対応テンプレート
漏えい疑い初動テンプレート
漏えい疑いの段階では、断定を避けつつ証跡を保全し、追加流出を止め、影響範囲と説明責任を整理する。
- 重要度
- 高
- 想定読者
- CSIRT・情シス・管理部門
- 所要時間
- 約12分
何を確認するか
情報漏えいの疑いがあるとき、事実確認、封じ込め、影響範囲調査、報告準備を進めるための初動プレイブック。
なぜ重要か
初動で証跡を消したり、影響範囲を過小評価したりすると、復旧後の説明と再発防止が難しくなる。
見落とすと何が起きるか
対象データ、人数、期間、第三者提供先を見落とすと、顧客連絡、法務判断、委託先対応が遅れる。
初動
- 検知経路、検知時刻、対象システム、疑いの根拠を記録する
- 関係者を限定し、証跡保全を優先する
- 外部説明は事実確認前に断定しない
封じ込め
- 該当アカウント、APIキー、共有リンク、外部公開設定を一時停止する
- 侵害経路が不明な場合は追加ログ取得とアクセス遮断を並行する
- 委託先やSaaS提供元の対応窓口を確認する
調査
- 対象データの種類、件数、期間、アクセス者、ダウンロード有無を確認する
- 監査ログ、アプリログ、ストレージログ、IdPログを保全する
- 個人情報、認証情報、機密情報、取引先情報に分類する
復旧
- アクセス制御を修正し、再発条件が残っていないことを確認する
- 影響を受けるユーザーや取引先への連絡要否を判断する
- FAQ、問い合わせ窓口、監視強化を準備する
再発防止
- 原因を権限、設定、運用、監視、教育に分けて整理する
- 定期監査、DLP、外部共有レビューを改善する
- 経営・法務・広報を含む事後レビューを実施する
報告文テンプレート
件名: 情報漏えい疑いインシデント 初動報告 検知日時 / 検知者: 対象システム / データ: 現時点で確認できた事実: 未確認事項: 実施済み封じ込め: 次の確認予定: