事件の後、委託先に確認するときの手順

1公表された内容を原典で確かめる

報道や SNS の要約ではなく、製品の開発元や公的機関が出した文書を読みます。確かめたいのは、対象の製品とバージョン、何が起きうるか、修正版や暫定策があるか、の 3 点です。

読んだ文書の題・公表元・日付・URL を控えておくと、委託先への質問やお客様への説明で、同じ原典を示せます。

2関わりのありそうな委託先を洗い出す

自社で直接その製品を使っていなくても、Web サイトの制作・保守、レンタルサーバー、業務システムの SaaS などを通じて使われていることがあります。

委託先の一覧（契約の台帳など）から、対象の製品を使っていそうな先と、自社の情報を多く預けている先から順に並べます。

3委託先に、聞くことを決めて問い合わせる

使っているか、影響を受けるバージョンか、更新・暫定策は済んだか、痕跡を確かめたか、預けた情報に影響はあるか、再委託先はどうか、窓口は誰か、を聞きます。

質問は選択式にし、回答期限を決めて送ると、回答が集めやすく、比べやすくなります。

この段で使うテンプレートヒアリングシート →

4回答を待つあいだに、問い合わせへの答え方を決める

お客様や取引先から問い合わせが来たときに、誰がどう答えるかを決めます。確認中であれば「確認中であること」と「次にお知らせする時期」を伝えます。

分かっていないことを「影響なし」と書かないことが大切です。

この段で使うテンプレートお知らせ文（調査中版） →

5回答を確かめ、返事の無い先には催促する

届いた回答は、原典の内容（対象のバージョン・暫定策）と照らして確かめます。「対応済み」とだけある場合は、実施日や方法を聞き返します。

期限を過ぎた先には、途中の状況だけでもよいと添えて、改めてお願いします。

この段で使うテンプレート確認メールの例文（催促） →

6結果を記録し、必要な先に伝える

委託先ごとの回答・受け取った日・確かめた人を残します。お礼のメールで回答の要点を書き返しておくと、記録になります。

確認が済んだら、お客様・取引先へのお知らせを更新します。個人情報の漏えいなどのおそれがある場合に報告・通知が要るかは、公的機関の案内を確かめ、最終的な判断は弁護士などの専門家とご相談ください。

事件が落ち着いたら、平時の確認として委託先の備え（更新・バックアップ・事故時の連絡）を見直しておくと、次の事件で確認が早く進みます。

この段で使うテンプレートセキュリティチェックシート →

参考にした公的機関の資料

• 独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」

この解説は secubell が用意した一般的な進め方です。法的な判断を示すものではありません。自社の契約や業種の決まりに合わせて進めてください。