询问中国据点的安全措施时，常会听到「所有终端都已安装EDR」的回答。那么，告警由谁来查看？夜间或长假期间检测到异常时，现有体制能在几个小时内察觉？万一发生损害，能否在中国法规规定的时限内向主管部门报告？
如果无法立刻回答这些问题，已部署的产品可能只是处于「装了而已」的状态。2025年11月，网络安全事件报告的新规开始施行，对中国据点的要求，重心已从部署产品转向完善运营体制。
如今的勒索软件，在「加密之前」就已分出胜负
所谓勒索软件，是指将企业内部文件改写成没有密钥就无法读取的状态，再以恢复所需的密钥为筹码索要钱财的攻击。受攻击的不只是个人电脑。共享文件服务器，以及生产管理、接单、财务等核心业务系统的数据也会被同时改写，因此损害并不表现为「某个人的电脑用不了」，而是「无法下达出货指令」「无法开具发票」。也就是说，业务本身会陷入停顿。
而且，当前的主流攻击已不止于加密，而是分为「两个阶段」。
日本信息处理推进机构（IPA）对这一手法的说明是：「在加密之前先窃取数据，并以不支付赎金就公开数据等方式进行双重勒索的攻击方法」。这被定位为攻击者针对企业完善备份、离线保存等措施而采取的对抗手段，即在攻击中加入了窃取数据并以公开相要挟的勒索方式。
换言之，当屏幕上出现索要赎金的信息时，攻击其实已经结束。而且，备份能恢复的只有被加密的数据，已被带走的数据无法追回。
这种手法并非例外，而是已成为主流。根据日本警察厅公布的2024年（令和6年）统计，在确认存在索要赎金手法的134起受害案件中，有111起属于双重勒索，占82.8%。
入侵途径在统计上也很明确。同一资料显示，在已查明感染途径的案件中，经由VPN设备的占55.0%，经由远程桌面服务的占31.0%，合计八成以上都是从外部进入企业内部网络的入口被突破。连接日本总部与中国据点的VPN，以及当地员工远程连接所用的环境，正是这样的入口。
自2025年11月起，报告有了时限
这是日资企业最容易忽视的变化。
2025年11月1日，《国家网络安全事件报告管理办法》开始施行。网络运营者在发现或获知涉及本单位的网络安全事件时，应当按照《网络安全事件分级指南》进行研判，属于「较大」以上网络安全事件的，有义务在规定时限内向主管部门报告。
该办法第四条规定的报告对象与时限如下：
・涉及关键信息基础设施的：向保护工作部门、公安机关报告，最迟不得超过1小时
・中央和国家机关各部门及其直属单位：向本部门网信工作机构报告，最迟不得超过2小时
・其他网络运营者：向属地省级网信部门报告，最迟不得超过4小时
多数日资企业的中国据点属于第三类。时限的起算点不是事件「发生时」，而是「发现或获知时」。而是否属于报告范围的定级研判，需要企业自行完成。
该办法明确考虑到了勒索软件。规定报告内容的第七条明确写道，对勒索软件攻击事件，还应当报告要求支付赎金的金额、方式、日期等。
实务上值得注意的是，未妥善报告与妥善应对在处理上有所区别。第十条规定，因未按规定报告，或者迟报、漏报、谎报、瞒报网络安全事件，造成重大危害后果的，依法从重处罚。另一方面，第十一条规定，网络运营者已采取合理必要的防护措施，按照应急预案进行处置、有效降低事件影响和危害，并按照规定及时报告的，可视情从轻或者不予追究责任。
也就是说，平时的准备与事后的应对，已作为处罚的判断依据写入了条文。
在中国，受害方的体制同样会被追责
公安部公布的「护网—2025」专项工作行政执法典型案例中，就有遭受攻击的企业本身因防范不到位而受到处罚的案例。
安徽省合肥市的一家电子商务企业，在未制定网络安全管理制度、也未开展等级保护工作的情况下，旅客购票信息被大量非法获取，受到行政处罚并被责令改正。在贵州省政务服务系统的案例中，除未采取防护措施外，还被指出未按规定留存日志、未及时处置漏洞，系统的承建方和运维方均受到行政处罚。
被追问的不是遭受攻击这件事本身，而是遭受攻击之前做了哪些准备。这就是中国的实务。
仅部署EDR仍无法弥补的漏洞
综上所述，需要的不仅是防止入侵，而是一套「能尽早察觉入侵、并能采取法规所要求的应对」的机制。
EDR（Endpoint Detection and Response，终端检测与响应）是检测并处置终端上可疑行为的机制，是勒索软件对策的核心。但是，仅仅部署，仍有无法弥补的漏洞。
