
|
谁需要采取行动或接收通知？ |
受影响的个人、监管机构、合作伙伴、服务提供商或其他能够帮助减轻危害的各方 |
不要以为受影响的人数少就意味着风险低。仅有一人的信息泄露就可能造成严重后果。.
了解加拿大的通知背景
如第6节所述，非营利性质并不自动决定应适用哪项隐私法律。《个人信息保护和电子文件法》（PIPEDA）可能适用于商业活动，而各省或特定行业的相关要求也可能适用。.
《个人信息保护与电子文件法》（PIPEDA）的适用范围, 若发生涉及该组织控制下的个人信息的泄露事件，且该事件造成 造成重大伤害的实际风险. 评估时会考虑信息的敏感程度以及被滥用的可能性。.
在确定发生此类数据泄露后，必须在可行的情况下尽快进行强制性报告和通知。所有相关数据泄露事件的记录（包括未达到通知门槛的事件）必须保存至少两年。.
其他要求可能设有不同的门槛或截止日期。若不确定某项要求是否适用或是否需要提交通知，应及时寻求适当建议。在核查具有时效性的义务时，切勿等待调查全部结束。.
隐私专员的 数据泄露指南和风险评估资源 可以支持这一评估。.
清晰、安全地沟通
在向公众发布通知时，应说明已掌握的情况、涉及哪些信息、贵组织正在采取哪些措施，以及公众可以采取哪些措施来保护自己。同时提供一个可信赖的联系方式，以便公众咨询。.
请满足适用的内容和交付要求。在尚未得到证实的情况下，应避免做出“无人访问过该信息”等缺乏依据的保证。.
选择一种不会造成二次暴露的沟通方式。例如，群发邮件不应透露受影响客户的身份；向处于脆弱境地的人发送消息时，需仔细考虑安全的联系途径。.
协调信息更新，确保员工提供一致、准确的信息。.
安全恢复，并从中吸取教训
在恢复文件或恢复正常工作之前，请向相关支持人员确认问题原因已得到解决，且访问是安全的。.
根据前几节提到的优先级和备份方案，确定哪些内容需要优先恢复。记录临时工作安排，并在正常服务恢复后进行审查。.
随后请问：
- 是什么帮助我们做出了回应？
- 是什么导致我们放慢了脚步？
- 哪些保障措施、指示或协议需要改进？
- 谁将完成这项改进，以及何时完成？
重点关注那些能降低复发几率或减轻复发影响的措施。.
一项建议的政策规则
必须立即向指定联系人或备用联系人报告已发生或可能发生的事件。响应负责人负责协调事件控制、证据保全、恢复工作以及通知要求的评估。必须记录各项决策和行动，及时进行必要的沟通，并安排后续改进措施。.
在采用此规则之前，请列出相关联系人、决策者以及技术和隐私方面的咨询来源。.
演练你的第一反应
请讨论以下情景： 一名志愿者报告称，一份包含客户信息的电子表格被误发给了外部收件人。.
不要以为提出删除请求就能解决此事。请记录对方的回复并评估具体情况。.
您的收获
学习完本节内容后，您应该能够：
- 应急响应负责人、备用联系人及可信赖的支持联系人。.
- 一个清晰的首报流程。.
- 一种记录事件并评估通知需求的方法。.
- 一项关于安全康复和后续护理的计划。.
接下来，您将综合运用这些防范措施，练习如何保护您的非营利组织免受诈骗和欺诈的侵害——即使某项请求看起来很熟悉且可信。.
第10节：保护您的非营利组织免受诈骗和欺诈
本节将在您已掌握的安全防护措施基础上，进一步帮助您保护非营利组织的信息、账户和资金，防范那些利用欺骗手段诱使人们采取不安全行为的网络犯罪分子。.
English 
French 
Chinese 
Spanish 
Ukrainian 