勒索软件事件中的赎金、通报与恢复排序

先纠正问题框架：支付不是技术决策，而是董事会层面的业务、法律与声誉决策。CISO 提供事实与概率，不单独决定。

支付前必须验证的三件事：① 用少量样本文件测试解密器是否真的有效（很多团伙的解密器不可靠，尤其是被多家团伙重复加密的环境）；② 独立验证“已窃取 3 TB 数据”的说法（样本文件、泄露站点、谈判记录），不要把对方的时限施压当作事实；③ 核对钱包地址与团伙是否在制裁名单，评估支付是否触及制裁合规，同时确认保险条款（是否覆盖赎金、是否以通知执法为前提）。

业务对比：真正的比较对象是“支付”与“恢复时间”。离线磁带是 5 周前，重建 320 家门店的对账能力需要多久？如果 72 小时内能用降级流程恢复现金流（离线 POS、限额、人工对账、延长退货窗口），支付的业务理由会大幅减弱。

建议：以不支付为基线、并行恢复；只有在业务中断损失显著超过赎金且恢复无望时才重新讨论，且必须由董事会书面决策并记录依据。支付不消除风险：不保证解密、可能再次被勒索、可能被认定为资助犯罪，并会显著加重后续的监管与客户诉讼。

流程要求：无论是否支付，都应在付款前 24 小时通知保险经纪，同步联系执法，保留全部谈判与决策记录。

先做法律映射：企业在中国境内运营、未在境外处理个人信息，因此适用《网络安全法》《数据安全法》《个人信息保护法》的通报义务，而非 GDPR 的 72 小时规则（除非确有境外数据主体）。等级保护三级身份会提高监管关注度。

触发条件是“可能导致个人信息主体权益受损”，不要求已确认被查阅。攻击者已出示少量会员数据样本，通常已满足“可能”的门槛。等“查清全部事实”再通报，本身可能构成违规。

分工：法务/合规判断义务与口径；CISO 提供技术事实（数据类型、数量、是否加密、是否含敏感个人信息、是否涉及账户口令）；公关负责对外沟通；保险与执法沟通同步推进。

内容原则：最小必要、真实、可更新。分阶段通报--先按法定期限报告主管机关，再随调查进展补充；通知个人时要说明可能后果与补救建议（如防钓鱼与防诈骗提醒）。

同时检查：行业监管要求、与支付机构/合作方的合同告知义务（常见 24 小时条款）、以及会员数据是否包含可直接用于诈骗的组合字段。

平衡风险：过早且不准确的公开通报会引发恐慌与诉讼，过晚则面临处罚。可行做法是主管部门先行、对外口径统一、事实更新留痕。

顺序：遏制 → 保全证据 → 干净重建 → 恢复业务。对关键主机先做内存镜像与磁盘取证副本，再重建，不要在原主机上“边清边用”--这会同时毁掉证据与恢复的可信度。跳板机上攻击者留下的 3 个本地账户要优先取证，它们通常指向持久化入口。

业务优先级：先恢复门店最小可用（离线 POS、限额交易、人工对账、延长退货窗口），而不是先恢复财务共享盘。恢复要有验证标准，不能以“服务起来了”为完成。

根因排序（按可利用性）：① VPN 未启用 MFA；② 域管理员账户 3 年未更换且多系统复用；③ 备份与生产同域、无不可变存储、作业静默失败无告警；④ 5 周无成功备份且无人发现。

整改优先级：备份改 3-2-1 + 不可变 + 离线 + 作业告警 + 定期恢复演练；特权账户与 MFA；AD 分段与域管账户隔离；EDR 与集中监控全覆盖。

避免的形式整改：采购新工具不等于整改完成。验证标准是下一次恢复演练能否在目标 RTO 内完成、备份失败能否在 1 小时内告警。

记录：把“5 周无成功备份却无告警”作为独立的内审发现与 KRI，而不是事件附注。