ガイダンスは、この速報性と正確性のジレンマには、初報、第2報と段階を追って開示する方法が有効だとしています。ただし、こまめに公表しても原因調査が進まず被害範囲が変わり続けるような発信では納得を得られないともあるため、回数を増やせばいいという話でもありません。最初の24時間で問われるのは、分かっていることと分かっていないことを分けて示し、次にいつ何を伝えるかを約束できるかどうかなのです。
最初の24時間に備える「3つの準備」
事前にできる備えは、情報開示の原則、FAQ、顧客向けの導線の3つです。核になるのは、何を、どの順で、誰の承認で公表するかを決める開示の原則であり、残りの2つはそれを支える工夫です。
開示の原則を考えるときは、ガイダンスが第1報で示す内容の目安として挙げる項目が参考になります。挙がっているのは攻撃の種類や概要、侵害されたシステムと範囲、影響の内容と範囲、初動対応、所管省庁への報告状況、影響を受ける人の相談先などであり、判明していない項目は調査中であることを明記しておくとよいでしょう。
パーク24は9月25日の検知当日に第1報を出し、28日の第2報で約660万件、29日には本人確認書類が漏洩したアカウントが約160万件と、判明した順に公表を重ねました（パーク24の発表、NHK）。IDCフロンティアも発生当日に第2報を出し、10月8日の第3報では一部の顧客データについて「取り出しや復元が困難な見通し」と伝えています（IDCフロンティアの発表、Impress Watch）。
個人情報が漏洩した場合は、個人情報保護委員会への速報が発覚から3〜5日以内とされているため、公表の段取りもこの期限から逆算しておくと迷いません。
FAQの準備は、必ず聞かれる質問への答え方を平時に決めておく作業です。質問は次の4つの観点に分けて洗い出すと、抜け漏れが少なくなります。
・影響の範囲（どの情報が何件漏れたのか、自分は対象なのか、取引先や他のサービスに影響はあるのか）
・顧客が取るべき行動（パスワードを変えるべきか、不審なメールや電話が来たらどうするか、どこに問い合わせればよいか）
・会社の対応（補償はあるのか、身代金を払ったのか、次の報告はいつか）
※ログイン後、コメント入力が可能です。