事件が公表された日に、だれが何をするか

実務ガイド：事件の前後の 4 つの段

平時の準備から、公表の日の読み方、委託先への確認、社内外への伝え方まで。段ごとに読む順に並べました。

1. 01

   平時に備える

   事件の前
   • 委託先リストの作り方 →事件が公表された日に「どの委託先に聞くか」をすぐ決められるよう、委託先リストに持たせる項目、集め方の手順、照会の順番の決め方を、表と例でまとめました。
   • 平時の質問票と、事件のときの照会の違い →委託先に送る「平時のセキュリティの質問票」と「事件が公表されたときの照会」は、目的も聞くことも違います。違いを表にまとめ、それぞれの文面の例を載せました。
2. 02

   公表の日に読む

   当日・最初の 1 時間
   • 事件が公表された日の流れ →ソフトウェアの脆弱性やサービスへの攻撃が公表された日に、secubell のレポートがどの順番で届き、送る側・受ける側の担当者がそれぞれ何をすればよいかを、時間の目安ごとに表でまとめました。
   • KEV の読み方 →米国 CISA の KEV カタログの各項目の意味と、掲載された脆弱性を委託先への照会や社内の更新の順番づけにどう使うかを、表と例文でまとめました。
   • CVSS の読み方 →CVSS の数値とベクトルの文字列の読み方、3.1 と 4.0 の違い、数値だけで判断しないための見方を、表と言い換えの例でまとめました。経営層への報告にも使えます。
3. 03

   委託先に確かめる

   当日〜回答がそろうまで
   • 事件の後、委託先に確認するときの手順 →影響の見当づけから記録の保管まで、6 段の流れをまとめました。
   • 委託先からの回答の集め方・まとめ方 →セキュリティ事件の後、委託先に照会した回答を集めて一覧にし、確かめ、催促し、記録に残すまでの進め方を、表の列の例と判断の目安つきで解説します。
4. 04

   伝える・答える

   社内・社外へ
   • 経営層への報告の型 →セキュリティ事件が公表されたときに、経営層へ状況を報告する 1 枚の型を解説します。項目、第一報・第二報で書くこと、判断を仰ぐことの書き方を例つきでまとめました。
   • 社外へのお知らせ文の考え方 →セキュリティ事件の後、お客様・取引先に自社の対応状況を伝えるお知らせ文の考え方を、書く順番・書かないこと・版ごとの例文で解説します。
   • 取引先から照会が来たときの答え方 →事件の後に取引先やお客様から「御社は影響を受けていますか」と照会が来たとき、確かめる順番、回答の型、確認の途中での答え方、避けたい書き方を、例文つきでまとめました。