先週、社内の法務部門の勉強会で、ISMS担当を兼任する同僚が個人情報関連をテーマに取り上げていたんですけど、その中で「もし当社で個人情報漏洩事件が発生したら、どのように対応すべきか」という項目があって、それがすごく盛り上がりました。
ベネッセさんの対応が資料中で例示されていたんですけど、

• 同じ立場に立たされたとしたら、同じスピード感で対応できたか
  
• 漏洩が発覚した時にまずすべきことはなにか
  
• 誰に相談すべきなのか

といったことを話し合っていると、これは避難訓練のように、全社で情報漏洩対応訓練をすべきじゃないかという気がしてきました。

「●階で火災が発生しました」の代わりに、「●●から●●情報が漏洩しました」というアナウンスがなされて、初動や官公庁報告、プレスリリースをシミュレーションする感じで。
これ、ディープな個人情報を持っている会社や過去情報漏えい事故を起こしたことがある会社さんはやられているんじゃないかと推測するんですけど、実際のところどうなんでしょうか。
実際に情報漏洩対応訓練を回している会社さんがあったら、ぜひお話をお伺いしたいです。


というタイミングで、企業法務のFirst Aid Kit 問題発生時の初動対応 First Aid Kitを@kyoshimine先生からご恵贈頂き、勉強会で取り上げられた個人情報漏洩についても入っているのかな・・・と、早速目次を眺めてみると、ばっちりありましたよ、「自社が管理する個人情報の漏洩事故が発生しました。初動対応はどうすればよいでしょうか。」って項目が。

First Aid Kitというだけあって、初動でどうするかに全力でフォーカスしており、これだけで各インシデントへの対応を網羅できるというものではありませんが、その分様々な事例、しかも、Q&A形式でありがちな「答えを書くために質問を立てる」系を最小限に留めて実務あるあるを354も集めているのは圧巻です。
この本に掲載されているインシデントに対して即座にある程度的確な初動のToDoを出せるようになったら1人前なのだとすると、1人前までの道は程遠いですね・・・

そう考えると、もしかするとこの本、初動対応を学ぶための本というより、企業法務の問題集としての価値のほうが高いのかも、なんて思ったりしました。