breach-simulation

设计数据泄露模拟演练

概述

数据泄露模拟演练（桌面推演）用于测试组织在不经历实际事件后果的情况下，检测、响应和恢复个人数据泄露的能力。精心设计的演练可以验证数据泄露响应计划，发现流程、沟通和决策方面的缺口，并建立组织的应对经验。本技能涵盖从场景创建到事后报告的端到端设计流程。

演练设计框架

演练类型

类型	时长	参与者	复杂度	目的
桌面推演（基于讨论）	2-4 小时	8-15 位高级利益相关者	中	测试决策、沟通和政策应用
功能演练	4-8 小时	15-30 位跨职能团队成员	高	测试操作流程和工具使用
全面模拟演练	1-3 天	全组织范围（50+ 位参与者）	很高	测试端到端响应，包括技术、法律、沟通和高管职能

建议的演练频率

演练类型	频率	参与对象
桌面推演	每半年一次	高管团队、DPO、法务、沟通团队、CISO
功能演练	每年一次	SOC、隐私团队、IT 运营、人力资源、客服
全面模拟演练	每 2 年一次	全组织范围

场景设计

场景 1：客户数据库遭勒索软件攻击

复杂程度：高 时长：3 小时 主要目标：测试 Art. 33 规定的 72 小时通知决策、管理层沟通和供应商协调。

背景简报（演练开始前 24 小时发放）： Stellar Payments Group 为 18 个欧盟成员国和美国 12 个州的 15,230 名账户持有人处理支付交易。生产客户数据库托管在 AWS eu-west-1 的 PostgreSQL 集群上。DPO 为 Dr. Elena Vasquez。CISO 为 Thomas Brenner。Mandiant 是签约的事件响应公司。

注入事件时间线：

时间	注入事件	预期行动
T+0 分钟	SOC 警报：CrowdStrike 检测到 db-prod-eu-west-01 上文件被快速加密。每秒重命名 500 多个文件。出现已知勒索软件指标（LockBit 3.0）。	SOC 启动事件响应。启用事件指挥官。
T+15 分钟	更新：加密正在扩散至 db-prod-eu-west-02 和 03。客户门户返回数据库错误。客户通过支持渠道陆续投诉。	决策点：是否隔离数据库集群？是接受服务中断，还是承受进一步损失？
T+30 分钟	初步取证发现：攻击途径似乎是服务账户（svc-migration-2024）遭到入侵。该账户 3 天前曾通过 Tor 出口节点进行身份验证。	更新风险评估。确定可能遭到入侵的数据范围。
T+60 分钟	确认客户数据库已加密。涉及 15,230 名数据主体的 48,720 条记录。12 小时前的备份可用，且已确认干净。	决策点：是否从备份恢复？Art. 33 通知时限从何时开始——我们何时“知悉”事件？
T+90 分钟	发现勒索信：要求支付 50 BTC。威胁称若 48 小时内不付款，就会在暗网上公布数据。媒体机构（Handelsblatt）致电公关团队寻求回应。	决策点：是否支付赎金？是否联系执法部门？如何向媒体表态？
T+120 分钟	Mandiant 确认没有数据外泄的证据，但无法排除这种可能。备份恢复已完成 60%。Berliner BfDI 将于 2 小时后办公。	决策点：现在提交 Art. 33 通知，还是等待更多信息？是否准备 Art. 34 数据主体通知？
T+150 分钟	第二家媒体机构（Bloomberg）发布报道。社交媒体上开始出现相关讨论。过去一小时内收到 50 多通客户支持电话。三家企业客户要求书面保证。	管理沟通危机。与客户及 B2B 利益相关方沟通。
T+180 分钟	演练结束。主持人公布演练最终状态，并引导复盘讨论。	演练后讨论。

场景 2：内部威胁——员工数据外泄

复杂度：中 时长：2.5 小时

注入时间线：

时间	注入事件	预期行动
T+0 min	DLP 警报：一名即将离职的员工（最后工作日为周五）将 HR 数据库导出的文件（3,400 条员工记录）复制到了个人 OneDrive。	验证警报。确定是否涉及个人数据。
T+20 min	记录中包含姓名、家庭住址、薪资、银行账户详细信息和国民身份证号码。员工的经理确认，该员工于 2 周前提交了辞职申请。	决策点：是否与员工对质？是否保全证据？是否让法律部门介入？
T+45 min	IT 确认该文件已同步到员工的个人笔记本电脑。员工目前在办公室。	决策点：是否扣押设备？是否让 HR 介入？是否通知工会委员会（Betriebsrat）？
T+75 min	法律部门就德国劳动法下的员工权利提供建议。工会委员会代表要求在任何对质前进行协商。	在应对泄露事件的紧迫性与员工权利及工会委员会的义务之间取得平衡。
T+105 min	在工会委员会代表在场的情况下对员工进行面谈。员工称数据是用于“参考”，并拒绝允许检查个人笔记本电脑。	决策点：是否转交执法部门？是否申请法院命令检查设备？是否发出第 33 条通知？
T+135 min	DPO 完成风险评估：涉及 3,400 名员工，且包含政府签发的身份证件和财务数据，风险较高。建议根据第 33 条和第 34 条发出通知。	准备通知。规划员工沟通（如何告知 3,400 名员工，他们的数据被同事泄露）。
T+150 min	演练结束与复盘。	演练后讨论。

