breach-response-playbook

データ侵害対応チームのプレイブックの作成

概要

データ侵害対応チームのプレイブックは、個人データ侵害が発生した際に、迅速かつ連携の取れた対応を可能にする運用マニュアルです。役割と責任、エスカレーション経路、コミュニケーションのテンプレート、外部連絡先をあらかじめ定めておくことで、実際のインシデント発生時に、対応チームは重要な時間を手配に費やすことなく、ただちに行動できます。

チーム構成 — CSIRT とプライバシー部門の連携

中核対応チーム

役割	主担当	副担当	連絡先	責任
インシデントコマンダー（IC）	Thomas Brenner（CISO）	Marcus Weber（SOC リード）	+49 30 7742 8100 / [email protected]	全体調整、リソース配分、封じ込めの判断
データ保護責任者	Dr. Elena Vasquez	Anna Schmidt（副 DPO）	+49 30 7742 8001 / [email protected]	通知の判断、リスク評価、規制当局との連携、データ主体とのコミュニケーション
法務顧問	Sarah Chen（法務顧問）	外部：Dr. Klaus Fischer（Freshfields）	+49 30 7742 8200 / [email protected]	法的助言、秘匿特権の管理、規制対応戦略、法執行機関との連携
IT フォレンジックリード	Petra Hoffmann（IT ディレクター）	外部：Sarah Mitchell（Mandiant）	+49 30 7742 8300 / [email protected]	証拠保全、フォレンジック調査、範囲の特定、根本原因分析
コミュニケーションリード	Martin Keller（広報ディレクター）	Lisa Braun（広報シニアマネージャー）	+49 30 7742 8400 / [email protected]	メディア対応、顧客とのコミュニケーション、社内コミュニケーション、ソーシャルメディアの監視
エグゼクティブスポンサー	Marcus Lindqvist（CEO）	CFO：Dr. Andrea Hoffmann	+49 30 7742 8000 / [email protected]	戦略的判断、取締役会への通知、対外声明、規制当局への対応
顧客対応	James Park（カスタマーサクセス担当 VP）	Maria Santos（カスタマーサクセスディレクター）	+49 30 7742 5000 / [email protected]	顧客からの問い合わせ管理、B2B 顧客とのコミュニケーション、サービス状況の更新
人事リード	Claudia Richter（CHRO）	Stefan Müller（人事ディレクター）	+49 30 7742 7500 / [email protected]	従業員への連絡、従業員評議会との調整、内部脅威のシナリオへの対応

拡張チーム（必要に応じて招集）

役割	連絡先	招集の条件
取締役会連絡担当	取締役会書記（Dr. Friedrich Weber）	10,000 人以上のデータ主体に影響する侵害、または高リスクにつながる可能性がある侵害
サイバー保険	Allianz Claims：+49 89 3800 0（参照番号：SPG-CYB-2025-001）	対応費用が 50,000 EUR を超える可能性がある侵害
外部 IR 企業	Mandiant：+1 703 935 1700（リテイナー契約：SPG-IR-2025-007）	SOC の対応能力を超えるフォレンジック調査が必要な侵害
外部法務	Freshfields：+49 30 20 28 39 000（参照番号：SPG-LEG-2025-012）	規制上のリスク、訴訟リスク、または国境を越えた通知を伴う侵害
外部コミュニケーション	Brunswick Group：+49 69 2400 5510	メディアに取り上げられた侵害、または 50,000 人以上に影響する侵害
クレジット監視ベンダー	Experian Enterprise：+44 115 941 0888（リテイナー契約：SPG-EXP-2025-003）	金融データ、政府発行 ID、または健康データを伴う侵害

エスカレーションマトリクス

重大度分類

重大度	基準	対応時間	エスカレーションレベル
SEV-1（重大）	データ主体が10,000人以上、特別カテゴリのデータ（第9条）、継続中のデータ持ち出し、暗号化を伴うランサムウェア	即時（15分以内）	IC + DPO + CEO + General Counsel
SEV-2（高）	データ主体が1,000～10,000人、財務データ、認証情報、メディアへの露出	30分以内	IC + DPO + General Counsel
SEV-3（中）	データ主体が100～1,000人、機微性のない個人データ、封じ込め済みの侵害	2時間以内	IC + DPO
SEV-4（低）	データ主体が100人未満、機微性の低いデータ、データ持ち出しなく封じ込め済み	4時間以内	SOC Lead + Privacy Coordinator

