该技能用于执行从检测到事后改进的完整事件响应生命周期，并衔接变更管理与问题管理，确保满足监管通报义务。
用途：对安全事件进行分级、遏制、取证调查、合规通报与复盘。
主要能力：
- 分级与初诊：告警后15分钟内确认非误报、识别受影响系统/用户/数据类型、按P1–P4分级、指派事件指挥官、开单并保全证据（先保全后处置）。
- 遏制剧本：勒索软件（隔离端点、禁用账户、封锁IOC、保全内存与连接、评估备份、按黄金镜像重建、重置全部凭据）、数据外泄（封锁外传、保全代理/DLP/邮件日志、评估GDPR 72h、HIPAA 60天等通报）、内部威胁（隐蔽调查、HR与法务介入、意图判断、证据链保全）。
- 取证标准：内存、磁盘、日志、pcap、云审计日志采集，要求SHA-256哈希与保管链记录；分析顺序为易失数据→磁盘→日志→时间线（Plaso/log2timeline）→归因→范围确认。
- 合规通报：覆盖GDPR、HIPAA、州法、SOX、PCI-DSS、NY DFS、SEC等触发条件、机构与时限，并给出通报包内容。
- ITIL集成：变更请求、CAB/ECAB、安全签批、回滚与冻结窗口；问题管理含5-Whys、已知错误记录、永久修复与90天验证。
- 无指责复盘：P1/P2在关闭后5个工作日内完成，输出时间线、根因、做得好与改进项、SMART行动项及指标目标。
使用方式：按阶段清单逐项执行；严重度矩阵确定通知与SLA；取证时先保全易失数据再处置。
限制：具体工具、平台与自动化实现未提供；各项时限与法规要求需结合实际司法辖区核实。