应急响应预留服务：报价单里的小时、超额与响应计时怎么看

简短回答

一份应急响应预留服务的价值，就取决于报价单上的四行字：预付多少小时、用不完的怎么处理；小时池用完之后每小时多少钱；响应计时从什么时候开始、什么算结束；以及什么情况算“事件”、可以启动它。大多数预留服务是靠响应时间这个标题数字卖出去的，但决定钱花得值不值的，是它下面的商务条款。签字之前，要把这几条逐行对比。

写给谁看

这篇写给博彩平台、加密货币交易所和金融科技公司的安全负责人、CISO 或财务对接人：您被要求落实一份应急响应预留，手里正拿着一份或几份报价。这篇只讲商务条款。至于让预留在实战中真正快起来的准备工作（指定联系人、预先开通访问权限、证据保全），另有专文，这里不再重复。

预留是什么，不是什么

预留买的是“保留产能”。您提前付费，换来出事时有一支已经熟悉您环境的团队第一时间接手，而不是在入侵进行中去走采购流程。价值集中在最初几个小时——冷启动的项目会把这几个小时花在合同、权限和熟悉环境上。

它不是对结果的承诺。没有任何预留能保证在某个时间点之前控制住事态，因为那取决于攻击者在被发现之前已经做了什么。任何暗示相反意思的措辞，都应当成为您多问几个问题的理由。

对亚洲运营商还有一层现实：盘口和交易时段跨越多个时区，攻击往往发生在本地团队下班后，而服务商可能在另一个大洲。所以下面每一条都要追问一句“凌晨三点也适用吗”。

决定价值的四项条款

1. 小时池

大多数预留包含一定数量的预付小时。报价单应写明：

• 小时数，以及覆盖周期（按月还是按年）。
• 小时池能花在什么上：只能用于现场事件响应，还是也包括取证、报告和与牌照方、支付机构的沟通。
• 未用小时怎么办：作废、结转，还是转成主动性工作。
• 桌面演练、预案评审这类主动性工作是否从同一个池子里扣。

一个会悄悄作废、又不能转换的小时池，会让预留变成一份在平静年份里完全用不上的保险。这仍然可以是合理的购买，但它应该是您主动做的选择，而不是事后才在合同里发现的条款。

2. 超额

一次严重事件用掉的小时可能超过任何合理的小时池。超额条款才是您真正要面对的：

• 超出小时池后的每小时费率，是等于预留费率，还是服务商的标准费率。
• 超出之后工作是自动继续，还是停下来等新的审批。
• 您这边谁能在凌晨三点批准追加支出，合同里要写名字。
• 是否有上限，达到上限时服务商怎么做。

需要在事件中途补一张采购单的超额条款，把预留本来要买的速度又还了回去。

3. 响应计时

每份预留都会标榜一个响应时间。要读的是定义，不是数字：

问题	为什么重要
什么事件触发计时开始？	电话、工单、邮件、SOC 告警，四者并不等价
哪个渠道算数？	早上九点才有人看的共享邮箱，不是 7×24 渠道
非工作时间和节假日是否适用？	很多事件恰好发生在这些时候
什么算计时结束？	通常是“响应人员上线通话”，这不是控制住事态
未达标有什么补救？	抵扣、退款，还是什么都没有

最后一行是多数报价单省略的。没有写明补救措施的响应承诺，只是一份意向声明。

4. 触发条件

预留合同应写明您可以因为什么启动它。一份白纸黑字的清单，胜过压力之下的临场判断：已确认的入侵、疑似勒索软件、数据外泄、特权账号可疑活动、超出 DDoS 防护服务商承受能力的攻击、热钱包或提款通道异常。确认这份清单与您真实的暴露面相符，并且把您托管 SOC确认的高危告警写进去作为其中一条。

预留 vs 出事再找人

对于环境简单、后果有限的小团队，出事再临时找人并不是坏选择。它启动更慢，您要为“熟悉环境”的那一小时付费，而且服务商可能正好没空。预留在“最初几个小时很贵”的时候才真正划算：平台在线运行、有牌照方或监管的通报义务、有能被转走的资金。如果错过一小时代价高昂，预留的条款就值得逐条谈；如果不是，更轻量的安排也许就够了。

第一次通话值得问的问题

• 如果我们今年一个小时都没用，我们得到什么？
• 一次重大事件的第二个小时，和第一个小时相比多少钱？
• 你们那边谁接电话？非工作时间走哪条路？
• 如果你们没达到响应时间，书面上会发生什么？
• 签字之前，我们能看到预留的启动清单和接入检查表吗？

经常运营预留服务的服务商会用文件回答这些问题；不常做的会用安抚回答。

它替代不了什么

预留不能预防事件。渗透测试在事前找到入侵路径，托管 SOC 在事中发现活动，预留是排在两者之后的响应能力。它也替代不了您自己的事件预案：您这边仍然要有人来决策、授权和对外沟通。

局限

这是一份读报价单用的买方框架。它不为您的组织设定响应时间或小时数，不解释任何特定法规或牌照条款的通报要求，不对任何服务商排名。文中不引用统计数据，也没有 AnySec 的自有数字。

下一步

把您手里的每份报价对照上面四项条款逐条标记缺了什么。要了解一个项目从启动到事后报告是如何组织的，请看应急响应服务页；需要我们审阅一份草拟的预留范围，请通过联系表单提交，并附上您希望澄清的条款。

延伸阅读

• 托管 SOC 服务报价单必须写清什么——SOC 负责发现，预留负责响应，两份合同如何对接。
• 私有 Anycast 网络服务商怎么选：ASN、IP 段归谁，退出时怎么办——同样是把“退出”写进报价单的读法。
• English version——本文据此英文原文为亚洲读者改写。