服务商承诺 72 小时上报，Regulation S-P 的 30 天通知责任仍在机构
用机构—服务商证据图拆开 Regulation S-P 的两只时钟：服务商 72 小时上报不等于覆盖机构已经履行 30 天个人通知义务。
重点监测信号
- 注册投资顾问、经纪交易商、投资公司或过户代理的讨论把客户信息事件与某个服务商联系起来
- 服务商说会在 72 小时内上报，机构却还没有事件知悉时间、受影响系统清单或通知负责人
- 群聊提到 30 天通知，但敏感客户信息、合理调查和重大损害判断仍未完成
修订后的 Regulation S-P 有两只时钟：服务商在知悉规定事件后最迟 72 小时上报机构；覆盖机构在自身知悉后最迟 30 天完成所需个人通知。两者触发点和负责人不同。服务商上报会启动机构的事件响应程序，却不会转走机构的调查、通知判断和确保送达责任。
这正是投资顾问安全咨询负责人在已授权的金融服务、顾问运营和泄露响应 Telegram 群里要识别的 Signal。晚一天看到“处理商会在 72 小时内报”，机构可能已选定律师、取证团队和通知供应商；但这句话本身并不能证明必须通知。
规则覆盖谁、何时合规
Regulation S-P 是 SEC 针对特定证券行业机构持有的消费者金融信息制定的隐私规则。2024 年修订要求书面事件响应程序能够发现、响应客户信息的未经授权访问或使用并从中恢复，覆盖评估、遏制与控制和客户通知。
现行 17 CFR 248.30(d)(3) 的 **covered institution（覆盖机构）**包括经纪人或交易商、投资公司、SEC 注册投资顾问，以及在 SEC 或其他适当监管机构注册的过户代理。Funding portal 按经纪商框架执行。群里只写“基金”或“顾问”，不能确定负责的法律实体。
SEC 于 2024 年 5 月 16 日通过最终规则，规则在 2024 年 6 月 3 日以 89 FR 47688 公布，2024 年 8 月 2 日生效。大型主体有 18 个月、小型主体有 24 个月，合规日分别为 2025 年 12 月 3 日和 2026 年 6 月 3 日。截至本文复核日均已到期，但仍须证明适用的规模标准和实际实施情况。监管驱动需求 Signal不等于已确认买方。
一段残缺群聊里的未知项
以下是复合示例，不是真实客户对话或已确认泄露：
“客户关系管理（CRM）导出桶可能开着。供应商说他们的 72h 从昨天算。”
“只有 RIA 那边？经纪记录可能也在里面。”
“30 天那封信要过一遍。受影响人数还在等。”
这些碎片没有证明覆盖机构、服务商是否维护受影响系统、双方何时知悉、未经授权访问是否发生或很可能发生、哪些记录含敏感客户信息、哪些个人受影响，也没有合理调查结论。准确表述是“可能存在机构—服务商证据归属问题”，而不是“必须发通知”。
服务商的 72 小时只启动机构响应
第 248.30(a)(5) 条要求机构以书面制度和程序，通过尽调与关注监督服务商。这些程序须经过合理设计，使服务商保护客户信息，并在知悉其维护的客户信息系统发生安全泄露、导致未经授权访问后，尽快且最迟 72 小时内通知机构。
触发点是服务商知悉规定事件，不是完整取证报告完成。供应商名称也不能证明它维护了该系统。机构收到通知后必须启动事件响应程序。
最终规则删除了提案中的强制书面合同要求，改为要求监督、尽调和持续审查制度。机构可以书面约定由服务商代发个人通知，但第 248.30(a)(5)(iii) 条仍把确保通知的责任留给机构。
机构的 30 天从自身知悉开始
第 248.30(a)(4)(iii) 条要求覆盖机构在知悉客户信息已经或很可能发生未经授权访问或使用后，尽快且最迟 30 天内通知。不能未经分析就改用服务商上报日、遏制完成日或最终报告日。
机构先评估事件性质和范围，识别受影响系统与信息类型并遏制事件。个人通知取决于 **sensitive customer information（敏感客户信息）**和合理调查。机构若认定信息没有、且不太可能以造成重大损害或不便的方式被使用，可以不通知。若无法确定具体个人，规则可能要求通知受影响系统中存有敏感信息的所有个人，但可排除机构合理认定未受影响者。
国家安全或公共安全延迟须走美国司法部长向 SEC 书面通知的规定程序；群里一句“警方让等”不构成证明。
机构—服务商证据图
| 记录 | 服务商提供 | 机构负责 | 待核实 |
|---|---|---|---|
| 主体与系统 | 服务、组件、数据流、访问路径 | 法律实体、覆盖类别、信息清单、系统负责人 | 是否为该机构维护受影响系统 |
| 知悉时间 | 首次知悉、事件描述、72 小时发送证据 | 收件与更早知悉证据、合理可能发生的判断点 | 哪个事件启动哪只时钟 |
| 评估与遏制 | 日志、环境、访问和遏制证据 | 性质范围、内部系统、信息类型、恢复决定 | 是否发生访问或使用 |
| 敏感信息 | 字段与暴露证据 | 个人映射、合理调查、重大损害分析 | 数据是否敏感、谁受影响 |
