セキュリティ事故の報告書（社内用）

ガイド「セキュリティ事故が起きたときの対応の手順」で触れている、IPA（情報処理推進機構）の「中小企業のためのセキュリティインシデント対応の手引き」が挙げる「事故のときに整理する事項」に合わせたWordのファイルです。同じ様式で第一報・続報・最終報を出すと、何が分かり、何が変わったかを比べやすくなります。保守の事業者や相談窓口に状況を伝えるときの手元の資料にも使えます。

使い方

① 第一報を早めに出します。 分かっている範囲で「1. 報告の基本情報」と「2. 事故の概要」を書きます。分からない項目は「調査中」と書きます。

② 5W1Hで整理します。 「3. 5W1Hでの整理」に、いつ・どこで・誰が・誰を・何を・なぜ・どうしたのかを書きます。

③ 対応の経過を時系列で書きます。 「4. 対応の経過」に、日時・行ったこと・担当を1行ずつ足していきます。

④ 影響の範囲と報告の状況を書きます。 対象のシステムと情報、件数、個人データが含まれるか、取引先・顧客への影響を書き、報告・届け出の先ごとに要否と日時を記録します。

⑤ 続報・最終報で更新します。 判明したことを書き足し、報告の区分と版を改めます。最終報では、復旧の内容・根本の原因・再発防止策を書きます。

⑥ 確認と承認を受けます。 責任者が確かめ、経営者の承認を受けて保管します。

中身（見出し）

記入例

架空の会社「株式会社〇〇」で、顧客あてのメールを誤った宛先に送った場合の第一報の例です。

• 1. 報告の区分： 第一報（版1）。報告先は経営者と営業部長。
• 2. 事故の分類： 情報漏えい（メールの誤送信）。起きていることは「顧客1社あての見積書を、別の取引先に送った」。想定される原因は「宛先の入力の候補から誤って選んだ」。
• 4. 対応の経過： 「［日時］ 送信先に連絡し、受け取ったメールと添付の削除を依頼」「［日時］ 削除の完了の連絡を受けた」。
• 5. 影響の範囲： 見積書1件。個人データは「担当者の名前とメールアドレスを含む」。件数・人数は1名。
• 7. 報告・届け出の状況： 個人情報保護委員会への報告の要否は「確認中」（「個人データの漏えい等の確認表」で確かめる）。

使うときの注意

• 自社の規程・体制に合わせて直してください。 項目は一般的な例です。事故の対応の手順や報告の流れが決まっている場合は、その内容に合わせて整えます。
• 報告書の扱いに気をつけてください。 報告書には、被害の状況や個人の情報が書かれることがあります。見られる人を限り、保管の場所と期間を決めておきます。
• 個人データの漏えいのおそれがあるときは、法令を確かめてください。 個人情報保護法第26条は、一定の事態について個人情報保護委員会への報告と本人への通知を求めています。報告は委員会のページの漏えい等報告のフォームで行う形になっています。該当するかと最新の扱いは委員会のページで確かめ、弁護士などの専門家に確かめていただくと安心です。
• このひな形は参考のための資料で、監査・評価・認証に代わるものではありません。特定の製品・サービス・会社をお勧めするものでもありません。