合同会社SecuROIは、重大な脆弱性が公表された際にシステムを「止めるか、続けるか」の判断基準や責任者を平時に書き出しておくための「判断表」を公開した。同社のウェブサイトから登録不要かつ無料でダウンロードできる。主に社長や情報システムの責任者に向けたもので、約30分で7つの欄を整理できる構成となっている。

提供の背景と目的

2026年10月に国内で公表が続いた事案では、ソフトウェアの脆弱性、漏えい後の対応、公開領域の設定とそれぞれ論点が異なっていたものの、いずれも技術的な対策の前に「誰がいつどの基準で決めるか」が問われるものだった。また、英国のNCSCが2026年11月3日に公表した年次報告では、AIによる脆弱性の発見や悪用コードの開発が進み、修正までの時間を短縮する競争に防御側が直面する可能性が高いと評価されている。

同社は、11月4日に取締役・監査役向けとして執行側に尋ねる「17の問い」を公開していた。今回は聞かれた側となる執行側が、止めるか続けるかを自ら判断するために記入するツールとして本資料を用意したとしている。

判断表の特徴と主な項目

配布される資料はA4サイズのPDF（3ページ）およびExcel版で構成され、7つの欄と枝番1つ、第1報の解説、記入例と使い方が収録されている。サーバ名などの固有名詞は用いず、「対象A」「委託先B」といった記号で記入する形式をとる。

各欄は「○（決まっている）」「△（決まっていない）」「→（決める人と日付だけ決めた）」の3つの値で回答し、埋まらない欄を把握することで次に決めるべき事項を明確にする。今回新たに追加された要素として、システムを「続ける」と判断した際の記録行（決定者、期限、代替策、次回見直し日）や、止める担当者が決まっているサービスの割合を記載する項目が含まれている。

さらに、事業とのバランスを客観的に示す指標として、以下の「5つの数字」の算出を提案している。

• 決めるまでの日数
• 期限付きで続けている件数と、そのうち期限切れの件数
• 診断や監視の対象に入っていない資産の数
• 止める人が決まっている割合
• 直近の重大な事象を自社で見つけたか、外からの連絡で知ったか

平時に取り組む推奨手順

同社は、約30分で取り組める具体的なアクションとして以下の3点を挙げている。

1. 自社のサービスを1つ選び、停止の判断者とその代理者の名前を記入する（約5分）
2. 第1報の型として、調査責任者、検証事項、進捗公表の方法、次回報告日時の4つの空欄を作成して保存する（約15分）
3. 現在「様子を見ている」事象を1件書き出し、期限と代替措置を記載する（約10分）

合同会社SecuROI代表社員の小山幸輝氏は、「止めるか続けるかの判断は、起きてからでは間に合いません。現場は『止めましょう』と言いにくく、経営は『本当に止めるのか』と聞き返します。そのやり取りをその日にやると、時間だけが過ぎます。この1枚は、そのやり取りを平時に1回だけやっておくためのものです」とコメントしている。

資料の入手方法と会社概要

資料は以下のURLより無料で入手可能となっている。

• 判断表（PDF）：https://www.securoi.com/whitepapers/morning-decision-sheet.pdf
• 判断表（EXCEL）：https://www.securoi.com/whitepapers/morning-decision-sheet.xlsx
• 無料の資料の一覧：https://www.securoi.com/downloads

発行元の概要は以下の通り。

• 会社名：合同会社SecuROI（法人番号：5011203005053）
• 代表者：代表社員 小山 幸輝（Yoshiki Koyama）
• 事業内容：成長企業向けIT統制・セキュリティ診断SaaSの提供
• サービス：SecuROI（セキュロイ）｜https://www.securoi.com
• お問い合わせ：support@securoi.com

本記事は合同会社SecuROIの発表をもとに作成されています。

Dellows News編集部

ビジネスパーソンの課題解決と納得感にこだわるDellows News編集部。キャリア論からAI、健康法まで幅広い分野に対応し、複雑なテーマでも平易な言葉で丁寧に解説。読者が「明日から使える」知識やヒントを得られるよう、具体的な事例・データ・専門家の見解を交えて執筆。情報を整理し、納得感ある記事づくりを心がけています。