サイバーインシデント対応規程

サイバー攻撃や情報漏えいは、もはや大企業だけの問題ではありません。不審なメールを開いてしまった、社内システムに見覚えのないアクセスがあった、顧客情報が外部に流出したかもしれない。

そういった事態が中小企業でも日常的に起きています。にもかかわらず、「いざとなったら誰が何をするか」が決まっていない会社は少なくありません。

この「サイバーインシデント対応規程」は、まさにその「いざというとき」のための社内ルール文書です。万が一のセキュリティ上のトラブルが起きた際に、誰が最初に動くのか、どこまでの権限で判断できるのか、社外にどう連絡するのか、証拠はどう残すのかといった手順を、あらかじめ社内で共有しておくための規程です。

具体的には、インシデントの深刻さに応じて「重大・中程度・軽微」の3段階に分けた対応レベルと初動の目安時間、情報システム担当者・法務・広報など各部門の役割分担、個人情報保護法など関連する法律に基づく行政機関への届出判断基準、さらに証拠保全の方法から訓練・教育の義務まで、会社として必要な対応を網羅しています。

別紙として、発生直後に使える「初動報告書」の様式も付属しています。

このような規程が社内に整備されていると、いざ問題が起きたときの対応が格段にスムーズになるだけでなく、取引先や顧客からの信頼にもつながります。

また、管理体制を整備していること自体が、万一の際のリスク軽減につながります。

適宜ご編集の上でご利用いただければと存じます。

〔条文タイトル〕
第1条（目的）
第2条（定義）
第3条（適用範囲）
第4条（インシデント対応体制）
第5条（インシデントの分類）
第6条（インシデント対応フロー）
第7条（外部通報・届出）
第8条（情報共有及び開示管理）
第9条（証拠の保全及び記録）
第10条（訓練及び教育）
第11条（外部専門家との連携）
第12条（規程の見直し）
第13条（違反時の措置）