このページの内容
お知らせ文の目的
対応状況のお知らせは、お客様が自社の確認を進めるための材料です。大切なのは、確認が済んだ事実と、まだ確認中のことを分けて書くことです。
個人情報の漏えいなどが起きた（起きたおそれがある）ときの公表や本人への通知は、このページで扱うお知らせとは別のものです。報告・通知が要るかは、個人情報保護委員会の案内を確かめ、最終的な判断は弁護士などの専門家とご相談ください。
書く順番
| 項目 | 書くこと | 例 |
|---|---|---|
| 題 | 何についての、いつ時点のお知らせか | {{事件の名前}}への当社の対応状況について（{{日付}}時点） |
| 事件の要約 | 公表元・公表日・対象の製品。原典へのリンク | {{公表元}}が{{公表日}}に公表した、{{製品名}}の脆弱性 |
| 確認したこと | 何を、いつ、どう確かめたか | 当社のサービスで使っている製品とバージョンを{{確認日}}に確認しました |
| 結果 | 確認の範囲での結果。言い切れることだけ | 確認した範囲では、対象のバージョンは使っていませんでした |
| 続けていること | まだ確認中のこと、次のお知らせの時期 | 委託先からの回答を待っています。{{日付}}ごろに更新します |
| 窓口 | 問い合わせ先 | {{部署名}}（{{連絡先}}） |
書かないこと・気をつけること
- 確認の範囲を超えた言い切り（「影響は一切ありません」など）。「確認した範囲では」と範囲を添える
- 原因や責任についての推測。分かっていないことは「調査中」と書く
- 他社の名前を挙げての評価。事件は公表元と製品名で特定する
- 不安をあおる表現。読み手が次にすることが分かる、落ち着いた文にする
- 賠償や責任の認否に触れる文。こうした文は弁護士などの専門家と相談して作る
版ごとの例文
{{事件の名前}}への当社の対応状況について（{{日付}}時点）
{{公表日}}に{{公表元}}が公表した{{製品名}}の脆弱性について、当社のサービスへの影響を確認しました。
確認した範囲では、当社のサービスは対象のバージョンを使っていませんでした。業務を委託している先からも、対象の製品を使っていない旨の回答を受け取っています。
新しい情報が公表された場合は、改めて確認し、必要に応じてお知らせします。
お問い合わせ：{{部署名}}（{{連絡先}}）
{{事件の名前}}への当社の対応状況について（第一報・{{日付}}時点）
{{公表日}}に{{公表元}}が公表した{{製品名}}の脆弱性について、当社のサービスへの影響を確認しています。
現在、当社で使っている製品とバージョン、業務を委託している先の状況を確かめています。確認が済みしだい、{{日付}}ごろを目安に、このページでお知らせします。
お問い合わせ：{{部署名}}（{{連絡先}}）
例文は secubell が用意したひな形です。事実と合っているかを確かめ、自社の状況に合わせて直してからお使いください。
更新のしかた
一度出したお知らせは、確認が進むたびに更新し、題に「何時点」かを入れます。前の版の内容を変えたときは、何を変えたかを末尾に書いておくと、読み手が差分を追えます。
更新の記録
・{{日付}} 第一報を掲載
・{{日付}} 委託先からの回答を受け、確認の結果を追記
よくある質問
- 影響がないと分かったら、お知らせを出す必要はありますか。
- 出すかどうかは各社のご判断です。お客様からの問い合わせが多い場合は、影響なし版を 1 つ出しておくと、個別の返信の手間を減らせます。
- 個人情報の漏えいのおそれがあるときも、このお知らせ文を使えますか。
- このページは対応状況のお知らせの考え方です。漏えいなどのおそれがあるときの報告・本人への通知・公表については、個人情報保護委員会の案内を確かめ、弁護士などの専門家とご相談ください。
原典・参考にした資料
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」
- 独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」
このページは secubell が公開情報をもとにまとめた一般的な解説です。法的な判断や、個別の状況への助言ではありません。内容は原典で確かめ、自社の契約・体制に合わせてお使いください。法令上の報告・通知が要るかどうかの最終的な判断は、お客様ご自身と、弁護士などの専門家で行ってください。