Moshiru
会社情報記事一覧無料スキャン

会社のセキュリティ教科書　第9部 9-5

再発防止策の書き方とは｜報告書の例と、原因分析から業務手順の見直しまで

公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太

こんなときに役立ちます

  • 事故の報告書に再発防止策を書くとき
  • 取引先から「再発防止策を文書で出してください」と求められたとき
  • 「注意を徹底します」以外に何を書けばいいか分からないとき

読み終えたあと、社内でこう言えます

「再発防止策の書き方を、5つの項目でひな形にしておきました」

結論：再発防止策とは、事故の根本の原因を取り除き、同じ事故を二度と起こさないための対策です。書き方のこつは、「注意不足」で原因の掘り下げを止めず、仕組みや手順の原因まで「なぜ」を重ねることです。対策は「何を・なぜ・誰が・いつまでに・どう確かめるか」の5つをそろえて書きます。最後に業務手順書と点検の項目を書き換えるところまで進めると、形だけで終わりません。

再発防止策は、応急処置のあと、なぜを重ねて根本の原因を見つけ、対策を5つの要素で書き、業務手順の見直しと効果の確認まで進める

再発防止策とは？応急処置との違い

事故のあとの手当ては、大きく2つに分かれます。目の前の問題を直す「応急処置」と、原因を断つ「再発防止策」です。この考え方は、情報セキュリティマネジメントの規格にもあります。JIS Q 27001:2023（ISO/IEC 27001:2022）の10.2「不適合及び是正処置」です。

手当て何をするか例（メールの誤送信）
応急処置（修正）起きた問題そのものを直す誤って送った相手に削除をお願いする
再発防止策（是正処置）原因を取り除き、同じことを起こさない社外への添付送信に、上長の確認を入れる
水平展開ほかの部署や仕組みに同じ弱点がないかを見るFAXや郵送の宛先確認も同じ手順に見直す

個人情報保護委員会のガイドライン（通則編）は、漏えい等が起きたときの措置の1つに「再発防止策の検討及び実施」を挙げています。委員会への報告の項目にも「原因」と「再発防止のための措置」があります。報告の期限や様式は個人情報が漏れたときの報告と通知にまとめています。

原因はどう掘り下げる？「なぜ」を重ねる

再発防止策がうまくいかない一番の理由は、原因を「担当者の不注意」で止めてしまうことです。不注意は誰にでも起きるので、注意を呼びかけるだけでは同じ事故がまた起きます。

そこで「なぜ」を3〜5回重ね、人ではなく仕組みや手順の原因までたどります。品質管理で使われる「なぜなぜ分析」と呼ばれる方法です。前の節（原因調査とログの読み方）で確かめた事実をもとに進めます。

  1. なぜ乗っ取られた？ → 経理担当が偽のログイン画面にパスワードを入れた。
  2. なぜ入れただけで入られた？ → 多要素認証（パスワードに加えスマホなどで確かめる方式）を設定していなかった。
  3. なぜ設定していなかった？ → 導入時に「任意」とし、誰が設定済みかを確かめていなかった。
  4. なぜ確かめていなかった？ → アカウントの設定状況を定期的に見る担当と手順がなかった。

この例では、根本の原因は「多要素認証を必須にする規則と、確かめる手順がなかったこと」です。「社員がだまされた」で止めると、対策は注意喚起だけになってしまいます。

4つの視点で漏れなく見る

原因が1つとは限りません。次の4つの視点で書き出すと、見落としが減ります。魚の骨の形に原因を並べる「特性要因図」も同じ考え方です。

視点見るところ
人知識、教育、忙しさ、一人に集中した作業
手順確認の段取り、二重チェックの有無、手順書の古さ
仕組みシステムの設定、更新の遅れ、ログの有無
管理規程、点検、委託先の管理、責任者の決め方

再発防止策はどう書く？5つの要素と強さの順番

再発防止策は、読んだ人が「誰が何をいつまでにやるか」を言えるように書きます。そろえる要素は次の5つです。

要素書くこと例
何を具体的な対策全アカウントで多要素認証を必須にする
なぜどの原因に対応するかパスワードだけでログインできたため
誰が実行と確認の担当総務部 情報担当、確認は総務部長
いつまでに期限と、途中の状態〇月〇〇日までに全員の設定を完了
どう確かめるか効果を確かめる方法と時期毎月、管理画面で未設定者が0人かを確認

