サイバーセキュリティ（電子情報および通信システム）ポリシー

方針声明

1. 当社の電子通信システムおよび機器は、ComponentSourceグループ内での効果的な意思疎通と業務を促進するためのものであり、事業の成功に不可欠です。サイバー犯罪やデータ窃盗は、当社の評判や事業の発展に悪影響を及ぼし、財務情報、機密性の高い商業文書、従業員データ、顧客情報などを危険にさらす可能性があります。本方針は、これらのシステムの利用者に求める基準、利用状況を監視する条件、および基準違反に対して講じる措置を定めます。
2. 当社は、すべての電子設備およびコンピューター設備が効果的かつ専門的に使用されることを期待し、全従業員がそのために必要な技能を身に付けるよう奨励します。これらの設備は、従業員が職務を効果的に遂行できるよう、会社が自らの費用で事業目的のために提供するものです。この技術を適切な事業目的で使用し、会社や従業員をいかなる形でも危険にさらさないようにする責任は各従業員にあります。
3. 本方針は、リモートワークを含む勤務中の会社の技術の使用、および自宅からのリモート接続、出張中の会社のノートパソコンの使用、スマートフォンや携帯情報端末（PDA）の使用など、勤務場所以外での会社の技術の使用にも適用されます。本方針は、懲戒規則および懲戒手続と併せてお読みください。本方針の適用について質問がある場合は、最高技術責任者または財務担当取締役にお問い合わせください。
4. インターネットや電子メールの不適切な使用は、従業員と会社の双方に法的または金銭的責任を生じさせる可能性があります。例えば、意図せず契約を締結する、著作権やライセンス契約に違反する、名誉毀損やハラスメントの責任を負う、システムにウイルスを持ち込むなどです。本方針は、従業員と会社の双方をそのような責任から守るためのものです。内容をよく読み、インターネットや電子メールを必ず本方針に従って使用してください。
5. ComponentSourceとの関係を明示して電子メールやインターネットを私的に使用する場合にも、本方針が適用されます。技術、法律、ベストプラクティスの変化を反映するため、本方針を随時変更することがあります。
6. 最高技術責任者は、本方針の監視と実施に責任を負います。本方針の内容について質問や意見がある場合は、最高技術責任者にお問い合わせください。
7. 本方針は従業員の雇用契約の一部を構成せず、いつでも改定されることがあります。

本方針の対象者

1. 本方針は、上級管理職、役員、取締役、従業員、コンサルタント、請負業者、研修生、在宅勤務者、パートタイム従業員、有期雇用者、臨時職員、派遣職員を含む、あらゆる職位で働くすべての人に適用されます（本方針ではこれらの人を総称して「従業員」といいます）。
2. 当社の電子通信システムおよび機器にアクセスできる第三者も、本方針を遵守する必要があります。

本方針の範囲と目的

1. 本方針の目的は、ComponentSourceのデータとインフラストラクチャを保護し、当社のサイバーセキュリティ対策を規定する手順と指針を示し、業務利用と私的利用の規則、および違反した場合の懲戒上の結果を定めることです。
2. 本方針は主として、コンピューター機器（直接またはリモートアクセスによるもの）、電子メール、インターネット（許可されたComponentSourceの広報活動に関連する場合を除き、過度な私的検索やソーシャルメディアの利用を含む）、電話、スマートフォン、USBメモリ、携帯情報端末（PDA）、ボイスメールの使用（および不適切な使用）を扱いますが、ファクス、コピー機、スキャナー、CCTV、電子キーフォブやカードの使用にも同様に適用されます。
3. 当社の電子通信システムおよび機器を不正アクセスや損害から守るため、全従業員は常に本方針を遵守する必要があります。違反は懲戒手続に従って処理され、重大な場合には、即時解雇につながる重大な非違行為として扱われることがあります。