エスカレーションフロー

SOC Analyst detects alert
    ↓
SOC Lead validates (within 15 min)
    ↓
Personal data involved? → No → Standard security incident process
    ↓ Yes
Classify severity (SEV-1 to SEV-4)
    ↓
SEV-1/2: Activate Incident Commander + DPO immediately
SEV-3: Notify IC + DPO within 2 hours
SEV-4: Notify Privacy Coordinator within 4 hours
    ↓
IC convenes Core Response Team
    ↓
72-hour Art. 33 clock determination
    ↓
Investigation → Risk Assessment → Notification Decision

コミュニケーションテンプレート

テンプレート1：内部侵害アラート（コア対応チームへのメール）

件名：[SEV-X] 個人データ侵害 — 即時対応が必要です

差出人：SOC / Incident Commander 宛先：コア対応チームのメーリングリスト

即時対応を要する個人データ侵害が確認されました。

インシデントの概要：

• 発見時刻：[UTCのタイムスタンプ]
• 影響を受けたシステム：[システム名]
• 侵害の種類：[機密性／完全性／可用性]
• 推定データ主体数：[人数または範囲]
• 個人データのカテゴリ：[一覧]
• 封じ込め状況：[封じ込め済み／進行中／不明]

必要な初動対応：

• IC：[時刻]に[ブリッジ／Teamsのリンク]で対応チームの通話を招集
• DPO：リスク評価を開始し、72時間の期限を確認
• IT Forensics：影響を受けたシステムの証拠を保全
• Legal：秘匿特権および法執行機関に関する考慮事項を確認
• Communications：初期声明を準備し、メディアを監視

対応チーム用ブリッジ：[Teamsの会議リンク] インシデントチャンネル：Signalグループ「SPG-IR-Active」

テンプレート2：メディア向け初期声明

Stellar Payments Groupは、[一部のシステム／顧客データベース]に影響を与えるセキュリティインシデントを認識しています。当社は直ちにインシデント対応手順を発動し、サイバーセキュリティの第一人者と協力して調査を進めています。お客様のデータを保護することは、当社にとって最優先事項です。調査の進展に応じて、追加情報をお知らせします。メディアからのお問い合わせは、[email protected]までご連絡ください。

テンプレート3：カスタマーサービス向け案内

侵害対応中にお客様と接するスタッフ向け：

お客様からセキュリティインシデントについて質問された場合：

• 「セキュリティ上の問題を認識しており、チームが解決に向けて対応しています。」
• 「お客様の情報のセキュリティは、当社の最優先事項です。」
• 「調査が進み次第、影響を受けたお客様には直接ご連絡します。」
• 「ご連絡先をお伺いし、お客様のアカウントが影響を受けている場合にお知らせします。」

次のことはしないでください：

• 侵害の具体的な詳細を肯定または否定する
• 影響を受けたお客様の人数を推測する
• 承認済みの案内にない情報を提供する
• ソーシャルメディアでインシデントについて話す

テンプレート4：取締役会への通知（取締役会議長へのメール）

件名：取締役会へのデータ侵害通知 — [侵害参照番号]

[取締役会議長]様

[日付]に発生した個人データ侵害についてお知らせいたします。この通知は、取締役会承認済みのインシデントエスカレーションポリシーに従って行うものです。

概要：[2～3文での説明] 規模：[データ主体のおおよその人数とデータカテゴリ] 状況：[封じ込め済み／調査中] 規制当局への通知：[提出済み／保留中／不要] 財務上の影響：[対応費用の見積もりと規制当局による潜在的な制裁金]

[予定時刻]に詳しい説明を行います。それまでの間、[CEO名]が組織全体の対応を統括します。

テンプレート 5：従業員向けコミュニケーション（全社員）

件名：[CEO] からのセキュリティインシデントに関する重要なお知らせ

皆さんへ

重要なお知らせを共有します。[date]、[description] に影響するセキュリティインシデントを確認しました。セキュリティチームとプライバシーチームが、調査と解決に向けて昼夜を問わず対応しています。

