ISO/IEC 27035-3:2020 — 事件管理 — 响应与运行

事件管理的运行阶段是准备与现实相遇的时刻。ISO/IEC 27035-3:2020 为事件响应
的检测、分析、遏制、根除和恢复阶段提供了详细的程序性指南。该标准是
27035 系列的操作核心，将战略计划转化为安全团队在实时事件中执行的战术行动。

事件检测与初步评估

有效检测需要多层策略。标准涵盖了来自多种来源的检测：自动化安全控制、
用户报告、外部威胁情报源和第三方通知。每个检测来源必须有定义的初步
分诊程序——确定事件是误报、非恶意异常还是需要升级的真实安全事件。

初步评估是检测与全面响应之间的桥梁。ISO/IEC 27035-3 定义了结构化
的分诊流程，评估技术范围、业务影响和紧迫性。评估结果进入决策矩阵，
确定事件严重级别、响应团队组成和升级路径。

遏制、根除与恢复策略

标准提出了一种在速度与法证保全之间取得平衡的结构化遏制方法。短期遏制
旨在阻止即时威胁扩散。长期遏制在规划根除活动的同时应用更持久的措施。

根除是消除事件的根源。这可能涉及移除恶意软件、修补漏洞、撤销受损凭据
或从已知良好的镜像重建受影响的系统。标准强调根除必须彻底——部分根除会
导致重新感染或持续存在。恢复涉及以分阶段方式恢复正常运营，并进行仔细
监控以确保威胁在恢复生产流量之前已被完全消除。标准建议使用正式的
“恢复运营”检查清单和签核流程。

在实际操作中，遏制策略的选择需要权衡多个因素：业务中断成本、取证价值
保留、威胁扩散速度以及可用资源限制。标准建议为常见场景预定义遏制策略，
以便在紧急情况下快速决策。例如，对于勒索软件事件，立即隔离受影响网段
是标准做法；而对于数据泄露事件，则可能需要更谨慎的方法以保留证据。
标准还强调与内部法律团队和外部监管机构保持沟通的重要性，确保遏制行动
不会妨碍后续的法律程序或监管调查。恢复阶段则需分步骤进行，从最关键的
业务系统开始，逐步恢复至满负荷运行状态。

事件后评审与经验教训

事件后阶段是组织捕获从事件中获得的知识并将其转化为改进防御态势的环节。
ISO/IEC 27035-3 推荐结构化的事件后评审流程，涵盖：发生了什么、哪些做得好、
哪些出了问题、哪些可以改进以及需要哪些变更以防止再次发生。评审应生成
包含可操作建议、责任人和目标完成日期的正式报告。

标准还强调了事件指标聚合的价值。通过分析跨多个事件的模式，组织可以
识别系统性弱点并优先安排改进计划。向管理层报告趋势分析结果强化了
持续投资于事件管理能力的商业论证。

常见问题