「660万件流出」判明の3日前、タイムズカーは何を伝えた？ 企業の命運を分ける「初報の鉄則」（2/5 ページ）

[大杉春子，ITmedia]

初報は「全てが分かった報告書」でなくてもよい

　一連の発表から考えたいのは、企業が情報を公表するタイミングです。サイバー攻撃を受けた直後は、原因も、被害範囲も、漏えいした情報の種類も確定していないことが多いものです。

　システム担当者は侵入経路の遮断と調査に追われます。法務部門は事実関係を精査し、広報部門は問い合わせへの対応を迫られます。経営層は事業への影響を判断しなければなりません。

　そのような状況では「全てが分かってから発表したい」という心理が働きやすくなります。しかし、個人情報が悪用される可能性があるなら、利用者にとっては調査の完了を待てない場合があります。

　不審なメールに注意すべきなのか。パスワードを変更すべきなのか。サービスは利用してよいのか。自分が対象者かどうか、どこで確認できるのか。こうした疑問に答える情報は、被害の全容が分からなくても発信できます。重要なのは、確認できた事実と、まだ確認できていない事項を混同しないことです。

　「不正アクセスを確認した」「個人情報が漏えいした可能性がある」「現時点で不正利用は確認されていない」は、それぞれ意味が異なります。特に「不正利用は確認されていない」という表現を、「安全が確認された」と受け取らせてはいけません。調査時点の状況を示す言葉であって、今後の被害が発生しないという保証ではないからです。

続報では「新たに分かったこと」と「生活への影響」を伝える

　北海道を中心にコンビニエンスストアを展開するセイコーマートも、9月29日にアプリへの不正アクセスを公表しました。

　同社の第1報では、会員情報が漏えいした可能性を知らせる一方、パスワード情報は漏えいしていないと説明しました。同日の第2報では、購買履歴は漏えいしていないことを追加で説明。安全性を検証するために一部のログイン機能を停止することや、9月末に失効するポイントの有効期限を1カ月延長することも発表しました。

　そして10月5日には、アプリ・Web上での新規入会、会員情報の閲覧・変更、登録カードの変更機能を終了すると発表しました。手続きは店舗や専用フォームで受け付け、同社側で変更する方式に切り替えています。

　ここで注目したいのは、件数の更新だけではありません。ログインできない間はどうすればよいのか。ポイントは失効してしまうのか。自分の情報は対象なのか。

　同社の発表には、そうした利用者の具体的な不便に関する情報が含まれています。危機管理広報は、事故について説明するだけでは足りません。事故によって生じた顧客の不安や不便を把握し、それを減らすための情報を届ける役割もあります。