讀到 IR 那幾天，這類問的方向都差不多。
宣告事件之後下一步是甚麼、reporting 流程該包含甚麼、IR plan 裡 disclosure 那一章寫甚麼、事件處理完之後要做甚麼。

我總是錯在「通知」跟「文件」，我一直下意識往技術動作那邊選。
這跟 Day08 拿到檔案就想丟沙箱是同一種反射，手比腦袋快，但其實考試時間我認為算充足，可以好好看完題目，判斷在問哪一段再來找答案。

宣告事件之後，先打開的是溝通計畫

事件被正式宣告（declare）之後，接下來要啟動的是 communication plan，也就是溝通計畫。
裡面寫的是出事的時候要通知誰、誰負責通知、用甚麼管道、多久之內要通知到。

我一開始會想，那不是先搞清楚發生甚麼事再說嗎，分析完再通知比較有東西講吧?
後來錯的題目多了、看得詳解多了，很多通報的時限是從「知道」那一刻開始算的，不是從「分析完」開始算。

最常被拿出來講的是 GDPR 第 33 條，個資外洩之後要通報主管機關（supervisory authority），原文是：

without undue delay and, where feasible, not later than 72 hours after having become aware of it

72 小時是從 aware，也就是知悉的時候起算。
如果等鑑識整個跑完才通報，時間可能早就過了。

所以溝通計畫存在的一個很實際的理由，就是讓這些時限不會被漏掉。
分析當然要做，只是它跟通報是平行在跑的，不是先做完一個才輪到另一個。

通報有兩條線，往上報跟往外報

我後來把它分成兩條來看。

第一條是往上報，在組織裡面沿著指揮鏈（chain of command）升級（escalation）。
值班的人發現，報給主管，主管再往上報到管理層，該由誰拍板的事情交給誰拍板。
練習題問 reporting 流程該包含甚麼，我的理解是指揮鏈加上法規時限這兩件事，remediation、containment 這些是應變動作，不是 reporting 本身。

第二條是往外報，對象在組織外面，而且多半不是你想不想報的問題。
法規有時限、合約也可能有時限，Day27 講的 SLA 裡面如果寫了「發生資安事件幾小時內要通知客戶」，那它跟法規一樣，是有白紙黑字的。

IR plan 裡的 disclosure 那一章，寫的就是這條線，也就是法律上、法規上必須對外揭露的義務。
「怎麼避免下次再發生」是 lessons learned 的事，Day26 講過，兩個不是同一章。

這張表是我整理練習題詳解跟自己的理解，順序跟時機每家公司的計畫會不一樣。
另外 legal 這格我當初是漏掉的，事件裡給法規通報建議的是法務，不是資安自己判斷要不要報。

對老闆說的，跟對工程師說的不一樣

同一件事，對不同的人講法不一樣。

對管理層要講的是影響跟選項：哪些業務受影響、影響多大、現在有哪幾條路、每條路的代價是甚麼、需要他決定甚麼。
他不需要知道是哪個 port、哪個 hash。

對技術團隊要講的是指標跟步驟：IoC 是甚麼、哪幾台要查、要做甚麼動作、做完回報給誰。

事件處理完，還差一份報告

事件處理完不算結束，接下來要寫的是 incident summary report，把這次事件文件化。
練習題問處置完下一步，答案就是這個。

這份報告大致會有這些欄位：

• 摘要
• who／what／when／where／why
• 時間軸
• 影響與範圍
• 證據
• 建議

讓報告準確的是時間軸，不是把原始 log 一大疊附上去。
甚麼時候發現、甚麼時候通報、甚麼時候圍堵、甚麼時候恢復，Day25 講的 MTTD、MTTC 那些指標，也是從這條時間軸算出來的。
寫完之後才輪到 Day26 的 lessons learned，再回頭更新 IR plan。

PCI DSS 出事，要通報給誰?

練習題問信用卡資料外洩要通報誰，我選了 Visa 和 MasterCard，正解是收單機構（acquirer）。

先講一下刷卡這條鏈上有誰。
acquirer 是幫商家處理刷卡收款的那家銀行，商家是跟它簽約的。
payment brands 是Visa、Mastercard 這些。
issuer 是發卡給持卡人的那家銀行。

我那時候的想法很單純，卡上印的是 Visa，出事當然找 Visa。
詳解的說法是，商家的合約對象是收單機構，所以商家的直接窗口是它。

PCI SSC 官方的說明頁面列出 PCI DSS Requirement 12.10.1 的內容，事件應變計畫至少要有：

including notification of payment brands and acquirers, at a minimum

國際發卡組織跟收單機構兩個都寫在裡面。

Visa 自己 2017 年的公告 Data Compromise Reporting Requirements 寫得更直接，發現疑似外洩的單位要 immediately notify its acquirer (e.g. the merchant bank) and Visa。

所以我現在的理解是，收單機構是商家合約上的第一個窗口，練習題選它是因為這個；但實務上國際發卡組織也在通報名單上，不是不用讓它知道。

這篇最主要是告訴大家，IR Plan裡面不只有技術人員該怎麼回應事件，還有這件事內部通知誰、法律有沒有規定要發公告、由誰來處理。

換個角度想，如果今天事情發生在自己身上，你知道第一通電話該打給誰嗎?