シンガポールの企業向け：サイバー攻撃後の対応手順
シンガポールの企業向けに、証拠保全、届出、弁護士、保険、広報の手順を整理します。
シンガポールで事業を行う企業がサイバー攻撃を疑った際の確認用手順です。適用される制度は法人、影響した情報、事業地域から確認し、読む言語だけで決めません。出典確認日は2026年10月20日です。Mithrilが作成した業務整理であり、公的な申請様式ではありません。個別の義務は適切な資格を持つ弁護士と確認します。
## 1. 対応チームを決め、事実と原資料を保全する
対応責任者、技術担当、法務レビュー者、広報担当、財務窓口を決めます。社内アカウントやメールが侵害されている可能性があれば、信頼できる別の連絡経路を選びます。収集・変更する技術的範囲を確認します。原資料、取得時刻、タイムゾーン、ハッシュを保持し、要約や翻訳は別の版にします。
最小限の事実メモを作ります。発見・認知の時点、影響したサービス、確認済みの影響、疑い、証拠参照、不明点、担当者を記載します。漏えいの有無や人数が不明なら不明のまま残します。技術、法務、報告、広報、保険の5系統を並行させ、調査が未完了でも他の手続きの期限を見失わないようにします。
## 2. 国別の報告先と期限を確認する
PDPAの重大な損害または重大な規模の基準から、通知対象の侵害かを評価します。通知対象と判断した場合、実行可能な限り速やかに、遅くとも3暦日以内にPDPCへ通知します。本人への通知は別に評価します。 [PDPC — Advisory Guidelines on Key Concepts in the PDPA](https://www.pdpc.gov.sg/-/media/files/pdpc/pdf-files/advisory-guidelines/ag-on-key-concepts/advisory-guidelines-on-key-concepts-in-the-pdpa-17-may-2022.pdf)
SingCERTのCyber Aidは、シンガポールに関係するサイバーセキュリティ事件の受付です。技術報告、PDPCへの通知、警察への申告を区別します。 [CSA SingCERT — Cyber Aid](https://www.csa.gov.sg/resources/singcert/cyber-aid/)
通知対象と判断した時点を記録します。3日という通知の基準を、評価を先送りできる猶予にしません。自社の業種やCybersecurity Actの義務も確認します。
## 3. 弁護士への引継ぎと保険の確認を早期に始める
弁護士には、事実の時系列、原資料一覧、不足情報、法域に関する問いをまとめた限定公開の資料を渡します。資格、利益相反、受任範囲、費用を確認します。作業の発注前に、保険会社・代理店へ通知時期、指定業者、事前承認の条件を確認します。事故通知、後日の保険請求、補償判断、支払いは区別します。裏付けのある費用と不確かな損害を分け、返金や補償を約束しません。
## 4. 広報文と本人・取引先向け通知を準備する
相手ごとに承認済みの事実に基づく文面を作ります。公表文には、確認済みの業務影響、対応、調査中の事項、利用者が取れる対策、確認済みの窓口、次の更新を記載します。攻撃者、復旧日、「情報漏えいなし」などを推測で断定しません。プレスリリースだけで法令・契約上の個別通知を済ませたことにはなりません。
下書きの型：「[日時・タイムゾーン]に[確認済みの事象]を把握しました。[確認済みの影響]が発生しています。現在[承認済みの対応]を進め、[未確認事項]を調査中です。関係者には[確認済みの保護措置]をご案内します。窓口は[公式経路]、次回更新は[承認した時刻]です。」すべての空欄を根拠のある内容に置き換え、文面の版と公表承認を記録します。
## 5. Agentによる準備・管理の設計を使う
Mithril Agent／Registryの統合設計では、証拠一覧、出典付き時系列、次の行動、義務の確認、提出先別の草稿、弁護士向け資料、広報文、損害表、受領記録の照合など12の準備・管理能力を定義しています。この企業対応フローは計画段階です。記事の公開は、実行可能なサービスや公式提出コネクターの提供開始を意味しません。提出・公表は権限を持つ人が適切な経路で行い、将来の委任実行には別の検証が必要です。
## 6. 国別の業務プロセスを取得する
BPMN 2.0ファイルは、5系統の並行処理、人の判断、期限レビュー、引継ぎを記述した非実行の参考モデルです。この国の出典情報を含みますが、当局の公式業務モデルではありません。現在のMithril実行形式ですべての要素を実行できるわけではありません。
- [シンガポールのBPMNを取得（日本語）](https://blog.mithril.fund/processes/enterprise-cyber-response/v0.1.0/sg/ja.bpmn)
- [計画段階の能力契約を読む](https://blog.mithril.fund/processes/enterprise-cyber-response/v0.1.0/capabilities.json)
- [ファイルの版とハッシュを確認](https://blog.mithril.fund/processes/enterprise-cyber-response/v0.1.0/manifest.json)
## 7. 手続きと受領記録を管理する
各行動について、提出先と目的、責任者、期限候補の出典と起算点、確認済みのレビュー時刻、承認した文面・版、送付記録、公式の受領情報、次の手順を残します。提出、受領、受理、補償、被害回復は異なる結果です。結果不明の操作は、照合してから再実行を判断します。復旧の承認と継続する法務・当局・保険案件の引継ぎを確認してから初動対応を終了します。
## この国の公式資料
- [PDPC — Advisory Guidelines on Key Concepts in the PDPA](https://www.pdpc.gov.sg/-/media/files/pdpc/pdf-files/advisory-guidelines/ag-on-key-concepts/advisory-guidelines-on-key-concepts-in-the-pdpa-17-may-2022.pdf)
- [CSA SingCERT — Cyber Aid](https://www.csa.gov.sg/resources/singcert/cyber-aid/)
[他の国の手順を確認](https://blog.mithril.fund/cyber-incident-response-by-country?lang=ja)