解説：教えてアカネちゃん
情報セキュリティインシデントの対応として、従業員はもちろん、社外にも広く情報発信を行わなければならないことがあります。
特に顧客にサービスを提供する企業であれば、情報セキュリティインシデントによってサービスを提供できなくなったり、あるいはサービスの品質が低下したりするかもしれません。その時に適切に情報発信できなければ、顧客を不安に陥れることになるでしょう。苦情の矛先は、従業員に向かうことになります。その従業員も何も知らされておらず、ただ矢面に立って苦情を浴びせられなければならないというのでは、従業員にとっても顧客にとっても不幸な状況といえます。あまつさえ、従業員によって言うことが異なれば、顧客の不安はますます募るばかりでしょう。
そのため、情報発信・苦情対応の窓口を一本化し、従業員はもちろん顧客がその情報にアクセスできるようにしなければなりません。
ひとつの方法としては、状況を逐一Webサイトに掲載したり、マスコミに発表したりすることが考えられます。交通機関で輸送障害に発展したのであれば、乗務員を通じて乗客に案内するということも考えられるでしょう。また、第一報を公表してから長時間情報を更新しないことも、不安を募らせ、騒ぎを大きくする一因となります。状況が変わっていても変わっていなくても、定期的に状況を知らせるというのも大切なことです。例えば、対応が長引くことが予想される場合、「次は1時間後に更新します」と予告し、実際にその約束を守り一時間ごとに情報発信するという方法があります。
しかし、不安を煽るような情報発信になってしまえば逆効果です。また、すべてを大公開してしまうのも考え物でしょう。インシデントが発生した時にどのように情報発信をしていくかは、セキュリティ担当者の独断で決められる問題ではありません。平時から経営者や広報部門を巻き込んで訓練を詰み重ね、対応力を鍛えてていくことも欠かせません。
さて、本連載は今回が最後となります。
一時期、CSIRT構築がブームになりましたが、それから数年経った今、社会情勢はますます不安定になり、情報セキュリティの脅威も増しています。まさに今、CSIRTの活躍が求められる時です。これからCSIRTを構築される方も、これまでCSIRTを運用されてきた方も、ぜひ、一緒に頑張っていきましょう。
お知らせ
今回のストーリーの続きは、小説版でご覧ください。
2022/12/31までの期間限定でKindle Unlimitedで配信中。