本方針の実施責任者

1. ComponentSourceの取締役会（以下「取締役会」）は本方針の効果的な運用について全体的な責任を負いますが、日常的な運用の責任は最高技術責任者に委任しています。本方針の運用を監視および見直し、当社の業務上のリスクを最小限に抑えるための変更を提案する責任も最高技術責任者にあります。
2. IT部門は、基幹システムの維持を優先しつつ、本方針の各規定に基づく許可や支援の依頼に対応し、セキュリティと互換性を確保するため機器や手順に関する基準を指定することがあります。
3. すべての管理職は、本方針の範囲内で行動し、全従業員が求められる行動基準を理解するようにし、その基準を下回る行動があった場合に対処する特別な責任を負います。
4. 本方針を有効に機能させる責任は全従業員にあり、時間を取って内容を読み、理解する必要があります。当社の電子通信システムや機器の不適切な使用は、最高技術責任者または財務担当取締役に報告してください。本方針の内容または適用に関する質問は、最高技術責任者にお寄せください。

機器のセキュリティとパスワード

1. 従業員は、自分に割り当てられた機器または自分が使用する機器のセキュリティに責任を負い、本方針に従う場合を除き、他者に使用させてはなりません。
2. 電子メールシステムまたはインターネットへのアクセスを許可された従業員は、自分の端末のセキュリティに責任を負います。端末から離れるときや退社するときは、不在中に権限のない利用者がシステムにアクセスできないよう、端末をロックするかログオフしてください。
3. デスクトップPCや電話・コンピューター機器の配線は、事前にIT部門に相談せずに移動または改変してはなりません。
4. パスワードは利用者ごとに固有のものとし、機密性を確保するため定期的に変更する必要があります。パスワードは秘密にし、他者に知らせてはなりません。適切な慣行として、8文字以上で大文字、小文字、数字、および可能であれば記号を組み合わせたパスワードを選択してください。パスワードは記憶し、書き留めないでください。やむを得ず記録する場合は、その文書を秘密に保管し、不要になったら破棄してください。疑義を避けるため明記すると、理由を問わず退職する際は、最高技術責任者または財務担当取締役にパスワードの詳細を提供し、機器、キーフォブ、カードを返却しなければなりません。
5. ノートパソコンやスマートフォンを支給された場合は、特に移動中、常に安全に管理してください。紛失や盗難の際にも機密データを保護できるよう、これらの機器に保存されたデータへのアクセスにはパスワードを使用しなければなりません。また、ComponentSourceの施設外で機器を使用する際には、公共交通機関の乗客など第三者に文書を読まれる可能性があることに留意し、これを防ぐために必要なあらゆる措置を講じてください。

システムとデータのセキュリティ

1. 当社の事業に損害を与えたり、リスクにさらしたりする可能性がある既存のシステム、プログラム、情報またはデータを削除、破壊、変更してはなりません。
2. 最高技術責任者の許可なく、外部からソフトウェアをダウンロードまたはインストールしてはなりません。これには、ソフトウェアプログラム、インスタントメッセージングプログラム、スクリーンセーバー、写真、動画、音楽ファイルが含まれます。受信ファイルとデータは、ダウンロードできるようになる前にIT部門によるウイルス検査を受けます。また、オンラインラジオ、音声・動画のストリーミング、インスタントメッセージング、ウェブメール（Hotmail、WhatsApp、Yahooなど）、ソーシャルネットワーキングサイト（Facebook、Instagram、YouTube、Twitterなど）や類似のサービスにネットワークからアクセスしてはなりません。
3. 機密データには、以下が含まれますが、これらに限られません。
   • 未公表の財務情報
   • 顧客、仕入先、パートナー、株主に関する情報
   • 従業員情報
   • 顧客リスト、見込み客情報および関連データ
   • パスワード
   • 契約書
   • 法務記録および事業記録

