金曜日の夕方、顧客名簿を渡している委託先から「不審な操作が見つかりました」と連絡が入りました。誰が詳しい状況を聞き、誰が自社への影響を確認するでしょうか。「対応は委託先に任せる」とだけ決めていると、自社で必要な判断が進まないことがあります。
SCS評価制度の★3では、自社の機密情報を共有する子会社や取引先との間で、事故が起きたときの双方の役割と責任を定めます。今回は、連絡、調査、被害拡大防止、復旧を例に、自社と共有先の対応をつなぐ方法を解説します。
図1 双方の担当が対応をつなぐ架空例 すべての会社に共通の分担ではない
| 評価基準番号 | この回で確認すること |
| 2-1-4-1 | 機密情報の共有先と、事故時の自社及び共有先の役割・責任を定める |
取引先の障害でトヨタの工場が止まった事例
2022年3月1日、トヨタ自動車は国内全14工場28ラインの稼働を停止しました。国内仕入先の小島プレス工業で起きたシステム障害が影響したためです。小島プレスは2月26日夜に不正アクセスを検知し、被害拡大を防ぐためにシステムを停止していました。
図2 両社の公式発表に基づく経過 稼働再開と完全復旧は異なる
トヨタは、3月2日の1直からすべての稼働を再開すると発表しました。ただし、小島プレスのシステムがすべて復旧したわけではありません。同社の3月7日の説明では、受発注データを代替手段でやり取りして納入を再開した一方、メールを含む社内システムの障害は続いていました。
この経過から自社の業務に引き付けて考えると、共有すべき情報は原因調査の結果だけではありません。何の業務が使えず、代替手段で何ができ、再開にどの確認が必要かも、取引先と話し合うことになります。連絡を受ける人と、業務上の判断をする人を決めておく意味がここにあります。
公表資料は、両社の役割分担が不十分だったと認定したものではありません。この事例は取引先の障害が操業に波及することを示すために取り上げています。両社間の機密情報の共有内容やSCSへの適合性を判定するものではなく、以下の分担表も両社の実際の運用ではありません。
2-1-4-1 共有先と双方の役割を定める
対象は、自社の機密情報を共有する子会社や取引先です。顧客情報を扱う発送会社、設計情報を渡す協力会社、社内資料を共有する子会社など、相手と情報の組合せを確認します。これらは対象を考えるための例です。
前回の2-1-2-1では、平常時の利用や保管、返還・廃棄などを取り決めました。今回は事故時の分担です。秘密保持契約があっても、事故の連絡や調査への協力について確認できるか、別の観点から読み直します。
| 公式解説書の例 | 自社の仕事で具体化する問い |
| 連絡 | 誰が誰へ知らせるか。相手が受け取れない場合はどうするか |
| 調査 | どちらがどの範囲を調べ、相手へ何を報告・提供するか |
| 封じ込め | 被害拡大を防ぐ操作を誰が判断し、誰が実施するか |
| 復旧 | 誰が復旧作業を行い、どの確認結果を共有するか |
封じ込めとは、被害が広がらないようにする対応です。例えば、影響する端末の通信や共有権限を制限する方法が考えられます。実際の操作は、担当者の権限と状況に応じて決めます。
公式解説書は、どちらが主体となって対応し、相手がどのような報告や協力をするかを、契約書その他の合意文書等で明確にする例を示しています。上の四つは説明の観点であり、四件の独立した評価基準ではありません。
担当と判断できる範囲を結び付ける
「双方で対応する」だけでは、どちらが動き始めるか分かりません。最初に連絡を受ける担当、調査を進める担当、システムの利用停止や業務再開を判断する担当を具体化し、それぞれが何を行う責任を持つかを決めます。
少人数の会社では、一人が複数の役割を兼ねる形も考えられます。専任の大きな組織を設けることが、この基準の条件ではありません。担当者が不在のときの代わりも含め、実際に動ける分担にします。
合意した内容で運用する
公式用語の「定める」は、文書化し、その内容に基づく運用を行うことです。合意文書を保管するだけでなく、双方の担当者が参照し、対応時に使える状態にします。事故が起きる前に準備しておくことを勧めますが、本基準には一律の連絡時間や年次点検の指定はありません。
第一報を受け取る人と伝える内容を決める
ここからは、第7回に続き、架空のA社が発送会社B社へ顧客名簿を共有する例です。B社の担当者が不審な操作を見つけたときに、原因の解明や漏えいの確定を待つのか、疑いの段階で知らせるのかを、両社であらかじめそろえます。
