2026年10月のPHP脆弱性では、首相がXで修正版の適用を「大至急」と呼びかけたと報じられました。経営層にも届く形で注意喚起が出たということは、対応の後で「自社は何をしたか」を経営層から問われるということでもあります。被害がなかった場合でも、なかったと言える根拠が求められます。
この記事の要点
- 経済産業省のガイドラインは、インシデントの際に経営者が組織の内外へ説明できる体制の整備を求めている
- 説明に耐えるのは「対応した」という結論ではなく、いつ何を知り、何を決めたかの記録
- 記録は事後にまとめると欠けやすい。対応しながら残る形にしておくと、そのまま報告の材料になる
ガイドラインが経営者に求めている「説明」
経済産業省とIPAの「サイバーセキュリティ経営ガイドライン Ver3.0」は、経営者がCISO等に指示すべき「重要10項目」を示しています。指示7「インシデント発生時の緊急対応体制の整備」では、被害が分かった後の通知先や開示が必要な情報を把握させるとともに、情報開示の際に経営者が組織の内外へ説明できる体制を整備させる、としています。
指示6「PDCAサイクルによるサイバーセキュリティ対策の継続的改善」では、経営者が対策の状況を定期的に報告させて問題の早期発見に努めることと、株主やステークホルダーからの信頼を高めるために改善状況を適切に開示させることを挙げています。開示の手段として、情報セキュリティ報告書、CSR報告書、サステナビリティレポート、有価証券報告書などへの記載が例示されています。
説明を求められるのは、被害がなかったときも同じ
重大な脆弱性への対応で、後から聞かれるのはおおむね次のような問いです。
- いつ脆弱性を知ったか
- 自社のどのシステムが対象で、それをどう判定したか
- いつ更新し、更新できないものはどう扱ったか
- 攻撃を受けていないと言える根拠は何か
最後の問いは特に答えにくいものです。Wizは今回の脆弱性について、攻撃がアプリケーションより下の層で動くため、アプリケーションのログにはほとんど手がかりが残らない場合があると書いています。「ログに何も出ていない」が「攻撃されていない」の裏づけにならない場面があるということです。
記録に残しておく5つの時刻と判断
- 知った時刻と情報源: ベンダーの告知、公的機関の注意喚起、委託先からの連絡のどれで知ったか
- 影響範囲を判定した時刻と根拠: 台帳、委託先の回答、機器ベンダーの告知のどれをもとに判定したか
- 更新・緩和・停止を決めた時刻と決めた人: それぞれ誰がいつ決めたか
- 更新を終えた時刻と確認方法: 終わったことを何で確かめたか
- 侵害の有無を調べた範囲と、調べられなかった範囲: どこまで確認し、どこが未確認か
5つ目の「調べられなかった範囲」を書いておくと、説明の信頼はむしろ上がります。確認済みのことと未確認のことを分けて示せるからです。
事後にまとめると欠ける記録
緊急対応の最中は、チャット、電話、メール、チケットに判断が散らばります。対応が終わってから時系列を組み立て直すと、誰がいつ何を決めたかが曖昧になりがちです。ガイドラインも指示7の対策例で、被害原因の特定と解析のために、各種ログの保全や感染端末の確保などの証拠保全が行える体制の構築を挙げています。
対応しながら記録が残る形にしておけば、その記録がそのまま経営報告や開示、取引先への説明の材料になります。記録用のチャンネルやチケットを1つに決め、判断はそこに書く。そうした小さな取り決めでも、後の説明のしやすさは変わります。
拠点の記録を、グループ全体の説明につなげる
グループ全体で説明を求められたとき、記録がいちばん薄くなりがちなのは、拠点や中小規模の子会社です。当社のForceJOSYSは、オフィスのLANを継続して観測し、異常時には原因候補と次の行動を証拠付きの調査票にまとめる、中小規模の事業所向けのIT運用支援サービスです。調査票は当社のエンジニアも同じものを見て対応を引き継げます。
透過型UTMのForceUTMは、稼働状況と遮断・検知の結果を、毎月日本語のレポートにまとめて配信します。どちらも、拠点で何が起き、何を確かめたかを、後から説明できる材料として残すための仕組みです。
参考資料
拠点で起きたことを、後から説明できるようにする
拠点や中小規模のグループ会社で、異常時の調査票や月次レポートをどう残すかをご相談ください。
製品の詳細はForceJOSYSのサイト、ForceUTMのサイトでご覧いただけます。
まずは相談する相談無料・