后台被拖库或员工误发客户表，企业会先想公关。法律上更急的是固定范围、通知义务和止损动作。前三天记录不全，后面很难说明已尽到义务。时间窗口内做的每一步，都应带可追溯的时间戳。
先确定范围和通道
哪些表、多少条、是否含身份证和联系方式、从哪个接口或哪个账号出去。保存日志、告警和当时操作人，不要先重装系统。立即收回权限、改密码、下线接口。止损动作本身也要留时间戳。范围不清时，先按最大可能受影响主体数记录，再逐步缩小。
评估个人与监管通知义务
按数据内容和可能造成的危害判断。该通知的尽早通知，并保留通知文本。自行判断“影响不大就不说”，风险自负。对外口径只由指定人发布。技术群里的猜测不要流转到客户群。通知对象、方式和时间应写入事件台账。
泄露范围的证据固定顺序
先固化原始日志和告警，再确认受影响字段与主体数量，最后整理时间线。重装或覆盖会破坏原始记录，使后续无法还原泄露路径。固定动作应早于整改动作。镜像备份优先于直接操作生产环境，确保原始证据不被改动。
合同和保险一并翻出来
看与客户、云服务商的数据条款，以及有没有责任险。向供应商追责需要他们的日志，越早发书面协助函越好。事后补一份数据安全制度有用，但替代不了这次事件的日志。先固定，再整改。协助函应写明所需日志的时间段和字段，便于对方配合。
对外沟通与对内追责分开留痕
给客户的告知、监管的报告和内部问责材料应分别归档。混在一起既不利于保护调查信息，也可能在争议中被迫披露。前72小时以固定证据和止损为主，定性结论留待日志完整后再做。
说明：本站为一般性法律信息，不构成对个案的法律意见。法律适用、时效、管辖和证据判断应结合完整事实判断。法律法规会修订，请以现行有效的为准。
