止める人が決まっていなければ、「続ける」が自動で選ばれます。

重大な脆弱性が公表された日。現場が最初に詰まるのは、直し方ではありません。

「止めるか、続けるか」をどんな基準で誰が決めるのかが、決まっていないことです。

この1枚（判断表）は、その判断を平時に書き出しておくためのものです。7つの欄に約30分。

記入の例を1つ載せています。埋まらない欄があっても構いません。

決まっていないと分かることが、最初の成果です。

前回（11月4日）は、取締役・監査役が執行側に聞く17の問いでした。

今回は、聞かれた側が自分たちで埋める1枚です。

入手方法

当社のサイトから無料で入手できます。登録は不要です。記入の例と使い方もあります。

・判断表（PDF） https://www.securoi.com/whitepapers/morning-decision-sheet.pdf

・判断表（EXCEL） https://www.securoi.com/whitepapers/morning-decision-sheet.xlsx

※本表の項目は、NIST の枠組みの統治の区分、サイバーセキュリティ経営ガイドラインの10の指示、ISO/IEC 27001 附属書 A の管理策と対応づけて、内部で点検しています（対応表は非公開）。

・無料の資料の一覧 https://www.securoi.com/downloads

なぜ今か

2026年10月に国内で公表が続いた事案は、3件とも論点が違いました。

1件目はソフトウェアの脆弱性、2件目は漏えいの後の対応、3件目は公開領域の設定です。

どれも、技術の前に、まずは「誰がいつどの基準で決めるか」を問う事案でした。

英国の NCSC は2026年11月3日に公表した年次報告で、AI により脆弱性の発見と悪用コードの開発が進み、修正を当てるまでの時間を短くする競争に防御側は直面する可能性が高い、と評価しています。

今回は誰に向けたものか

今回は、主に社長と情報システムの責任者に向けたものです。

前回（11月4日）は、外から見る立場（取締役・監査役）が聞く17の問いでした。

今回は、聞かれた側、つまり実際に止めるか続けるかを決める立場の1枚です。

次回は、外部サービスや委託先を使っている会社の担当者に向けた7つの問いです。

これまでと、前回（11月4日）以降の3つ

10月までに、外の状況（10月21日）と、自社で答える点検表（10月26日）を配りました。点検表は「自社がどこまでできているか」を自分で書く表です。

他の3つは役割が違います。書いた答えを外から確かめる（11月4日）、答えが出てこなかった所を誰がいつ決めるかを決める（今回）、自社では答えようのない預け先の分を聞く（次回）。

同じことを繰り返すのではなく、答えの後ろにある3つの穴をふさぐための物です。どれか1つだけ使っていただいて構いません。

何が手に入るか

A4 の PDF です（3ページ＝7つの欄と枝番1つ、第1報とは何か、記入の例と使い方）。Excel 版もあります。無料で、登録は要りません。

7つの欄を、時間割の順に並べています。どこで動いているかがすぐ分かるか。止めるか続けるかを誰がどの基準で決めるか。止めるなら何が止まり誰に知らせるか。止めずに直す手順があるか。委託先の連絡先と修正の期限。直すまでの間、誰が見ているか。決めていないことを誰がいつ決めるか。

各欄は3つの値で答えます。

○＝決まっている（人も基準も言葉になっていて、記録がある）。

△＝決まっていない（または決まっているが記録が無い）。

→＝いまは決められないので、決める人と日付だけ決めた。

合否も点数もありません。埋まらない欄があることが、次に決めるべきことを示します。 固有名は書かせません。サーバ名も委託先名も鍵の置き場所も、「対象A」「委託先B」の記号で書きます。

今回足した2つ

ひとつは、続けると決めたときの記録の行です。誰が決め、いつまでで、代わりに何を置いたか、次に見直す日はいつか。この行が埋まっていない「続ける」は、続ける判断ではなく放置です。