   社内または社外の相手へのデータ転送には、追加のセキュリティリスクが伴います。したがって、従業員は以下を遵守しなければなりません。

   1. 権限のない従業員や社外の者に機密情報を転送しないこと。
   2. 機密データはComponentSourceのネットワーク経由でのみ転送すること。
   3. データ転送に必要なすべての承認を得ること。
   4. 社外の受信者が適切なセキュリティ対策を講じていることを確認すること。
   5. ComponentSourceのデータ保護方針を遵守すること。
   6. 実際の、または疑われるプライバシー侵害、ハッキングの試み、悪意のあるソフトウェアや詐欺について、直ちに最高技術責任者に知らせること。
4. IT部門の事前承認なく、当社のシステムに装置や機器を接続してはなりません。これには、USBフラッシュドライブ、MP3プレーヤーや類似の機器、PDA、電話が含まれます。USBポート、赤外線接続ポート、その他のポートの使用も対象です。同様に、最高技術責任者の事前承認なく、他者が所有する機器からComponentSourceのシステムやアカウントにアクセスしたり、自分に支給された会社の機器を他者に貸したりしてはなりません。
5. 当社は、システムを通過するすべての電子メールをウイルス検査しています。知らない外部送信者からのメールや、何らかの理由で疑わしいメール（例えば、ファイル名が.exeまたは.ranで終わるもの）を開く際には注意してください。ウイルスが疑われるメールを受信した場合は、直ちにIT部門に知らせてください。当社は、システムの効果的な利用と本方針の遵守のため、メールの添付ファイルへのアクセスを遮断する権利を留保します。また、メールを送信しない権利も留保します。
6. 特別に許可されていない限り、ネットワークの制限区域やパスワードで保護された情報へのアクセスを試みてはなりません。
7. 7. ノートパソコンやWi-Fi対応機器を使用する従業員は、社外での使用に特に注意し、ウイルスの持ち込みやシステムのセキュリティ侵害を防ぐため、IT部門が随時求める予防措置を講じなければなりません。システムには当社の事業上の機密情報やデータ保護法の対象となる情報が含まれます。このような情報は、当社のデータ保護方針に従って、細心の注意を払って取り扱わなければなりません。

電子メールの作法と内容

1. 電子メールは重要な業務手段ですが、形式ばらない通信手段でもあるため、十分な注意と規律をもって使用してください。特定の連絡にメールが適切かどうかを常に考え、メールで送る文書も書簡やファクスと同様に専門的な文章としてください。当社標準の免責事項を必ず含めてください。契約条件やその変更、または紛争に関する送受信文書を含むメールは、印刷した写しを該当するファイルに保管してください。
2. 電子メールも他の通信と同様、常に最高水準の職業的規範に沿う必要があります。本文は簡潔で要点を押さえ、件名欄に適切な見出しを入れ、送信前に綴りと文法をよく確認してください。送信ボタンを押す前には宛先も再確認してください。誤送信は気まずいだけでなく、会社の機密情報の意図しない開示につながる可能性があります。
3. 少なくとも毎営業日に一度はメールを確認し、出張中はリモートアクセスで連絡を保ち、1日を超えて不在にする場合は不在応答を使用してください。「優先度：高」とされたメールには、1営業日以内に返信するよう努めてください。
4. 侮辱的、わいせつ、差別的、人種差別的、嫌がらせ的、蔑視的、または名誉を毀損するメールを送ってはなりません。嫌がらせやいじめを受けたと感じた場合、または同僚からのメールの内容に不快感を覚えた場合は、直属の上司または財務担当取締役に知らせてください。
5. メールには後から取り出せる記録が残るため、内容には常に注意してください。他者に読まれる可能性があることを前提とし、公になった場合に読み手や自分自身を不快にさせたり、困惑させたりする内容を含めてはなりません。
6. メールは紙の文書と同様に法的手続で開示される場合があります。不正確または不適切な記述は、差別、ハラスメント、名誉毀損、守秘義務違反、契約違反の請求につながる可能性があります。受信トレイやアーカイブから削除しても、開示のためにメールを復元できなくなるわけではありません。すべてのメールは、メインサーバーまたは専用ソフトウェアから復元可能なものとして扱ってください。
7. 原則として、以下の行為をしてはなりません。
   • 第三者に読まれたくない私的なメールを職場で送信または転送すること。
   • チェーンメール、迷惑メール、漫画、冗談、うわさ話を送信または転送すること。
   • 重要でないメッセージを送ったり、受信する必要のない相手に不必要にメールをコピーまたは転送したりして、システムに負荷をかけること。
   • 財務担当取締役の承認なく、当社の通信システムを使って販売・宣伝を行ったり、遺失物、スポンサー募集、慈善活動の呼びかけを一斉送信したりすること。
   • 適切な権限を有するか取得していない限り、メールで条件に同意し、契約上の約束をし、または表明を行うこと。メールの末尾に入力された氏名は、書簡の末尾に記された氏名と同様に署名に当たります。
   • 著作権で保護されたインターネット上の文章、音楽、その他のコンテンツを、権利者が許可していることが明らかでないのにダウンロードまたはメール送信すること。
   • 特別に許可されていない限り、他の従業員のコンピューターから、偽名で、または仮想プライベートネットワーク（VPN）経由でメッセージを送信すること。
   • 安全でないことが分かっている電子メール、インターネット、その他の外部通信手段を使用して、高度に機密性の高い内容、センシティブな内容、または個人に関する内容を送信すること。

