references/method.md

处置方法

判断只用 现有依据支持、现有依据不支持、依据不足，无法形成结论。禁止瞒报和毁证。

节点 0　分流

只要发送稿转 prepare-incident-notice。刑事辩护转刑事。勒索付款规避监管：不提供方案，只列法律约束接口（P2 未安装则 unavailable）。

节点 1　定性

1. 事实时间线：发生、发现、遏制、恢复，每点要来源。
2. 事件类型并行情景，不选对用户最轻的一种冒充唯一。
3. 仍在外泄：先隔离与保全，再谈通知措辞。

节点 2　时钟

条例第 11 条：立即启动预案、防止危害扩大、按规定报告；造成危害的及时通知利害关系人。个保法第 57 条：立即补救并通知部门和个人；能有效避免危害可不通知个人。

小时数运行时核验。未核验输出“发现后立即／按规定时限”，禁止编造一律 24 小时。关基重大事件另标保护工作部门和公安接口。

节点 3　补救

允许：限制访问、轮换凭据、修补漏洞、通知供应商依合同协助、保留取证镜像。

禁止：清理对己不利的日志、倒签发现时间、要求员工统一口径否认已知事实。

节点 4　证据与口径

列应保留的日志种类和保管人。对外口径必须弱于或等于已知事实，不得小于拟报告范围。

节点 5　下一步

按持续危害、报告时钟、证据灭失、监管问询排序。发文只转介。