| 个人通知 | 约定后的起草、发送和送达证据 | 触发、内容、期限、收件人和确保送达 | 是否要通知或允许延迟 |
| 监督记录 | 安全措施、承诺和修复答复 | 尽调、持续审查、例外、执行与保存 | 制度是否合理且实际执行 |
核心区别是：证据生产者不一定是时钟负责人。服务商提供日志和自身知悉时间；机构拥有法律主体判断、合理调查和通知结果。
不能把整张图都交给“供应商管理”：这样会有技术日志，却可能缺少谁作出通知判断、依据是什么。也不能只交给法律团队：没有系统边界、访问日志和遏制记录，合理调查无法验证。双方至少应从响应开始就共用同一条完整时间线，并明确每个未知项由谁补证、何时复核。
响应窗口内先索取什么
- 法律实体及其投资顾问、经纪交易商、投资公司或过户代理身份；
- 服务商、具体服务与客户信息系统；
- 服务商知悉、上报、机构收件及更早知悉的时间；
- 信息类型、性质与范围评估、遏制状态和证据局限；
- 合理调查与通知判断的负责人；
- 代发通知协议、规模标准和当前书面制度。
合规主张的官方来源阶梯可把最终规则、现行 CFR、机构记录和群聊碎片分层。
TOP Prospect 只能整理用户主动连接且有权访问的 Telegram 群中的匹配材料，保留原消息、来源、时间、摘要和人工复核理由。新建匹配目标只保存配置，不会立即生成 Signal；只有后续配置的检查或分析看到匹配材料时才可能产生候选。产品不能确认泄露、判断法律范围、发送通知、联系发言者或读取私聊和未授权来源。Telegram 商业 Signal 流程说明了人工复核位置。
关键事实
- 响应程序涵盖评估、遏制与控制和客户通知。
- 覆盖主体包括经纪交易商、投资公司、SEC 注册投资顾问和适用的注册过户代理。
- 大型与小型主体合规日为 2025 年 12 月 3 日和 2026 年 6 月 3 日。
- 服务商在自身知悉规定事件后尽快且最迟 72 小时内上报。
- 机构从自身知悉开始，除规定延迟外最迟 30 天完成所需通知。
- 个人通知取决于敏感客户信息与合理调查；代发不转移机构责任。
- 最终规则没有保留提案中的强制书面合同要求。
常见问题
服务商 72 小时报告完成了机构 30 天义务吗？
没有。它启动机构响应；合理调查、受影响个人分析和确保必要通知仍由机构负责。
30 天时钟从什么时候开始？
从机构知悉未经授权访问或使用已经发生或很可能发生时开始，须保留触发事件和依据。
每起事件都要通知个人吗？
不是。响应程序处理客户信息事件；个人通知适用第 248.30(a)(4) 条的敏感信息和合理调查标准。
每份服务商合同都要重签吗？
最终规则没有强制合同要求，但机构仍须有合理设计的监督、尽调、持续审查、保护和及时上报制度。
服务商代发通知时责任归谁？
仍归覆盖机构。书面协议可以委托发送，但不能转移第 248.30(a)(5)(iii) 条下确保通知的义务。
下一份最有价值的记录不是先写好通知信，而是列出双方知悉时间、主体与系统边界，以及调查中未知项的时间线。
TOP Prospect 编辑团队于 2026 年 8 月 18 日复核。事实依据 SEC Release No. 34-100155、89 FR 47688 和现行 17 CFR 248.30；实际主体、事件、通知与延迟问题须由合格人员复核。
常见问题
服务商 72 小时上报能否满足覆盖机构的 30 天通知义务？
不能。第 248.30(a)(5) 条要求机构的制度和程序经过合理设计，使适用的服务商在知悉事件后尽快、最迟 72 小时内通知机构。机构随后必须启动事件响应程序；确保受影响个人收到所需通知的义务仍在机构。
Regulation S-P 的 30 天通知时钟从什么时候开始？
覆盖机构知悉客户信息已经发生或很可能已经发生未经授权访问或使用时，时钟开始。通知应尽快发出，最迟不得超过知悉后的 30 天，但规则规定的国家安全或公共安全延迟程序除外。
每一起客户信息事件都要通知个人吗？
不是。事件响应程序要处理涉及客户信息的未经授权访问或使用；个人通知则取决于敏感客户信息和规则中的合理调查标准。机构若认定信息没有、且不太可能以造成重大损害或不便的方式被使用，可以不通知。
修订后的 Regulation S-P 是否要求与每个服务商签书面合同？
不是。SEC 删除了提案中的强制书面合同要求。最终规则要求书面制度和程序经过合理设计，覆盖服务商监督、尽调和持续审查；机构可以书面约定由服务商代发个人通知，但确保通知的责任仍归机构。
哪些机构属于修订后事件响应规则的覆盖机构？
现行 17 CFR 248.30 的定义包括经纪人或交易商、投资公司、SEC 注册投资顾问，以及在 SEC 或其他适当监管机构注册的过户代理。Funding portal 按 Regulation S-P 对经纪商的规定执行，但主体身份和具体记录保存要求仍需结合个案复核。
资料来源与延伸阅读
值得关注的潜在线索 Signal 是怎样被发现的
了解 Top商业线索怎样发现和整理值得核实的 Signal、保留 Telegram 原始上下文、去掉重复消息并安排查看顺序。是否跟进以及下一步做什么，仍由用户决定。
