GMOインターネットは、「お名前.com デスクトップクラウド」への不正アクセスについて、10月21日の第1報から28日の第14報まで、8日間で14回の発表を出しました。多い日は1日に5回(10月27日の第8報から第12報)です。
事故のときにお知らせを出すのは、どの会社にとっても難しい仕事です。何を、いつ、どこまで書けばいいのか。この記事では、GMOの一連の発表から、インシデント(セキュリティの事故)の公表の書き方として学べる点を整理します。発表の中身の良し悪しを採点するのではなく、自分の会社で使える形を取り出すのが目的です。10月29日時点の情報です。
わかっていないことも書く
GMOの発表は、わかったことが少ない日でも出ています。侵入の経路はまだ書かれていませんが、そのこと自体が伝わる書き方になっています。一般的な書き方でいえば、「原因は現在調査中です。わかり次第、このページでお知らせします」と、わからないことと次の連絡の予定をセットで書く形です。
事故の直後は、わかっていることより、わかっていないことのほうが多いのが普通です。全部わかってから出そうとすると、利用者が自分で身を守るための時間がなくなります。わかったことを先に出し、わからないことは調査中だと書く。これが基本の形です。
利用者がやることを先に書く
第5報以降の発表では、利用者にお願いすることが、ほぼ毎回はっきり並べられています。ウイルスの検査、バックアップ、パスワードの変更、別の端末から作業すること。
お詫びや経緯は大事ですが、読む人がまず知りたいのは「自分は何をすればいいか」です。お知らせの上のほうに、やることを箇条書きで置くと、読む人が迷いません。
時系列を毎回載せる
第7報以降、GMOの発表には毎回「これまでの経緯」が載っています。第14報まで読むと、どの報からでも、それまでに何が起きたかがわかります。
事故の発表は、途中から読む人が必ずいます。SNSで回ってきた第12報から読み始める人もいるはずです。毎回の時系列は、そういう人のための入口になります。
訂正を消さずに残す
GMOの発表には、出したあとに直した箇所があります。第8報では、利用者へのお願いの文言を10時56分に訂正し、そのことを書き添えています。第9報も、アクセスの集中で時刻の表示がずれたことを訂正しています。第7報にも、日付の誤りを直した記録が残っています。
急いで出すと、間違いは必ず起きます。こっそり直すのではなく、何をいつ直したかを残しておくと、発表そのものへの信頼が保たれます。
便乗する詐欺への注意を毎回入れる
第2報から、GMOがパスワードなどを聞くことはない、という注意が繰り返し入っています。第6報からは、「被害金を取り戻す」などの名目で費用を求める連絡には応じないように、という一文も加わりました。
事故の直後は、会社を名乗る偽の連絡が必ず出てきます。自社が何を聞かないかを毎回書いておくことは、利用者を二次被害から守る、いちばん安い手当てです。
問い合わせ先を固定する
問い合わせの電話番号とフォームは、第2報からずっと同じものが載っています。第3報からは、24時間受け付けで土日も祝日も同じだと明記されています。事故のときに窓口が変わると、それだけで利用者は不安になります。
小さな会社が平時に用意しておくもの
GMOのように毎日発表を出すのは、小さな会社には難しいかもしれません。それでも、平時に用意しておけるものはあります。
- お知らせのひな形(やること、わかったこと、わかっていないこと、経緯、問い合わせ先の順)。冒頭は「お客さまにお願いしたいこと」の箇条書きにし、その下に「現在わかっていること」「調査中のこと」を並べる
- お知らせを載せる場所(自社サイトのどこに出すか)
- 自社が利用者に聞かないことの一覧
- 問い合わせを受ける窓口と、受ける人
私は、このメディアで障害のお知らせを出したことはまだありませんが、今回の件を受けて、上の順番のひな形を1枚作っておきました。書き始めの迷いがなくなるだけで、出すまでの時間はかなり縮むはずです。ひな形は、作ったら一度、架空の事故を想定して埋めてみると、足りない項目に気づけます。
利用者向けのやることを、GMOの発表から順番に並べ直した記事もあります。
