このページの内容
- 1 日の流れの全体
- 最初の 1 時間：原典を読み、関わりの見当をつける
- 1〜2 時間後：社内に第一報を入れる
- 2〜4 時間後：委託先に照会し、問い合わせへの答え方を決める
- その日の終わり：記録を残し、翌日の段取りを決める
1 日の流れの全体
secubell は、JPCERT/CC・IPA・個人情報保護委員会・米国 CISA の KEV カタログ・主な報道などの公開情報を見て、多くの企業や自治体に関わりそうな事件を選びます。AI が下書きし、運営者が確かめて承認した時点を、このページでは「公開」と呼びます。事件そのものが公表された時刻ではありません。
| 時点 | 届くもの | 送る側（情シス・総務・自治体） | 受ける側（SaaS・Web 事業者） |
|---|---|---|---|
| 公開の時点（プロ） | レポート一式＋影響を受けるバージョンの一覧・悪用状況・痕跡の確認観点・記録台帳・経営層向けの 1 枚 | 影響の見当をつけ、経営層に第一報を入れる | 自社の製品・構成が対象かを確かめ始める |
| 公開から約1時間後（スタンダード） | レポート一式＋お知らせ文（影響なし版・調査中版）と業種別の版 | 委託先への質問票を整える | 問い合わせ用の第一報（調査中版）を整える |
| 公開から約2時間後（ライト・単発） | 事件の要点・ヒアリング質問票・回答フォーマット・依頼メール文 | 委託先に照会を送る | — |
| 公開から半日ほど後（フリー） | 事件の要点 | 要点を読み、関わりがありそうかを判断する | 要点を読み、関わりがありそうかを判断する |
どのプランでも、届くものは公開情報をもとに AI が作った下書きです。原典で確かめ、自社の状況に合わせて直してからお使いください。
最初の 1 時間：原典を読み、関わりの見当をつける
最初にするのは、報道の要約ではなく原典（開発元の公表、JPCERT/CC の注意喚起、JVN など）を読むことです。対象の製品とバージョン、何が起きうるか、修正版や暫定策があるか、の 3 点を控えます。
- 自社で直接使っているか（資産の台帳・契約の一覧で探す）
- 委託先・保守会社・レンタルサーバー・SaaS を通じて使われていそうか
- お客様から問い合わせが来そうか（自社がサービスを提供している側か）
用語が分からないときセキュリティ事件の用語集（CVE・CVSS・KEV など） →
1〜2 時間後：社内に第一報を入れる
分かっていることと分かっていないことを分けて、短く報告します。「影響なし」と言い切れる材料がそろうまでは、「確認中」として、次に報告する時刻を添えます。
【第一報】{{事件の名前}}について
・公表元：{{公表元}}（{{公表日}}）
・内容：{{製品名}}の一部のバージョンに脆弱性。修正版あり
・当社：直接の利用は確認中。委託先 {{件数}} 社に照会予定
・次の報告：本日 {{時刻}} ごろ
型を見る経営層への報告の型 →
2〜4 時間後：委託先に照会し、問い合わせへの答え方を決める
送る側は、関わりのありそうな委託先から順に、質問票と依頼メールを送ります。受ける側は、お客様からの問い合わせに答える文（調査中版）を用意し、窓口をそろえます。
送る側が使うテンプレート委託先への確認メールの例文 →
受ける側が使うテンプレートお客様からの問い合わせへの返信の例文 →
その日の終わり：記録を残し、翌日の段取りを決める
- 照会を送った先・送った日時・回答期限を記録する
- 届いた回答を表にまとめ、「確認中」の先を翌日の催促の対象にする
- 社内に終業時点の状況を報告する（第二報）
- お客様へのお知らせを出した場合は、次に更新する時期を決める
よくある質問
- 事件が公表されてから、どのくらいでレポートが届きますか。
- 運営者が下書きを確かめて公開した時点から、プロ、スタンダード（約1時間後）、ライト（約2時間後）、フリー（半日ほど後）の順に届きます。時刻は目安で、お約束するのは順番だけです。
- 夜間や休日に公表された事件も届きますか。
- 届きます。ただし、運営者が確かめて承認してから公開するため、公開の時刻は事件によって前後します。
原典・参考にした資料
- 一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）「JPCERT/CC（注意喚起・脆弱性関連情報）」
- JPCERT/CC・IPA「Japan Vulnerability Notes（JVN）」
- 独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」
このページは secubell が公開情報をもとにまとめた一般的な解説です。法的な判断や、個別の状況への助言ではありません。内容は原典で確かめ、自社の契約・体制に合わせてお使いください。法令上の報告・通知が要るかどうかの最終的な判断は、お客様ご自身と、弁護士などの専門家で行ってください。