対策には「強さ」の差があります。人の注意に頼るほど弱く、仕組みで起きなくするほど強くなります。報告書では、できるだけ強い対策を中心に置き、弱い対策は補いとして添えます。

強さ考え方例（振込先の詐欺）
強い仕組みで起きなくする振込先の登録変更は、システム上で2人の承認がないと反映されない
やや強い手順で確かめる変更の依頼は、登録済みの電話番号に折り返して確かめ、記録を残す
補い気づけるようにする社外からのメールに「外部」と表示する
弱い注意を呼びかける全社員に注意を徹底する

振込先変更の詐欺の手口と確かめ方は振込先変更の詐欺の手引きにまとめています。

業務手順の見直しまで落とし込むには？

再発防止策が形だけになるのは、報告書に書いて終わり、毎日の業務が変わらないときです。対策は必ず、次の場所に書き移します。

  1. 業務手順書：担当者が毎日見る手順に、新しい確認の段取りを入れる。
  2. 社内規程：必須にしたことを規程に書き、例外の扱いも決める（会社に必要な規程の一覧）。
  3. 教育：なぜ手順が変わったかを、事故の経緯とあわせて全員に伝える（社員教育と標的型メール訓練）。
  4. 点検の項目：月1回の点検表に、対策が守られているかの項目を加える（月1回のセルフチェック）。

たとえば社員25人の不動産管理会社では（架空の例）

社員25人の不動産管理会社で、入居者一覧の表計算ファイルを、別のオーナーにメールで誤って送りました。応急処置として相手に削除をお願いし、削除の連絡も受けました。原因を掘り下げると、宛先の自動入力と、添付ファイルを送る前の確認がないことが分かりました。

見直し前の手順見直し後の手順
担当者が宛先を入力し、そのまま送信社外への添付送信は、送信の前に宛先の確認画面を出す設定にする
個人情報を含むファイルもメールに直接添付個人情報は共有リンクで送り、相手と期限を限る
誤送信に気づいても報告の決まりがない気づいたら30分以内に責任者へ報告する

3か月後、点検表で「確認画面の設定が全員有効か」「直接添付の件数」を確かめ、効果を判断します。誤送信の初動と例文はメール誤送信の手引きにあります。

報告書と取引先への説明はどう書く？

報告書の再発防止策は、原因と1対1で対応させると読みやすくなります。取引先や委員会が知りたいのは「原因がふさがれたか」と「それをどう確かめるか」です。

米国立標準技術研究所（NIST）のサイバーセキュリティフレームワーク（CSF）2.0にも、同じ考え方があります。事故の対応から改善点を見つけ、対応計画を直し続けることを「改善（Improvement）」として求めています。

チェックシートではこう聞かれる

よくある設問答え方の例
過去にセキュリティ事故はありましたか。ある場合、再発防止策を教えてください。はい。メール誤送信が1件ありました。社外への添付送信に確認画面を必須とし、毎月点検しています。
インシデントの原因分析と再発防止の手順を定めていますか。はい。対応手順書に、原因の掘り下げと対策の5項目（何を・なぜ・誰が・期限・確認方法）を記録する様式があります。
再発防止策の実施状況と効果を確認していますか。はい。月1回の点検表に対策ごとの確認項目を入れ、責任者が結果を確認しています。
事故の教訓を社内で共有していますか。いいえ。現在は関係者のみで、〇月から年1回の全社研修で事例を共有する予定です。

事故の有無を聞く設問には、事実で答えるのが原則です。事故があったことより、その後の対策と確かめ方が見られています。

試験ではここが問われる

SG・支援士・Security+ 4・CISM 4

  • 修正と是正処置の違い：修正は起きた不適合そのものを直すこと。是正処置は原因を取り除き、再発を防ぐこと。ISMSの規格（JIS Q 27001の10.2）で使う用語です。
  • 根本原因分析：なぜなぜ分析や特性要因図で、直接の原因の奥にある原因を探します。英語ではRoot Cause Analysis（RCA）。
  • 事後の振り返り：Security+やCISMでは、対応の終わりに行う教訓の整理（Lessons Learned）が対応の段階の1つとして問われます。
  • 効果の確認：対策を実施しただけでなく、有効だったかを確かめるまでが是正処置です。
  • 報告の項目：個人情報保護委員会への報告には「原因」と「再発防止のための措置」が含まれます。

