网络安全事件不再只是大型科技公司的问题。根据TÜİK（土耳其统计局）2026年9月10日发布的《企业信息技术使用调查》，员工10人及以上的企业中，有9.4%报告2025年至少发生过一次信息和通信技术（ICT）安全事件。大约每十家公司中就有一家。
同一时期，法律框架也发生了变化。2025年3月19日在Resmî Gazete（土耳其《官方公报》）上公布即生效的第7545号《网络安全法》（Siber Güvenlik Kanunu）包含一项关于网络事件通报的义务。本文首先看数据，再看该法文本对此的规定，最后借助一个国际框架，探讨事件发生时可以遵循的步骤。
数据说明了什么？
根据TÜİK数据，在ICT系统中采取任何安全措施的企业比例从2024年的76.0%升至2026年的83.0%。该比例随企业规模上升：员工10-49人的企业为81.2%，50-249人的企业为90.5%，250人及以上的企业为97.2%（TÜİK）。
但采取防范措施并不能让安全事件降为零。2025年报告至少发生一次安全事件的比例，在员工10-49人的企业中为9.3%，50-249人的企业中为10.2%，250人及以上的企业中为8.4%。尽管几乎所有大企业都采取了安全措施，但大约每十二家大企业中仍有一家报告发生过安全事件。
从事件类型看，情况更加具体（TÜİK）：
- 6.4%的企业因外部攻击而无法访问ICT服务。
- 5.6%的企业因恶意软件或未经授权的访问而遭遇数据丢失或损坏。
- 5.3%的企业因入侵、欺诈、网络钓鱼或员工的蓄意行为而遭遇数据保密性被破坏。
最常见的事件类型是无法访问服务，这表明网络事件不只是IT问题，而直接是业务连续性问题。
该法文本对通报有何规定？
本节不是法律评估，而是对该法文本相关条款的概述。
适用范围（第2条）： 根据该法文本，适用范围包括在网络空间中存在、开展活动或提供服务的公共机构、具有公共机构地位的职业组织、自然人和法人，以及不具有法人资格的实体（Resmî Gazete）。某些情报和军事活动被排除在适用范围之外。
通报（第7/1-b条）： 该法对其适用范围内通过信息系统提供服务、收集或处理数据或开展类似活动的主体规定了若干责任。用该法原话说，其中之一是"将其在提供服务的领域中发现的漏洞或网络事件毫不迟延地通报主席团"。这里的主席团是指Siber Güvenlik Başkanlığı（网络安全主席团）。
由谁确定细则（第6条）： 该法规定，主席团将确定通报的程序和原则；主席团还可对适用范围内的机构和人员进行分类；必要时，可制定仅适用于其中特定部分的规定。换言之，这项义务在实践中如何适用于某家公司，不仅取决于该法，还取决于主席团的二级法规。
处罚（第16条）： 该法规定，对未履行第7条相关项下责任者处以行政罚款。根据Mevzuat Bilgi Sistemi（土耳其法规信息系统）中的现行文本，该条款已被2026年7月31日生效的第7590号法律修订（Mevzuat Bilgi Sistemi）。这说明了从官方来源跟踪现行文本的重要性。
贵公司在这项义务中处于何种位置，可能因行业和业务而异。要回答这一问题，我们建议查阅该法文本、主席团发布的法规，并咨询您的法律顾问。本文不能替代法律意见。
事件发生时怎么办：NIST的现行框架
美国国家标准与技术研究院（NIST）于2025年4月发布的SP 800-61 Rev. 3指南，是事件响应领域广泛使用的参考之一。该指南取代了2012年的旧版，并将事件响应与NIST网络安全框架（CSF）2.0的六项职能相关联（NIST）。
该指南的核心认识是：过去，事件很少发生、范围狭窄，一两天即可结案；如今，事件频繁发生、危害更大，恢复往往需要数周甚至数月。因此，事件响应不再被视为由单独团队偶尔处理的工作，而是贯穿整个风险管理的流程。
NIST模型分为两个层次：
1. 准备（治理、识别、保护）： 这并非事件响应本身，而是使其成为可能的广泛风险管理工作。在这里，事先明确角色至关重要。指南列出的可能角色包括高层管理者、事件响应团队、技术专家、法务、企业传播、人力资源、物理安全和资产所有者。指南建议在合同中明确界定与外部服务提供者之间的责任划分。
2. 响应（检测、响应、恢复）： 事件发生时采取的步骤。指南中值得注意的建议：
- 核实并排定优先级： 对收到的报告进行初步审查，确认其是否确属事件，然后评估其严重性和紧迫性。考虑为每个事件指定负责人。
- 评估范围： 根据指南，确定事件规模是响应中最困难的环节之一；如果流于表面，事件可能在其他系统中持续而不被察觉。
- 保留记录： 以保持完整性的方式记录所采取的行动和收集的数据。尽管并非每个事件都会诉诸法庭，但收集的数据可以作为证据。
- 遏制与根除： 先阻止扩散（隔离、检疫），再清除持久化机制和入侵入口。
- 通报与沟通： 指南强调，通报应遵守适用于组织所在行业以及组织及其客户所在地区的法规，而这一领域在不断变化。指南建议事先在程序中写明向谁通报、通报什么以及何时通报。
- 恢复与总结： 使系统恢复正常、验证其运行状况，并在发现经验教训的当下（而非事件结束后）予以分享。
最后一项反映了一个重要变化：在旧模型中，经验教训在事件结束后才汇总；而在新模型中，持续改进贯穿所有职能。
管理者检查清单
为将这些资料呈现的情况纳入管理议程，以下问题可作为起点：
- 我们是否有书面的事件响应计划？上一次演练是什么时候？
- 事件期间谁拥有决策权？谁来做出关闭系统等重大决定？
- 与外部服务提供者（云、网络、安全）在事件期间的责任划分是否已写入合同？
- 我们是否已与法务部门明确，根据第7545号法律及其他法规，必须向谁通报、何时通报？
- 我们的业务连续性计划是否已针对服务中断场景更新？
Orient Global的观点
事件响应的质量在很大程度上在事件发生之前就已决定：事先将角色、权限和通报流程形成书面文件的组织，能够更快、更一致地采取行动。因此，一个实用的起点是：对照NIST等框架审视现有计划，与法务部门一起明确通报义务，并每年至少通过一次桌面演练检验计划。
为何物流经验在此很重要。 TÜİK数据中最常见的事件类型是无法访问ICT服务，在物流运营中，这意味着订单、库存和发运可能陷入停滞。我们的一位顾问在运营、物流和供应链领域拥有30多年经验：在一家大型科技分销企业，他端到端负责物流、仓储、技术服务和行政运营，组建并带领100多人的团队，并通过以KPI为导向的项目带来持久改善。他还曾在多家领先的零售、物流和分销组织管理全国范围的仓储和运输运营、大规模分销网络以及网络和产能规划。作为一名工业工程师，他如今通过人工智能与自动化，将这种供应链管理纪律带给中小企业。了解我们的顾问。
#interimmanagement #forwarddeployedengineering