図3 第一報と続報をつなぐ運用例 SCSが指定する一律の手順ではない
未確認事項も分かるように伝える
例えば「顧客名簿を置いたフォルダへの不審なアクセスを確認しました。外部への持ち出しは調査中です」と伝えます。確認できた事実、まだ確認できていないこと、既に行った対応を分けると、A社が判断に使える情報になります。
第一報の項目例は、発見日時、対象の業務や情報、起きたこと、業務への影響、実施済みの対応、連絡担当者、次回の連絡予定です。情報がそろわない段階でも、分かる範囲を伝え、続報で補える運用を話し合います。
メールを送れない場合も想定する
相手のシステム障害で、普段のメールが使えない場合があります。別の連絡手段、不在時の連絡先、休日や夜間の窓口を確認します。送信したことに加え、相手が受け取って対応を始められたかを確かめる方法も決めておきます。
「疑いを把握したら速やかに第一報を行う」などの条件を、実際に対応できる体制と合わせて合意します。この記事は一律の時間数を指定していません。契約や業務に応じて具体化し、必要な続報の間隔も決めます。
調査と被害拡大防止の作業を分担する
調査に必要な情報は、一つの会社だけにそろっているとは限りません。B社の端末で起きた操作と、A社が管理する共有フォルダの記録を、双方が確認する場面もあります。ログとは、利用や操作の履歴を残した記録です。
図4 操作権限に合わせた分担例 判断と操作の担当は別途合意する
| 対応内容 | B社が担う例 | A社が担う例 |
| 調査 | 担当端末や利用状況を確認し、結果を報告する | 共有履歴と渡した情報の範囲を確認する |
| 被害拡大防止 | 権限のある担当者が、対象端末等を対処する | 自社管理の共有権限や接続を必要に応じ制限する |
| 調査への協力 | 合意した範囲で記録や説明を提供する | 対象情報や業務への影響をB社と共有する |
表は架空の分担です。システムを管理している会社、契約範囲、実際の操作権限に合わせて調整します。緊急時に誰がどこまで判断できるかを先に決めておくと、都度の連絡待ちで必要な対処が止まる場面を減らせます。
調査の記録を残す役割も決める
誰が、いつ、どこへ、何をしたかを記録し、相手に共有する担当を決めます。例えば、共有を停止した範囲と時刻が分かれば、相手はその後の操作や業務影響を調べやすくなります。記録の保管先や渡し方も、必要な情報が別の場所へ広がらない方法を選びます。
専門家や保守会社へ調査を依頼する場合は、依頼する側の窓口と、相手方への説明担当を決めます。共有する資料の範囲や費用などは、契約や必要な作業に合わせて具体化します。専門家への依頼だけで、自社の業務判断まで自動的に決まるわけではありません。
復旧作業と業務再開の判断をつなぐ
システムを起動できたことと、業務を再開してよいことは、確認する内容が異なります。復旧担当は技術面の確認結果を示し、業務担当はデータや作業の準備を確かめます。その結果を基に、権限を持つ担当者が再開する範囲と条件を決める形が考えられます。
図5 技術面と業務面の確認を再開判断へつなぐ実務例
代替手段を使うときの分担
冒頭の事例では、小島プレスは受発注データ授受の代替手段によって納入を再開したと説明しています。自社でも、通常のサービスが使えない間に別の方法を使うなら、対象業務、情報の渡し方、入力の確認、通常運用へ戻す担当を整理しておきます。
A社とB社の発送業務なら、未発送分の把握や、二重発送を防ぐ確認を誰が行うかが問題になります。臨時の共有先を無断で増やさず、前回の機密情報の取扱条件と整合する方法を話し合います。
顧客への説明を準備する役割
顧客等への説明が必要になった場合に備え、事実関係をまとめる人、内容を確認する人、説明する窓口を決めることも実務上の工夫です。「まだ分からないこと」を含めて両社で確認し、原因や影響を推測だけで言い切らないようにします。
対外説明や公表の分担は、ここでは運用例として示しています。個別の報告義務や期限については、取り扱う情報と事案に応じて別途確認します。SCSのこの基準だけで、公表の要否や時期がすべて決まるわけではありません。
役割と責任の取り決め例
以下は、顧客名簿を共有するA社とB社のための説明例です。実際の契約にそのまま使える完成条文ではありません。既存の契約、担当者の権限、保守契約との整合を確認して、双方で内容を定めます。