   社内外のメッセージは、機密であると表示されていても、必ずしも非公開かつ機密であるとは考えないでください。インターネットは安全な通信手段ではなく、第三者が送受信されたメッセージにアクセスしたり、内容を変更したりする可能性があります。公開されて困る情報はメールで送らないでください。社内通信の機密性を確保できるのは、社内便で送る、直接手渡す、またはパスワードで保護されたオンライン文書に含める場合に限られます。

8. 誤配されたメールを受信した場合は、できるだけ早く送信者に返し、不適切な内容（上記のとおり）が含まれているため最高技術責任者に報告する場合を除き、保存、コピー、開示してはなりません。

インターネットの利用

1. ウェブサイトを訪問すると、サイト運営者が訪問者を特定・監視するために、Cookie、タグ、ウェブビーコンなどが使用される場合があります。そのサイトが下記10.11.2項に記載された種類のものである場合、特に不適切な資料にアクセスし、それをダウンロード、保存、転送したときには、そのような識別子が訪問者と当社にとって不名誉な結果を招く可能性があります。資料がポルノである場合など、状況によっては犯罪に該当することもあります。この点は、下記10.11項「機器とシステムの不適切な使用」で詳しく扱います。
2. したがって、違法、不快、悪趣味、または不道徳とみなされ得るウェブページやインターネットからダウンロードしたファイル（文書、画像など）にはアクセスしてはなりません。英国で合法的な内容でも、十分に悪趣味であればこの禁止事項に該当する場合があります。原則として、ページを見ることを意図されたかどうかにかかわらず誰かがその内容に不快感を覚える可能性がある場合、または当社のソフトウェアがそのページやファイルにアクセスした事実が公になれば当社にとって不名誉となり得る場合、その閲覧は本方針違反となります。
3. 私的な時間であっても、ComponentSourceのシステムを使ってインターネットのチャットルームに参加したり、掲示板に投稿したり、ブログやWikiを開設したり文章や情報を記録したりしてはなりません。例外として、ComponentSourceとその事業の宣伝のみを目的として、関係する従業員にソーシャルメディアへのアクセスと投稿を個別に許可する場合があります。

システムの私的利用

1. 以下の条件を満たす場合、インターネット、電子メール、電話システムを付随的に使用して私的なメールの送信、ウェブ閲覧、私用電話を行うことを認めます。私的利用は権利ではなく特例です。濫用や過度な利用は認められず、当社はいつでも許可を撤回する権利を留保します。
2. 私的利用を継続するには、以下の条件を満たさなければなりません。
   1. 利用は最小限にとどめ、緊急時を除き、主として通常の勤務時間外（昼休み、午前9時前、午後5時30分以降）に行うこと。
   2. 私的なメールは、件名に「personal」と表示すること。
   3. 利用によって業務や職場での責務に支障を来さないこと。
   4. 当社に追加費用を発生させないこと。
   5. 機会均等方針、ハラスメント・いじめ防止方針、データ保護方針、懲戒手続を含む当社の方針を遵守すること（上記10.7項「電子メールの作法と内容」および10.8項「インターネットの利用」を参照）。
3. 当社のシステムの私的利用は監視される場合があり（下記10.9.10項を参照）、本方針の違反が判明した場合は懲戒手続に基づく措置が取られる可能性があります。私的利用が過度であると判断した場合、当社は特定の電話番号やウェブサイトへのアクセスを制限または禁止する権利を留保します。
4. 私的な郵便物をComponentSource宛てに送るよう手配する権利はありません。特定の郵便物が会社の業務に関係するかどうかを当社が判断する方法はないため、届いた郵便物はすべて通常開封します。これは「personal」や「private and confidential」と表示された郵便物にも適用されます。
5. 携帯電話：携帯電話または車載電話を支給された場合は、主に業務上の通話にのみ使用してください。私用電話に使用した場合、当社はその通話費用の返済を求める権利を留保します。電話は大切に扱い、常に安全に管理してください。盗難に遭った場合は、直ちに直属の上司または財務担当取締役に知らせてください。両者とも不在の場合は、通信事業者に回線を停止してもらうため、合理的なあらゆる措置を講じてください。直属の上司から求められた場合、または退職時には、携帯電話と付属品を直ちに返却してください。

