情報セキュリティインシデント発生時の信頼維持を支える「説明責任」支援の導入事例

物流・小売業界を中心とする大手グループのシステムを担うH社様は、サイバー攻撃の巧妙化と社会からの説明責任の高まりを背景に、情報セキュリティインシデント発生時における「説明責任」を果たすための仕組みづくりが急務となっていました。

インシデントは発生することを前提に、事後に企業として正当性を訴え、社会的信用を維持する体制の整備が求められていたのです。

当社は、大手コンサル会社による過去の調査結果を活用しつつ、以下のプロセスを通じて支援を行いました。

1. 説明責任の定義と構成要素の整理
   ○「自社の情報セキュリティ目的を達成していること」「正しい設計と運用がされていること」の正当性の根拠と定義。
    
2. 情報セキュリティガバナンス体制の見える化
   ○ISO/IEC 27014に基づき、経営陣の「方向付け・モニタリング・評価・監督・報告」の仕組みを明文化。
   
   ○経営陣が情報セキュリティの設計から運用まで積極的に関与していることの表明。
   
   ○経営陣による情報セキュリティ活動に対するリソース（ヒト/モノ/カネ）の割り当ての可視化。
    
3. 説明責任を必要とする関係者の洗い出し
   ○被害者、マスコミ、監督官庁など利害関係者ごとの対応と説明責任の範囲を特定。
    
4. マスコミ対応体制の構築支援
   ○記者会見時に説明できる情報、してはならない対応を整理（虚偽・隠ぺい・想定外など）。
    
5. 第三者委員会やメディア発信への備え
   ○他社事例を参考に、正当性主張に必要なドキュメントの類型と情報整理方法を提案。
   
   ○各メディアの特性を踏まえた情報発信の提案。
    

6. チェックリストの提供
   ○「説明責任を果たすための情報セキュリティチェックリスト」を作成し、日常的な備えを促進。