もうひとつは、表の頭に置く数字です。止める人が決まっているサービスの割合。一次責任者と代理の両方が書いてあるサービスを数えます。

公表が続くときの第1報

公表は1回では終わりません。第1報に何を書き、何を後に回すかは、起きてから決めると間に合いません。

判断表の欄3に、知らせる相手と手段を先に書いておきます。第1報の型（空欄を持つ文）を1本用意して、保存しておいてください。文そのものは、起きた日に書きます。

つり合いを測る5つの数字

「事業とのバランスを考えて対応した」という言い方は、後からいくらでもできます。

つり合いを主張するなら、数字で示せる形にしておく必要があります。

5つだけです。決めるまでの日数。期限付きで続けている件数と、そのうち期限切れの件数。診断や監視の対象に入っていない資産の数。止める人が決まっている割合。直近の重大な事象を自社で見つけたか、外からの連絡で知ったか。 目安の値は示しません。値は各社が決めるものです。

決めない、測らない、外に出さない、の3つだけを避けてください。

4つの約束も、この文書の中で示します。無期限で続ける判断をしない。期限切れは人の判断を挟まず経営に上がる。対象外は宣言したものだけ。完了は、指摘した側か別の第三者が、消えたことを確かめた日にする。自分で「ひと段落した」と判定しないことが、4つ目です。

明日からできること（3つ）

1つ目。自社のサービスを1つ選び、止める判断をする人の名前と、その人がいないときの代理を書く。約5分で終わります。書けなければ、それが最初の宿題です。

2つ目。第1報の型を1本作る。判断表の「第1報とは」にある4つ（調査の責任者、これから検証する事項、進捗の公表の方法、次回報告の日時）の空欄を作って保存します。約15分です。

3つ目。いま「様子を見ている」ものを1件だけ書き出し、期限と、代わりに置いているものを書く。期限が書けないなら、それは様子見ではなく放置です。約10分です。

合わせて約30分です。残りの欄は次の機会で構いません。

今月はここまでで終わりにする

約30分で7つの欄を埋め、続けて第1報の型を1本保存する。平時の準備はここまでで構いません。

全部の欄を丸にする必要はありません。

三角と矢印が3つ以上残ったら、それがその日までに決めておくことです。

欄7に1つだけ日付を入れてください。

ISMS や P マークなどとの関係

ISMS は、管理の仕組みがあることを審査で見ます。この1枚が残すのは、その仕組みの中で誰が何を決めたかの記録です。

P マークは、委託先の監督を求めます。この1枚の欄5（委託先の連絡先と期限）が、その一部になります。

サイバーセキュリティ経営ガイドラインは、経営者が出す10の指示を示しています。この1枚は、指示を出した後に誰がどの基準で決めるかを書く場所です。

NIST の枠組みは、2024年の版で統治の区分を足しました。この1枚と5つの数字は、その区分が求める「誰が決めるか」を、書き出せる形に落としたものです。

新しい要求を足すものではありません。既にある枠組みが求めている経営の関与を、測れる形にしています。

当社自身も同じ

当社も、同じ5つの数字を自分で埋めています。値は公開していません。公開するのは、測り方が落ち着いてからです。

なぜ無料で配るのか

この資料は商品ではありません。国の注意喚起は出ていますが、現場でそのまま使える形にした物が見当たらず、自分たちで作りました。

1社ずつが同じ物を作り直すより、配った方が早いと考えています。 使っていただいて、合わない所があれば教えてください。次の版で直します。

代表コメント

止めるか続けるかの判断は、起きてからでは間に合いません。

現場は「止めましょう」と言いにくく、経営は「本当に止めるのか」と聞き返します。

そのやり取りをその日にやると、時間だけが過ぎます。この1枚は、そのやり取りを平時に1回だけやっておくためのものです。

埋まらない欄があっても構いません。決まっていないと分かることが、最初の成果です。

会社概要

・会社名：合同会社SecuROI（法人番号：5011203005053）

・代表者：代表社員 小山 幸輝（Yoshiki Koyama）

・代表者の経歴：情報システム・セキュリティの現場に20年以上。警察庁関連（犯罪対策支援）を経て、大手監査法人グループのセキュリティコンサルティングファームで監査対応・セキュリティコンサルティングに従事。その後、事業会社のセキュリティ部門マネージャー・アドバイザーとして、統制の内製化とIPO準備の実務を担う。

・事業内容：成長企業向けIT統制・セキュリティ診断SaaSの提供

・サービス：SecuROI（セキュロイ）｜https://www.securoi.com

・お問い合わせ：support@securoi.com