システム利用の監視

1. 当社のシステムでは、電話、電子メール、ボイスメール、インターネット、その他の通信を監視できます。事業上の理由、および雇用主としての法的義務を果たすため、電話やコンピューターを含む当社システムの利用は、私的利用も含め継続的に監視される可能性があります。監視は、法律で認められるか義務付けられる範囲で、事業目的に必要かつ正当と認められる場合に限って実施します。
2. CCTVシステムは当社建物の外部を24時間監視し、その映像を記録します。
3. 当社は、以下の目的でメッセージの内容を取得したり、インターネット上の検索内容を確認したりする権利を留保します（これらに限られません）。
   • 電子メールシステムやインターネットの利用が正当であり、当社の方針に従っているかを監視するため。
   • 紛失したメッセージを探す、またはコンピューターの故障により失われたメッセージを復元するため。
   • 不正行為の調査を支援するため。
   • 法的義務を履行するため。

機器とシステムの不適切な使用

1. インターネット、電話、その他の電子システムへのアクセスは、正当な事業目的のためにのみ許可されます。付随的な私的利用は、本方針、機会均等方針、ハラスメント・いじめ防止方針、データ保護方針、懲戒手続を含む当社の規則、方針、手続を完全に遵守する場合に限り認められます。上記9.9項「システムの私的利用」を参照してください。
2. 当社の電話・電子メールシステムの誤用、過度な利用、濫用、または本方針に違反するインターネットの不適切な利用は、懲戒手続に従って処理されます。インターネットの誤用は、状況によっては犯罪に該当します。特に、オンラインギャンブルやチェーンメールへの参加、または以下の資料の作成、閲覧、アクセス、送信、ダウンロードによる電子メールシステムの誤用やインターネットの不適切な利用は、重大な非違行為に該当します（これらに限られません）。
   • ポルノ資料（性的に露骨な、または性的興奮を喚起する文章、写真、映画、動画）。
   • 不快、わいせつ、犯罪的な資料、または当社や顧客を困惑させる可能性がある資料。
   • 個人または組織に関する虚偽かつ名誉毀損的な記述。
   • 差別的、不快、蔑視的な資料、または他者を困惑させる可能性がある資料。
   • アクセス権のない、当社、従業員、顧客に関する機密情報。
   • 自分または当社に刑事上または民事上の責任を生じさせる可能性があるその他の記述。
   • 著作権を侵害する資料。
3. そのような行為は極めて重大に受け止められ、即時解雇につながる可能性が高いものとします。
4. 誤用の証拠が見つかった場合、当社は懲戒手続に従って詳細な調査を行うことがあります。その際、調査担当者、証人、または懲戒手続に関わる管理職に監視記録を確認・開示することがあります。必要に応じて、刑事捜査に関連して警察に情報を提供することがあります。

本方針の監視と見直し

1. 最高技術責任者は財務担当取締役と協力し、本方針が法的要件を満たし、ベストプラクティスを反映していることを確認するため、定期的に見直す責任を負います。
2. 財務担当取締役は、本方針に基づく管理や調査に関わる可能性がある人が、その職務を遂行するための適切な研修や指導を受けている、または受けられるようにする責任を負います。
3. 従業員は、最高技術責任者または財務担当取締役に連絡し、本方針に関する意見や改善案を提出できます。