日本IPA发布的《从勒索软件受害中汲取的教训集》中，作为通过访谈受害组织总结出的教训之一，列出了「部署EDR并定期审计日志」。值得注意的是，作为教训提出的不是部署本身，而是部署与持续的日志审计相结合。即使EDR检测到异常，如果没有人查看告警、作出判断并加以处置，检测功能也无法发挥作用。夜间或长假期间出现告警时，由谁、在多长时间内能够察觉？如果这一点没有明确，就会陷入「产品已经部署，却没有运营」的状态。
关于日志，中国法规也有要求。《网络安全法》第二十三条规定，作为基于等级保护制度的义务，应当采取监测、记录网络运行状态和网络安全事件的技术措施，并留存相关的网络日志不少于六个月。没有采集或没有留存日志，不仅在实务上会导致事件发生时无法定级、也无法提供报告内容，其本身也属于未履行义务的状态。前述贵州省的案例中，未按规定留存日志被列为问题之一，正印证了这一点。
SOC（Security Operation Center，安全运营中心）是负责7×24小时监控、检测后的研判与处置，以及日志收集与分析的运营体制。如果说EDR是「用于检测的工具」，那么SOC就是「将检测转化为应对的机制」。
首先应确认的要点
・中国据点VPN设备、远程桌面的公开情况与认证方式（八成以上的入侵途径在这里）
・夜间或长假期间发生异常时，能在几小时内、由谁察觉
・网络日志能否留存6个月以上，以及能否以事件发生时可追溯的粒度采集
・发生网络安全事件时，是否已明确定级研判并在时限内报告的流程和负责人
・是否事先整理好报告所需的基本信息（系统构成、影响范围、所处理数据的种类）
・应急预案是否已更新为符合现行规定的内容
这些问题，即使直接套用日本总部的安全标准也找不到答案，需要结合中国的监管要求进行确认。
NRI北京的支援
NRI北京可从贵司中国据点安全状况的可视化开始，到EDR的部署设计、由SOC提供的7×24小时监控与运营，乃至安全事件发生时的应对，提供全程支持。如需与日本总部协调，我们也可协助，从体制建设到日常运营提供一站式服务。
由同时熟悉中国监管要求与当地运营实务的专家对接，可从确认现有监控体制能否赶上法定时限开始。即使处于「不知道该从何入手」的阶段，也欢迎咨询。
参考资料
・《国家网络安全事件报告管理办法》（2025年11月1日施行）／中央网络安全和信息化委员会办公室
第四条（「较大」以上事件的报告对象与时限）、第七条（勒索软件事件还须报告赎金的金额、方式、日期）、第十条（迟报、漏报、谎报、瞒报造成重大危害后果的从重处罚）、第十一条（已采取防护措施、按应急预案处置、有效降低影响并及时报告的，可从轻或不予追究）
https://www.cac.gov.cn/2025-09/15/c_1759583017717009.htm
・《中华人民共和国网络安全法》（2026年1月1日施行版）第二十三条／中央网络安全和信息化委员会办公室
作为基于等级保护制度的义务，规定了监测、记录的技术措施以及网络日志留存不少于六个月
https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm
・公安部公布“护网—2025”专项工作6起行政执法典型案例／中华人民共和国公安部（江苏省委网信办官网转载）
安徽省合肥市、贵州省各案例
https://www.jswx.gov.cn/zhengce/zhifa/202509/t20250918_3571499.shtml
・《令和7年警察白皮书》第3项 勒索软件形势／日本警察厅
索要赎金类134起中111起（82.8%）为双重勒索；感染途径为VPN设备55.0%、远程桌面服务31.0%
https://www.npa.go.jp/hakusyo/r07/honbun/html/bb3313000.html
・威胁业务连续性的新型勒索软件攻击 ～「人为操控型勒索软件攻击」与「双重勒索」～／日本独立行政法人 信息处理推进机构（IPA）
双重勒索的定义，以及为对抗备份措施而开始采用窃取、公开数据的背景
https://www.ipa.go.jp/archive/files/000084974.pdf
・从勒索软件受害中汲取的教训集 ～面向经营者的勒索软件对策手册～／日本独立行政法人 信息处理推进机构（IPA）
作为教训之一提出「部署EDR并定期审计日志」
https://www.ipa.go.jp/security/todokede/crack-virus/ransomware_lessons_learned.html