场景 3：第三方处理方泄露事件

复杂度：中 时长：2 小时

注入时间线：

时间	注入事件	预期行动
T+0 min	来自云端薪资处理方（PayrollCloud GmbH）的电子邮件：“我们谨此通知您，我们的平台上托管的客户数据受到一起安全事件影响。”未提供详细信息。	联系处理方了解详情。查看第 28 条 DPA，了解事件通知义务。
T+20 min	处理方确认：发生了 SQL 注入攻击。目前不清楚哪些客户受到影响。预计需要 5-7 天才能完成针对具体客户的影响评估。	决策点：我们能等 5-7 天吗？这会如何影响我们的 72 小时计时？
T+45 min	处理方提供了部分信息：“贵组织的数据位于受影响的服务器上，但我们无法确认是否有人访问过这些数据。”可能暴露了 3,400 条员工薪资记录。	评估控制者何时“知悉”此事，以确定第 33 条所涉时点。并行启动风险评估。
T+75 min	媒体报道了处理方的泄露事件。处理方的其他几家客户已公开承认受到影响。	决策点：是否主动披露？还是等待影响得到确认？
T+105 min	处理方确认：Stellar Payments Group 的数据已被访问。其中包括 3,400 条员工记录，包含姓名、薪资、银行账号和税号。	准备第 33 条通知。规划员工沟通。评估处理方的责任。
T+120 min	演练结束与复盘。	演练后讨论。

参与角色

角色	参与者	演练期间的职责
事件指挥官	CISO（Thomas Brenner）	整体事件协调、资源分配、遏制决策
隐私负责人	DPO（Dr. Elena Vasquez）	通知决策、风险评估、数据主体沟通
法律顾问	总法律顾问（Sarah Chen）	法律建议、特权管理、执法部门协调、监管策略
沟通负责人	沟通总监（Martin Keller）	媒体回应、客户沟通、内部沟通
IT 运营	IT 总监（Petra Hoffmann）	技术遏制、备份恢复、系统恢复
执行赞助人	CEO（Marcus Lindqvist）	战略决策、董事会通知、公开声明
客户关系	客户成功副总裁（James Park）	客户沟通、B2B 客户管理
人力资源负责人	CHRO（Claudia Richter）	员工沟通、协调职工委员会（内部人员威胁场景）
演练主持人	外部顾问或内部审计人员	情景安排、注入时机、讨论引导、观察
观察员／记录员	DPO 办公室分析师	记录决策、行动、时间线和不足之处，以供编写演练总结报告

评估决策点

1. 数据泄露知悉时间的判定：就第 33 条的时限而言，控制者究竟在何时「知悉」事件？
2. 遏制与证据保全：团队是否平衡了立即遏制与保全取证证据的需要？
3. 通知时限：是否跟踪并遵守了 72 小时期限？
4. 风险评估质量：是否一致地应用并记录了风险评估方法？
5. 沟通协调：媒体、客户和内部沟通是否协调一致？
6. 升级处理成效：是否在适当时机让相关人员参与？
7. 跨职能协调：法律、隐私、IT 和沟通团队是否有效协作？
8. 监管协调：是否确定了正确的监管机构并准备了通知？
9. 数据主体沟通：是否在适当的门槛下考虑了第 34 条通知？
10. 文档记录：是否实时记录了决策过程？

演练总结报告结构

第 1 节：演练概述

• 演练日期、时长、情景和参与者。
• 演练目标及其达成情况。

第 2 节：时间线分析

• 演练期间决策和行动的实际时间线。
• 与数据泄露响应计划中预期／理想时间线的对比。
• 识别延迟和瓶颈。

第 3 节：发现

• 行之有效的方面（应保持的优势）。
• 有待改进的方面（差距和不足）。
• 每项发现的严重程度评级：严重、重大、轻微、观察项。

第 4 节：建议

• 具体、可执行的补救建议，并注明负责人和截止日期。
• 按严重程度排序。

第 5 节：指标

• 从发现事件到作出遏制决策的时间。
• 从知悉事件到通知 DPO 的时间。
• 从知悉事件到完成通知准备的时间。
• 沟通一致性评分（发现的相互矛盾信息数量）。
• 决策质量评分（符合政策和法规的决策所占百分比）。