災害復旧計画

1. 最高技術責任者（CTO）は、会社の事業のために適切な災害復旧計画を作成、実施、維持する責任を負います。この計画は、自然災害または人為的な行為や過失による災害の後に会社のITインフラストラクチャへのアクセスと機能を回復し、業務中断事象の発生後、重要な業務機能をできるだけ早く稼働させるためのものです。
2. その維持には、感染、侵害、その他の理由で利用不能になったシステムの機能と制御を取り戻せるよう、データとITインフラストラクチャを適切に複製し、特定の復元ポイントにバックアップする必要があります。
3. CTOは、会社の災害復旧計画の弱点や欠落を特定し、事故発生時に既定の戦略的手順によって重要なシステムとデータを効果的に復元してITシステムの制御を回復できることを確認するため、災害復旧テストを定期的に実施します。
4. サイバーセキュリティは、脅威への対応に災害復旧が不可欠となる、ますます一般的な分野です。脅威には、フィッシング、ハッキング、ランサムウェア、マルウェア、サービスの中断または拒否、内部者による攻撃など、さまざまな形があります。ComponentSourceは、災害復旧計画の不可欠な一部としてサイバー攻撃対応手順を策定しています。この手順は、システムとデータの機密性、完全性、可用性を脅かすサイバー攻撃の検知、評価、対応を扱い、すべての事故に迅速、適法、透明性をもって対処して、事業、顧客、データ主体への損害を最小限に抑えることを目的とします。

サイバー攻撃対応手順

1. 本手順は、ComponentSourceのITシステム、ネットワーク、クラウドプラットフォーム、またはデータ（個人データを含む）へのアクセス権を持つすべての従業員、請負業者、第三者に適用されます。
2. サイバー攻撃は、業務面や商業面への影響に加えて、EUおよび英国のGDPR、コンピューター不正使用に関する法律、マネーロンダリング関連法、カリフォルニア州消費者プライバシー法（CCPA）、英国拡張を含むEU・米国データプライバシーフレームワークなど、適用される複数の法令に基づく義務を生じさせる可能性があります。
3. ComponentSourceは、ネットワークファイアウォール、侵入検知システム、パッチと脆弱性の管理プログラム、多要素認証、定期的なペネトレーションテスト、従業員向けの意識向上研修など、サイバー攻撃のリスクを最小限に抑える強固な防御策を維持します。
4. 潜在的なサイバー攻撃を適時に検知し、正確に報告することは被害の抑制に不可欠です。会社を代表して働くすべての従業員、請負業者、その他の関係者は、システム、ネットワーク、利用者の異常な挙動の兆候に注意を払い、疑わしい兆候を直ちにCIOに報告しなければなりません。サイバー攻撃の兆候には、システムやネットワークの異常な挙動、突然または原因不明のシステム停止・クラッシュ・再起動、異常に多いネットワークトラフィック（特に通常の勤務時間外）、許可のない設定変更やファイアウォール設定の無効化、見慣れない拡張子が付いたファイルのロックやアクセス不能、ログやシステム設定の原因不明の削除・変更などがあります。

   その他の兆候には、ログイン失敗の多発、予期しない地域からのログイン、予期しない新規アカウントの作成、求めていないメールや不審なメール、ウェブサイトの内容の改ざん、ポップアップやリダイレクトに関する顧客からの報告、原因不明のデータ削除、継続的な動作低下、過熱、リソース使用量の急増、会社のシステムへの未承認機器の接続などがあります。

5. 従業員、請負業者、その他会社を代表して働く関係者がサイバー攻撃を疑った場合は、会社のシステムの使用を停止し、CIOによる明示的な事前許可と指示なく独自に調査してはなりません。証拠は削除せずに保全し、可能であればスクリーンショットを撮ってください。

   
   サイバー攻撃の疑いに関する報告には、観察した事象の明確な説明、発生日時、影響を受けたシステム・アプリケーション・データ、利用者が直近に行った操作（ダウンロード、開いたメール、訪問したウェブサイトなど）を含めてください。

