セキュリティ事故の初動チェックリスト

ガイド「セキュリティ事故が起きたときの対応の手順」で説明している、IPA（情報処理推進機構）の「中小企業のためのセキュリティインシデント対応の手引き」の初動の流れに合わせたWordのファイルです。事故のときは慌てやすいため、ふだんから印刷して手元に置き、上から順に □ に印を付けながら進められる形にしています。表紙の連絡先の一覧は、システムが止まったときにも見られるよう、紙でも保管してください。

使い方

① ふだんのうちに連絡先を書きます。 「1. 連絡先の一覧」に、情報セキュリティの責任者と代わりの人、経営者、保守の事業者、相談先などを書き、印刷して保管します。

② 気づいたら、まず責任者に報告します。 「2. 気づいたとき」の項目を確かめ、気づいた日時と内容をメモします。社外からの通報の場合は、通報した人の連絡先を控えます。

③ 被害の拡大を止めます。 「3. 被害の拡大を止める」の項目から、起きていることに当てはまるものを行います。電源を不用意に切って記録を消さないよう注意します。

④ 記録を残し、体制を立ち上げます。 ログや機器の記録を保存し、経営者に報告して、責任者・担当者と役割を決めます。経過は「セキュリティ事故の報告書（セキュリティ事故の報告書（社内用））」に書き始めます。

⑤ 報告・届け出の要否を確かめます。 個人データの漏えい、犯罪性、業法での報告、取引先・顧客への影響などを確かめ、報告の先と期限を書きます。

⑥ 終わったら見直します。 復旧の後に、チェックリストで足りなかった項目や連絡先を直します。

中身（見出し）

記入例

架空の会社「株式会社〇〇」で、社員のパソコンに身代金を求める画面が出た場合の例です。

• 2. 気づいたとき： 「責任者に報告した」に印。メモは「［日時］、営業部の社員から。画面に身代金を求める表示」。
• 3. 被害の拡大を止める： 「ネットワークから切り離した」に印（LANケーブルを抜き、無線LANを切った）。「電源を不用意に切っていない」に印。
• 4. 記録を残す： 「画面の表示と気づいた経過を記録した」に印。ログの保存は保守の事業者に依頼。
• 6. 報告・届け出の要否： 顧客の情報が入った共有フォルダにつながっていたため、個人情報保護委員会への報告の要否を確かめる（「個人データの漏えい等の確認表」を使う）。警察への相談は「する」。

使うときの注意

• 自社の規程・体制に合わせて直してください。 項目は一般的な例です。情報セキュリティの規程や事故の対応の手順がある場合は、その内容と食い違わないように整えます。
• 個人データの漏えいのおそれがあるときは、法令を確かめてください。 個人情報保護法第26条は、一定の事態について個人情報保護委員会への報告と本人への通知を求めています。委員会のページは、速報を発覚日から3〜5日以内、確報を30日以内（不正の目的で行われたおそれがある場合は60日以内）としています。該当するかと最新の扱いは委員会のページで確かめ、弁護士などの専門家に確かめていただくと安心です。
• 連絡先は定期的に確かめてください。 担当者の異動や契約の変更で、連絡先は変わります。年1回や担当者が変わったときに見直します。
• このひな形は参考のための資料で、監査・評価・認証に代わるものではありません。特定の製品・サービス・会社をお勧めするものでもありません。