关于 breach-response-playbook
面向隐私、法务与安全响应团队的数据泄露响应手册框架。它预设团队职责、升级路径、沟通模板、监管机构与外部服务商联系信息，帮助组织协调事件处置。
主要功能
- 01响应团队角色与职责
- 02事件严重级别与升级路径
- 03内部及外部沟通模板
- 04监管机构联系目录
- 05外部服务商启动信息
- 06手册维护与演练安排
适用场景
- 01规划个人数据泄露响应流程
- 02确定事件升级和通知负责人
- 03准备客户、员工及媒体沟通内容
- 04定期演练并更新应急联系信息
安装
复制下面的命令，在终端中运行。
npx skills add https:/安装后在 Claude Code 中输入/breach-response-playbook确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
assets/template.mdreferences/standards.mdworkflows.mdscripts/process.py详细介绍
构建数据泄露响应团队手册
概述
数据泄露响应团队手册是一份操作手册，可在发生个人数据泄露时帮助团队快速、协调地作出响应。手册预先明确角色和职责、升级路径、沟通模板及外部联系信息，使响应团队在实际事件发生时能够立即行动，而不必在关键时刻把宝贵时间耗费在后勤安排上。
团队结构 — CSIRT + 隐私保护
核心响应团队
| 角色 | 主要负责人 | 备份人员 | 联系方式 | 职责 |
|---|---|---|---|---|
| 事件指挥官（IC） | Thomas Brenner（CISO） | Marcus Weber（SOC Lead） | +49 30 7742 8100 / [email protected] | 全面协调、资源分配、遏制决策 |
| 数据保护官 | Dr. Elena Vasquez | Anna Schmidt（副 DPO） | +49 30 7742 8001 / [email protected] | 通知决策、风险评估、监管机构联络、与数据主体沟通 |
| 法律顾问 | Sarah Chen（总法律顾问） | 外部：Dr. Klaus Fischer（Freshfields） | +49 30 7742 8200 / [email protected] | 法律建议、法律特权管理、监管策略、执法机构协调 |
| IT 取证负责人 | Petra Hoffmann（IT 总监） | 外部：Sarah Mitchell（Mandiant） | +49 30 7742 8300 / [email protected] | 证据保全、取证调查、确定影响范围、根本原因分析 |
| 沟通负责人 | Martin Keller（沟通总监） | Lisa Braun（高级沟通经理） | +49 30 7742 8400 / [email protected] | 媒体回应、客户沟通、内部沟通、社交媒体监测 |
| 执行赞助人 | Marcus Lindqvist（CEO） | CFO：Dr. Andrea Hoffmann | +49 30 7742 8000 / [email protected] | 战略决策、通知董事会、公开声明、与监管机构沟通 |
| 客户关系负责人 | James Park（客户成功副总裁） | Maria Santos（客户成功总监） | +49 30 7742 5000 / [email protected] | 管理客户咨询、与 B2B 客户沟通、服务状态更新 |
| HR 负责人 | Claudia Richter（CHRO） | Stefan Müller（HR 总监） | +49 30 7742 7500 / [email protected] | 员工沟通、协调职工委员会、内部威胁情形处理 |
扩展团队（按需启动）
| 角色 | 联系方式 | 启动条件 |
|---|---|---|
| 董事会联络人 | 董事会秘书（Dr. Friedrich Weber） | 泄露影响 10,000 名以上数据主体，或可能导致高风险 |
| 网络保险 | Allianz 理赔：+49 89 3800 0（编号：SPG-CYB-2025-001） | 任何预计响应成本将超过 EUR 50,000 的泄露事件 |
| 外部事件响应公司 | Mandiant：+1 703 935 1700（服务协议：SPG-IR-2025-007） | 任何需要超出 SOC 能力范围的取证调查的泄露事件 |
| 外部法律顾问 | Freshfields：+49 30 20 28 39 000（编号：SPG-LEG-2025-012） | 涉及监管风险、诉讼风险或跨境通知的泄露事件 |
| 外部沟通公司 | Brunswick Group：+49 69 2400 5510 | 媒体曝光，或影响 50,000 人以上的泄露事件 |
| 信用监控供应商 | Experian Enterprise：+44 115 941 0888（服务协议：SPG-EXP-2025-003） | 涉及金融数据、政府签发的身份证件或健康数据的泄露事件 |
升级矩阵
严重程度分类