判明していること：[簡潔で事実に基づく説明] 対応していること：[封じ込めと調査の対応] 皆さんへの影響：[従業員データが関係する場合はその旨を明確に伝え、関係しない場合はその旨を明確にします] 皆さんへのお願い：異常なシステムの動きを確認した場合は、[email protected] まで報告してください。この件について、社外やソーシャルメディアで話し合わないでください。

新たな情報が分かり次第、最新情報をお知らせします。このような状況において、プロ意識を持ってご協力いただき、ありがとうございます。

[CEO Name]

規制当局の連絡先一覧

欧州連合

国	当局	データ侵害ポータル／連絡先	電話番号
ドイツ（ベルリン）	Berliner BfDI	datenschutz-berlin.de	+49 30 13889 0
ドイツ（連邦）	BfDI	bfdi.bund.de	+49 228 997799 0
フランス	CNIL	notifications.cnil.fr/notifications	+33 1 53 73 22 22
アイルランド	DPC	forms.dataprotection.ie	+353 57 868 4800
オランダ	AP	autoriteitpersoonsgegevens.nl	+31 70 888 8500
スペイン	AEPD	sedeagpd.gob.es	+34 91 266 35 17
イタリア	Garante	[email protected]	+39 06 696 77 1
ベルギー	APD/GBA	gegevensbeschermingsautoriteit.be	+32 2 274 48 00
オーストリア	DSB	dsb.gv.at	+43 1 52 152 0
ポーランド	UODO	uodo.gov.pl	+48 22 531 03 00

イギリス

当局	ポータル	電話番号
ICO	ico.org.uk/for-organisations/report-a-breach	+44 303 123 1113

アメリカ合衆国

当局	ポータル	電話番号
HHS/OCR（HIPAA）	ocrportal.hhs.gov	+1 800 368 1019
California AG	oag.ca.gov/privacy/databreach/reporting	+1 916 210 6276
New York AG	ag.ny.gov/internet/filing-a-complaint	+1 800 771 7755
FTC	ftc.gov/enforcement	+1 877 382 4357

その他の国・地域

国・地域	当局	連絡先
カナダ	OPC	priv.gc.ca
オーストラリア	OAIC	oaic.gov.au/privacy/notifiable-data-breaches
ブラジル	ANPD	gov.br/anpd
シンガポール	PDPC	pdpc.gov.sg

事前交渉済みベンダーの連絡先

サービス	ベンダー	契約参照番号	サービス開始時の連絡先	SLA
インシデント対応	Mandiant	SPG-IR-2025-007	+1 703 935 1700 / [email protected]	24 時間以内にオンサイト対応、4 時間以内にリモート対応
外部法律顧問（EU）	Freshfields Bruckhaus Deringer	SPG-LEG-2025-012	+49 30 20 28 39 000	パートナーレベルの対応を 2 時間以内に実施
外部法律顧問（米国）	Covington & Burling	SPG-LEG-2025-013	+1 202 662 6000	パートナーレベルの対応を 2 時間以内に実施
信用情報モニタリング	Experian IdentityWorks	SPG-EXP-2025-003	+44 115 941 0888	48 時間以内にポータルを有効化
危機広報	Brunswick Group	SPG-COM-2025-001	+49 69 2400 5510	4 時間以内にチームを招集
サイバー保険	Allianz Cyber Enterprise	SPG-CYB-2025-001	+49 89 3800 0	24 時間以内に保険金請求を受領した旨を通知
eディスカバリー／訴訟ホールド	Relativity / Exterro	SPG-LIT-2025-004	+1 312 263 1333	4 時間以内に訴訟ホールドを開始

プレイブックの保守

活動	頻度	担当者
連絡先情報の確認と更新	四半期ごと	DPO Office
ベンダーとのリテイナー契約が最新であることの確認	年次	Procurement + DPO
規制当局の連絡先情報の更新	半年ごと	DPO Office
プレイブックを使用した机上演習	半年ごと	DPO + CISO
プレイブック全体の改訂	年次、またはSEV-1／SEV-2インシデント発生後	DPO
更新したプレイブックをコア対応チームに配布	改訂のたび	DPO Office