対象と連絡に関する例
対象は、両社が共有する発送用顧客情報に関係するセキュリティ事故と、その疑いとする。異常を把握した側は、確認済みの事実と未確認事項を分け、相手方の指定窓口へ速やかに連絡する。受領を確認できない場合は、別紙の代替窓口へ連絡する。
調査と被害拡大防止に関する例
B社は自社の管理範囲における調査と対処を行い、A社へ結果を報告する。A社は自社の共有設定、利用記録及び対象情報を確認し、必要な対処を行う。両社は、相手の調査に必要な情報を、合意した範囲と方法で提供する。緊急時の操作権限と事後報告は、別紙の手順で定める。
復旧と再開に関する例
各社は、自社が管理する環境の復旧状況と残る懸念を相手に報告する。A社の業務責任者は、両社の確認結果を踏まえ、発送業務の再開範囲を判断する。B社は、合意した範囲で業務を再開し、再開後の状況を報告する。
説明と記録に関する例
B社は、A社が顧客への説明を検討するために必要な事実を提供する。A社は自社顧客への説明担当を決め、説明内容のうちB社に関係する事実をB社と確認する。両社は、実施した対応、判断、報告の記録を、指定した保管先で管理する。
| 別紙で確認する項目 | 記入する内容の例 |
| 対象業務と情報 | 発送業務／共有する名簿や関連データの範囲 |
| 双方の窓口 | 主担当、代わりの担当、連絡手段、対応できる時間帯 |
| 操作と判断の権限 | 共有停止、端末対処、調査依頼、業務再開を判断する担当 |
| 報告と協力 | 第一報・続報の内容、記録提供の範囲と方法、次回連絡の決め方 |
| 合意の管理 | 文書名、版、合意日、双方の確認者、関連する契約や手順 |
この例はA社が発送業務の再開を判断する前提です。すべての取引で発注側が全操作を決めるという意味ではありません。損害賠償の割合等も、この表が定めるものではありません。まず、事故対応の作業と判断の担当を明確にします。
自己評価で確認する文書と運用
公式ガイドでは、契約書その他の取り決めから、双方の役割と責任を定めていることを確認し、その文書名を確認します。[1 p33] 合意文書のどこを見れば分担が分かるか、担当者が説明できるようにします。
| 確認の観点 | 確認する資料や内容の例 |
| 対象となる共有先 | 機密情報を共有する相手と、対象業務・情報を確認する |
| 双方の役割と責任 | 契約書、覚書、合意済みの別紙等で、双方の対応を確認する |
| 文書へのたどり方 | 文書名、適用する版、該当箇所、保管先を整理する |
| 担当者が使える状態 | 双方の窓口や判断担当が分かり、必要時に手順を参照できる |
| 対応した場合の記録 | 実施した対応や報告を、合意した方法で記録・管理する |
文書名等の整理欄や記録の形は、この記事の実務例です。事故が起きていないのに、事故対応の実績を作る必要はありません。合意に基づいて運用できる状態を整え、対応した場合は、その内容を残します。
対象外にできる場合
対象外の条件は、自社の機密情報を共有する子会社や取引先が存在しない場合です。自社でサーバを持たない、クラウドだけを使っている、子会社との共有しかない、といった事情だけでは対象外と判断できません。情報を共有している実態を確認します。
本日の五つの確認
□ 機密情報を共有する子会社や取引先を確認した。
□ 事故時の双方の役割と責任を、共有先と定めている。
□ 取り決めの文書名と、役割が分かる該当箇所を示せる。
□ 連絡や調査等の主担当と、相手が行う協力を具体化した。
□ 担当者が不在の場合も含め、実際に使える分担にした。
最後の二つは、公式解説の例を基にした実務の確認です。今日は共有先を一社選び、「事故の第一報が来たら誰が受け、次に誰が何をするか」を、合意済みの文書でたどってみてください。
次回は パソコンとソフトウェアの把握
11月9日は、3-1-1「情報機器、OS及びソフトウェアに関する情報の把握」です。脆弱性の情報が出たときに、自社への影響を調べる土台となる台帳を扱います。
連載の関連項目とご相談
第1回は連載目次、第7回は平常時の機密情報の取扱いです。社内の事故対応手順は11月27日の6-1-1、復旧準備は11月28日の7-1-1で扱います。
ライトハウスコンサルタントでは、★3を見据えた現状確認や、規程・台帳・記録の準備を支援しています。既存の取り決めと実際の体制を照らし合わせ、共有先と確認する点を整理します。
