取締役会向けサイバーセキュリティ報告テンプレート
CEO、CISO、取締役会の判断に役立つ報告を作成します。証拠、顧客への影響、選択肢、責任者、見直し条件を整理できます。
役立つ報告は、経営陣が行動に移せる具体的な判断を提示します。このワークシートでは、業務サービスのリスク状況の変化から、求める決定までを整理します。重要な課題ごとに記録を作り、未解決の判断を次回の確認に引き継いでください。
議論を準備する
重要な変化を選ぶ
顧客への約束や不可欠なサービスから始めます。前回の報告から何が変わり、なぜ今対応が必要なのかを説明してください。活動件数は、その変化を説明するための根拠になる場合に添えます。
実行可能な選択肢を比較する
少なくとも二つの選択肢と、判断を延期した場合の影響を示します。それぞれの実行コスト、残るリスク、必要な体制を記載してください。検証済みの結果、設計上の期待、未確認の前提を区別します。
決定後の確認まで決める
権限を持つ人に具体的な判断を求めます。責任者、次の行動、期限を記録し、どの証拠や出来事で再検討するかを定めてください。緊急の封じ込めはインシデント対応手順に沿って直ちに実施し、定例報告を待ちません。
例：復旧環境と共通する依存関係
架空の決済サービスで、同じ特権IDが本番環境と復旧環境を管理していることがアクセス権の確認で判明したとします。この確認はアクセスの共有を示しますが、復旧が失敗することまでは証明しません。経営陣は、今すぐ分離のための技術者を確保するか、補完的な制限を設けて期限付きの延期を受け入れるかを判断します。プラットフォーム責任者が実行を担当します。独立したアクセスと立会いの下での復旧が確認された時点、または新たなインシデントの証拠で状況が変わった時点で判断を見直します。これは考え方を示す例であり、実測結果の主張ではありません。
報告を作成する
入力内容はこのページ内に保持され、ブラウザーでファイルを作成するために使われます。閉じたり再読み込みしたりする前にダウンロードしてください。サイトは入力済みワークシートを保存しません。
どのサービス、顧客への約束、不可欠な業務がリスクにさらされていますか。重要な依存関係と業務上の責任を持つ役割を記載してください。
前回の確認以降の発見や変化、観察した時点、今判断が必要な理由を説明してください。
確認済みの事実、証拠の出所、作業仮説、未確認の前提を分けます。証拠からは結論できない点も示してください。
顧客、事業継続、運用への想定可能な影響を説明します。推定値には前提と不確実性を記載してください。
実行可能な対応、コスト、残るリスク、必要な人員を比較し、判断を延期した場合の影響も含めてください。
必要な承認や判断、その権限を持つ人、判断が必要な期限を明確にしてください。
責任を持つ役割、確認可能な次の行動、期限を定めます。実行を妨げる資源や依存関係を示してください。
どの変化で判断を改めるか、いつ見直すか、期待した結果を何で確認するかを記載してください。
証拠と限界を明確にする
組織の決裁権限と報告頻度に合わせて調整してください。この資料はインシデントの発生確率を計算せず、対策の有効性を認証するものでも、包括的なリスク評価に代わるものでもありません。不明点を明記し、対応チームの外に共有する際は匿名化した説明を使ってください。
方法と参考資料
リスクガバナンスの資料を参考に作成した独自のワークシートです。NISTやCISAの公式テンプレートでも認証でもありません。