NIST 在 2025 年 4 月正式發布 SP 800-61 Rev.3，取代 2012 年的 Rev.2。新版最大的改變，是不再把事件應變視為事件發生後才啟動的獨立流程，而是將它整合到 NIST Cybersecurity Framework（CSF）2.0 的整體風險管理活動中。
新版事件應變不只包含 Detect、Respond、Recover
SP 800-61 Rev.3 以 CSF 2.0 Community Profile 呈現事件風險管理。準備階段涵蓋 Govern、Identify 與 Protect；事件發生後以 Detect、Respond、Recover 處理；改善則回到 Identify-Improvement。這代表管理制度、資產清冊、權限、備份與供應鏈管理，都是事件應變能力的一部分。
中小企業可落地的事件應變流程
1. 先定義誰有權做決定
事件發生時最浪費時間的，往往不是技術分析，而是不知道誰能決定停機、隔離帳號、通知客戶或聯絡外部廠商。應事先建立事件負責人、技術窗口、管理層、法務與公關聯絡表，並準備非公司郵件的備援溝通方式。
2. 建立能還原時間線的日誌
至少集中保存身分驗證、端點、伺服器、防火牆、VPN、雲端管理與重要應用程式日誌。所有設備應使用一致時間來源，避免調查時出現事件順序無法對齊的問題。
3. 設計明確的事件分級
可依影響資料、受影響資產、是否持續擴散與營運中斷程度分成數個等級。每個等級應對應通報時限、負責人與處理動作，讓第一線人員不必臨時猜測。
4. 偵測後先確認範圍，再決定隔離
看到單一異常登入或惡意檔案，不代表事件只有一台設備。應先確認相同帳號、來源 IP、檔案雜湊與行為是否出現在其他系統，再決定封鎖帳號、切斷網路或保留現場。過早關機可能破壞記憶體證據，過晚隔離則可能讓影響擴大。
5. 回應期間維持證據與決策紀錄
記錄每個時間點的發現、執行者、採取動作與判斷理由。這些紀錄能支援後續技術調查、法規通報、保險申請與管理層檢討。
6. 復原不是把系統重新開機
復原前應確認攻擊入口已移除、密碼與金鑰已更新、安全修補已完成，並分階段恢復服務。恢復後要持續加強監控，避免攻擊者仍保有其他入口。
7. 將經驗轉成下一輪改善
事件結束後召開檢討會，聚焦哪些訊號太晚發現、哪些決策缺乏授權、哪些資料無法取得，以及哪些控制應優先改善。檢討的目的不是找人負責，而是讓下一次事件更快被發現、影響更小。
平時應準備的最小事件應變包
- 事件聯絡人與外部支援清單
- 資產、資料與系統相依關係
- 事件分級及通報門檻
- 帳號隔離、網路封鎖與備份復原程序
- 日誌保存位置與查詢權限
- 事件紀錄表與證據保全規則
- 每年至少一次桌上演練
監控與演練決定真正的反應速度
文件完成不代表組織具備應變能力。只有透過持續監控、告警調整與情境演練，才能確認流程在壓力下仍可運作。AILAB 可協助導入智慧告警與社交工程演練，並將事件訊號轉為可理解、可追蹤的處理資訊。
參考資料：NIST SP 800-61 Rev.3