风险预警与处置闭环
sentinel, Lab
v3.0
STABLE
数据分类分级
敏感数据
流转监控
DLP
数据安全
场景 3 — 阶段三：风险预警与处置闭环
风险预警规则
| 等级 |
场景 |
响应 |
| P0 紧急预警 |
L4 核心数据非授权外发，大批量数据导出 (>10K 记录)，存储桶配置公开可访问 |
自动拦截 + 即时通知 |
| P1 高级预警 |
L3 数据通过个人邮箱外发，非工作时间大批量下载，敏感 API 异常调用 |
即时通知 + 人工研判 |
| P2 中级预警 |
L2 数据外发至外部域，USB 设备拷贝敏感文件，异常访问模式（越权） |
通知 + 排期处置 |
| P3 低级提醒 |
敏感数据存储未加密，备份中含敏感数据残留，过期共享链接未清理 |
提醒 + 定期整改 |
预警触发条件组合
| 数据等级 |
外发渠道 |
数据量 |
预警 |
| L4 |
任何渠道 |
任意 |
P0 |
| L3 |
个人邮箱/网盘 |
任意 |
P1 |
| L3 |
内部渠道 |
>1K 记录 |
P2 |
| L2 |
外部渠道 |
>100 文件 |
P2 |
预警处置工作流
| 步骤 |
名称 |
说明 |
| 1 |
自动拦截 (P0) |
L4 数据外发自动阻断，敏感文件自动加密/脱敏，存储桶公开配置自动修复 |
| 2 |
即时通知 (P0/P1) |
安全团队实时通知，通知数据责任人和主管，IM/短信/电话多渠道 |
| 3 |
人工研判 |
分析是否为误报/正当业务需求，评估实际影响范围，确定处置方案 |
| 4 |
处置执行 |
确认违规 → 数据追回/删除，权限回收/账号处置，通知受影响方 |
| 5 |
复盘优化 |
规则优化/误报率降低，标签修正/流程改进，定期通报预警统计 |
处置效率指标
| 指标 |
当前 |
目标 |
| P0 自动拦截率 |
100% |
100% |
| P0 处置时间 |
15min |
< 30min |
| 误报率 |
12% |
< 10% |
| SLA 达成率 |
95% |
≥ 95% |
| 数据标签准确率 |
92% |
≥ 95% |
持续优化机制
| 机制 |
说明 |
| 规则优化闭环 |
TP/FP 反馈 → 规则权重调整，误报分析 → 白名单精细化，A/B 测试新规则效果 |
| 标签持续刷新 |
新增数据源自动扫描标注，定期全量重扫描验证，人工审核与修正 |
| 监控覆盖率提升 |
新增系统/渠道接入，SaaS 应用 API 接入，IoT/边缘设备扩展 |
| 定期通报报告 |
周报：预警趋势/处置进度，月报：风险态势/Top 问题，季报：数据安全成熟度 |