安全复盘报告应解释发生了什么、为什么没能及时阻止以及如何验证改进。只列故障时间和处理人数，无法减少再次发生。

重建时间线

证据来源、发现、隔离与恢复分别记录，未知部分标记待确认。

分析直接与管理原因

区分漏洞、凭据、告警遗漏和责任流程，避免全部归因于个人疏忽。

制定可验收措施

每项负责人、截止时间和验证方法明确，复查结果回写报告。敏感攻击细节按读者范围控制。

报告把证据和推断分开

按时间记录观察到的行为、影响范围与已核实入口，暂未确认内容注明状态。

整改项有负责人、期限与复测结果，复盘用于消除原因，不只写事件经过和泛泛注意安全。

例如入侵时间仅是推测，应标明依据和待确认项，避免把猜测写成已查明事实。

相关阅读：网站入侵应急：隔离、证据、恢复和复盘。