利用しているクラウドサービスや業務委託先でセキュリティ事故が起きると、自社のシステムが直接侵害されていなくても、顧客情報や日常業務に影響することがあります。
委託先から第一報を受けた段階では、原因や影響範囲が確定していない場合もあります。届いた内容をそのまま社外へ転送せず、自社に関係する範囲と、次の情報が届く予定を確認してください。
第一報で確認したい項目
自社への影響を判断するため、委託先には次の内容を確認してください。分からない項目がある場合は、回答できる時期と次回の連絡予定も確認します。
- 事故を検知した日時と、影響が始まった可能性がある期間
- 対象となるサービス、システム、データ
- 自社の個人データや機密情報が含まれている可能性
- 停止している機能と、利用できる代替手段
- すでに行った封じ込めと、今後の調査予定
- 自社側に求められている操作やサービスの利用停止
連絡を受けた担当者だけで情報を抱えず、影響に応じて情報システム、法務・個人情報保護、広報、顧客対応などの担当部署へ共有してください。委託先とのメールや会議資料に加え、連絡を受けた時刻と社内で判断した内容も残します。
自社側の接続状況も確認してください
委託先のサービスと自社のシステムが連携している場合は、接続に使用しているアカウントやAPIキー、自社側のログに異常がないか確認してください。委託先で使用している認証情報が、ほかのサービスでも使われていないか確認することも必要です。
認証情報の変更やサービスの停止を急ぐと、調査や業務へ影響する場合があります。緊急性と調査への影響を委託先と確認し、対応の順番を決めてください。
個人データと契約上の役割を確認してください
個人データが関係する場合は、個人情報保護委員会への報告や本人への通知が必要になることがあります。「委託先が対応する」と決めつけず、データの取扱いと契約関係を確認し、自社が担う対応を判断してください。
事故が起きてから役割を決めようとすると、顧客対応や復旧が遅れることがあります。平時から、事故の連絡期限と連絡先、ログや調査結果の共有方法、再委託先で事故が起きた場合の扱いを契約で確認しておくことが大切です。復旧や顧客対応、費用負担、契約終了時のデータ削除・返却についても確認しておくと、緊急時の判断がしやすくなります。