   事故が業務上または規制上のリスクをもたらすと考えられる場合は、DPMにも報告してください。

6. 確認された、または疑われるサイバー攻撃を特定した場合の対応手順は、以下のとおりです。
   1. 事故を次のとおり低、中、高、重大に分類します。

      分類	説明	典型例
      低	軽微または局所的な障害で、データの侵害なく速やかに封じ込められるもの	局所的なマルウェア、単発のフィッシングの試み
      中	データの露出または業務への影響が生じる可能性があり、さらなる分析を要する障害	認証情報の漏えい、個人データ以外への不正アクセス
      高	確認された、または疑われるデータ侵害、ランサムウェア感染、または重大な業務障害	システム全体へのマルウェアの蔓延、データへの侵入、サービス拒否攻撃
      重大	必須システムへの影響、大規模なデータ損失、または国家レベルの規制上の影響を伴う重大事故	壊滅的なサービス停止、個人に高いリスクをもたらすことが確認された個人データ侵害

   2. 「中」以上に分類された事故について、CIOは封じ込め措置を開始します。これには、影響を受けたシステムや機器のネットワークからの隔離、漏えいした認証情報の無効化、既知の悪意あるIPアドレスやドメインの遮断、侵害が疑われる場合のリモートアクセスや連携の無効化などが含まれます。この段階で証拠が破壊されないようにします。
   3. 初期調査を行い、経過、影響を受けたシステム、関係するデータの種類と機微性などを確認します。証拠、ログの写し、イメージ、関連資料を収集し、事故固有の参照番号を付けて安全に保管します。
   4. CFOとCEOを含む適切な上級経営陣に報告します。上級経営陣は、必要に応じて法的助言を得て、英国情報コミッショナー事務局、法執行機関、契約で定める相手先などへの外部通知が必要かどうかを判断します。個人データ侵害が発生した場合、DPMは事故を評価し、会社のデータ侵害記録簿に記録します。個々のデータ主体の権利に高いリスクがある場合、DPMはEUおよび英国のGDPRに従い、不当な遅延なく影響を受けるデータ主体に通知します。すべての外部報告には、参照番号、提出日、担当者を記録します。
   5. 封じ込めと調査の後、CIOは根絶段階を管理し、悪意あるコード、バックドア、未承認のアカウントをすべて除去します。

      
      復旧では、システムの完全性の確認とパッチ適用、クリーンで検証済みのバックアップからの復元、ネットワークへの再接続前に安全性を確認する検証テスト、定められた事故後の期間（例えば30日間）にわたる再発監視を通じて通常の運用を回復します。

   6. CIOは事故後のレビュー会議を開き、対応と連絡の有効性を評価し、手順上または技術上の不備を特定し、改善措置と責任者について合意し、必要に応じて関連する方針や研修を更新します。
   7. サイバー攻撃や調査に関する情報は厳格な機密情報であり、開示は権限のある担当者と、必要な場合の規制当局・法執行機関に限られます。事故の詳細を社内外で無断共有した場合は、懲戒上の問題として扱われます。
   8. 以下の表は、個々のサイバーセキュリティ事故に応じて作成・維持すべき記録を示します。

