インシデント報告書のテンプレート 書き方と報告先

IPA の手引きは、インシデントの対応で整理しておく事項として、インシデントの分類、事業者、責任者と担当者、発覚の日時、発生の日時、起きている事象、対応の経過、考えられる原因、被害を受けたシステムの状況、システムの構成と運用の状況を挙げています。調査は5W1H の観点で整理するよう勧めています。ひな形はこの順番に、個人情報保護委員会への報告に要る項目と、警察に求められる証拠の欄を加えました。

1. 基本情報と版第一報、続報、最終報のどれかを書き、作成者と責任者を入れます。
2. 概要分類、発覚の日時、発生の日時、発見者、起きていること。委員会のガイドラインも、概要に発生日、発覚日、発生した事案、発見者、事実の経過などを書くよう求めています。
3. 対応の経過時系列で、誰が何をしたか。端末をネットワークから切り離した時刻や、通報した時刻も入れます。
4. 被害の範囲システム、個人データの項目、本人の数、二次被害。
5. 委員会への報告に当たるか施行規則第7条の4つの事態に当たるかを確かめます。
6. 原因いま考えられる原因と、調査でわかった原因を分けて書きます。
7. システムの構成と運用場所、OS とソフトの版、使っているセキュリティの製品やサービス、構成図。
8. 保全した証拠ランサムノート、ログ、ディスクイメージ、メモリダンプ、構成図。
9. 報告と連絡相手ごとの日時と担当。
10. 再発防止の措置委員会のガイドラインにならい、実施済みと実施予定に分けます。

警察への通報に法定の期限や様式はありません。それでも「サイバー攻撃被害に係る情報の共有・公表ガイダンス」（2023年3月）は、警察への通報や相談を積極的に行うことが望ましく、すべての情報がそろうまで控えるのではなく、早めに連絡することが大事だとしています。

警察庁は、ランサムウェアの被害者に、事案に応じて、ランサムノート、通信ログ、ディスクイメージ、メモリダンプ、システム構成図などの提供を頼んでいます。調査に要るログが消えることがあるため、パソコンやネットワーク機器の電源は落とさないよう求めています。発生の直後はログの保存などだけを頼み、あとから詳しい状況を聞くこともあるとしています。調査の方法は用語集のフォレンジックにあります。

通報先は、住んでいる都道府県の警察のサイバー犯罪相談窓口か最寄りの警察署で、警察庁はオンラインの受付窓口も設けています。

公表は法律で一律に求められるものではなく、会社が判断します。公表・共有ガイダンスは、公表で示す内容として、攻撃の種類と概要、侵害されたシステムと範囲、侵害の原因（わかっている場合）、発生の日時や侵害の期間、影響の内容と範囲、初動の対応、専門の組織への相談や所管の省庁への報告の状況、影響を受けた人の相談先を挙げています。調査を終えた段階では、攻撃の経緯、対応の経緯、再発防止策、問い合わせ先が加わります。

ガイダンスは、途中の段階で不確かな情報を確定したように伝えると誤解を招くこと、詳しく示しすぎると安全上の危険を高めるおそれがあることにも注意を促しています。アスクルの事例は、第1報から第13報まで報告を重ね、調査結果と強化の取り組みを公表しました。イセトーの事例のように、受託した業務のデータが漏れると、委託元にも報告することになり、報告と通知の相手が増えます。