| 严重程度 | 标准 | 响应时间 | 升级级别 |
|---|---|---|---|
| SEV-1（严重） | 10,000 名以上数据主体；特殊类别数据（第 9 条）；持续外泄；加密型勒索软件 | 立即（15 分钟内） | IC + DPO + CEO + General Counsel |
| SEV-2（高） | 1,000-10,000 名数据主体；财务数据；凭据；媒体曝光 | 30 分钟内 | IC + DPO + General Counsel |
| SEV-3（中） | 100-1,000 名数据主体；非敏感个人数据；已控制的数据泄露 | 2 小时内 | IC + DPO |
| SEV-4（低） | 少于 100 名数据主体；低敏感度数据；已控制且未发生外泄 | 4 小时内 | SOC Lead + Privacy Coordinator |
升级流程
SOC Analyst detects alert
↓
SOC Lead validates (within 15 min)
↓
Personal data involved? → No → Standard security incident process
↓ Yes
Classify severity (SEV-1 to SEV-4)
↓
SEV-1/2: Activate Incident Commander + DPO immediately
SEV-3: Notify IC + DPO within 2 hours
SEV-4: Notify Privacy Coordinator within 4 hours
↓
IC convenes Core Response Team
↓
72-hour Art. 33 clock determination
↓
Investigation → Risk Assessment → Notification Decision
沟通模板
模板 1：内部数据泄露警报（发送给核心响应团队的邮件）
主题：[SEV-X] 个人数据泄露——需要立即采取行动
发件人：SOC / 事件指挥官 收件人：核心响应团队邮件列表
已发现个人数据泄露事件，需要立即响应。
事件摘要：
- 发现时间：[UTC 时间戳]
- 受影响系统：[系统名称]
- 泄露类型：[机密性 / 完整性 / 可用性]
- 估计数据主体数量：[数量或范围]
- 个人数据类别：[列表]
- 控制状态：[已控制 / 正在发生 / 未知]
需要立即采取的行动：
- IC：于 [时间] 在 [会议桥接/Teams 链接] 召开响应团队会议
- DPO：开始风险评估；确定 72 小时时限
- IT 取证：保全受影响系统上的证据
- 法务：审查特权保护及执法部门相关事项
- 沟通团队：准备暂定声明；监控媒体
响应团队会议桥接：[Teams 会议链接] 事件频道：Signal 群组“SPG-IR-Active”
模板 2：媒体暂定声明
Stellar Payments Group 已获悉一起影响[我们的部分系统 / 我们的客户数据库]的安全事件。我们已立即启动事件响应程序，并正与领先的网络安全专家合作调查此事。保护客户数据是我们的首要任务。随着调查进展，我们将提供进一步信息。如媒体有任何询问，请联系 [email protected]。
模板 3：客户服务沟通要点
数据泄露事件正在发生期间，面向客户的员工请遵循以下内容：
如果客户询问安全事件：
- “我们已获悉一项安全问题，团队正积极着手解决。”
- “您的信息安全是我们的首要任务。”
- “调查情况允许后，我们会直接联系所有受影响的客户。”
- “我可以记录您的联系信息，并在您的账户受到影响时通知您。”
请勿：
- 确认或否认数据泄露的具体细节
- 猜测受影响客户的数量
- 提供未包含在经批准的沟通要点中的信息
- 在社交媒体上讨论此事件
模板 4：董事会通知（发送给董事会主席的邮件）
主题：向董事会通报数据泄露事件——[泄露事件参考编号]
尊敬的[董事会主席]：
我谨此告知您，[日期]发生了一起个人数据泄露事件。本通知依据经董事会批准的《事件升级政策》发出。
摘要：[2-3 句描述] 规模：[数据主体的大致数量及数据类别] 状态：[已控制/调查中] 监管机构通知：[已提交/待提交/无需提交] 财务风险：[估计的响应成本及潜在监管罚款]
我们将于[预定时间]提供完整简报。在此期间，[CEO 姓名]正负责监督组织的响应工作。
模板 5：员工沟通（全体员工）
主题：来自 [CEO] 的安全事件重要更新
各位同事：
我想与大家分享一项重要更新。我们于 [date] 发现了一起影响 [description] 的安全事件。我们的安全和隐私团队正在全天候开展调查并解决这一情况。
我们目前掌握的信息：[brief, factual description] 我们正在采取的措施：[containment and investigation actions] 这对您的影响：[if employee data was involved, say so directly; if not, clarify] 请您配合的事项：请将任何异常系统活动报告至 [email protected]。请勿在外部或社交媒体上讨论此事。