      記録の種類	目的・説明	最低保存期間	担当チーム・役職	廃棄または見直しの方法
      事故報告と通知	サイバー攻撃報告手順に従って提出された初報と続報。社内警報、規制当局、保険会社、法執行機関への外部通知を含みます。	終結または最後の連絡から6年間。	例：CIOまたはDPM	保存期間後に安全に破棄または匿名化します。手続が継続中の場合は延長します。
      事故対応報告書と事案ファイル	サイバーまたはデータセキュリティ事故に関するすべての文書。	事故発生日または終結日から6年間。	例：DPM	保存期間後に安全に破棄または匿名化します。法的措置が進行中の場合は延長します。
      封じ込めと復旧のログ	直ちに実施した封じ込め、隔離、復旧措置（ネットワークの分割、認証情報のリセット、パッチ適用など）の記録。	事故終結から6年間。	例：CIO	見直し後に安全に削除します。分析や追加対応が必要な場合は延長します。
      調査・分析メモ	攻撃経路、範囲、影響を記録したフォレンジック調査資料、経過、分析担当者のメモ。	6年間	例：CIO	保存期間後に安全に破棄または匿名化します。
      フォレンジック関連資料と証拠イメージ	法的または規制上の利用に備えて保全されるディスクイメージ、パケットキャプチャー、マルウェアのサンプル、その他の証拠資料。	6年間、またはすべての案件の終了までのいずれか長い期間。	例：DPM	証拠の保管・取扱履歴の管理下で暗号学的に消去し、廃棄を記録します。
      事故記録簿	すべての事故、分類、措置、決定、結果を記録する台帳。	永久保存（無期限に保持、または10年後にアーカイブ）。	例：DPM	安全なアーカイブに保管し、5年ごとに定期的に見直します。
      外部との連絡（顧客、規制当局、保険会社、法執行機関）	事故に関する正式な通知、書簡、報道発表。	6年間。	例：DPM	保存期間後に安全に破棄します。手続が継続中の場合は延長します。
      第三者との連絡および契約	仕入先やパートナーとのやり取り、SLA、是正措置やフォレンジック調査を行う業者の文書。	事故の解決または契約の終了から6年間。	例：法律顧問	保存期間後に安全に削除または匿名化します。
      事故後レビュー報告書と改善計画	事故終結後の教訓に関する文書、レビュー議事録、是正措置の追跡記録。	6年間。	例：DPM	保存期間後に安全に削除または匿名化し、監査証跡として概要を保存します。
      監査・コンプライアンス報告書（セキュリティ、技術、ガバナンス）	統制の有効性や是正措置を確認する独立監査または内部監査の報告書。	報告書の日付から6年間。	例：DPM	保存期間後に安全に破棄または匿名化します。
      システム・ネットワークログ	システム活動、侵入検知、フォレンジック上の再現の証拠となるログ。	最低12か月間（調査のため延長）。	例：CIO	見直しと終結後、安全に削除または匿名化します。
      アクセス制御・認証ログ	説明責任を確認するためのユーザーログイン、権限変更、アクセスの試みの記録。	12か月間。	例：CIO	安全に削除または匿名化します。分析に必要な場合は延長します。
      バックアップ・復旧ログ	バックアップの成功、完全性、復元テストを確認する記録。	システムの重要度に応じて6–12か月間。	例：CIO	予定されたローテーションの後、安全に削除または上書きします。
      サイバーセキュリティ研修・意識向上記録	すべての従業員と請負業者が研修・意識向上プログラムを修了した証拠。	雇用期間に加えて6年間。	例：CFO	保存期間後に安全に破棄します。法的または懲戒上の事案では延長します。
      懲戒・従業員調査記録（サイバーセキュリティ関連）	誤用、過失、方針違反に関する従業員調査。	雇用期間に加えて6年間。	例：CFO	保存期間後に安全に破棄または匿名化します。進行中の事案がある場合は延長します。
      セキュリティ意識テストとフィッシングシミュレーション	従業員のサイバーセキュリティ意識と対応力を測るテストの結果。	3年間。	例：CFO、DPM、CIO	保存期間後に安全に削除または匿名化します。
      シミュレーション結果	事故対応シミュレーションまたは準備演習の記録。	3年間。	例：CIO	保存期間後に安全に削除し、研修記録用に概要を保持します。
      保険請求と関連文書	サイバー事故に起因する通知、請求書類、保険会社とのやり取り。	請求終結から6年間。	例：法律顧問	保存期間後に安全に破棄します。紛争が継続中の場合は延長します。
      財務・制裁に関する確認（SAMLA 2018）	支払い（ランサムウェアの身代金や業者への費用など）の承認前に実施した制裁・マネーロンダリング対策（AML）の確認の証拠。	6年間。	例：法律顧問	保存期間後に安全に破棄し、監査確認を保持します。
      2000年テロリズム法／2002年犯罪収益法に基づく報告	テロリズムまたは犯罪収益に関する法律に基づく疑わしい活動の報告やNCAとのやり取りの記録。	提出または終結から6年間。	例：法律顧問	安全なアーカイブに保管し、NCAの承認を得て保存期間後に破棄します。
      法的助言と意見	事故対応中に得られた社外または社内の法的助言。	終結から6年間。	例：法律顧問	保存期間後に安全に破棄し、秘匿特権の対象となる写しはアクセスを制限して保持します

CSCSP 10/2025