セキュリティインシデント発生直後の広報対応｜第一報・公表判断・問い合わせ対応

「ある日突然、自社のサイトから情報が漏洩してしまったら…？」

「広報担当として、どうやってお客様に説明すればいいんだろう…？」

そんな恐ろしい事態を想像したことはありますか？

Webサイトを運営している企業であれば、決して他人事とは言い切れません。

いざというときに慌てないためにも、広報担当が「いつ、何をすればいいのか」はあらかじめ知っておきたいところですよね。

今回は、セキュリティインシデントが発生した直後の第一報や公表の判断、問い合わせ対応について、社内での動き方とあわせてご紹介します。

セキュリティー診断さん

うちの会社、セキュリティインシデントなんて起きたら大パニックだよ…。 広報のやり方なんて誰も知らないと思う…。

発生直後、広報は何をすればいい？

広報の役割は、技術的な原因や影響範囲を自分たちだけで判断することではありません。

技術担当や法務、経営者が確認した情報を集め、お客様や取引先に伝わる言葉へ整えることが大切です。

最初に担当者と公表を承認する人を決めておく

事故が起きてから連絡先を探していると、事実確認や第一報が遅れてしまいます。

平時から、広報、技術担当、法務、経営者、問い合わせ窓口がすぐに連絡を取れるようにしておきましょう。

あわせて、「最終的に誰が公表を承認するのか」も明確にしておくと安心です。

広報担当は、すでに確認できている情報と、まだ調査中の内容を分けて記録します。

そのうえで、公表する内容を承認者が判断しやすい形に整えましょう。

担当者が不在のときに誰が代わるのかまで決めておけば、緊急時にも迷わず動きやすくなります。

発生直後は3つの時間帯に分けて動く

ここでは、「発生後15分」「1時間以内」「当日中」の3つに分けて、広報担当の動きを見ていきましょう。

これらの時間は法的な期限ではなく、いざというときに迷わないための社内での目安です。

基本的には、広報が情報を集め、技術担当と法務が内容を確認し、経営者などの承認者が公表を判断します。

実際に必要な対応は事故の内容や法令、契約によって変わるため、必要に応じて法務や専門家とも確認しながら進めましょう。

発生後15分：まずは事実を集めて関係者へ連絡する

広報担当は、発生時刻、対象となるサービス、現時点で確認できている影響、外部からの問い合わせ状況を記録します。

その内容をもとに技術担当へ事実確認を依頼し、法務、経営者、問い合わせ窓口にも同じ情報を共有しましょう。

この段階で特に気をつけたいのが、原因や影響を推測で決めつけないことです。

まだわかっていないことは「確認中」と明記し、誰が確認しているのかも記録します。

1時間以内：公表するかどうかと第一報の内容を決める

広報担当、IT担当・CSIRT、法務、経営者で、次の項目を確認しましょう。

• 個人情報への影響があるか
• サービスが停止しているか、停止予定があるか
• 顧客に金銭的・業務上の被害が生じる可能性があるか
• 報道機関、顧客、取引先など外部から問い合わせがきているか

これらの情報をもとに、経営者など社内規程で決められた承認者が、公表するかどうかや対象者、発表方法を決めます。

公表する場合は、広報担当が第一報を作成し、法務の確認と承認を受けましょう。

第一報には、主に次の内容を盛り込みます。

• 発生した事実
• 現時点で確認できている影響
• 現在行っている対応
• 問い合わせ窓口
• 次回の更新予定

当日中：問い合わせ対応と続報の準備を整える

Webサイト、メール、SNS、問い合わせ窓口で案内する内容がバラバラになると、お客様をさらに不安にさせてしまいます。

どの窓口でも同じ内容を案内できるように、社内で共有する最新の公式情報を一つにそろえておきましょう。

新しい事実がわかった場合も、第一報と同じように確認と承認を行ってから更新します。

お客様向けの説明は、次のように分けておくと、確認できていることと調査中のことが混ざりにくくなります。

• 確認済みの事実
• 調査中の事項
• 顧客にお願いする対応
• 次回の報告予定

問い合わせ窓口の担当者には、最新の公式情報と「どこまで回答してよいのか」を共有しておきましょう。

難しい技術用語をそのまま並べるのではなく、お客様が「自分は何をすればいいのか」をわかる言葉で伝えることも大切です。

技術面でどのように対応すればよいのかは、セキュリティインシデント発生時の対応手順と事例を参考にしてみてください。

収束後は広報の進め方と公開Webシステムを見直す

事故が落ち着いたら、広報対応を振り返るとともに、Webサイトに弱点が残っていないかも確認しておきましょう。

連絡や公表に時間がかかったところ、説明が食い違ったところなどがあれば、次回に備えて担当者や手順を見直すことが大切です。

Webサイトの安全性を確認するには、外部から攻撃されるおそれのある弱点がないかを調べる「セキュリティ診断」が役立ちます。

たとえば『セキュリティー診断さん』は、AIを活用してWebサイトの問題箇所を診断してくれるサービスです。

見つかった問題をもとに制作会社や開発会社へ修正を依頼し、修正後にもう一度確認すれば、再発防止にもつなげやすくなります。

いざというときに慌てない広報体制を整えておこう

セキュリティインシデントが起きたとき、その場で対応方法を考え始めていては、第一報やお客様への説明が遅れてしまうおそれがあります。

誰に連絡し、どの情報をもとに、誰の承認を得て公表するのかを平時から決めておけば、緊急時にも落ち着いて動きやすくなります。

事故が収束したあとは広報対応を振り返るだけでなく、Webサイトに弱点が残っていないか確認しておくことも大切です。

安全面に不安がある場合は、AIでWebサイトの「弱点」を診断できる『セキュリティー診断さん』も、再発防止に向けた確認方法の一つとして活用してみてください。

会社とお客様を守るためにも、万が一に備えた準備を進めておきましょう。

セキュリティー診断さん

日ごろからの備えと、サイトのセキュリティ診断が大切なんだね！ ヨシ！ まずは診断を受けて、うちのサイトが安全か確かめてみるよ(๑•̀ㅂ•́)و✧