網絡安全事故的遏制與復原應如何規劃？
事故遏制與復原計劃應在事件發生前訂明決策權限、短期遏制方法、系統隔離、業務持續、修復驗證及事後檢討。目標是在限制損害的同時保存證據，並以受控方式恢復可信服務。
網絡安全事故遏制與復原的核心要點
有效控制並非單靠購置工具。企業應先確認業務目標、重要資產、資料責任及可接受風險，再把「短期遏制、系統隔離、服務持續、修復驗證、復原及事後檢討」轉化為可執行、可審批及可覆核的程序。以下框架供規劃及內部討論使用。
預先制定遏制策略
按事件類型、資產重要性及業務影響，預先界定可封鎖帳戶、隔離主機、限制網段或切換服務的人員與程序。
兼顧隔離、證據與持續運作
短期遏制要阻止活動擴大，同時保留日誌、記憶體或磁碟等必要證據；關鍵服務應啟用經測試的持續運作方案。
修復根本原因並驗證
移除惡意持續機制、修補漏洞、重設受影響憑證及檢查相鄰系統；僅重新安裝或重啟並不足以證明安全。
分階段復原與監察
按風險逐步恢復系統，核對完整性、設定、存取權及監察訊號；復原後進行檢討並更新控制、手冊及演練。
建議實施步驟
- 盤點範圍：記錄系統、資料、網絡、帳戶、負責人及外部依賴，釐清目前可見性與缺口。
- 制定準則：按風險設定政策、觸發條件、例外、審批權限、證據要求及服務水平。
- 小規模驗證：先在代表性環境測試資料品質、誤報、效能及業務影響，保留回復安排。
- 持續監察：以量化指標覆核成效，記錄變更，並在事故、架構或法規要求改變後重新評估。
控制設計應同時考慮保安、可用性與私隱。任何自動化判斷均應提供人工覆核及升級渠道；涉及法律、合規或僱員監察的安排，應另行徵詢合資格專業意見。
權威參考資料
本頁依據以下公開官方資料整理；實施時應核對最新版本及機構適用要求。