確認問題

問1 情報セキュリティマネジメントで「是正処置」の説明として、最も適切なものはどれですか。

  1. ア 起きた問題を、その場で元の状態に戻すこと
  2. イ 不適合の原因を取り除き、再発を防ぐための処置
  3. ウ 事故を起こした社員に処分を科すこと
  4. エ 事故の内容を外部に公表すること
答えと解説
正解：イ　是正処置は原因に手を打ち、同じことを起こさないための処置です。アは「修正」にあたります。ウとエは対応の一部になることはあっても、是正処置の定義ではありません。

問2 社員40人の部品メーカー（架空）で、退職者のアカウントが残ったまま使われ、図面が持ち出されました。最も根本に近い再発防止策はどれですか。

  1. ア 全社員に、図面の取り扱いに注意するよう呼びかける
  2. イ 退職者に、誓約書を書いてもらう
  3. ウ 退職の手続きにアカウント停止の手順を入れ、毎月アカウント一覧と在籍者を突き合わせる
  4. エ 図面の保存場所の名前を変える
答えと解説
正解：ウ　原因は「退職時にアカウントを止める手順と確認がない」ことです。ウは手順と点検の両方で原因をふさぎます。アは注意喚起で弱く、イは抑止にはなっても使えてしまう状態は残ります。

問3 再発防止策の書き方として、最も適切なものはどれですか。

  1. ア 「今後このようなことがないよう、注意を徹底します」
  2. イ 「全アカウントで多要素認証を必須にする。総務部が〇月末までに設定し、毎月未設定者が0人かを確認する」
  3. ウ 「セキュリティを強化します」
  4. エ 「二度と事故を起こさないことをお約束します」
答えと解説
正解：イ　何を・誰が・いつまでに・どう確かめるかがそろっています。ア・ウ・エは具体的な行動と確かめ方がなく、実施されたかを誰も判断できません。

よくある質問

再発防止策は、事故からどれくらいで出せばよいですか？
決まった期限はありませんが、個人情報の漏えいで委員会に報告する場合は、原則30日以内（不正の目的によるおそれがある場合は60日以内）の確報に再発防止策を含めます。取引先には、実施済みの対策と予定を分けて、早めに途中経過を伝えると信頼を保てます。
原因が「社員のミス」の場合、何を書けばよいですか？
ミスが起きても事故にならない手順や仕組みを書きます。「なぜミスが事故につながったか」を掘り下げると、確認の段取りや設定の不足が見つかります。処分や注意喚起だけでは、別の社員が同じミスをしたときに防げません。
お金をかけずにできる再発防止策はありますか？
あります。多くは手順と確認の見直しで、費用はかかりません。たとえば、振込先変更の電話での折り返し確認、退職時のアカウント停止の手順、月1回の点検表への項目追加などです。

この記事のまとめ

報告書の書き方を、一人で抱えずに整える

Moshiruは、打合せなしでテキストだけでお受けします。事故の経緯と分かっている事実をお送りいただければ、原因の掘り下げと、取引先に出せる再発防止策の書き方を文面でお返しします。調査が途中でも相談できます。

インシデントが起きたら相談する24時間受付・30分以内に返信メニューにないことを頼む文面で合意するまで料金はかかりません

参考にした資料

  1. 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-5-2（2026年6月一部改正）
  2. e-Gov法令検索「個人情報の保護に関する法律施行規則」第8条
  3. 日本産業標準調査会（JISC）「JIS Q 27001:2023 情報セキュリティ，サイバーセキュリティ及びプライバシー保護－情報セキュリティマネジメントシステム－要求事項」（2023年9月）※JIS検索から閲覧
  4. IPA「中小企業のためのセキュリティインシデント対応の手引き」（2026年6月）
  5. NIST「The NIST Cybersecurity Framework (CSF) 2.0」CSWP 29（2024年2月）ID.IM
  6. NIST「SP 800-61 Rev. 3 Incident Response Recommendations and Considerations for Cybersecurity Risk Management」（2025年4月）