一句話摘要：
多數企業的事故應變，敗在第一小時的混亂，不是技術能力不足，而是沒人知道誰該先被通知、誰有權下決策；黃金 72 小時的指揮鏈，決定的不是修得快不快，而是亂不亂。

為什麼這件事對企業很重要？

真正發生資安事件時，多數企業第一個小時不是在「處理攻擊」，而是在「搞清楚誰該做決定」。工程師發現異常，不確定要不要立刻斷網；主管接到通知，猶豫要不要往上呈報，怕小題大作；等到真正驚動高層，往往已經過了黃金應變的前幾個小時，攻擊者早已完成橫向移動或資料外流。指揮鏈不清楚，比技術能力不足更致命，因為技術問題有解法，但混亂本身會自我繁殖，讓每個決策都拖延、每個責任都被推來推去。

第一線 IT/SecOps 心聲： 「發現異常流量的當下，我花了 40 分鐘在找『到底誰有權限下令斷網』，因為斷網會影響訂單系統，我怕自己擅自決定要背責任，結果攻擊者這 40 分鐘已經把資料庫掃過一輪。」

決策層 / 業務單位迷思： 「怎麼半夜三點才通知我？事情都已經發生兩小時了，你們是不是想瞞到最後一刻才敢講？」

沒有清楚的指揮鏈與通報時效規範，事件應變會陷入「基層不敢決定、高層太晚知道」的雙重延誤，而攻擊者最不缺的資源，正是企業在混亂中浪費掉的每一分鐘。

技術觀念與治理機制拆解

黃金 72 小時的核心治理邏輯，是把應變拆成三個時間帶、各自對應不同的決策主體與行動目標，而不是把所有人丟進同一個群組各自為政：

【黃金 72 小時指揮鏈架構】

1. 0-1小時（偵測與初判）： 負責人為 SOC 值班或第一線人員。
2. 1-4小時（升級與定調）： 負責人為 IR 指揮官或 CISO。
3. 4-24小時（控制與遏止）： 負責人為跨部門作戰小組。
4. 24-72小時（復原與溝通）： 負責人為高層、法務與公關。
5. 72小時後（事後檢討與強化）： 進行治理與流程優化。

這套結構要能運作，關鍵在於每個時間帶都要有「預先授權」的決策範圍，而不是每次都要臨時開會表決。以下是我實務上協助企業建立的指揮鏈角色與授權對照表：

實務設定範例（去識別化 IR 通報升級 SOP 節錄）：

【事故應變通報升級規則】

• Tier 1 偵測（SOC 值班人員）：
  • 預先授權： 隔離單一受影響主機、於防火牆封鎖可疑 IP。
  • 升級條件： 受影響主機大於 3 台、偵測到資料外流跡象、或 15 分鐘內無法排除為誤報。
• Tier 2 指揮（IR 指揮官 / 值班 CISO 代理）：
  • 決策權限： 啟動全公司 IR 應變流程、決定是否通知法務與高層。
  • 時效要求： 接獲通報後 30 分鐘內做出定調。
• Tier 3 決策（CEO / 法務長 / 公關主管）：
  • 觸發條件： 確認個資外洩、確認業務系統中斷超過 2 小時。
  • 時效要求： Tier 2 定調後 1 小時內完成通知。

這份 SOP 的價值在於把「誰能決定什麼」寫死在事件發生之前，而不是等到事件當下才用口頭協調。當第一線人員有明確的預先授權範圍，「不敢決定」的延誤就會大幅縮短；當升級條件寫成具體數字（如「受影響主機 > 3 台」），也不會因為個人主觀判斷而拖延通報時機。

實務落地與溝通建議

• For 第一線 SecOps / IT 團隊： 確認自己手上是否真的握有「隔離單一主機」的預先授權，如果沒有，這應該是你回去要跟主管爭取的第一件事；同時建議準備一份口袋版的升級判斷清單，貼在值班座位旁，避免事發當下靠記憶判斷是否該往上呈報。
• For CISO / IT 主管 / 決策者： 務必指定「IR 指揮官」的正式與代理人選，並讓全公司知道這個角色的存在與權限範圍，避免事發時才臨時決定誰來指揮；同時建議與法務、公關預先協調 72 小時內的對外溝通模板與監理通報時限（如個資法要求的通報時效），不要等到事件發生才開始討論該說什麼。

實戰行動清單：

• 確認第一線人員是否具備「隔離主機」等基礎預先授權。
• 指定 IR 指揮官正式與代理人選，並公告全公司周知。
• 建立升級通報的量化觸發條件（如主機數量、外流跡象）。
• 與法務、公關預先準備 72 小時內對外溝通模板草稿。

懂事掌短評

事故應變比的從來不是誰的工具最強，而是誰的混亂最少。黃金 72 小時能不能守住，關鍵在事件發生「之前」的那張授權表格是否寫清楚。工具會換版本，但一套清楚到不需要臨時開會的指揮鏈，才是真正扛得住壓力的治理骨架。

現場挑戰問題

你的組織目前是否有明確指定「IR 指揮官」這個角色？如果今晚凌晨三點發生資安事件，你確定知道第一通電話該打給誰嗎？

【明日 DAY 09 痛點預告】
事故應變時，多數工程師最怕的不是攻擊者，而是隔壁部門法務要你別亂講話、公關要你別對外承認，結果技術團隊在最需要速度的時刻，反而被自己人拖住手腳。明天拆解跨部門作戰矩陣，教你如何讓法務與公關從「絆腳石」變成「神隊友」。