随着我们掌握更多信息，会继续向大家通报进展。感谢大家在此期间保持专业并给予支持。
[CEO Name]
监管机构联系目录
欧盟
| 国家 | 机构 | 数据泄露门户 / 联系方式 | 电话 |
|---|---|---|---|
| 德国（柏林） | Berliner BfDI | datenschutz-berlin.de | +49 30 13889 0 |
| 德国（联邦） | BfDI | bfdi.bund.de | +49 228 997799 0 |
| 法国 | CNIL | notifications.cnil.fr/notifications | +33 1 53 73 22 22 |
| 爱尔兰 | DPC | forms.dataprotection.ie | +353 57 868 4800 |
| 荷兰 | AP | autoriteitpersoonsgegevens.nl | +31 70 888 8500 |
| 西班牙 | AEPD | sedeagpd.gob.es | +34 91 266 35 17 |
| 意大利 | Garante | [email protected] | +39 06 696 77 1 |
| 比利时 | APD/GBA | gegevensbeschermingsautoriteit.be | +32 2 274 48 00 |
| 奥地利 | DSB | dsb.gv.at | +43 1 52 152 0 |
| 波兰 | UODO | uodo.gov.pl | +48 22 531 03 00 |
英国
| 机构 | 门户 | 电话 |
|---|---|---|
| ICO | ico.org.uk/for-organisations/report-a-breach | +44 303 123 1113 |
美国
| 机构 | 门户 | 电话 |
|---|---|---|
| HHS/OCR（HIPAA） | ocrportal.hhs.gov | +1 800 368 1019 |
| 加利福尼亚州总检察长 | oag.ca.gov/privacy/databreach/reporting | +1 916 210 6276 |
| 纽约州总检察长 | ag.ny.gov/internet/filing-a-complaint | +1 800 771 7755 |
| FTC | ftc.gov/enforcement | +1 877 382 4357 |
其他国际地区
| 司法管辖区 | 机构 | 联系方式 |
|---|---|---|
| 加拿大 | OPC | priv.gc.ca |
| 澳大利亚 | OAIC | oaic.gov.au/privacy/notifiable-data-breaches |
| 巴西 | ANPD | gov.br/anpd |
| 新加坡 | PDPC | pdpc.gov.sg |
预先协商的供应商联系方式
| 服务 | 供应商 | 合同编号 | 启动联系信息 | SLA |
|---|---|---|---|---|
| 事件响应 | Mandiant | SPG-IR-2025-007 | +1 703 935 1700 / [email protected] | 24 小时内现场响应，4 小时内远程响应 |
| 外部法律服务（欧盟） | Freshfields Bruckhaus Deringer | SPG-LEG-2025-012 | +49 30 20 28 39 000 | 2 小时内由合伙人级别人员响应 |
| 外部法律服务（美国） | Covington & Burling | SPG-LEG-2025-013 | +1 202 662 6000 | 2 小时内由合伙人级别人员响应 |
| 信用监控 | Experian IdentityWorks | SPG-EXP-2025-003 | +44 115 941 0888 | 48 小时内启用门户 |
| 危机沟通 | Brunswick Group | SPG-COM-2025-001 | +49 69 2400 5510 | 4 小时内调派团队 |
| 网络保险 | Allianz Cyber Enterprise | SPG-CYB-2025-001 | +49 89 3800 0 | 24 小时内确认理赔申请 |
| 电子取证 / 法律保全 | Relativity / Exterro | SPG-LIT-2025-004 | +1 312 263 1333 | 4 小时内启动法律保全 |
预案维护
| 活动 | 频率 | 负责人 |
|---|---|---|
| 审核并更新联系信息 | 每季度 | DPO Office |
| 确认供应商常年顾问协议仍然有效 | 每年 | Procurement + DPO |
| 更新监管机构的联系方式 | 每半年 | DPO Office |
| 使用预案开展桌面演练 | 每半年 | DPO + CISO |
| 全面修订预案 | 每年或发生 SEV-1/SEV-2 事件后 | DPO |
| 向核心响应团队分发更新后的预案 | 每次修订后 | DPO Office |