“社内システム停止”でも慌てない 緊急時コミュニケーション8つの鉄則：インシデント対応としてのコミュニケーション

CrowdStrikeの大規模障害は、社内外とのコミュニケーションの重要性を再認識させるきっかけとなった。緊急事態下で企業が機能し続けるために必要な「クライシスコミュニケーション」を最適化する方法とは。

[Paul Kirvan，TechTarget]

　2024年7月、世界有数のセキュリティベンダーCrowdStrikeの製品が、「Windows」搭載マシンの大規模なシステム障害を引き起こした。この障害はビジネスの停止で企業を混乱させただけではなく、コミュニケーションの重要性を明らかにした。

　企業が災害や事件、事故といったインシデントに直面した際に実施する危機管理施策の一つが、クライシスコミュニケーションだ。クライシスコミュニケーションは、自然災害やサイバー攻撃の被害を受けた企業が、消費者や株主、取引先といった利害関係者に対して、インシデントに関する正確な情報を迅速に開示するためのコミュニケーションを指す。

　クライシスコミュニケーションの準備が十分にできていなければ、緊急事態にさらなる混乱が生じ、クライシスコミュニケーションが無駄になる可能性がある。企業に対する否定的な報道や風評被害が発生したり、訴訟を起こされたりする恐れもある。効果的なクライシスコミュニケーションのために実施すべき8つの取り組みを紹介する。

クライシスコミュニケーションを効果的にする方法はこれだ

併せて読みたいお薦め記事

限られた条件でインシデント対策を強化する

• 予算があろうがなかろうが「倹約家のセキュリティ対策」を徹底すべし
• 金がないなら知恵をくれ　予算がないからできる「激安セキュリティ対策」

1．経営層からの支援を得る

　経営層は、災害復旧（DR）計画やクライシスコミュニケーションの優先度の高さを理解していないことがある。そうした場合、必要な予算を確保できなくなる恐れがある。

　災害復旧計画を効果的に遂行するための予算や従業員を確保したり、クライシスコミュニケーションの認知度を高めたりするには、経営層の承認が欠かせない。CrowdStrikeの事例を引き合いに出して、経営層の理解を獲得するのも一考だ。

2．さまざまな事例に対処できる計画を策定する

　CrowdStrikeの事例をはじめとしたインシデントは不測の事態だ。業務の遂行や経営に想定外の影響をもたらす。最先端の取り組みを進めているIT部門や災害復旧担当の部門でも、インシデントに必要な施策を予測するのは困難だ。インシデントへの対応策と障害からの回復に当たって重要なのが、迅速に対処するための適応性だ。あらゆる偶発的なインシデントに対処できるだけの計画を組み立て、さまざまな課題に適応できる手順を盛り込む。

　クライシスコミュニケーションも同様だ。ある業務が特定のサービスに依存している場合、そのサービスを利用できなくなると、業務を遂行できなくなる恐れがある。CrowdStrikeの障害はその好例だ。インターネットを利用できなくなった場合に備えて、手作業でシステムを操作するための手順書や、オンラインで保管している連絡先情報のバックアップとして紙の資料を作成し、状況に合わせて行動できるようにする。

　インシデントの種類ごとに担当者を割り振り、各担当者が障害発生時に担う職務を理解して、責務を果たせるようにすることも大切だ。特定の計画やシステムを使用できなくなった場合の代案を共有したり、支援が必要な場合の連絡先一覧を用意したりするといった対策が考えられる。

3．部門の垣根を越えて役割を設ける

　効果的なクライシスコミュニケーションを実施するには、さまざまな部門が連携して役割を担うことが大切だ。

　クライシスコミュニケーションを実施する際、社外に対してはメール、社内に対してはチャットツールやWeb会議ツールなどのユニファイドコミュニケーション（UC）ツールやコラボレーションツールを使うようにする。障害復旧を専門とする部門がない場合は、IT部門がツールの導入や災害発生時の運用を実施するのが一般的だ。担当者は、インシデントが発生する前にツールを使えるようにするだけではなく、緊急時の通知システムの使用法や連絡先一覧といった重要なデータのバックアップを参照できるようにしておく。

　人事部門との連携も重要だ。インシデントが発生したとき、その影響はさまざまな形で従業員に及ぶ。インシデントの影響を受ける可能性のある従業員が適切な対処法を学べるようにするために、人事部門と連携するのだ。クライシスコミュニケーションを担当する可能性があるマーケティングや広報部門の担当者とも連携するとよい。

4．クライシスコミュニケーションの計画にアクセスする手段を複数確保する

　事前にクライシスコミュニケーションの計画を立てておいても、ネットワークやソフトウェアの障害で計画書を閲覧できなくなれば意味がない。担当者がオフィスを利用できない場合でも、計画用のデータにアクセスできるようにすることが肝要だ。一部の企業は、Microsoftの社内ポータルサイト構築ツール「Microsoft SharePoint」をリポジトリ（データの保管庫）として使っている。

5．連絡先一覧を事前に準備する

　一刻を争う事態を見据えて、関係者の連絡先を緊急時の通知システムやスマートフォンに保管しておき、重要な担当者やチームと迅速に連絡を取れるようにする。通知システムが起動しない場合のバックアップを取っておくことも重要だ。

6．正確な情報を提供する

　インシデントが発生した際、どのような事態が発生しているのか、自社はどのような状況に置かれているのか、公開できる範囲の情報を迅速に社内外に提供できるようにすることが大切だ。経過報告を実施することで、企業内外の関係者と経営層に速やかに情報を提供できるだけではなく、誤った情報を訂正しやすくなる。

　顧客はソーシャルメディアを通じて情報収集する可能性があるため、主要なソーシャルメディアで企業アカウントを開設して運用しておくことが重要だ。不適切な情報を流してしまわないように、広報部門や人事部門と連携しておくことも欠かせない。

7．複数のテクノロジー障害に備える

　CrowdStrikeの障害が明らかにしたように、障害の影響を受けるソフトウェアやシステムを予測することはできない。インシデントが発生したとき、どのシステムでどのような障害が起こっているのかを特定できるようにフローチャートを用意しておくことも手だ。

　障害の発生によってシステムへのアクセスが遮断される場合を考慮して、社内外とのコミュニケーション手段は複数導入するのが望ましい。従業員がメールを送受信できなくなっても、外部サービスが提供する通知システムを使えばコミュニケーションを取れる可能性がある。インターネットを介するシステムがダウンしている場合は、構内放送が重宝することもある。ソーシャルメディアのアカウントがあれば、関連情報を提供したり、情報を求める従業員の問い合わせに返答したりすることも可能だ。

8．テストと確認作業を定期的に実施する

　クライシスコミュニケーションの計画が完成したらテストを実施して、混乱を招く箇所や対策が不十分な箇所がないことを確認する。テストを実施したからといって、インシデントが発生したときに、計画通りの対処ができるとは限らない。障害が発生した後に、事後検証の報告書を作成することで、計画通りに実行できなかった取り組みや改善が必要な項目を明らかにできる。

TechTarget発　世界のインサイト＆ベストプラクティス

米国TechTargetの豊富な記事の中から、さまざまな業種や職種に関する動向やビジネスノウハウなどを厳選してお届けします。