@DassieSpivack: 在未来一年内的某个时刻，你很可能不得不给你的客户发邮件，告诉他们你被黑了。我已经……

在未来一年的某个时候，你可能不得不给客户发一封邮件，告诉他们你的公司被黑了。 我见过很多CEO写那封邮件，几乎所有人都是在惊慌失措的状态下写的——发现被黑后仅仅几个小时，头脑还没清醒过来。这……不太理想，因为如果事态最终演变成诉讼，这封邮件就是所有人首先审视的东西。 所以，下面是如何正确撰写数据泄露通知邮件的方法，让你在需要之前就做好准备。 首先，我恳求你：现在就写一个模板，并让你的律师审核通过。这样，当你的世界"着火"的时候，你只需要填入具体细节，而不需要在慌乱中从零开始写。 当数据泄露确实发生时，迅速给客户发邮件。大多数CEO要么等到信息完全确定了再发，要么轻描淡写地处理，希望客户永远不会发现。 但根据我的经验，客户几乎每次都会发现，而那些隐瞒的公司最终的处境远比坦诚相告的公司糟糕得多。从法律角度来看，最关键的就是告诉人们发生了数据泄露。你不需要掌握所有细节才能做到这一点。 在邮件内容中，只写你确切知道的事情——发生了什么、你在采取什么措施。你的律师最看重的规则是：**不要发布任何你将来可能需要撤回的信息**。但这并不意味着说得越少越好！你需要在不撤回任何内容、不显得冷漠、以及让客户感到你站在他们一边且值得信赖之间找到平衡。 恰当的措辞会很有帮助。我建议使用类似"出于谨慎起见"（out of an abundance of caution）或"纯粹作为预防措施"（purely as a precautionary measure）这样的表述。它们听起来确实很"企业化"，但能让你在不锁定范围、不会日后需要收回的前提下尽早通知客户。"我们一经获知，便立即采取了进一步保护您账户安全的措施"这句话展示了你迅速采取了行动，而"我们将持续密切关注事态发展"则告诉人们后续还会有更新。 很多CEO本能想写的内容反而对他们不利。"没有证据表明您的数据被滥用"和"仅少量客户受到影响"听起来令人安心，但你很可能两者都还无法确认。如果判断有误，你就必须撤回这些说法，这会引发一系列新的麻烦。"这是一次高度复杂的攻击"听起来像是在找借口，如果后来发现其实是一个很简单的漏洞，场面会非常尴尬。"对给您带来的不便深表歉意"把数据泄露等同于一个小麻烦，显然不是这样的。而"我们非常重视您的安全"这句话如今几乎出现在每一封泄露通知邮件中，已经没有人相信了。 关键在于确保你的邮件读起来不像一份模板。可以用这些措辞，但要以一个正常人的方式来写（至少要有那么一点人情味！），并且要稍有独特性，让人感受到被倾听、看到你在认真对待这件事。套话会让邮件显得非常冷冰冰，所以要避免。 确保你的客服团队准备好统一的回复口径，这样所有人都给出一致的回答，不会出现前后矛盾的情况。 如果你想要的话，我会在评论区放一封写得很好的泄露通知邮件示例。 收藏这条内容，这样你需要的时候就能找到它——鉴于目前的形势，你很可能用得上。 本周晚些时候，我会继续分享数据泄露响应流程的更多内容，不想错过的话请开启通知并关注我。